Bilindiği üzere organizasyonların, KVKK’yi (Kişisel Verileri Koruma Kanunu) 7 Ekim 2016 tarihi itibarı ile, uygulama yükümlülüğü mevcut. Avrupa Birliği ve Avrupa Ekonomik Alanı ülkeleri ise, kişisel veriler ile ilgili düzenlemeleri 1996 yılından (ve hatta kısmi olarak daha eski) bu yana hayatlarında tecrübe etmekteler. Kanunumuz ile; kurumların, yaşayan birey verisine dokunduğu süreçlerinde artık hiçbir şey eskisi gibi olmayacak. Lakin diğer regülasyonlarda tecrübe edildiği gibi, bizi öldürmeyen kuvvetlendireceğinden; mahremiyet, bilgi güvenliği, risk yönetimi vb. disiplinlerinde düzgün adaptasyon ile, ülke ve kurumlar olarak sıkılaşacağımızı düşünüyorum. Kanun’un ortaya çıkma sebeplerinden biri olan bireylerin temel hak ve özgürlüklerindeki kazanımlar da cabası.
Kanuna uyum ve kişisel verileri koruma;
bir proje değil,
tamamlanma tarihi olmayacak,
yaşayan bir sistem...
Kanun’a uyum ve kişisel verileri koruma; bir proje değil, tamamlanma tarihi olmayacak, ve yönetim sistemlerinde (ISMS/BGYS, BCMS/İSYS, ITMS/BTYS, QMS/KYS vb.) olduğu gibi, tanımlanmış fazları (PDCA/PUKÖ vb.) ve döngüleri üzerinde ne kadar bilinçli spin atılırsa, o kadar olgunluğu artacak yaşayan bir sistem olacağı görüşündeyim. Bu yüzden henüz hayata geçirmemiş kurumlar, organizasyon şemalarında bu alana (mahremiyet/privacy) veya bu alanın da dahil edildiği ortak paydalı disiplinlere yer açmayı değerlendirmeleri faydalı olacaktır.
Hazır konuya girmişken bir öngörü daha yapalım o zaman: (bahsedeceğimiz birim/sorumluluk ile halihazırda yaşayan vizyoner kurumlarımızı hariç tutarak) nasıl ki mahremiyet (privacy) kapsamlı nur topu gibi bir bebeğimiz olduysa yakın/orta gelecekte konjonktüre binaen, “etik” adında başka bir sorumluluk ve yönetim alanımız da olabilecektir.
Bu yazımızda; hem GDPR üzerine doküman (özellikle BFDI yayını) incelemelerimizde hem de kişisel veriler uyum projelerimde, “atlanmaması gerekenler” olarak belirlediğim alanlara dair öz değerlendirme soruları sormaya çalışıyoruz. Aşağıda paylaşılanlar; çoğunun yerine getirilmesi haftalar alabilecek ana çalışma konuları altında, bir nevi checklist soruları olarak görülebilir. Baştan ifade etmekte fayda var, bunlar bir proje planı adımları değil ve Kurul’un duyuru ve yayınları ile eklenebilecek, yer verilmemiş kalemler de mevcut. Maksat; organizasyon olarak uyum sağlamaya çalıştığımız ve bazılarını henüz yapmamış olabileceğimiz çalışmaları gözden geçirmek, hatırlatmak ve eksiklikler varsa bir yerlere not almak ve en önemlisi düşündürmek amacıyla bazı sorular ile bir öz değerlendirme yaklaşımı… O zaman başlayalım:
I. Organizasyonel Yapı ve Sorumluluklar
- Şirkette, (kişisel) verileri korumanın, yönetimin sorumluluğu olduğunun farkındalığı var mıdır? Ör;
- Veri koruma yönetmeliklerinin, politikalarının varlığı
- Veri koruma hedeflerinin tanımlanmış olması
- Sorumlulukların düzenlenmesi
- Veri koruma riskleri konusunda farkındalık
- Şirketiniz, bir veri koruma görevlisine veya eşlenik sorumlukta bir role sahip mi?
- Değilse neden?
- Evet ise, hangi konularda kim tarafından hangi alanlarda görevlendirilecektir?
- Evet ise hangi alanlarda görev, yetki ve sorumlulukları bulunmaktadır? Net ve resmi olarak tanımlanmış mıdır?
