Kişisel Veri Belirleme Ve Nitelendirme Süreci Nasıl Yapılır?
İlk olarak yapılması gereken, bu işyerinde/kurumda hangi süreçlerin yürütüldüğünü tek tek belirlemek olacaktır.
Bunun için de birim bazında çalışma yapılması gerekir. Hangi birim, hangi süreci yürütürken hangi kişisel verileri işlemektedir?
Yukarıdaki basit ama etkili soru, tüm kişisel verilerin korunması sürecini tamamen etkileyecek ve soruya verilecek cevap, tüm sisteminizin ne kadar sağlıklı olduğunu belirleyecektir.
Adım adım yapılması gerekenler şöyle sıralanabilir:
- Hangi birimler var?
- Her birimde hangi süreçler ve faaliyetler yürütülüyor?
- Faaliyetler yürütülürken hangi bilgiler/kişisel veriler alınıyor ve işleniyor?
- Elde edilen kişisel veriler hangi amaçla işleniyor?
- Verileri işleme hakkının hukuki sebebi nedir?
- İşlenen kişisel verilerin niteliği nedir? Kişisel veri mi yoksa hassas kişisel veri mi?
- İşlenen kişisel veriler kimleri ilgilendiriyor?
- İşlenen veriler ne kadar süre saklanıyor?
- İşlenen veriler yurt içinde ya da dışında başkalarına aktarılıyor mu? Aktarılıyorsa kimlerle paylaşılıyor?
- Kişisel verilerin korunması için alınan tedbirler neler?
- Birimlerin Tespiti
Kişisel veri belirleme sürecinin ilk aşaması, birimlerin belirlenmesidir. Akla şöyle bir soru gelebilir: Birimlerle uğraşmadan, doğrudan kişisel verileri belirleyemez miyim?
Evet, bu mümkündür. Ancak birimlerin öncelikli olarak belirlenmesinin amacı, gözden bir şeyler kaçmasını engellemektir. Önce birimlerin, sonra süreçlerin ve sonra da faaliyetlerin belirlenmesi adeta üçlü bir elek görevi yapacak ve hiçbir kişisel verinin gözden kaçmamasını sağlayacaktır.
Ayrıca bu birimler, veri sorumlusunun yükümlü olması halinde; hem sicile kayıt sırasında hem de envanter hazırlanması sürecinde gerekecektir.
Eğer küçük ya da orta ölçekli bir işyerinden ya da işten bahsediyorsak, tek bir kişi tüm birimleri inceleyebilirken; geniş kapsamlı bir faaliyetin yürütüldüğü büyük organizasyonlarsa, birden fazla kişi süreç çalışmalarında görevlendirilebilir ve görev dağılımı da birim bazında yapılabilir.
Şimdi birkaç örnekle konuyu somutlaştıralım. Örneklerimizi her seferinde daha karmaşık hale getireceğiz ki; birim belirleme süreci tam olarak anlaşılsın.
İlk olarak çok basit bir örnekle başlayalım. Özel hekim muayenehanesi işyerinde, iki temel birim olacaktır: Hekimin muayene birimi ve hastaların karşılandığı sekreterlik birimi.
6 kişinin çalıştığı bir perakende satış mağazasında; müşterilere doğrudan satışın yapıldığı mağaza satış birimi ve varsa örneğin temizlik hizmetleri birimi olacaktır.
40 kişinin çalıştığı bir süpermarkette ya da birkaç şubeden oluşan marketler zincirinde; mağaza satış birimi, insan kaynakları birimi ve muhasebe birimi olacaktır.
Büyük ölçekli bir işyerinde; insan kaynakları, destek hizmetleri, kurumsal ilişkiler, pazarlama, muhasebe ve bilgi işlem gibi birimler olacaktır.
Organizasyonda hangi birimlerin olduğunun tek tek belirlenmesi ve fiilen iş yapan her birimin ayrıştırılması varmak istediğimiz sonuca ulaşmamızı hızlandıracaktır.
Süreçlerin ve Faaliyetlerin Tespiti
Her birimin yürütmekte olduğu bir ya da birden fazla süreci ya da faaliyeti olacaktır. Bu faaliyetlerin birim bazında belirlenmesi gerekir.
