Yayım tarihi

Veri Koruma Etki Değerlendirmeleri (VKED/DPIA) ile Veri Koruma İlkelerini (GDPR ve KVKK) İlişkilendirmek ve Bir Checklist

İLKE NEDİR? VERİ KORUMA İLKELERİ NE İŞE YARAR?

Öncelikle “ilke” kavramını inceleyecek olur isek, “Davranış veya değerlendirme için rehber olan bir öneri veya değerdir” der sevgili Wikipedia.  Bir sistemin ilkeleri; kullanıcıları tarafından sistemin temel özellikleri veya sistemin tasarlanan amacını yansıtması olarak kabul görür ve bu ilkelerden herhangi biri göz ardı edilirse, sistemin etkin çalışması veya kullanılması imkansız hale gelir. Bu bağlamda ilkeler; standartları, hakları ve yükümlülükleri yönetirler ve ilgili kanunlar için de mihenktaşları, sütunlardır dersek yanlış olmaz kanaatimce. Bir sütunun zarar görmesi veya yıkılması da, üzerinde taşıdığı çatıyı, kanunu ve dolayısıyla korumaya çalıştığı toplumsal düzenleyici unsurları da sakatlayacaktır.

Principles help…

Federal trade Commision (FTC); kişisel verilerin gizliğinin (mahremiyetin) korunmasının temel ilkeleri ancak onları uygulayacak ve kontrol edecek bir mekanizma varsa etkili olabilir der. Veri Koruma İlkeleri’nin neler olduğuna aşağıda yer alan tabloda yer veriyor olacağız. Öncesinde biraz daha analiz. Kişisel verileri korumanın amacı; sadece kişinin verilerini korumak değil, bu verilerle ilgili kişilerin temel hak ve özgürlüklerini de korumaktır. Örnek verecek olur isek, sağlık verilerinizin tutulduğu ana veritabanı hacklendiğini ve kan grubunuzun (ameliyatta cerrahların bilmesi ve buna göre karar alması gereken kronik rahatsızlığınız da olabilir) değiştirildiğini farz edelim, ve bundan habersiz olarak ilgili veriyi kullanacak hastanede ameliyata alındığınız zaman, sadece basit bir kişisel veriniz değil,  temel hak ve özgürlüklerinizden yaşama özgürlüğünüz de korunamamış ve tehlikeye girmiş olacaktır. Demek ki bu çatı ve sütunlar, sadece altlarında barındırdıkları değerli paketleri değil, aynı zamanda paketlerin sahibi olan insanları da yağmura, fırtınaya, saldırılara ve bilimum negatif olay ve düzensizliklere karşı koruyor.

Cordoba, SPAIN taken by @ Ercüment ARI

Bizim bu yazımızda odaklandığımız nokta ise, binada (sistemimiz) yapılabilecek tadilat, renovasyon ve eklemelerin (sistemlerimizdeki değişikliklerin veya yeniliklerin); koruyucu çatıyı (kanun/tüzük) taşıyan mihenktaşları ve sütunlarına (ilkeler) zarar vermemesi için müteahhitin (veri sorumlusu) ustabaşısının (bu yazı okuyorsanız muhtemelen veri koruma sorumlusu/uzmanı olarak sizsiniz) gözlem ve kontrolleri (etki değerlendirmeleri) ve bildirim ile müdahalesini (VKED/DPIA değerlendirme sonuçları ve aksiyonları) resmetmeye çalışmaktan ibarettir.

VERİ KORUMA ETKİ DEĞERLENDİRMESİ (VKED/DPIA) NEDİR?

GDPR’ın 35 ve 36. Maddeleri uyarınca; özellikle yeni teknolojilerin kullanıldığı veri işleme çalışmalarının gerçek kişilerin temel hak ve özgürlükleri için yüksek riskler doğurması olasılığına yönelik, Veri Sorumlusu’nun yapması gereken değerlendirmedir. Ek olarak, anlamı ve rolü, Resital 84 tarafından şu şekilde açıklığa kavuşturulmuştur; veri sorumlusu, özellikle bu riskin kökenini, niteliğini, özelliğini ve önem derecesini değerlendirmek için bir veri koruma etki değerlendirmesinin (VKED/DPIA) yürütülmesinden sorumlu olmalıdır.

Bu değerlendirme (VKED/DPIA), kişisel verilerin korunmasını sağlamak, GDPR’a uygunluğun gösterilmesi ve kişilerin verilerine ve dolayısı ile kendilerine yönelik negatif etkileri minimuma indirme hedefi güdülerek riskleri minimize etmek amacıyla, önlemleri/kontrolleri kapsayacak şekilde gerçekleştirilmelidir.

Fotoğraftaki makus talihli bodybuilder gibi, bünyeye enjekte ettiğimiz bileşenin etkisini iyi değerlendirmezsek, sonuçlar bünye bakımından pişmanlık ve vehamet ile sonuçlanabilir.

VKED/DPIA’nın, bir program ya da sistemin geliştirilme süreci boyunca kişisel verilerin gizlilik risklerini tanımlamak ve değerlendirmek için yapılan kişisel veri gizlilik/mahremiyet etki değerlendirmesi (MED/PIA) ile ortak paydaları mevcuttur.

GDPR’a göre hazırladığım DPIA iş akışını, GDPR sunumlarımdan birinden çekerek bilginize sunuyorum;

DPIA İş Akışı

VKED/DPIA sürecinde, aşağıdaki değerlendirme soruları, yapılacak değişiklik ve/veya projenin, ilgili kanun ve regülasyonlar çerçevesinde risklerin ne ve nerede olduğunu belirlemenize yardımcı olması amacı ile hazırlanmıştır.

 

VERİ KORUMA İLKELERİ

(GDPR ve KVKK)

 

 

VERİ KORUMA ETKİ DEĞERLENDİRMELERİ

(VKED/DPIA) ÖZDEĞERLENDİRME

 

GDPR

 

Hukuka, dürüstlük kurallarına uygun ve ilgili kişiye karşı şeffaf işleme

 

[Hukuka ve Dürüstlük Kurallarına Uygunluk ve Şeffaflık İlkesi]

 

 

Kişisel Veriler kazara kayıp, hasar veya imhaya karşı güvence altına alınmalıdır. Veri işleme yasal olmalıdır, şöyle ki; İlgili kişi her hizmete dair veri işleme için açık onay vermelidir, Gerçekleştirilecek işleme sözleşmenin uygulanması için gereklidir, yasal bir zorunluluğa uymak için işleme gerekli olmalıdır.

 

İlgili kişiye ilişkin kişisel veriler, hukuka uygun, adil ve şeffaf bir şekilde işlenmelidir.

 

·       VKED/DPIA gerektiren projenin amacını belirlediniz mi?

·       Bireylere (ilgili kişilere), kişisel verilerinin kullanımı hakkında nasıl bilgi vereceksiniz?

·       Veri koruma aydınlatma bildirimlerinizi değiştirmeniz gerekir mi?

·       3rd parti tedarikçi kullanacak iseniz ilgili kişilere bildirim sürecini değerlendirdiniz mi?

·       Yurtdışına veri transferi yapacak iseniz ilgili kişilere bildirim sürecini değerlendirdiniz mi?

·       Yeni değişiklikler için hangi hukuki işleme koşullarının geçerli olduğunu belirlediniz mi?

·       Kişisel verilerin işlenmesine ilişkin hukuki dayanağınız (açık) rıza ise, bu rızayı nasıl toplayacak ve verilmemesi ya da geri çekilmesi durumunda nasıl hareket edeceksiniz?

 

KVKK

 

Hukuka ve dürüstlük kurallarına uygun olma

 

Hukuka ve dürüstlük kuralına uygun olma, kişisel verilerin işlenmesinde kanunlarla ve diğer hukuksal düzenlemelerle getirilen ilkelere uygun hareket edilmesi zorunluluğunu ifade etmektedir

 

 

GDPR

 

Kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesi

 

[Amaçla Sınırlılık İlkesi]

 

Yalnızca belirtilen amaç için kişisel verilerin toplanmasını ve işlenmesini gerektirir. Kişisel verilerin başlangıç sınırından daha fazla işlenip işlenemeyeceğini belirlemek için; amaçlar, verinin doğası, toplama yöntemi, ikincil kullanımların sonuçları ve güvenlik tedbirleri arasındaki bağlantıları aramak için bir uyumluluk testi kullanılması gerekir.

 

Kişisel veriler, belirli, açık ve meşru bir amaç dışında toplanmamalı ve toplandıktan sonra, toplanma amacına aykırı bir şekilde ileri işlemeye maruz bırakılmamalıdır.

 

·       Proje planınız; kişisel verilerin işlenmesi için tüm amaçları içeriyor mu? (projede amacını içermeyen veya aşan kısım kaldı mı?)

·       Proje kapsamının genişlemesi durumunda, potansiyel yeni amaçlar belirlediniz mi? (az çok falliyetin ne olduğu ve kapsamının ve etkileşimlerinin nereye doğru gideceği tahmin edilebilir)

·       Gelecekteki KV işlemelerine ilişkin değişiklik planlamaları için, uygun incelemenin yapılmasını sağladınız mı? (Bu değişikliklikler, proje başlangıcındaki hedefleri, hedef kitleyi, veri türlerini, etkilerini ne kadar değiştirecek? Örnek, AI gibi ileri işleme kullanılacak ise bunun kanun/tüzüğe uygun kurgulanmasının ve ilgili kişilere bildiriminin düzgün, açık ve net yapılmasının değerlendirilmesi)

 

KVKK

 

Belirli, açık ve meşru amaçlar için işlenme

 

Kişisel verilerin işlenme amaçlarının belirli, meşru ve açık olması ilkesi;

• Kişisel veri işleme faaliyetlerinin ilgili kişi tarafından açık bir şekilde anlaşılabilir olmasını,

• Kişisel veri işleme faaliyetlerinin hangi hukuki işleme şartına dayalı olarak gerçekleştirildiğinin tespit edilmesini,

• Kişisel veri işleme faaliyetinin ve bu faaliyetin gerçekleştirilme amacının belirliliğini sağlayacak detayda ortaya konulmasını sağlamaktadır.

 

 

GDPR

 

Veri işleme için gerekli olduğu kadar, ilgili ve ölçülü biçimde işleme

 

[Veri Minimizasyonu İlkesi]

 

yalnızca işleme amacı için ilgili ve gerekli olan kişisel verilerin işlenmesi anlamına gelir.

 

Kişisel verileri işleme faaliyeti, işlenme amacına bağlı olarak olarak bağlantılı, ölçülü ve sınırlı olmalıdır.

 

·       Verinin kalitesi; kullanıldığı amaçlar için, yeterince iyi midir, yeni resimde modifikasyon veya kaynak gerekecek midir? (bütünlük, tamlık, geçerlilik, tutarlılık, güvenilebilirlik sağlıyor mu?)

·       Projenin ihtiyaçlarından taviz vermeden, hangi kişisel verileri kullanamayabilirsiniz?

 

KVKK

 

İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma

 

İşlenen verilerin belirlenen amaçların gerçekleştirilebilmesine elverişli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmasını gerektirmektedir.