- Evet ise, “Veri Sorumluları Sicili Hakkında Yönetmelik” te tanımlanan veri sorumlusu temsilcisi veya irtibat kişisi sıfatlarından herhangi birine haiz midir ve sicile bildirimi düşünülmekte midir?
II. İşleme faaliyetlerine genel bakış
- KVKK’nin “Kişisel Verilerin İşlenmesi” tanımında yer alan “kaydedilme” kapsamında işleme faaliyetleriniz hakkında kayıtlarınız ve bu kayıtların yönetim süreci var mı?
- Kurumunuz; her veri düzeltimi veya değiştirimi içeren işleme faaliyetinde; (kişisel) veri koruma hususlarının dikkate alındığını ve yönetildiğini nasıl garanti eder?
III. Üçüncü tarafların katılımı
- Faaliyetlerinizin yürütülmesi için üçüncü taraflar (veri işleyen) kullanıyor musunuz?
- Evet ise, veri işleyenlerinize karşı gözetim süreciniz mevcut mudur?
- Evet ise, tüm veri işleyenlerinizle KVKK Madde 12.2’nin asgari içeriğini içeren gerekli anlaşmaları imzaladınız mı?
IV. Şeffaflık, aydınlatma yükümlülükleri ve ilgili kişi haklarının güvencesi
- Veri toplama esnasında ilgili kişilerin veri korumasıyla ilgili bilgilendirme metinlerinizi KVKK Madde 10.1’e uygun hale getirdiniz mi?
KV yükümlülüklerinize yönelik yakın gelecekte lazım olabilecek alttaki hazırlıklar, çalışma kapsamınızda mıdır?- Veri sorumlusu ve varsa veri sorumlusu temsilcisinin kimlik ve adres bilgileri, VERBİS’in 2018 başında devreye gireceği bildiriliyor ve kişiyi tespit (ve ikna:) ) etme süresi azalıyor.
- Kişisel verileri işlemenin hangi amaçla yapıldığı ki bunu data envanterinden toplamanız gerekebilir,
- Kişisel verilerin aktarıldığı alıcı veya alıcı grupları, ki bu da uzun bir çalışma gerektirebilir structured bir knowledge management süreciniz yoksa
- İlgili kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, yine VERBİS’in isteyeceği alanlardan bir tanesi
- Kişisel verilerin işlenmesi için yasal dayanaklar. Bu sorunun cevabını ben değerli avukatlarımızdan destek alarak cevaplamanın doğru olduğu kanaatindeyim.
- Verilerinizi sizin adınıza veya üçüncü şahıslar adına işlendiği durumlarda amaç, meşru menfaatler ise: bu meşru menfaatlerin neler olduğu
- Saklama süresi; bu bilgi sağlanamıyorsa bile depolama periyodunun belirlenmesi.
- Verisi işlenen ilgili kişinin verisine erişim, düzeltme, silme, işlemeyi kısıtlama hakları, özel durumlarda itiraz etme hakları ve verisinin taşınabilirliği için ortam mevcudiyeti
- İşlemeye ilişkin yasal dayanak açık rıza ise: ilgili kişinin herhangi bir zamanda onayını geri çekme için bildirim veya kanal mevcut mudur?
- Bir gözetim makamına şikayet etme hakkı, süreci biliyor musunuz?
- Kişisel verilerin tedarik edilmesinin, bir yasal veya sözleşmeye dayalı gereklilik olup olmadığı veya bir sözleşmede şart olup olmadığı. Bu madde ile ilgili sözleşmelere vakıf olmak ve gerekliliklerimiz ile kendimizi Kanunun 5.2.c tentesinin altına almakta fayda var derim.
- Kişisel verisini, ilgili kişiden temin etmediyseniz: kişisel verilerin hangi kaynaktan temin edildiği ve varsa kamuya açık kaynaklardan gelip gelmediği; dikkat alenileştirilmiş veriden bahsetmiyoruz.
- Pazarlama izni kullanıyor iseniz; müşteriler, potansiyel müşteriler vb. için KVKK uyumlu hale getirilip getirilmediği; bu konuda da Kurul’umuzun aydınlattığı şekilde ilerlemek gerekecek zira muallak konular mevcut bu alanda.