Faaliyetler ve süreçler tam belirlenmeden bir sonraki aşamaya geçilmemesi, bu aşamada hiçbir faaliyetin es geçilmemesi gerekir.
Faaliyetlerin nasıl belirleneceğini yine aynı örnekler üzerinden somutlaştıralım. îlk örneğimizdeki hekim muayenehanesinde iki birim vardı. Muayene biriminde gerçekleştirilen faaliyet “sağlık ve tedavi hizmeti verilmesi” olarak adlandmlabilirken, sekreterlik biriminde gerçekleştirilen faaliyetler “Halka ilişkiler”, “Hasta kaydı yapılması” ve “Temizlik faaliyetleri” olarak belirlenebilir.
Perakende satış mağazasında satış birimi “satış yapılması” ve “tahsilat işlemleri” faaliyetleri yürütürken, temizlik hizmetleri birimi “temizlik işleri” faaliyetini gerçekleştirecektir.
Marketler zincirinde mağaza satış birimi “reyonların düzenlenmesi”, “tahsilat yapılması” ve “ürün satışı” gibi faaliyetleri gerçekleştirirken insan kaynaklan birimi “işe alma”, “özlük dosyası işlemleri”, “eğitim planlaması”, “maaşların ödenmesi” gibi faaliyetleri yapacaktır. Muhasebe birimi ise “banka işlemlerinin gerçekleştirilmesi” ve “muhasebe kayıtlarının tutulması” gibi süreçleri yönetecektir.
Elde Edilen Bilgilerin/Kişisel Verilerin Tespiti
Organizasyondaki birimleri ve bunların faaliyetlerini tespit ettikten sonra sıra, bu birimlerin faaliyetleri gerçekleştirirken hangi bilgileri elde ettiğini belirlemeye gelecektir.
Her bir faaliyet, illa ki veri elde edilmesini gerektirmez. Örneğin bir temizlik faaliyetinde ya da yemek yapılması faaliyetinde elde edilen bir kişisel veri olmayabilir.
Önemli olan; her bir faaliyetin dikkatlice tetkik edilmesi ve kişisel veriye esas olabilecek bir belgenin/evrakın elde edilmesini sağlayıp sağlamadığının doğru şekilde tespit edilmesidir.
Bunu belirlemek için ise şu sorunun her defasında sorulması gerekir: Bu faaliyeti gerçekleştirirken talep ettiğim / elde ettiğim bir bilgi ya da belge var mı?
Örneğin doktor muayenehanesindeki sekreterlik birimimim gerçekleştirdiği “hasta kayıt” sürecinde, hastaya ait aşağıdaki kişisel veriler elde edilmektedir:
- Adı soyadı
- Adres
- Telefon numarası
- Ödeme ve fatura kayıtları
Aynı muayenehanede “muayene biriminde” ise aşağıdaki kişisel veriler elde edilir:
- Adı soyadı
- Kişisel sağlık bilgileri
- Kan grubu
- Engellilik durumu
Ya da bir insan kaynakları sürecinde aşağıdaki kişisel veriler işlenebilir:
- Ad soyad
- Anne kızlık soyadı
- TC kimlik numarası
- Ana – baba adı
- Nüfus cüzdanı seri no
- Doğum tarihi
- Doğum yeri
- Medeni hal
- Adres
- Telefon numarası
- Elektronik posta adresi
- Bordro bilgileri
- îşe giriş belgeleri
- Performans değerlendirme raporları
- Özgeçmiş
- Diploma bilgisi
- Sertifikalar
- Alınan eğitimler ve kurslar
- Sağlık raporu
- Biyometrik bilgiler
Yukarıdaki bilgiler çoğaltılabilir ya da azaltılabilir. İnsan kaynakları birimi faaliyetlerini yürütürken hangi bilgilere ihtiyaç duyuyorsa, bunları çalışanlardan ya da adaylardan talep edecektir.
Elde edilen bilgilerden kişisel veri niteliği taşıyanların tek tek belirlenmesi ve bu listenin mümkün olduğunda detaylı düzenlenmesi gerekir.
Bu listenin iki aşamalı yapılması, envanter düzenlenmesi sırasında işleri kolaylaştıracaktır. İki aşamalı olmaktan kasıt; bir kişisel veri tespit edildiğinde, bunun ait olduğu kategorinin de belirlenmesidir.