 

 

GDPR

Doğru olarak, gerekli hallerde işleme ve güncel olma

 

[Doğruluk İlkesi]

 

Eksiksiz ve güncel kişisel verilerin işlenmesini içerir.

 

İşlenen kişisel veriler doğru olmalı,  gerektiğinde, güncel tutulmalı ve yanlış olan kişisel verilerin (işlenme amacına bağlı kalarak) gecikmeden silinmesini veya düzeltilmesini sağlamak için makul adımlar atılmalıdır.

 

·       Yeni yazılım temin ediyorsanız, gerektiğinde kişisel veriler üzerinde değişiklik yapmanıza izin veriyor mu?

·       Yazılım tedarikçisinin değerlendirilmesi yapıldı mı? (referanslar, kullandığı standartlar, Repütasyon ceza veya negatif, finansal sürdürülebilirliği, kısıtları ve bağımlılıkları, yurtdışı veri transferi (cloud), güvenlik)

·       Bireylerden veya diğer kuruluşlardan elde edilen kişisel verilerin doğruluğunu nasıl teyit ediyorsunuz?

·       Kişisel verilerin doğruluğu ile ilgili sorgular için ilgili kişileri kime yönlendirirsiniz? Bu kişi; yükümlülükleri, hızlı ve etkin bir şekilde yerine getirmede ne kadar iyi desteklenmektedir?

 

KVKK

Doğru ve gerektiğinde güncel olma

 

Kişisel verilerin doğru ve güncel bir şekilde tutulması, veri sorumlusunun çıkarına uygun olduğu gibi ilgili kişinin temel hak ve özgürlüklerinin korunması açısından da gereklidir.

Veri sorumlusu her zaman ilgili kişinin bilgilerini doğru ve güncel olmasını temin edecek kanalları açık tutmalıdır.

 

 

GDPR

 

Kişisel verinin işleme amacı için gerekli olandan daha uzun süre tutulmaması

 

[Saklamanın Sınırlandırılması İlkesi]

 

yalnızca amaç için ilgili ve gerekli olan kişisel verileri korumak anlamına gelir.

 

kişisel veriler; ilgili kişinin kimliğinin tespit edilmesine izin verecek şekilde, işlenme amacının gerektirdiği süreyi aşacak şekilde tutulamaz.

 

·       İşleyeceğiniz kişisel veriler için ne kadar saklama süreleri gereklidir?

·       Saklama sürelerinize uygun olacak şekilde bilgileri silmenizi sağlayacak yazılım tedarik ediyor musunuz? Bu yazılım, tüm kişisel verileri mi, yoksa istatistik gibi diğer amaçlar için gerekli bilgileri saklayacak şekilde sadece ilgili kişinin kimliğini belirleyici verileri mi siler?

·       Kimlik belirleyici özellikler/nitelikler kaldırılırsa, bu her ne durumda olursa olsun kimliğin belirlenmesini önler mi?

·       3rd parti kullanacak iseniz iş devam ederken transfer ve silme, iş bittikten sonra geri teslim, imha ve sır saklama vb yükümlülükleri sözleşmelerde HSA’lar ve rücu mekanizmaları ile sıkıca kontrol altına aldınız mı?

 

 

KVKK

İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

 

Kişisel verilerin “amaçla sınırlılık ilkesi” nin bir gereği olarak işlendikleri amaç için gerekli olan süreye uygun olarak muhafaza edilmesi gerekir.

 

GDPR

İşlemenin güvenli olması gerekmektedir

 

[Bütünlük ve Gizlilik İlkesi]

 

kişisel verilerin güvende olmasını gerektirir.

 

İşleme faaliyeti; uygun teknik ve idari tedbirler kullanılarak, yetkisiz veya hukuka aykırı işlemenin yanı sıra kazara kayıp, imha veya zarar görmesi durumlarına karşı korunma da dahil olmak üzere, kişisel verilerin güvenliğini sağlayacak biçimde gerçekleştirilmelidir.

 

  • İşlenmesi amaçlanan tüm kişisel verilerin güvenliğini gözden geçirdiniz ve belgelediniz mi?
  • Yeni sistemler, belirlediğiniz güvenlik risklerine karşı koruma sağlıyor mu?
  • Personelin yeni bir sistemin nasıl güvenli bir şekilde çalıştırılacağını bilmesini sağlamak için hangi eğitim ve talimatlar gereklidir?

·       3rd parti kullanacak iseniz idari ve teknik tedbirleri ayrıntılı olarak ilettiniz mi? Standart, belgelendirme, denetim, transferin güvenli kanallardan ve teyitli mekanizmalar ile yapılması, ÖNKV için extra güvenlik maddelerini sözleşmelerde HSA’lar ve rücu mekanizmaları ile sıkıca kontrol altına aldınız mı?

·       3rd parti kullanacak iseniz acil durum, kesinti ve ihlal gibi olağanüstü duurmlarda bildirim zamanı, RTO/RPO taahhütleri, izolasyon, BCP veya DRP taahütleri

 

 

KVKK

–

 

GDPR

 

Veri kontrolörünün sayılan tüm temel prensiplerden sorumlu olması (hesap verebilirlik prensibi)

 

[Hesap Verebilirlik (Yükümlülük) İlkesi]

 

 

Yükümlülük; kişisel verileri sorumlu bir şekilde işlemek ve yasalara uygunluğunun kanıtlanması anlamına gelir.

 

Veri Sorumlusu, veri koruma ilkelerine uymaktan sorumludur ve bunu gösterebilmelidir.

 

  • Tüm kişisel veri işleme faaliyetleriniz ve ilgili uyumluluk durumunuzu belgelediniz mi?
  • Bu belgelerin düzenli olarak gözden geçirilmesini sağlıyor musunuz?
  • Bu kayıtlar, üst yönetim / yönetim kurulu üyeleri de dahil olmak üzere tüm ilgili personele açık mı?

 

KVKK

–

 

Drucker Köşesi

“Eğer beşten fazla hedefiniz varsa, hiçbirine sahip değilsiniz demektir.” 
Peter Drucker
Yayım tarihi

GDPR Notları # 1

Edward Snowden, Maximillian Schrems, Mario Costeja Gonzalez…

Soru: Bu üç kişinin ortak noktası nedir?

Şu şekilde yanıtlarsak yanlış cevap vermiş olmayacağız:

Kendilerinin; Avrupa Birliğinin 1995 yılında kabul ettiği ve sonrasında tüm birlik ülkelerinde bir şekilde uygulamaya başlanan Data Protection Directive (Veri Koruma Direktifi)’in ölmesine neden olan sebeplere, doğrudan veya dolaylı olarak çorbada tuz desteği faaliyetleri olmuştur. Zira;

  • Snowden‘in ortaya çıkardığı NSA’in Facebook, Google, Apple, vb mahremiyet ihlalleri,
  • Schrems‘in Facebook’un kişisel verileri koruma taahhütlerine aykırı geldiğine dair başvuru yaptığı İrlanda Veri Koruma Otoritesi’ne açtığı dava,
  • Gonzalez‘in Google İspanya ve Google Inc.’e karşı “unutulma hakkı”na dair hukuksal mücadelesi,

hepsi bir şekilde Avrupa Birliği Adalet Divanında, dava dosyalarında konu olarak geçmiş ve yaşlı DPD’nin artık yetersiz ve günümüze ayak uyduramadığı kanılarını pekiştirmiştir.

Neticede bu değişime ayak uyduramayan direktifin yerine; kişisel verilerin korunmasında daha sağlıklı, uyumlu, etkin, tek pazar stratejisini besleyecek şekilde serbest akışa izin verecek dinamiklikte, tüm üye ülkelerin hukuki olarak aynı dili ve kuralları ortak paydada buluşturacağı, bireysel hakları daha koruyucu bir regülasyon olan General Data Protection Regulation (GDPR), 2016’nın Nisan ayında Avrupa Parlamentosu tarafından onaylanarak kabul edildi. Mayıs 2016’da tüm Avrupa Birliği resmi dillerinde ve Avrupa Birliği Resmi Gazetesi’nde yayınlandı. GDPR, 24 Mayıs 2016 tarihinde yürürlüğe girse de iki senelik bir uyum termini sonrası 25 Mayıs 2018’de uygulanmaya başlanacaktır.

Şimdi; 25 Mayıs 2018’de hayata geçecek ve tüm Avrupa’nın (ve ilgili diğer ülkelerin) harıl harıl hazırlandığı bu regülasyonu genel manada tanımaya çalışalım. (Alttaki başlıklar norm değildir, eklemeler yapılabilir)

1.GDPR Kapsamı

GDPR Düzenlemesi; veri sorumlusu (AB sakinlerinden veri toplayan kuruluş) veya veri işleyen (veri sorumlusu adına veri işleyen kuruluş) veya verisi işlenen ilgili kişi AB’de bulunuyorsa geçerlidir. Ayrıca düzenleme; Avrupa Birliği dışında konuşlanmış fakat AB sakinlerinin kişisel verilerini toplayan veya işleyenler organizasyonlar için de geçerlidir. Avrupa Komisyonu’na göre “kişisel veriler, bir kişiye ait özel, mesleki ya da kamu yaşamıyla ilgili olsun olmasın herhangi bir bilgi olarak tanımlanmaktadır. Bir ad, ev adresi, fotoğraf, e-posta adresi, banka ayrıntıları, sosyal ağ sitelerindeki mesajlar, tıbbi bilgiler veya bir bilgisayarın IP adresi gibi herhangi bir bilgi olabilir.

2. Tekli Kural Seti ve Tek Yetkili Mercii

Regülasyona göre bütün AB üyesi ülkelere, tek bir kural seti uygulanacaktır. Her üye devlet; şikayetlerin iletilmesi ve soruşturulması, idari suçların cezalandırılması vb. için bağımsız bir Denetim Otoritesi (SA) kuracaktır. Her bir üye devletin SA’ları, karşılıklı destek sağlayarak ve ortak operasyonlar düzenleyerek diğer SA’larla işbirliği yapacaklardır. Bir işletmenin AB’de birden fazla kuruluş bulunduğu yerlerde (ülkelerde) “ana kuruluşunun” bulunduğu yere (diğer bir deyişle ana işleme faaliyetlerinin gerçekleştiği yere) dayalı “Baş Otorite (Lead Authority)” olarak tek bir SA’ya sahip olacaktır. Baş Otorite , söz konusu işletmenin AB genelindeki tüm işleme faaliyetlerini denetlemek için bir “tek yetkili mercii (one-stop shop)” (GDPR 46-55. maddeleri) olarak hareket edecektir. Bir Avrupa Veri Koruma Kurulu (EDPB) SA’ları koordine edecektir. Working Party 29 Çalışma Grubu’nun yerini EDPB alacaktır.

3. Sorumluluklar ve Yükümlülükler

Bildirim/aydınlatma gereksinimleri yine mevcut ama genişletilmiş şekilde hayata geçirilmekte. Bu gereksinimler; kişisel verilerin saklama süresini, veri sorumlusu ve veri koruma görevlilerinin iletişim bilgilerini de ihtiva etmektedir.

