KVKK uyumuna nereden başlanır: envanterden imhaya
Uyum projelerinin çoğu politika yazarak başlıyor ve orada tıkanıyor. Doğru sıra envanterle başlar; politika, envanterin üzerine kurulur.
- KVKK
- Uyumluluk
- Veri envanteri
Uyum projelerinde en sık gördüğümüz hata sıralamada. Kurum bir danışmanla anlaşıyor, ilk teslim olarak bir politika seti geliyor, metinler intranete konuyor ve iş bitmiş sayılıyor. Birkaç ay sonra bir ilgili kişi başvurusu geldiğinde ya da bir müşteri denetim istediğinde ortaya çıkıyor: politikada yazan şeyin gerçekte karşılığı yok.
Sorun politikanın kötü yazılmasından kaynaklanmıyor. Politika, hangi veriyi hangi amaçla işlediğinizi bildiğinizi varsayar. O bilgi yoksa metin bir temenni listesine dönüşüyor.
Doğru sıra
1. Envanter. Hangi birimde, hangi sistemde, hangi kişisel veri var; hangi amaçla işleniyor; nereden geliyor ve nereye gidiyor. Bu adım sıkıcı ama diğer her şey buna dayanıyor. Envanteri çıkarırken en çok duyduğumuz cümle şu oluyor: "Bunu da mı tutuyormuşuz?"
2. Hukuki dayanak. Her işleme faaliyeti için Kanun'un 5. maddesindeki hangi sebebe dayandığınızı belirleyin. Açık rıza en son çare olmalı; sözleşmenin ifası ya da hukuki yükümlülük varken rızaya dayanmak, kişi rızasını geri çektiğinde sizi zor durumda bırakır.
3. Saklama süreleri. Her veri kategorisi için ne kadar tutacağınıza karar verin. "Süresiz" bir cevap değil. Sürenin dayanağını da yazın: bir kanun mu, zamanaşımı mı, yoksa iş ihtiyacı mı.
4. Metinler. Aydınlatma metni ve gereken yerde açık rıza metni. Artık ne yazacağınızı biliyorsunuz, çünkü envanter elinizde.
5. Süreçler. İlgili kişi başvurusu geldiğinde ne olacak, ihlal olduğunda kim ne yapacak, süresi dolan veri nasıl imha edilecek.
6. İmha. En çok atlanan adım. Saklama süresi tanımlamak, süresi dolanı silmiyorsanız tek başına bir şey ifade etmiyor.
İspat yükü nerede duruyor
Kanun'un 12. maddesi, veri güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almanızı istiyor. Bir denetimde sorulan soru "tedbir aldınız mı" değil, "aldığınızı gösterin" oluyor. Gösterebileceğiniz şey kayıttır: envanterin kendisi, politika sürümleri, başvuru kayıtları, imha kayıtları, erişim yetkisi gözden geçirmeleri.
Bu yüzden uyumu bir doküman işi değil, bir kayıt düzeni işi olarak ele almak gerekiyor. Doküman bir kez yazılır; kayıt her gün birikir.
Pratik bir başlangıç
Elinizde hiçbir şey yoksa şuradan başlayın: bir tablo açın, sütunlara birim, sistem, veri kategorisi, amaç, kaynak, aktarılan taraf ve saklama süresi yazın. Sonra her birim sorumlusuyla yarımşar saat oturun. İlk turda tablo eksik olacak; sorun değil. Eksik bir envanter, olmayan envanterden iyidir.
Bu tablo büyüdükçe elle yönetilemez hale gelir. O noktada envanteri, başvuruları ve imhayı birlikte yürüten bir sisteme geçmek gerekir; biz bu işi HEM KVK ile yapıyoruz. Ama sıralama değişmiyor: önce envanter.
Nerede durduğunuzu görmek isterseniz ücretsiz ön değerlendirmemizi sekiz soruda tamamlayabilirsiniz.
Bu yazı bilgilendirme amaçlıdır ve hukuki tavsiye yerine geçmez. Mevzuatın güncel metni için mevzuat.gov.tr ve kvkk.gov.tr esas alınmalıdır.