Örneğin işlenen kişisel veri “adı-soyadı” ise bunun ait olduğu üst kategori “kimlik” kategorisi olacaktır. Ya da “adres” bilgisinin üst kategorisi “iletişim” ve “kredi risk bilgisi”nin ait olduğu kategori “fınans” olarak belirlenecektir.
Aşağıda ana kategorileri ve bu kategorilere giren kişisel verileri bulabilirsiniz. Bu kategorileri ve kişisel verileri aşağıdakilerden bağımsız olarak genişletebilirsiniz:
- Kimlik (Ad soyad, Anne-baba adı, Anne kızlık soyadı, Doğum tarihi, Doğum yeri, Medeni hali, Nüfus cüzdanı seri sıra no, TC kimlik no v.b.)
- İletişim (Adres no, E-posta adresi, İletişim adresi, Kayıtlı elektronik posta adresi (KEP), Telefon no v.b.)
- Lokasyon (Bulunduğu yerin konum bilgileri v.b.)
- Özlük (Bordro bilgileri, Disiplin soruşturması, İşe giriş belgesi kayıtları, Mal bildirimi bilgileri, Özgeçmiş bilgileri, Performans değerlendirme raporları v.b.)
- Hukuki işlem (Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler v.b.)
- Müşteri işlem (Çağrı merkezi kayıtları, Fatura, senet, çek bilgileri, Gişe dekontlarındaki bilgiler, Sipariş bilgisi, Talep bilgisi v.b.)
- Fiziksel mekan güvenliği (Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, Kamera kayıtları v.b.)
- İşlem güvenliği (IP adresi bilgileri, İnternet sitesi giriş çıkış bilgileri, Şifre ve parola bilgileri v.b.)
- Risk yönetimi (Ticari, teknik, idari risklerin yönetilmesi için işlenen bilgiler v.b.)
- Finans (Bilanço bilgileri, Finansal performans bilgileri, Kredi ve risk bilgileri, Malvarlığı bilgileri v.b.)
- Mesleki deneyim (Diploma bilgileri, Gidilen kurslar, Meslek içi eğitim bilgileri, Sertifikalar, Transkript bilgileri v.b.)
- Pazarlama (Alışveriş geçmişi bilgileri, Anket, Çerez kayıtları, Kampanya çalışmasıyla elde edilen bilgiler v.b.)
- Görsel ve işitsel kayıtlar (Video ve ses kayıtları v.b.)
- Irk ve etnik köken (Irk ve etnik kökeni bilgileri v.b.)
- Siyasi düşünce bilgileri (Siyasi düşüncesini belirten bilgiler, Siyasi parti üyeliği bilgisi v.b.)
- Felsefi inanç, din, mezhep ve diğer inançlar (Diğer inançlarına ilişkin bilgiler, Dini aidiyetine ilişkin bilgiler, Felsefi inancına ilişkin bilgiler, Mezhep aidiyetine ilişkin bilgiler v.b.)
- Kılık ve kıyafet (Kılık kıyafete ilişkin bilgiler v.b.)
- Demek üyeliği (Dernek üyeliği bilgileri v.b.)
- Vakıf üyeliği (Vakıf üyeliği bilgileri v.b.)
- Sendika üyeliği (Sendika üyeliği bilgileri v.b.)
- Sağlık bilgileri (Engcllilik durumuna ait bilgiler, Kan grubu bilgisi, Kişisel sağlık bilgileri, Kullanılan cihaz ve protez bilgileri v.b.)
- Cinsel hayat (Cinsel hayata ilişkin bilgiler v.b.)
- Ceza mahkumiyeti ve güvenlik tedbirleri (Ceza mahkumiyetine ilişkin bilgiler, Güvenlik tedbirlerine ilişkin bilgiler v.b.)
- Biyometrik veri (Avuç içi bilgileri, Parmak izi bilgileri, Retina taraması bilgileri, Yüz tanıma bilgileri v.b.)
- Genetik veri (Genetik veriler v.b.)
- Diğer bilgiler
- Verilerin İşlenme Amaçlarının Belirlenmesi
Veri sorumlusunun dilediği her bilgiye, dilediği şekilde sahip olma hakkı yoktur. Örneğin iş başvurusunda bulunan bir adaydan anne ve babasının öğrenim durumu belgeleri istenemez.