Profil oluşturma (Madde 22) da dahil olmak üzere otomatize edilmiş bireysel karar verme mekanizmalarına itiraz edilebilir hale gelinmiştir. Artık birey; kendisini etkileyen, tamamen algoritmik temellere dayanan kararları sorgulayabilir ve bunlara karşı mücadele edebilir.

Veri sorumlusu; GDPR’a uyumluluk çerçevesinde, “standart gizlilik ve mahremiyete göre tasarım” ilkelerine uygun önlemleri yerine getirmelidir. Standart Gizlilik ve Mahremiyete Göre Tasarım (Madde 25); veri koruma önlemlerinin, ürün ve hizmetler için iş süreçlerinin geliştirilmesi esnasında tasarlanmasını gerektirmektedir. Kişisel veriler için bulanıklaştırma veya diğer kullanımı ile takma ad/rumuz kullanımının (pseudonymity) da dahil olduğu bu gibi önlemler, veri sorumlusu tarafından sürece mümkün olduğunca çabuk dahil edilmelidir. (Mütalaa /Recital 78).

Etkin önlemleri uygulamak ve veri işleme faaliyetlerinin regülasyona uyumluluğunu sağlamak; işlemenin, veri sorumlusu adına bir işleyen tarafından gerçekleştirildiği durumlarda dahi, veri sorumlusunun yükümlülüğü ve sorumluluğundadır. (Mütalaa/Recital 74).

İlgili kişinin hak ve özgürlüklerinde belirli riskler ortaya çıktığı zaman, Veri Koruma Etki Değerlendirmeleri – DPIA (Madde 35) yapılmalıdır. Eğer yüksek riskler mevcut ise risk değerlendirmesi ile azaltımı ve Veri Koruma Otoritesinin (DPA) ön onayı gerekmektedir. Veri Koruma Görevlileri (DPO); (Madde 37-39) organizasyonlarda regülasyona uyumun güvencesi için yer almaktadır.

Veri Koruma Görevlileri (DPO) atanması aşağıdakiler durumlarda elzemdir:

* Tüm kamu otoriteleri için, (kendi adli görevini ifa eden mahkemeler hariç)

* Veri sorumlusu veya işlemcisinin temel faaliyetleri aşağıdakilerden oluşuyorsa:

* Doğası gereği, kapsamları ve / veya amaçları gereği, ilgili kişinin geniş çapta düzenli ve sistematik olarak izlenmesini gerektiren işleme faaliyetleri

 * Madde 9’a istinaden, özel kategorilerdeki kişisel verilerinin büyük bir kısmının işlenmesi ve Madde 10 ‘de belirtilen mahkumiyet kararları ve ceza gerektiren suçlara ilişkin kişisel verilerin işlenmesi,

4. Rıza

Toplanan veriler ve kullanılan verilerin amaçları için; geçerli rıza açık ve net olmalıdır (Madde 7, Madde 4’te de tanımlanmıştır). Çocuklar için onay, çocuğun ebeveyni veya velisi tarafından verilmelidir ve doğrulanabilir olmalıdır (Madde 8). Veri sorumluluları, “rıza”yı (opt-in) kanıtlayabilmelidir ve rıza geri çekilebilir.

5. Veri Koruma Görevlisi (DPO)

Mahkemeler veya adli yetkiler ile hareket eden bağımsız yargı otoriteleri hariç olmak üzere, veri işlemenin bir kamu otoritesi tarafından gerçekleştirildiği hallerde veya özel sektör için; ana faaliyet alanı, verisi işlenen kişilerin düzenli ve sistematik olarak izlenmesini gerektiren operasyonları yürütmek olan bir veri sorumlusu tarafından gerçekleştirildiği durumlarda, veri koruma kanunu ve uygulamaları konusunda uzman bilgisi olan bir kişi, veri sorumlusuna veya işleyene bu Regülasyona uyumun denetlemesinde yardımcı olmalıdır.

DPO (Veri Koruma Görevlisi) rolü Uyum Görevlisi rolüne benzemekle beraber, hatta her ikisinin de BT süreçlerinin yönetilmesi, veri güvenliği (siber saldırılarla iştigal de dahil olmak üzere) ve diğer kritik iş sürekliliği gibi kişisel ve özel nitelikli (hassas) verileri kontrol altında tutma ve işleme konularında yetkin olması beklense de, aynı şapka ve pozisyon değildir. Gerekli olan beceri seti, veri koruma kanunları ve yönetmeliklerine yasal uyumun anlaşılmasının ötesinde bir alan gerektirmektedir.

Bir DPO’nun büyük bir organizasyonda atanması, Kurul ve bunun yanı sıra ilgili kişiler için bir zorluk teşkil edecektir. Kurum ve organizasyonların atamanın kapsamı ve niteliği göz önüne alındığında ele alması gereken sayısız yönetişim ve insan faktörü sorunları vardır. Buna ek olarak, makam sahibi görevlendirme sonrası kendi destek ekibini oluşturması gerekecek ve kendi mesleki gelişimlerinden sorumlu olarak etkin bir “mini regülatör” olarak kendisini çalıştıran kuruluştan bağımsız olması gerekmektedir.

6. Bulanıklaştırma (Pseudonymisation)

GDPR, bulanıklaştırmayı (bazı durumlarda takma ad veya rumuz kullanımı olarak da geçebiliryor); ilgili kişinin kişisel verilerini, işlem sonrası ortaya çıkacak veri için, ek bilgi kullanılmadan o ilgili kişi ile ilişkilendirilemeyecek şekilde dönüştüren bir süreç, olarak ifade etmektedir. Bulanıklaştırmaya örnek olarak; orijinal veriyi anlaşılmaz hale getiren ve işlemi, doğru şifre çözme anahtarına erişmeksizin, tersine çeviremeyecek bir yöntem olan şifreleme (encryption) verilebilir. GDPR, bu ek bilgilerin (şifre çözme anahtarı gibi) bulanıklaştırılmış verilerden ayrı olarak muhafaza edilmesini gerektirir. Söz konusu ilgili kişi verilerinin, risklerini azaltmak ve veri sorumluları ile veri işleyenlerin veri koruma yükümlülüklerini yerine getirmelerinde yardımcı olması için bulanıklaştırma önerilmektedir (Mütalaa /Recital 28).

Kişisel veri, veri sorumlusu tarafından yeterli iç politika ve önlemler ile bulanıklaştırılıyorsa, etkin bir şekilde anonimleştirilmiş olarak kabul edilir ve GDPR’ın kontrol ve cezalarına tabi değildir. “Standart gizlilik ve mahremiyete göre tasarım” ilkelerine uygun politika ve önlemler, bu amaç için yeterli kabul edilmelidir. Tedbirlere örnek olarak; verileri mümkün olan en kısa sürede bulanıklaştırmak (Mütalaa /Recital 78), verileri bulundukları lokasyonda şifrelemek, şifre çözme anahtarlarını şifrelenmiş verilerden ayrı olarak muhafaza etmek, verilebilir.

Regülasyon, istatistiksel veya araştırma amaçları da dahil olmak üzere, anonim olarak kabul edilen bilgilerin işlenişi ile ilgili değildir.

7. İhlaller

GDPR kapsamında, Veri Sorumlusunun gecikme olmaksızın Denetim Otoritesi‘ne bilgi vermesi yasal yükümlülüğü altında olacaktır. Bir veri ihlalinin raporlanması herhangi bir ayrıntılı standarda tabi değildir ve veri ihlalinden sonra 72 saat içinde Denetleme Kurumuna bildirilmelidir (Madde 33). Olumsuz etki tespit edilirse bireylerin bilgilendirilmesi gerekir (Madde 34). Buna ek olarak veri işleyen, kişisel bir veri ihlalinden haberdar olduktan sonra veri sorumlusunu gecikmeden bilgilendirmek zorundadır (Madde 33).

Bununla birlikte, veri işleyen veya sorumlusu, anonim verilerinin ihlal edilmesi durumunda ilgili kişiyi bilgilendirmesi gerekmez. Veri sorumlusu; veri ihlalinden etkilenen kişisel verilere, şifreleme gibi bulanıklaştırma tekniklerinin yanı sıra yeterli teknik ve kurumsal koruma önlemleri uyguladıysa, ilgili kişiye duyuru yapılması gerekli değildir (Madde 34).

8.Yaptırımlar

Aşağıdaki yaptırımlar uygulanabilir:

* İlk ve kasıtsız uygunsuzluk durumlarında yazılı bir uyarı

* Düzenli periyodik veri koruma denetimleri

* Organizasyona göre, 10.000.000 EUR veya bir önceki mali yıla ait yıllık dünya cirosunun %2’sine kadar olan ceza, hangisi daha büyük miktar ise (Madde 83, Parag 4)

* Bir grubun bir iştiraki olmasına göre, hangisi daha büyük miktar ise, ihlal veya uygunsuzluk ve verileri sahiplerinin kayıp veya hasar sonuçlarının büyüklüğü dahilinde, önceki mali yılın yıllık dünya çapında konsolide cirosunun% 20’sine veya 20.000.000 EUR’ye kadar bir para cezası (Madde 83, Paragraf 5)

9. Silinme Hakkı

Unutulma Hakkı, Mart 2014’te Avrupa Parlamentosu tarafından kabul edilen GDPR’e göre daha sınırlı bir silinme hakkı ile değiştirildi. (Madde 17) İlgili Kişinin kendi kişisel verilerinin; kişisel verilerinin korunmasını gerektiren ilgili kişinin menfaatleri veya temel hak ve özgürlükleri tarafından veri sorumlusunun meşru çıkarlarını geçersiz kılan bir durumu da (6.1.f) ihtiva eden 6. maddeye (meşruiyet) uyumsuzluk gibi birtakım gerekçelerin herhangi biri yüzünden, silinmesini talep etme hakkına sahiptir

10. Veri Taşınabilirliği

Bir kişi; kişisel verilerini, veri sorumlusu tarafından bunu yapmaktan alıkoyulmaksızın, bir elektronik işleme sisteminden başka bir elektronik işleme sistemine aktarabilir. Buna ek olarak veri, veri sorumlusu tarafından yapılandırılmış ve yaygın olarak kullanılan Açık Standart (Open Standard) elektronik formatta sağlanmalıdır. Veri taşınabilirliği hakkı, GDPR’ın 20. maddesinde yer verilmektedir. Hukuk uzmanları, bu kontrolün final halinde, “Madde 18’in (düzenlemede 20 olarak güncellenmiştir) şart koşulan, iki veri sorumlusunun veri taşınabilirliği, kapsamının dışına taşan” yaratılmış bir “yeni hak” görmektedirler.

11. Mahremiyete Göre Tasarım ve Standart Gizlilik

Mahremiyete Göre Tasarım ve Standart Gizlilik (Madde 25); ürün ve hizmetler için veri korumasının, iş süreçlerinin geliştirilmesi safhasında tasarlanmasını gerektirir. Bu; gizlilik (mahremiyet) ayarlarının varsayılan olarak yüksek bir seviyede düzenlenmesini ve veri sorumlusu tarafından, bütün veri işleme yaşam döngüsü boyunca regülasyona uygun olarak işlendiğinden emin olunması için, teknik ve prosedürel önlemlere dikkat edilmesini gerektirir. Veri sorumlusu kişisel verilerin, yalnızca belirli bir amaç için gerekli olduğunda işlenmesini sağlamak için, mekanizmalar da uygulamalıdır. ENISA (Avrupa Birliği Ağ ve Bilgi Güvenliği Ajansı) tarafından hazırlanan bir raporda, standart gizlilik (mahremiyet) ve veri koruması elde etmek için, neler yapılması gerektiğine dair klavuz bilgilere yer verilmiştir.

Yayım tarihi

GDPR, KVKK – Kişisel Veri İşleme ve İlkeleri (KVKK, GDPR ve OECD İlkeleri)

Bu yazımızda; veri işleme ve KVKK, OECD ile GDPR veri işleme prensiplerine değineceğiz.

Veri işleme kuralları ve düzenlemelerinin kapsamını aktarmak için öncelikle ‘veri işleme’ terimi iyi anlaşılmalıdır. Veri işleme, sadece kişisel verileri toplamaktan çok daha fazlasını içerir. GDPR’nin 4 (2). Maddesi, işlemeyi, veri üzerinde gerçekleştirilen ‘herhangi bir işlem’ olarak tanımlamaktadır ve veri yaşam döngüsündeki birçok olası eylemi içermektedir. Örneklerle verinin işlenme yolculuğuna çıkacak olursak, her gün aslında veri işlemenin birçok çeşit ve yüzeyine temas ettiğimizi görürüz:

Bir müşteri hizmetleri temsilcisi ile yaptığınız görüşme, belirli yükümlülükler çerçevesinde kaydedilir. Temsilci ilgili kişinin bilgilerine erişmek için yetkilendirme kriterlerine dair ad, soyad ve doğum tarihi sorar, herhangi bir yanlış cevapta bilgilere erişemiyorsa veriye erişim kullanımı engellenmiş olur yani kısıtlanmıştır. Görüşme sırasında temsilci bir harf hatası nedeni ile erişilemediğini fark eder, hatayı düzeltip hesap bilgilerine erişirse kişisel veriyi değiştirir ve yeniden düzenlemiş olur. Görüşmenin ilerleyen safhalarında arayanın bulunduğu bölgede bir servis sağlayıcısını kendisine önermek için lokasyonunu danışabilir.

Benzer olarak, bir ürün geliştirme ekibi, bir ticari fuardaki müşteri memnuniyeti anketlerinden elde edilen sonuçları toplar. Anket sonuçları demografik bilgilere göre kategoriler halinde düzenlenebilir. Anketlerin elle doldurulmuş kağıt kopyaları bilgisayar ortamına veri girişi yapılarak depolanırken formu, ortamı ve yapısı değiştirilmiş olur. Anketlerden elde edilen birleştirilmiş veriler, önceki anketlerden sağlanan sonuçlarla karşılaştıran bir grafikte gösterildiğinde başka bir form şeklinde yapılandırılmış olur. Ekip yeni bir ürün adına bir pazarlama planı oluşturmak için anket sonuçlarını kullanır.

Başka bir örnekte ise İK müdürü, ekibiyle açık bir iş pozisyonu için aday listesini paylaşarak veriyi açıklamış ve aktarmış olur. İstihdam için gerekli başvurular ve diğer ilgili belgeler ihtiyaç duyulmadığında imha edilir. İK departmanı, yeni işe alınan çalışanın iş başvurusunu, performans yorumlarını ve fayda bilgilerini içeren bir dosyayı saklar, depolar. Çalışanın altı aylık performans incelemelerinin birleştirilmesi yıllık incelemesini geri bildirimi için kullanılır.


VERİ İŞLEME İLKELERİ

7 Nisan 2016 tarihinde devreye giren KVKK’mize göre kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: 

  • Hukuka ve dürüstlük kurallarına uygun olma.
  • Doğru ve gerektiğinde güncel olma.
  • Belirli, açık ve meşru amaçlar için işlenme.
  • İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
  • İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Şimdi 1980’lere kadar uzanıp bu ilkelerin nereden geldiğine dair köklere dokunalım:


OECD Veri İşleme İlkeleri

Kişisel Verilerin ve Sınır Ötesi Veri Akışlarının Korunmasına İlişkin Ekonomik İşbirliği ve Kalkınma Kılavuzları Örgütü (OECD Kılavuzları), belki de kayda değer uygulamalar içinde en yaygın kabul gören çerçevedir. 1980 de oluşturulmuş bu ilkelere değinecek olursak:

  • Veri Toplama Sınırlaması: Kişisel verilerin toplanmasına sınırlama getirilmeli ve bu tür verilerin yasal ve adil yollarla ve gerektiğinde, ilgili kişinin bilgisi veya rızasıyla elde edilmesi gerekir.
  • Veri Kalitesi: Kişisel veriler, kullanılacakları amaçlarla ilgili olmalı ve bu amaçlar için gerekli olduğu ölçüde, doğru, eksiksiz ve güncel tutulmalıdır.
  • Amacın Belirtilmesi: Kişisel verilerin toplanma amacı ve söz konusu verilerin kullanımı, bu amaçların ya da bu amaçlarla uyumsuz olmayan diğer amaçların yerine getirilmesiyle sınırlı olmak kaydıyla, verilerin toplandığı tarihten daha geç olmamak kaydıyla belirlenmeli ve her türlü amaç değişikliği belirtilmelidir.
  • Kullanım sınırlaması: ‘Kişisel veriler; a) ilgili kişinin rızası b) kanun yetkisi istisnaları dışında açıklanmamalı, kullanıma sunulmamalı veya belirtilenler dışında başka amaçlar için kullanılmamalıdır (amacın belirtilmesi ilkesi)
  • Güvenlik önlemleri: Kişisel veriler; kayıp veya yetkisiz erişim, imha, kullanım, değiştirilme veya verilerin ifşası gibi risklere karşı makul güvenlik önlemleri ile korunmalıdır.
  • Açıklık: Kişisel verilerle ilgili gelişmeler, uygulamalar ve politikalar konusunda genel bir açıklık politikası olmalıdır. Kaynaklar; kişisel verilerin mevcudiyetini, mahiyetini ve bunların kullanımının ana amaçlarının yanı sıra veri sorumlusunun kimliği ve olağan ikametgahını saptanmasına yönelik kolayca erişilebilir olmalıdır.
  • Bireysel katılım: Bir birey şu haklara sahip olmalıdır: a) bir veri sorumlusundan bilgi temini veya diğer bir deyişle, veri sorumlusunun kendisine ait verilere sahip olup olmadığının teyidi; b) kendisiyle ilgili verilerin kendisine, makul bir süre içinde ve varsa aşırı olmayan bir ücret karşılığında, makul bir şekilde ve halihazırda okunabilir bir biçimde bildirilerek bilgilendirilmesi, c) (a) ve (b) şıklarında belirtilen taleplerin reddedilmesi halinde sebeplerin belirtilmiş olması ve bu redde itirazda bulunulabilmesi; ve d) kendisiyle ilgili verilere itiraz etmek ve eğer itiraz başarıya ulaşmış ise verilerinin silinmesi, düzeltilmesi, eksikliklerin tamamlanması veya değiştirilme hakkına sahip olması.
  • Yükümlülük (hesap verilebilirlik): Bir veri sorumlusu, yukarıda belirtilen ilkelere etki eden tedbirlere uymaktan sorumlu olmalıdır.

GDPR Veri İşleme İlkeleri

GDPR’nin 5. maddede belirtilen işleme esasları, OECD Kılavuzları da dahil olmak üzere önceki yasa ve yönetmeliklerden süregelmektedir. Geniş çapta yorumlanabilmelerine rağmen, bu ilkelerin ihlalleri, GDPR altında geniş idari para cezalarına yol açabilir. Veri işleme ilkeleri şunlardır: hukuka uygunluk, dürüstlük ve veri işlemede şeffaflık; amaç sınırlaması; veri minimizasyonu; veri kalitesi ve doğruluğu; veri saklama sınırlaması; bütünlük ve gizlilik; ve yükümlülük (hesap verilebilirlik)

  • Hukuka Uygunluk; Kişisel Veriler kazara kayıp, hasar veya imhaya karşı güvence altına alınmalıdır. Veri işleme yasal olmalıdır, şöyle ki; İlgili kişi her hizmete dair veri işleme için açık onay vermelidir, Gerçekleştirilecek işleme sözleşmenin uygulanması için gereklidir, yasal bir zorunluluğa uymak için işleme gerekli olmalıdır.
  • Şeffaflık; veri sorumlusu ve ilgili taraflar arasında her türlü iletişim özlü, şeffaf ve anlaşılabilir olmalıdır. Veri sorumluları, bir bireyin verilerini nasıl, neden toplandığı ve işlendiği hakkında net ve açık bilgi sağlamalıdır. Veri sorumluları, veri koruma görevlisi, veri sorumlusu ve ilgili kişinin sahip olduğu belirli haklar da dahil olmak üzere kuruluştaki bireyler hakkında proaktif olarak bilgi sağlama yükümlülüğüne sahiptir. Tüm ilgili kişiler, kendi verilerine dair silme, düzeltme, itiraz etme, bilgilendirilme, taşıma, kısıtlama, profil oluşturulmasına itiraz, haklarına sahiptir.
  • Amaç sınırlaması; yalnızca belirtilen amaç için kişisel verilerin toplanmasını ve işlenmesini gerektirir. Kişisel verilerin başlangıç sınırından daha fazla işlenip işlenemeyeceğini belirlemek için; amaçlar, verinin doğası, toplama yöntemi, ikincil kullanımların sonuçları ve güvenlik tedbirleri arasındaki bağlantıları aramak için bir uyumluluk testi kullanılması gerekir.
  • Veri minimizasyonu ve orantılılık ilkesi, yalnızca amaç için ilgili ve gerekli olan kişisel verilerin işlenmesi anlamına gelir.
  • Veri kalitesi ve doğruluğu, eksiksiz ve güncel kişisel verilerin işlenmesini içerir.
  • Veri saklama sınırlaması, yalnızca amaç için ilgili ve gerekli olan kişisel verileri korumak anlamına gelir.
  • Gizlilik ve bütünlük, kişisel verilerin güvende olmasını gerektirir.
  • Yükümlülük (hesap verebilirlik), kişisel verileri sorumlu bir şekilde işlemek ve AB ve üye devlet veri koruma yasalarına uygunluğu kanıtlanması anlamına gelir.

Geleneğimizi sürdürelim ve sözü duayene bırakalım:

“Ekipler bir gecede kurulamaz. İşleyebilecek duruma gelmeden önce uzun zamana ihtiyaçları vardır. Ekipler karşılıklı güven ve anlayışa dayanır ve bunu oluşturmak da yıllar alır. Benim deneyimime göre, bunun için en az süre, üç yıldır.” 

Peter F. Drucker

Yayım tarihi

KVKK Kararı, Kuvözdeki Bebek Ve İlgili Kullanıcılar

“Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı yayımlandı, peki her organizasyonu ilgilendiren bu önemli kararı SİZ KENDİ KURUMUNUZDA YAYIMLADINIZ MI?