- KVKK’ya göre ilgili kişinin kişisel verilere erişim taleplerini derhal ve tamamen yerine getirmek için bir prosedür oluşturdunuz/tasarladınız mı?
- Düzeltim ve silme taleplerinin kabulü ve gerçekleştirimi sonrası ilgili kişinin bu talepleri için bağlantılı ve aktarılmış taraflara da bildirimini karşılamak için prosedür hazırladınız mı? Konunun çok dışına çıkmadan bir ipucu: ISO 22301 İş Sürekliliği Yönetim Sisteminde çok güzel bir vektör vardır: İPA; İlgili Partiler Analizi, organizasyonda bu varsa taraflarınıza hakimiyetiniz daha fazla olacaktır, daha fazla bilgi için Özgüven Saymaz Hoca’nın kitap ve dokümanları iyi bir referans olabilir.
V. Yükümlülük, Bilgi Güvenliği ve Risk Yönetimi
- Her veri işleme faaliyetinin, hukuka uygun işlendiğini ispatlamayı sağlayan bilgi var mı? Ör. Amaçlarla ilgililik, kişisel veri kategorileri, alıcılar ve/veya silme periyotları
- Veri işlemenizin dayandığı açık rıza metinlerinin KVKK’nin 10. maddesi (aydınlatma yükümlülüğü) gereklilikleri ile uyumlu olup olmadığını değerlendirdiniz mi?
- Rızanın verildiğine ait tüm yazılı, sözlü ve (varsa) sosyal medya kanıtlarını gösterebilecek durumda mısınız?
- Veri işleme sürecinizin KVKK’a uyumlu olduğunu kanıtlamak, taahhüt edildiği gibi yaşadığına güvence sağlayabilmek ve sistemi sürdürülebilir kılmak için bir Veri Koruma Yönetim Sistemi planladınız mı?
- Var olan güvenlik süreçlerinizi; KVKK’nın 8.2.b, 12.1, 12.2 ile Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik Taslağı’nın 3.7.1.d-e, 4.8.2, 4.8.3.c, 4.9.2 maddelerine göre analiz ettiniz ve gerekli düzenlemeleri yapmaya başladınız mı?
- Güvenlik önlemlerinin düzenli gözden geçirilmesi, değerlendirilmesi ve iyileştirilmesi için uygun bir yönetim sistemi uygulanmakta mıdır? (ISO 27001, PCI/DSS, CobIT denetimleri, kısmen ise penetrasyon testleri fayda sağlayacaktır)
- Mevcut kurumsal ve BT Risk Yönetimi yaklaşımınıza yakın gelecekte Mahremiyet Etki Analizi (Privacy Impact Analysis) ve/veya Veri Koruma Etki Değerlendirmesi (DPIA) bileşenini de dahil etmeniz gerektiğini biliyor musunuz?
- Yakın gelecekte kurumsal risk yönetimi yapınıza bir bileşen olarak girebilecek Mahremiyet Etki Değerlendirmesi (PIA) ve/veya Veri Koruma Etki Değerlendirmesi (DPIA) hakkında bilginiz var mı?
- (Evet ise); organizasyonunuzda bir Mahremiyet Etki Değerlendirmesi (PIA) ve/veya Veri Koruma Etki Değerlendirmesi (DPIA) yapılıp yapılmayacağını belirlemek için uygun bir yöntem oluşturdunuz mı? Organizasyonunuzda uygun bir risk metodu kurguladınız mı? Bu değerlendirmeleri yapabilmek için organizasyonunuzda bir süreç seçtiniz mi?
VI. Kişisel Veri İfşa ve İhlalleri
- Önümüzdeki dönemlerde yapılacak düzenlemeler çerçevesinde kişisel veri ihlallerinin denetim otoritesine bildirilmesi gerekeceğini biliyor musunuz?
- Organizasyonunuzda veri ihlallerinin tespit kabiliyetine sahip misiniz?
- İhlallerinin risklerini tespitine yönelik uygun bir yönteme sahip olduğunuzu düşünüyor musunuz?
- Olası ihlaller ile ilgili dahili olarak nasıl başa çıkılacağı üzerine bir süreç düşündünüz mü?
Bu özdeğerlendirme sorularını tablo formatında incelemek isterseniz aşağıdaki tabloyu kullanabilirsiniz:
