KVKK Danışmanlığı Nedir? Kapsamı ve Uyum Adımları

KVKK danışmanlığı, bir işletmenin kişisel veri işleme süreçlerini Kişisel Verilerin Korunması Kanunu’na uyumlu hâle getirmek için yürütülen teknik ve idari çalışmaların bütünüdür. Dijital dünyanın hayatımızın merkezine yerleşmesiyle birlikte verilerimizin güvenliği hukuk açısından en önemli başlıklardan biri hâline geldi. Bu nedenle kişisel veriler ve ticari iletişim gibi konularda düzenleme yapılması zorunlu oldu; 2016 yılında yürürlüğe giren KVKK da bu düzenlemelerin en kapsamlılarından biri.

Bu yazı genel bilgilendirme amacı taşır ve hukuki tavsiye niteliğinde değildir. Kurumunuza özel yükümlülükler için hukuk danışmanınızla birlikte değerlendirme yapmanız gerekir.

Kişisel Verilerin Korunması Kanunu’nun amacı nedir?

Uluslararası belgeler, mukayeseli hukuk uygulamaları ve ülkemizin ihtiyaçları göz önüne alınarak hazırlanan kanunla, kişisel verilerin çağdaş standartlarda işlenmesi ve koruma altına alınması amaçlanır. Bu kapsamda kanunun amacı; kişisel verilerin işlenme şartlarını, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerinin korunmasını ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.

Kanunun gerekçesinde, kişinin mahremiyet hakkının korunması ile veri güvenliğinin sağlanması da bu kapsamda değerlendirilir. Yani mesele yalnızca bir belge setini tamamlamak değil, veriyi gerçekten koruyan bir işleyiş kurmaktır.

Hangi kavramları bilmek gerekir?

Uyum çalışmasına başlamadan önce birkaç temel kavramın netleşmesi gerekir:

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Ad, telefon, e-posta, IP adresi ve müşteri numarası gibi veriler bu kapsamdadır.
• Özel nitelikli kişisel veri: Sağlık, biyometrik veri, din, üyelik bilgisi gibi daha hassas veri türleri. Bu veriler için daha sıkı koruma tedbirleri gerekir.
• Veri sorumlusu: Kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu taraf.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen taraf; örneğin bir bulut hizmeti veya çağrı merkezi sağlayıcısı.
• İlgili kişi: Verisi işlenen gerçek kişi. Bilgi talep etme, düzeltme ve silme talebinde bulunma gibi hakları vardır.
• Aydınlatma ve açık rıza: Aydınlatma, veri işlemeden önce ilgili kişinin bilgilendirilmesidir. Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Her veri işleme faaliyeti açık rızaya dayanmak zorunda değildir; kanunda öngörülen başka işleme şartları da vardır.

Kanuna uyum için neler yapılmalı?

Uyum çalışmaları kurumdan kuruma değişse de temel adımlar şu şekilde sıralanabilir:

• Tüm bilgi varlıklarının gizlilik, bütünlük ve erişilebilirlik gibi güvenlik işlevlerini sağlamak; yani bilgi güvenliği yönetim sistemi standartlarına uygun çalışmak.
• Müşterilerden alınan ve alınacak veri türlerini belirlemek üzere stratejiler oluşturmak.
• Bir kişisel veri envanteri oluşturmak; hangi verinin hangi amaçla, nerede ve ne kadar süreyle tutulduğunu kayıt altına almak.
• Geçmişe dönük olarak ağ sistemlerindeki yapılandırılmış ve yapılandırılmamış verileri tespit etmek.
• Kayıt altına alınmış kişisel verileri niteliklerine göre sınıflandırmak.
• Verisi saklanan kişilere ulaşmak ve kurumun veri işleme amaçları konusunda onları bilgilendirmek.
• Bilgilendirilen çalışan ve müşterilerin rızasını, gerekli hâllerde makul ve kanıtlanabilir yöntemlerle almak.
• Yukarıdakilerin tamamını sürdürülebilir biçimde uygulamak için teknoloji, politika ve sistemler geliştirmek.
• Belirli dönemlerde değerlendirme, gözden geçirme ve iç denetim faaliyetleri yürütmek.
• Sistemlerin güvenliğini ölçmek için belirli aralıklarla sızma testi gibi çalışmalar yapmak.
• İç denetim ve test sonuçlarını, yönetim sisteminin sürdürülebilirliğini artıracak biçimde sürece geri beslemek.

Bu adımların bir kısmı hukuki, bir kısmı ise doğrudan teknik niteliktedir. Özellikle web sitesi formları, üyelik sistemleri ve müşteri veritabanları söz konusu olduğunda web yazılım tarafındaki kurgunun uyum gereksinimleriyle birlikte planlanması gerekir.

KVKK danışmanlığı kapsamında neler yapılır?

Bir danışmanlık çalışmasının tipik kapsamı şu başlıkları içerir:

• Kanun kapsamında hazırlanması gereken politika ve veri envanteri gibi dokümanların şirketin süreçlerine uygun şekilde hazırlanmasını sağlamak.
• Teknik tedbirler kapsamında yetki ve erişim verilerinin oluşturulması ve güncellenmesi.
• Şirketin farklı sistemlerinde dolaşan kişisel veriyi saldırılardan ve kayıplardan korumak için yöntemler oluşturmak.
• Kanun kapsamında yaşanan gelişmeler hakkında düzenli bilgi vermek.
• Felaket senaryoları, test e-postaları ve uzaktan ya da yerinde denetim faaliyetleriyle süreçleri kontrol altında tutmak.
• Düzenli eğitim organizasyonlarıyla personelin konu hakkındaki farkındalığını oluşturmak ve artırmak.
• Sertifikalı eğitimler ve çevrim içi testlerle bilgi seviyesini ölçülebilir ve standart hâle getirmek.

E-ticarette veri uyumu neden ayrıca önemli?

Çevrim içi satış yapan işletmeler; sipariş, adres, ödeme ve iletişim tercihleri gibi çok sayıda kişisel veriyi aynı anda işler. Bülten aboneliği, terk edilen sepet hatırlatmaları ve yeniden pazarlama gibi uygulamalar da veri işleme faaliyetidir. Bu nedenle e-ticaret danışmanlığı çalışmalarında pazarlama kurgusu ile veri uyumunun birlikte ele alınması, sonradan geri dönülmesi zor hataların önüne geçer.

Uyum çalışması nasıl sürdürülür?

KVKK uyumu bir kerelik proje değil, işleyen bir programdır. Yeni bir yazılım, yeni bir tedarikçi veya yeni bir pazarlama kanalı devreye girdiğinde veri akışı değişir; envanterin ve politikaların da bu değişime göre güncellenmesi gerekir. Düzenli iç denetim, çalışan eğitimi ve periyodik teknik testler bu sürekliliği sağlayan üç ana bileşendir.

Kurumunuzun dijital süreçlerini bu çerçevede gözden geçirmek isterseniz iletişim sayfamız üzerinden bize ulaşabilirsiniz.