Danışmanlıklarda, derslerde ve eğitimlerde kullandığım metaforlarımdan birine burada yer vererek başlayalım izninizle:

Genel kişisel veriler bize emanet edilen bir “bebek” ise, özel nitelikli kişisel veriler, emanet edilen “kuvözdeki bebektir”. Ekstra kontrole, bakıma, ihtimama ve gözetime ihtiyaç duyar, sorumluluğu ve maliyeti her zaman daha yüksektir ve nihai olarak kaybı durumunda daha fazla can acıtır.

Özel nitelikli kişisel verilere dair; Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı yayımlandı. Toplam 6 maddeden oluşan ve KVKK’nin 6.maddesinin 4. fıkrası ve 22. maddesini refere alan karar aslında yerine ve profiline göre (Ör: Sağlık Sektörü) Pandora’nın Kutusu niteliği taşıyabilecek, zira bazı maddeler var ki ilgili profildeki bazı şirketler için ciddi maliyet ve yönetim kararları anlamına gelecek.

Yayınlaman bu karar ve yorumları Linkedin’de, portallerde defaatle okumuşsunuzdur, bunların yeterince ve hakkıyla işlendiğini düşünüyorum. Bu yazımda değinmek istediğim nokta önemli görülen bu kararı yeterince kurumunuzda duyurup duyurmadığınız ile ilgili… Neden duyurmalısınız? Çünkü:

Politika, prosedürler, resmi deklarasyonlar (mail de dahil), üst yönetimin ve ilgili makamın organizasyondaki çalışanlardan beklentesine ve bazı risklerin yönetimine dairdir. Dolayısı ile yeterince duyur(a)madığınız, bilgilendir(e)mediğiniz kararlar için çalışanlardan rol, sorumluluk ve farkındalık bekleyemezsiniz, beklememelisiniz, daha da ötesi disiplin süreçlerini işletmemelisiniz. Çünkü günün sonunda bu; çalışma süreç ve etiklerine uygun olmadığı gibi, kurum kültüründe tehlikeli ve çoğalarak bölünmeye yol açan kanser hücresi “blame culture”ı tetikler, nihai olarak da herhangi bir adli vakada siz ve kurumunuzun haksız çıkacağı birçok dava dosyası ile sabittir.

Daha fazla uzatmadan bu “kuvözdeki bebeğin” itina ile korunma kararına dair, duyurulması ve/veya beraber çalışılmasında kanaat getirilen ilgili birimlere aşağıdaki tablolarda yer vermeye çalıştım, uygun gördüğünüz durumda duyurmanızdan zarar gelmeyip, fayda geleceği kanaatindeyim. Nihai faydanın ise birimler ile duyuru sonrası toplantılar, atölyelerden çıkacağını öngörüyorum. Tablodaki bilgiler tecrübelere dayanmaktadır ve taşa yazılı kaideler içermiyor, yani eksik veya fazla olabileceği gibi organizasyonların profilleri farklılık gösterebileceğinden kendi iç yapılarına göre düzenlenmesi gerekebilir. (Örnek Veri Koruma Departmanı yerine ilgili görevlendirilmiş birim, kişi gibi)

Her zamanki gibi kapanışımızı Peter F. Drucker yapıyor:

” İnsan öldükten sonra neyle hatırlanmak istediğini kendine sormalı. Hatırlanmaya değer olan, birinin başkalarının yaşamlarında yarattığı olumlu farklardır.”

Peter F. Drucker

(EU’ya selam olsun 🙂 )

Yayım tarihi

GDPR – WP29 – AÇIK RIZA (EXPLICIT CONSENT) GÖRÜŞLERİ

25 Mayıs 2018’de reel olarak hayata geçecek Genel Veri Koruma Tüzüğü uyarınca, AB mahremiyet yasasındaki en çarpıcı değişikliklerden biri, AB’nin kullanıcı rızalarına olan çok katı yaklaşımdır. Uzun yıllardır AB’de faaliyet gösteren şirketler, ilgili veri koruma, mahremiyet ve doğrudan pazarlama yasalarına uyumu; yoğun şekilde kullanıcı onayı (açık rıza) üzerine dayandırarak sağlamaktaydı. GDPR ilk kez yayımlandığında ise, AB’nin, açık rıza izin kullanımlarında fertlere adil davranılmadığının, sömürüldüğünün hissedildiği alanlarda çok sert yaptırımlar uygulayacağı ortaya çıktı.

Önümüzdeki dönem yeni adı European Data Protection Board (EDPB) olacak olan (Working Party) WP29, diğer bir deyişle AB’nin ulusal veri koruma makamlarını temsil eden kilit danışma organı olan WP29, tarafından 18 Aralık’ta yayımlanan taslak açık rıza rehberi, regülatörlerin açık rıza yaklaşımlarının kati ve sert olacağını bir kez daha doğrulamıştır. Okumaya değer olan rehbere dair, zamanı olmayanlar için bazı önemli noktaları burada yer veriyoruz.

  • Açık rızalar paket-le-ne-mez. Aksine, rızalar ayrıntılı olarak sunulmalıdır. Verilerin işleneceği her bir amaç için ayrı bir onay gerekecektir. WP29 bunun da bireylere uzun checkboxlar listesi ile rutin olarak sunulması durumunda kolayca tıklama yorgunluğuna (gönüllü onayın geçerliliği hakkında şüphe uyandırmaya) yol açabileceğini kaydediyor, ve bunun veri sorumluları için bir problem olacağını öngörüyor.
  • Kişisel verilerin kullanımlarına “gereğinden fazla” açık rıza verilmesi, bir hizmete erişim için bedel olarak kullanılamaz. Bu, GDPR’nin, davranışsal reklamcılık veya diğer pazarlama amaçları için kullanılan, kişisel verilere erişim karşılığında ücretsiz hizmetler (ücretsiz bir uygulama gibi) sağlamaktaki yaygın ticari modeli geçersiz kıldığına dair önemli bir işaret olarak görülmektedir.
  • GDPR kapsamında; artık özel nitelikli kişisel verilerin işlenmesi için gereken “açık” rıza, “normal” rıza için zaten sıkı olan standarttan daha güçlü bir şey gerektiriyor. Rehber, bir opt-in kutusunu tıklamak ve daha sonra rızanızı onaylamak için bir metne veya e-postaya olumlu yanıt vermek gibi kullanıcı tarafından ilave bir doğrulama adımı içeren çeşitli mekanizmalar önermektedir. Kullanıcıların, fazladan atılması gereken bu adımları ve ekstradan oyalanmalarını memnuniyetle karşılayıp karşılamayacakları belli olmasa da WP29 gerçekten “açık rıza” düzeyine erişebilmek için “daha fazla” bir şeyler olması gerektiğini savunuyor.
  • Veri sorumluları, kişisel veriyi işlemek için hukuki dayanaklarını önceden belirlemelidir ve işleme için ilk dayanak kusurluysa, dayanaklar arası “geçiş yapılamaz“. Başka bir deyişle veri sorumluları; belirlenmiş bir veri işleme prosesi için, “yedek” dayanaklara sahip olamaz, bu veri işleme faaliyetleri sözleşme performansı, meşru menfaat veya rızanın gerekliliği gibi birden fazla dayanakla yapılmış olsa bile…

Her zamanki gibi yazımızın son kısmı bildiğiniz üzere Peter Drucker’dan geliyor:

“Geleceğin Toplumu’ndaki kuruluşlarda şirket, üst yönetimden ibaret olacaktır. Diğer her şey dışarıdan temin edilebilir. Kuruluşunuzun değerlerine, misyonuna ve vizyonuna odaklanın. Diğer her şeyi dışarıdan temin etmeyi düşünün.”

Yani “Do what you do best and outsource the rest.”

Yayım tarihi

KVKK – Anonim, Anonimleştirilmiş, Niteleyici, Kimliği Belirleyen, Kimliği Belirli, Rumuzlu, Kişisel Olan ve Olmayan Veriler…

28 Ekim 2017 tarihi itibarı ile “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik” resmi gazetede yayımlandı. Konu sıcak iken kişisel veri korumaya ilişkin bazı kavramları irdelemek güzel olabilir. Buyurun sizleri buradan alalım:


Kişisel Veriler – Kişisel Olmayan Veriler

KVKK ve Avrupa Birliğindeki Kişisel Verileri Koruma Kanunlarındaki yaklaşımlara göre; Kişisel Veriler, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”yi ifade etmektedir.

“Belirlenebilir gerçek kimse”den kasıt; “doğrudan ya da dolaylı olarak, özellikle bir isim, kimlik numarası, lokasyon bilgisi, çevrimiçi tanımlayıcı” ya da “fiziki, fizyolojik, genetik, zihinsel, ekonomik, kültürel ya da sosyal kimlik biyolojik ve çevresel faktörlere özgü bir ya da birden fazla faktör gibi tanımlayıcılara atıfta bulunularak, belirlenebilir olan” kişidir.

Burada tanımlanan anahtar kelime” ilişkin “ibaresidir. Bu geniş ibare, kişinin kim olduğuna veya kişinin bilinmesine yardımcı olup olmadığına bakılmaksızın, belirli bir kişiyle ilgili herhangi bir veri veya bilgiye karşılık gelir. Bu; bir bireyle ilişkisi ve kişisel olmayan veriden, açık biçimde farklı bir veridir diyebiliriz.

Örneklerle ilerlersek:

Kişisel Veri: “Ayşe Yıldız’ın saçları kızıl renklidir”

Bu cümlede, üç kişisel veri parçası bulunmaktadır. İlki; bir ad olan Ayşe’dir ki, adı ve soyadı Ayşe Yıldız olan bir bireye ilişkin ilk isimdir. İkincisi soyadıdır. Son olarak, kızıl saçlar da Ayşe Yıldız ile ilgilidir.

Kişisel Olmayan Veri: “Bazı insanların saçları kızıl renklidir”

Yukarıdaki cümlede herhangi bir kişisel veri belirtilmemiştir, çünkü veriler bir kişiyle alakalı, tanımlanmış veya tanımlanabilir değildir. Genel olarak insanlarla ilgilidir.

Kimliği Belirli Veriler – Rumuzlu (Bulanıklaştırılmış) Veriler

Rumuzlu (Bulanıklaştırılmış) veriler kavramı üzerinde, kanun yeni olduğu için bizde olmasa da yurtdışında çok gelgitler yaşanmış durumda. Bu yüzden GDPR’den gelsin tanım:

‘Rumuz Kullanımı (Bulanıklaştırma); kişisel verilerin kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilmemesinin sağlanması amacı ile, ilave bilgilerin ayrı saklanması ve teknik ve düzenlemeye ilişkin tedbirlere tabi tutulması koşuluyla, kişisel verilerin söz konusu ek bilgiler kullanılmaksızın spesifik bir veri sahibiyle artık ilişkilendirilemeyecek şekilde işlenmesidir. Bu tanımdaki anahtar ifade, verilerin artık ek veriler olmaksızın bir kişiye atfedilemeyeceği, ilişkilendirilemeyeceğidir. Karışık gelmiş olabilir, örneklerle ilerleyelim:

Kimliği Belirli Veri: “Ayşe Yıldız’ın saçları kızıl renklidir”

Yukarda Kişisel Veri örneğimizde kullandığımız aynı ifade, kimliği belirli veridir çünkü birey Ayşe Yıldız, ifadede açıkça tanımlanmıştır.

Rumuzlu (Bulanıklaştırılmış) Veri: “Personel X’in saçları kızıldır.”

Burada, kişinin adı ve soyadı işlenmiştir ve Personel X ile değiştirilmiştir. Başka bir deyişle, “O”na bir rumuz atanmıştır fakat yine de kimliği hala belirlenebilir. Yukarıdaki tanımı hatırlarsak; Kişisel Veriler, kimliği belirlenmiş veya belirlenebilir bir kişiyle ilgili verilerdir. Kızıl saçlar, hâlâ belirlenebilir bir kişiyle, Personel X (diğer bir deyişle potansiyel olabilecek Ayşe Yıldız) ile ilgilidir. An itibarıyla kim olduğunu bilmiyoruz. Potansiyel olarak, Personel X’i, Ayşe Yıldız’a bağlayan bilgiler ile ilişkilendirebiliriz. Dikkat edilmesi gereken nokta; kızıl saçlar potansiyel olarak kimliği açığa çıkarabilir. Eğer Ayşe Yıldız ortamdaki tek kızıl saçlı personel ise, Personal X’i Ayşe Yıldız olarak tanımlamayı çok daha kolay hale getirir. Atfedilebilir (Niteleyici) verilerin birçoğu diğer verilerle birleştirildiğinde potansiyel olarak kişiyi yeniden belirleyebileceği için bu büyük bir gizlilik riskidir.

Kimliği Belirleyen Veriler – Niteleyici Veriler

“Ayşe Yıldız’ın saçları kızıl renklidir” ifadesine baktığımızda, “kimliği belirleyen veriler” ile “niteleyici veriler”in ayrımını yapabiliriz.

Kimliği Belirleyen Veri: “Ayşe Yıldız”

Dünyadaki Ayşe Yıldız’ların sayısı tartışmalarına girmeden, bir kişinin adını soyadını, kimlik belirleyici bir veri olarak düşünebiliriz.

Niteleyici Veri: “kızıl saçlar”

Kızıl saçlar bir atıftır, niteleyicidir. “Ayşe Yıldız’ın saçları kızıl renklidir” ifademiz söz konusu olduğunda, bir kişiyi niteleyebilir, bir kişiye atıfta bulunabilir. Bu, bir rumuzu da niteleyip, atfedebilir: “Personel X’in saçları kızıldır.” Aşağıda göreceğimiz gibi, aynı zamanda anonim şekilde de niteleyebilir.

Anonim Veriler – Anonimleştirilmiş Veriler

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Anonim Veri: “İnsanların saçları kızıl renklidir”

Bu açıklamada, belirli bir kişiden asla bahsetmedik; insanlar hakkında genel bir ifade ve insanlar tarafından paylaşılan bir atıf yapıyoruz.

Anonimleştirilmiş Veri: “Personel’in saçı kızıldır”

Bu açıklama için Kimliği Belirli Veri (“Ayşe Yıldız’ın saçları kızıl renklidir.”) kullandık ve potansiyel olarak anonim şekilde işleme tabi tutulduk. Şimdi, Rumuzlu Veri ile sunulan muammaya geri döndük. Özellikle, Ayşe Yıldız kızıl saçlı tek personel ise, o zaman bu anonim değildir. Ayşe Yıldız, kızıl saçlı bir avuç personelden biri olsa bile, anonim olma derecesi oldukça düşüktür. Bu, “k-anonimity” kavramı olup, belirli bir birey, veri setindeki diğer k-1 kişiden ayırt edilemez. Bununla birlikte, bu bile yeterli anonimleştirme garantisi sağlamayabilir. İsimlerin, etnik kökenlerin ve kalp rahatsızlıklarını ihtiva eden bir tıbbi veri setini düşünün. Bir hastane, kalp rahatsızlıklarının anonim bir listesini (kalp yetmezliği olan 3 kişi, olmayan 2 kişi) yayımlasın. Dışarıdan bilgisi olan (Ör, Japon kökenli kişilerin nadiren kalp yetmezliği olduğunu bilen ve hastaların adlarına sahip olan) birinin, kalp yetmezliği geçiren ve geçirmeyenler için oldukça doğru bir tahmin yapabilirdi. Bu çıkarım, anonimleştirilmiş verilerde l-diversity kavramını doğurmuştur. Buradaki önemli nokta, spesifik bir bireyle hiçbir zaman ilişkili olmayan Anonim Veriden farklı olarak, Anonimleştirilmiş Veri (ve Rumuzlu / Bulanıklaştırılmış Veri) potansiyel bir “kimliğinin yeniden tespit edilebilme riski” ne karşı dikkatlice incelenmelidir.


“Verilerin anonimleştirilmesi potansiyel bir mayın tarlasıdır.”

Anonimleştirilmiş Veri’ye aynı örnekten devam ederek noktalayalım.

(bu motto ve yazımıza ilham kaynağı olan privacy maverick’ e teşekkürler)

Artık her yazımızın sonuna Peter Drucker’a ait bir söz ekleyerek bitirelim:

“Bir cesedin kokuşmasını önlemeye çalışmak kadar zorlu, masraflı ve nafile bir çaba yoktur. Miadını doldurmuş işler için kaynakları israf etmekten vazgeçin ve yetenekli insanlarınızı yeni fırsatlardan yararlanmaları için özgür bırakın. “

Peter F. Drucker
Yayım tarihi

KVKK Uyum Geçiş Süreçleri için Özdeğerlendirme Soruları

Bilindiği üzere organizasyonların, KVKK’yi (Kişisel Verileri Koruma Kanunu) 7 Ekim 2016 tarihi itibarı ile, uygulama yükümlülüğü mevcut. Avrupa Birliği ve Avrupa Ekonomik Alanı ülkeleri ise, kişisel veriler ile ilgili düzenlemeleri 1996 yılından (ve hatta kısmi olarak daha eski) bu yana hayatlarında tecrübe etmekteler. Kanunumuz ile; kurumların, yaşayan birey verisine dokunduğu süreçlerinde artık hiçbir şey eskisi gibi olmayacak. Lakin diğer regülasyonlarda tecrübe edildiği gibi, bizi öldürmeyen kuvvetlendireceğinden; mahremiyet, bilgi güvenliği, risk yönetimi vb. disiplinlerinde düzgün adaptasyon ile, ülke ve kurumlar olarak sıkılaşacağımızı düşünüyorum. Kanun’un ortaya çıkma sebeplerinden biri olan bireylerin temel hak ve özgürlüklerindeki kazanımlar da cabası. 

Kanuna uyum ve kişisel verileri koruma; 
bir proje değil, 
tamamlanma tarihi olmayacak, 
yaşayan bir sistem...

Kanun’a uyum ve kişisel verileri koruma; bir proje değil, tamamlanma tarihi olmayacak, ve yönetim sistemlerinde (ISMS/BGYS, BCMS/İSYS, ITMS/BTYS, QMS/KYS vb.) olduğu gibi, tanımlanmış fazları (PDCA/PUKÖ vb.) ve döngüleri üzerinde ne kadar bilinçli spin atılırsa, o kadar olgunluğu artacak yaşayan bir sistem olacağı görüşündeyim. Bu yüzden henüz hayata geçirmemiş kurumlar, organizasyon şemalarında bu alana (mahremiyet/privacy) veya bu alanın da dahil edildiği ortak paydalı disiplinlere yer açmayı değerlendirmeleri faydalı olacaktır.

Hazır konuya girmişken bir öngörü daha yapalım o zaman: (bahsedeceğimiz birim/sorumluluk ile halihazırda yaşayan vizyoner kurumlarımızı hariç tutarak) nasıl ki mahremiyet (privacy) kapsamlı nur topu gibi bir bebeğimiz olduysa yakın/orta gelecekte konjonktüre binaen, “etik” adında başka bir sorumluluk ve yönetim alanımız da olabilecektir.

Bu yazımızda; hem GDPR üzerine doküman (özellikle BFDI yayını) incelemelerimizde hem de kişisel veriler uyum projelerimde, “atlanmaması gerekenler” olarak belirlediğim alanlara dair öz değerlendirme soruları sormaya çalışıyoruz. Aşağıda paylaşılanlar; çoğunun yerine getirilmesi haftalar alabilecek ana çalışma konuları altında, bir nevi checklist soruları olarak görülebilir. Baştan ifade etmekte fayda var, bunlar bir proje planı adımları değil ve Kurul’un duyuru ve yayınları ile eklenebilecek, yer verilmemiş kalemler de mevcut. Maksat; organizasyon olarak uyum sağlamaya çalıştığımız ve bazılarını henüz yapmamış olabileceğimiz çalışmaları gözden geçirmek, hatırlatmak ve eksiklikler varsa bir yerlere not almak ve en önemlisi düşündürmek amacıyla bazı sorular ile bir öz değerlendirme yaklaşımı… O zaman başlayalım:

I. Organizasyonel Yapı ve Sorumluluklar

  1. Şirkette, (kişisel) verileri korumanın, yönetimin sorumluluğu olduğunun farkındalığı var mıdır? Ör;
    • Veri koruma yönetmeliklerinin, politikalarının varlığı
    • Veri koruma hedeflerinin tanımlanmış olması
    • Sorumlulukların düzenlenmesi
    • Veri koruma riskleri konusunda farkındalık
  2. Şirketiniz, bir veri koruma görevlisine veya eşlenik sorumlukta bir role sahip mi?
    • Değilse neden?
    • Evet ise, hangi konularda kim tarafından hangi alanlarda görevlendirilecektir?
    • Evet ise hangi alanlarda görev, yetki ve sorumlulukları bulunmaktadır? Net ve resmi olarak tanımlanmış mıdır?
    • Evet ise, “Veri Sorumluları Sicili Hakkında Yönetmelik” te tanımlanan veri sorumlusu temsilcisi veya irtibat kişisi sıfatlarından herhangi birine haiz midir ve sicile bildirimi düşünülmekte midir?

II. İşleme faaliyetlerine genel bakış

  1. KVKK’nin “Kişisel Verilerin İşlenmesi” tanımında yer alan “kaydedilme” kapsamında işleme faaliyetleriniz hakkında kayıtlarınız ve bu kayıtların yönetim süreci var mı?
  2. Kurumunuz; her veri düzeltimi veya değiştirimi içeren işleme faaliyetinde; (kişisel) veri koruma hususlarının dikkate alındığını ve yönetildiğini nasıl garanti eder?

III. Üçüncü tarafların katılımı

  1. Faaliyetlerinizin yürütülmesi için üçüncü taraflar (veri işleyen) kullanıyor musunuz?
    • Evet ise, veri işleyenlerinize karşı gözetim süreciniz mevcut mudur?
    • Evet ise, tüm veri işleyenlerinizle KVKK Madde 12.2’nin asgari içeriğini içeren gerekli anlaşmaları imzaladınız mı?

IV. Şeffaflık, aydınlatma yükümlülükleri ve ilgili kişi haklarının güvencesi

  1. Veri toplama esnasında ilgili kişilerin veri korumasıyla ilgili bilgilendirme metinlerinizi KVKK Madde 10.1’e uygun hale getirdiniz mi?
    KV yükümlülüklerinize yönelik yakın gelecekte lazım olabilecek alttaki hazırlıklar, çalışma kapsamınızda mıdır?
    • Veri sorumlusu ve varsa veri sorumlusu temsilcisinin kimlik ve adres bilgileri, VERBİS’in 2018 başında devreye gireceği bildiriliyor ve kişiyi tespit (ve ikna:) ) etme süresi azalıyor.
    • Kişisel verileri işlemenin hangi amaçla yapıldığı ki bunu data envanterinden toplamanız gerekebilir,
    • Kişisel verilerin aktarıldığı alıcı veya alıcı grupları, ki bu da uzun bir çalışma gerektirebilir structured bir knowledge management süreciniz yoksa
    • İlgili kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, yine VERBİS’in isteyeceği alanlardan bir tanesi
    • Kişisel verilerin işlenmesi için yasal dayanaklar. Bu sorunun cevabını ben değerli avukatlarımızdan destek alarak cevaplamanın doğru olduğu kanaatindeyim.
    • Verilerinizi sizin adınıza veya üçüncü şahıslar adına işlendiği durumlarda amaç, meşru menfaatler ise: bu meşru menfaatlerin neler olduğu
    • Saklama süresi; bu bilgi sağlanamıyorsa bile depolama periyodunun belirlenmesi.
    • Verisi işlenen ilgili kişinin verisine erişim, düzeltme, silme, işlemeyi kısıtlama hakları, özel durumlarda itiraz etme hakları ve verisinin taşınabilirliği için ortam mevcudiyeti
    • İşlemeye ilişkin yasal dayanak açık rıza ise: ilgili kişinin herhangi bir zamanda onayını geri çekme için bildirim veya kanal mevcut mudur?
    • Bir gözetim makamına şikayet etme hakkı, süreci biliyor musunuz?
    • Kişisel verilerin tedarik edilmesinin, bir yasal veya sözleşmeye dayalı gereklilik olup olmadığı veya bir sözleşmede şart olup olmadığı. Bu madde ile ilgili sözleşmelere vakıf olmak ve gerekliliklerimiz ile kendimizi Kanunun 5.2.c tentesinin altına almakta fayda var derim.
    • Kişisel verisini, ilgili kişiden temin etmediyseniz: kişisel verilerin hangi kaynaktan temin edildiği ve varsa kamuya açık kaynaklardan gelip gelmediği; dikkat alenileştirilmiş veriden bahsetmiyoruz.
    • Pazarlama izni kullanıyor iseniz; müşteriler, potansiyel müşteriler vb. için KVKK uyumlu hale getirilip getirilmediği; bu konuda da Kurul’umuzun aydınlattığı şekilde ilerlemek gerekecek zira muallak konular mevcut bu alanda.
  2. KVKK’ya göre ilgili kişinin kişisel verilere erişim taleplerini derhal ve tamamen yerine getirmek için bir prosedür oluşturdunuz/tasarladınız mı?
  3. Düzeltim ve silme taleplerinin kabulü ve gerçekleştirimi sonrası ilgili kişinin bu talepleri için bağlantılı ve aktarılmış taraflara da bildirimini karşılamak için prosedür hazırladınız mı? Konunun çok dışına çıkmadan bir ipucu: ISO 22301 İş Sürekliliği Yönetim Sisteminde çok güzel bir vektör vardır: İPA; İlgili Partiler Analizi, organizasyonda bu varsa taraflarınıza hakimiyetiniz daha fazla olacaktır, daha fazla bilgi için Özgüven Saymaz Hoca’nın kitap ve dokümanları iyi bir referans olabilir.

V. Yükümlülük, Bilgi Güvenliği ve Risk Yönetimi

  1. Her veri işleme faaliyetinin, hukuka uygun işlendiğini ispatlamayı sağlayan bilgi var mı? Ör. Amaçlarla ilgililik, kişisel veri kategorileri, alıcılar ve/veya silme periyotları
    • Veri işlemenizin dayandığı açık rıza metinlerinin KVKK’nin 10. maddesi (aydınlatma yükümlülüğü) gereklilikleri ile uyumlu olup olmadığını değerlendirdiniz mi?
    • Rızanın verildiğine ait tüm yazılı, sözlü ve (varsa) sosyal medya kanıtlarını gösterebilecek durumda mısınız?
  2. Veri işleme sürecinizin KVKK’a uyumlu olduğunu kanıtlamak, taahhüt edildiği gibi yaşadığına güvence sağlayabilmek ve sistemi sürdürülebilir kılmak için bir Veri Koruma Yönetim Sistemi planladınız mı?
  3. Var olan güvenlik süreçlerinizi; KVKK’nın 8.2.b, 12.1, 12.2 ile Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik Taslağı’nın 3.7.1.d-e, 4.8.2, 4.8.3.c, 4.9.2 maddelerine göre analiz ettiniz ve gerekli düzenlemeleri yapmaya başladınız mı?
    • Güvenlik önlemlerinin düzenli gözden geçirilmesi, değerlendirilmesi ve iyileştirilmesi için uygun bir yönetim sistemi uygulanmakta mıdır? (ISO 27001, PCI/DSS, CobIT denetimleri, kısmen ise penetrasyon testleri fayda sağlayacaktır)
    • Mevcut kurumsal ve BT Risk Yönetimi yaklaşımınıza yakın gelecekte Mahremiyet Etki Analizi (Privacy Impact Analysis) ve/veya Veri Koruma Etki Değerlendirmesi (DPIA) bileşenini de dahil etmeniz gerektiğini biliyor musunuz?
  4. Yakın gelecekte kurumsal risk yönetimi yapınıza bir bileşen olarak girebilecek Mahremiyet Etki Değerlendirmesi (PIA) ve/veya Veri Koruma Etki Değerlendirmesi (DPIA) hakkında bilginiz var mı?
    • (Evet ise); organizasyonunuzda bir Mahremiyet Etki Değerlendirmesi (PIA) ve/veya Veri Koruma Etki Değerlendirmesi (DPIA) yapılıp yapılmayacağını belirlemek için uygun bir yöntem oluşturdunuz mı? Organizasyonunuzda uygun bir risk metodu kurguladınız mı? Bu değerlendirmeleri yapabilmek için organizasyonunuzda bir süreç seçtiniz mi?

VI. Kişisel Veri İfşa ve İhlalleri

  1. Önümüzdeki dönemlerde yapılacak düzenlemeler çerçevesinde kişisel veri ihlallerinin denetim otoritesine bildirilmesi gerekeceğini biliyor musunuz?
    •  Organizasyonunuzda veri ihlallerinin tespit kabiliyetine sahip misiniz?
    •  İhlallerinin risklerini tespitine yönelik uygun bir yönteme sahip olduğunuzu düşünüyor musunuz?
    • Olası ihlaller ile ilgili dahili olarak nasıl başa çıkılacağı üzerine bir süreç düşündünüz mü?

Bu özdeğerlendirme sorularını tablo formatında incelemek isterseniz aşağıdaki tabloyu kullanabilirsiniz:

Yayım tarihi

KVKK – Veri Kategorileri

Bu yazımıza; 07 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Hakkındaki Kanun’un amaç kısmı ile giriş yapalım:

“…kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerintemel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir“

Bu amaç doğrultusunda kanun; kurumlara kişilerin verilerini işlerken şimdiye kadar yaşam döngülerinde alışa gelmedikleri kadar yükümlülükler getirmektedir. Kurumların hayatlarında artık ilgilenmeleri (/daha fazla ilgilenmeleri) gereken nur topu gibi mahremiyet (privacy), bilgi güvenliği, hukuk, uyum ve risk gibi kaçınılmaz global disiplinler arası yaklaşımlar mevcut. Genel olarak organizasyonlarda “biz fazla kişisel veri işlemiyoruz zaten”, “çalışan sayımız az, kanun muhtemelen bizi çok etkilemez”, “hukukçularımız ilgilenir”, “çalışanlara protokol imzalattık, web sayfamıza da bildirimi koyduk, yeterli aydınlatmayı da yaptık mı çoğunu halletmiş oluyoruz” gibi kulağımızın üzerine yatma meylimiz olduğu gibi, bu konuyu çok güzel yürütmeye çalışan, yeri geldiğinde danışmanlık alan, rol ve sorumluluklarını belirleyip, düzenli aralıklar ile proje adımlarını raporlayan yaklaşımlar da görmekteyiz.

Bu girizgahın ardından, kanunda geçen “kişiler” sözcüğünün biraz hafife aldığımızı düşündüğümüzü belirtmek istiyorum. Sadece müşteri ve çalışan odaklı çalışmalar yapmak; puzzle‘da bir süre sonra parçaların yanlış yerleştirildiğini fark etmeyi, resmin bir türlü neden tamamlanamadığına kafa yormayı, eksik parçaların halının altlarında aranması gibi tekrar süreçlerini doğurabilir. Bu bağlamda müşterilerin ve çalışanların yanı sıraçalışan adaylarının, taşeron çalışanların ve tedarikçi, iş ortağı çalışanlarına ait verilerini de yönetmek gerekiyor. Filmin bu aktörlerine ait bileşen kategorilerine bazı örnekleri aşağıda bulabilirsiniz. Altını çizmemiz gereken ise, bu kategorilerin norm olmadığı, aşağıdakiler ile sınırlı kalmayabileceği ve kurum, sektör bünyesine göre eklemeler, çıkarımlar gösterebileceğinin hatırlanmasıdır.

ÇALIŞANLARA AİT KİŞİSEL VERİ KATEGORİLERİ

Kimlik Bilgisi

* Ad soyad, * Tüm kimlik bilgileri, *TC kimlik numarası, *Milliyeti, *Medeni durumu, * Doğum tarihi, *Bazı durumlarda kimlik fotokopisi

İletişim Bilgisi

*Telefon numarası, *Açık adres bilgisi, *e-posta adresi

Finansal Bilgi

*Finansal ve maaş detayları, *Çalışanlara özel kredi risk raporları, *Prim listesi, *İcra takip dosyalarına ilişkin dosya ve borç bilgileri, *Banka bilgileri

Eğitim Bilgisi

* Öğrenim durumu, * Sertifika ve diploma fotokopileri, * Eğitim ve beceriler, * CV

Görsel ve İşitsel Veri

* Gerçek kişiye ait fotoğraf, *ses kayıtları, *kamera kayıtları

Çalışan Performans ve Kariyer Gelişim Bilgisi

* Eğitim katılım formları, * eğitim saatleri ve süreleri, * (varsa) sınav sonuçları, * iç terfi değerlendirme süreçleri (İngilizce, genel yetenek sınavları, kişilik envanteri), * etik uygunsuzluk raporları, * personel terfi transfer hareketleri dosyası, * dış arama ekibi puantaj ve performans raporları, * toplantı kayıtları, * scorecard bilgileri, * işe giriş tarihi, * haftalık çalışma saatleri (login-logout kayıtları)

Aile, Yakın Bilgisi

* Aile bildirim formları

Özel Nitelikli Kişisel Veri

* Sağlık poliçeleri, * Engeli ile ilgili sağlık raporları, * Sağlık beyan belgesi, * Sağlık raporları, * Hamilelik durumu, hamilelik raporu, * Meslek hastalığı kayıtları, * İşe giriş muayene formu, * Günlük hasta şikâyetleri, * Kullanmakta olduğu ilaçlar, * Klinik geçmişi, * Akciğer grafisi, * İşitme testi, * Göz muayenesi, * Kan grubu bilgisi, * Sabıka kaydı, * Din bilgisi, * Oruç tutanlar listesi

Diğer

* Araç bilgileri, * çalışanların kullandığı iş bilgisayarlarının IP adresleri, * web gezinti hareketleri, * hobileri, * çıkış mülakat raporları, * terhis belgesi, * yıllık izin kullanım defteri / kayıtları, * işten çıkış mülakat formları, * SGK sicil numarası

ÇALIŞAN ADAYLARINA İLİŞKİN KİŞİSEL VERİ KATEGORİLERİ

Kimlik Bilgisi

* Ad-soyad, * TC Kimlik Numarası, * Milliyeti, * Medeni durumu, * Bazı durumlarda kimlik fotokopisi 

İletişim Bilgisi 

* Kişiyle iletişime geçilmesini sağlayacak herhangi bir iletişim bilgisi (Tel, e-mail, adres, sosyal medya hesabı, vb)

Finansal Bilgi 

* Finansal ve maaş detayları, * Adaylara özel kredi risk raporları 

Eğitim Bilgisi

* Öğrenim durumu, * Eğitim ve beceriler, * Sertifika ve diplomalara ait detaylar 

Görsel Veri 

* Vesikalık fotoğraf, * Kamera kaydı 

Mevcut İş Bilgisi 

* İş ünvanı, * CV, * aday başvuru formları 

TAŞERON ÇALIŞANLARINA AİT KİŞİSEL VERİ KATEGORİLERİ

Kimlik Bilgisi

* Ad Soyad, * Nüfus cüzdanı fotokopisi, * Ehliyet fotokopisi,

İletişim Bilgisi

*Telefon numarası, *Açık adres bilgisi, *e-posta adresi

Finansal Bilgi

* Aylık maaş dekontları, * sigorta primi ödeme bilgileri

Özel Nitelikli Kişisel Veri

* Sabıka kaydı, * işe giriş periyodik muayene formu, * portör muayene bilgileri (yemek şirketi çalışanlarına özel), * psikoteknik belgesi (raporu)

Diğer

* İş sözleşmeleri, * mesai süreleri, * ruhsat fotokopisi, * serc2 belgesi (Sürücü mesleki yeterlilik), * İSG eğitim belgesi, * SGK tedarikçi firmada işe giriş formu 

İŞ ORTAĞI/TEDARİKÇİ ÇALIŞANLARINA AİT KİŞİSEL VERİ KATEGORİLERİ*

Kimlik Bilgisi

* Ad Soyad

İletişim Bilgisi

*Telefon numarası, *e-posta adresi

(*) İş ortağı/ Tedarikçi olarak; OSGB personeli (iş yerinde tam zamanlı çalışmayan iş yeri hekimi, iş güvenliği uzmanı, var ise sağlık personeli), yazılım firmalarının bakım-onarım için gönderdiği çalışanlar, elektrik firması çalışanları, teknik onarım firması çalışanları, toplu e-mailing firmaları çalışanları ve gümrük komisyoncularının çalışanları vb sınıflar olabilir.

SON NOT

BU YAZIMIZI VERBİS YAYINLANMADAN YAKLAŞIK BİR YIL ÖNCE YAZMIŞTIK. Genel normlar kapsamında şirketinizde kullanabileceğiniz veri envanteri için yukarıdakiler good practice’dir. VERBİS’in yayımladığı ve sisteminde istediği Veri Kategorileri ise aşağıdaki gibidir.

1-Kimlik •Ad soyad •Anne – Baba Adı •Anne kızlık soyadı •Doğum tarihi •Doğum yeri •Medeni hali •Nüfus cüzdanı seri sıra No •T.C. Kimlik No. •vb.

2-İletişim •Adres no, •E-posta adresi •İletişim adresi •Kayıtlı e-posta adresi

3-Lokasyon •Bulunduğu yerin konum bilgileri

4-Özlük •Bordro bilgileri •Disiplin soruşturması •İşe giriş-çıkış belgesi kayıtları •Mal bildirimi bilgileri •Özgeçmiş bilgileri •Performans değerlendirme raporları •vb.

5-Hukuki İşlem •Adli makamlarla yazışmalardaki bilgiler •Dava dosyasındaki bilgiler •vb.

6-Müşteri İşlem •Çağrı merkezi kayıtları •Fatura •Senet •Çek bilgileri •Gişe dekontlarındaki bilgiler •Sipariş bilgisi •Talep bilgisi •vb.

7-Fiziksel Mekân Güvenliği •Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri •Kamera kayıtları •vb.

8-İşlem Güvenliği •IP adresi bilgileri •İnternet sitesi giriş çıkış bilgileri •Şifre ve parola bilgileri •vb.

9-Risk Yönetimi •Ticari •Teknik •İdari risklerin yönetilmesi için işlenen bilgiler •vb.

10-Finans •Bilanço bilgileri •Finansal performans bilgileri •Kredi ve risk bilgileri •Malvarlığı bilgileri •vb.

11-Mesleki Deneyim •Diploma bilgileri •Gidilen kurslar •Meslek içi eğitim bilgileri •Sertifikalar •Transkript bilgileri •vb.

12-Pazarlama •Alışveriş geçmişi bilgileri •Anket •Çerez kayıtları •Kampanya çalışmasıyla elde edilen bilgiler

13-Görsel ve İşitsel Kayıtlar •Görsel ve işitsel kayıtlar •vb.

14-Irk ve Etnik Köken •Irk ve etnik kökeni bilgileri •vb.

15-Siyasi Düşünce Bilgileri •Siyasi düşüncesini belirten bilgiler •Siyasi parti üyeliği bilgisi •vb.

16-Felsefi İnanç, Din, Mezhep ve Diğer İnançlar •Dini aidiyetine ilişkin bilgiler •Felsefi inancına ilişkin bilgiler •Mezhep aidiyetine ilişkin bilgiler •Diğer inançlarına ilişkin bilgiler •vb.

17-Kılık ve Kıyafet •Kılık ve kıyafete ilişkin bilgiler

18-Dernek Üyeliği •Dernek üyeliği bilgileri •vb.

19-Vakıf Üyeliği •Vakıf üyeliği bilgileri •vb.

20-Sendika Üyeliği •Sendika üyeliği bilgileri •vb.

21-Sağlık Bilgileri •Engellilik durumuna ait bilgiler •Kan grubu bilgisi •Kişisel sağlık bilgileri •Kullanılan cihaz ve protez bilgileri •vb.

22-Cinsel Hayat •Cinsel hayata ilişkin bilgiler •vb.

23-Ceza Mahkûmiyeti Ve Güvenlik Tedbirleri •Ceza mahkûmiyetine ilişkin bilgiler •Güvenlik tedbirlerine ilişkin bilgiler •vb.

24-Biyometrik Veri •Avuç içi bilgileri •Parmak izi bilgileri •Retina taraması bilgileri •Yüz tanıma bilgileri •vb.

25-Genetik Veri •Genetik veriler •vb.

26-Diğer Bilgiler •Kullanıcı tarafından belirlenecek veri türleri •vb.

Yayım tarihi

Kişisel Verileri Koruma (KVK) – İlgili Kişi Erişim Taleplerinin Karşılanması ve Aydınlatma Yükümlülüğü (Subject Access Request)

Merhabalar;

Bu paylaşımımda KVK Kanununun 10. maddesi ve 11.maddesi ile ilişkili olan “İlgili Kişi Erişim Taleplerinin Karşılanması”nda ICO (UK) yaklaşımını ve sitesinde yer alan bilgilerin iş akış diyagramına dönüştürdüğüm halini bulabilirsiniz. Yine son günlerde cep telefonlarınıza SMS olarak gelen veya karşılaştığınız web sitelerinde pop up veya kutucuklar ile sürekli olarak size farkındalık yaratmaya çalışan aydınlatma bildirimlerinin de alttaki süreçler ile ilgili olduğunu belirtebiliriz.

Öncelikle KVKK’de yer alan ve organizasyonların belirli şartlar altında uymakla mükellef olduğu ilgili maddeleri refere edelim:

Kanunumuzun 10. maddesi: Veri Sorumlusunun Aydınlatma Yükümlülüğü 

Kanunumuzun 11. maddesi: İlgili Kişinin Hakları

Kanun kapsamında kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere ilgili verileri konusunda belirli çerçevede bilgi vermekle yükümlüdür. Yine aynı bağlamda herkes, veri sorumlusuna başvurarak kendisiyle ilgili kişisel verileri dahilinde öğrenme, bilgi edinme, itiraz etme, düzeltim isteği, silinme, üçüncü taraflara bildirim yapılması, belirli şartlarda zararın giderilmesi gibi taleplerde bulunma haklarına sahiptir. Bu kapsamda verisi işlenen ilgili kişinin bir talebi geldiğinde ne yapılması gerektiğine dair yol haritası aşağıdaki metodoloji ile iyi pratik olarak benimsenmiştir.

KVKK kapsamında; organizasyonunuzun yapılandırdığı yanıt kanalına bir talep geldiğinde, ne yapmanız gerektiğine dair bu güzel süreç ile ilgili daha ayrıntılı bilgiyi sonraki postlarımızda yazabiliriz diyerek şimdilik topu taca atalım ve “Bir resim (diagram), bin sözcüğe bedeldir” mottosu ile, beğendiğim bu süreci iş akış diagram formuna çevirip, süreçlerimizde daha etkin fayda sağlayacağını düşünerek paylaşalım.

Not: Diagramı incelediğinizde bazı minör kısımların şimdilik bizim kanunumuzda henüz belirtilmeyen ama karşılaşabileceğimiz karar mekanizmalarına da yer verdiğini görebileceksiniz. Örneğin ilgili kişinin bilgiye erişim talebi; organizasyonlar açısından database samanlıklarımızda bir record iğnesini bulmak kadar meşakkatli olabileceğinden bazı erişim talepleri için ücret ödenmesi gerekliliğinden dem vurmakta. Düşündüğümüzde gayet mantıklı zira elin adamı;

“bu çark su ile dönmüyor”, “ben de bu bilgiyi başka partilerden (sorgu başına ücret ödenen özel veya devlet kurumları vb) ücret mukabilinde alıp/teyit edip sana sunacağım” veya her önüne gelen bi öğlen kahvesi içtikten sonra “dur bakim ben bu alışveriş sitesini bi yoklayayım, bakim benim bilgilerimi nereye koymuş”

gibi gerekçeler nedeni ile bu kontrolü almış olabiliyor.

Görselin daha büyük halini indirmek için:

Kişisel Verileri Koruma – İlgili Kişi Erişim Taleplerinin Karşılanması ve Aydınlatma Yükümlülüğü

İyi Çalışmalar

Referans: @ICO’dan yararlanılmıştır.