Benzer şekilde; marketten sadakat kartı talep eden bir müşteriden adli sicil kaydı da istenemez. Bu uç örnekleri verme sebebim; işlenecek her bir verinin bir amaca dayanması gerektiğini vurgulamaktır.
Kişisel Verilerin Korunması Kanununa göre; kişisel veriler, işlenme amacıyla bağlantılı, ölçülü ve sınırlı şekilde işlenmelidir.
Dolayısıyla, eline bir bilgi geçen veri sorumlusu, bu kişisel veri için bir amaç tespit edemiyorsa bu durumda bu veriyi işlemcmeli veya işlenmişse söz konusu veriyi imha etmelidir.
Bunun doğal sonucu ise, işlenecek her kişisel veri için bir amaç belirlenmesi gerektiğidir. Bundan önceki aşamalarda önce birimleri tespit etmiş, birimlerdeki faaliyetleri belirlemiş, faaliyetler gerçekleştirilirken işlenen verileri üstelemiştik.
Şimdi yapılması gereken, her bir kişisel veri için bir işleme amacı belirlemektir. Amaçları tamamen serbest irademizle belirleyebiliriz.
Burada önemli olan, amacın gerçekten de ölçülü, makul ve objektif olarak kabul edilebilir olmasıdır.
Aşağıda örnek amaçları görebilirsiniz:
- Acil Durum Yönetimi Süreçlerinin Yürütülmesi
- Bilgi Güvenliği Süreçlerinin Yürütülmesi
- Çalışan Adayı / Stajyer / Öğrenci Seçme ve Yerleştirme Süreçlerinin Yürütülmesi
- Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
- Çalışan Memnuniyeti ve Bağlılığı Süreçlerinin Yürütülmesi
- Çalışanlar îçin İş Akdi ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
- Çalışanlar İçin Yan Haklar ve Menfaatleri Süreçlerinin Yürütülmesi
- Denetim / Etik Faaliyetlerinin Yürütülmesi
- Eğitim Faaliyetlerinin Yürütülmesi
- Erişim Yetkilerinin Yürütülmesi
- Faaliyetlerin Mevzuata Uygun Yürütülmesi
- Finans ve Muhasebe İşlerinin Yürütülmesi
- Firma / Ürün / Hizmetlere Bağlılık Süreçlerinin Yürütülmesi
- Fiziksel Mekân Güvenliğinin Temini
- Görevlendirme Süreçlerinin Yürütülmesi
- Hukuk İşlerinin Takibi ve Yürütülmesi
- İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi
- İletişim Faaliyetlerinin Yürütülmesi
- İnsan Kaynakları Süreçlerinin Planlanması
- İş Faaliyetlerinin Yürütülmesi / Denetimi
- İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
- İş Süreçlerinin İyileştirilmesine Yönelik Önerilerin Alınması ve Değerlendirilmesi
- İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
- Lojistik Faaliyetlerinin Yürütülmesi
- Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
- Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
- Mal / Hizmet Satış Süreçlerinin Yürütülmesi
- Mal / Hizmet Üretim ve Operasyon Süreçlerinin Yürütülmesi
- Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
- Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
- Organizasyon ve Etkinlik Yönetimi
- Pazarlama Analiz Çalışmalarının Yürütülmesi
- Performans Değerlendirme Süreçlerinin Yürütülmesi
- Risk Yönetimi Süreçlerinin Yürütülmesi
- Saklama ve Arşiv Faaliyetlerinin Yürütülmesi
- Sosyal Sorumluluk ve Sivil Toplum Aktivitelerinin Yürütülmesi
- Sözleşme Süreçlerinin Yürütülmesi
- Sponsorluk Faaliyetlerinin Yürütülmesi
- Stratejik Planlama Faaliyetlerinin Yürütülmesi
- Talep / Şikayetlerin Takibi
- Taşınır Mal ve Kaynakların Güvenliğinin Temini
- Tedarik Zinciri Yönetimi Süreçlerinin Yürütülmesi
- Ücret Politikasının Yürütülmesi
- Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
- Veri Sorumlusu Operasyonlarının Güvenliğinin Temini
- Yabancı Personel Çalışma ve Oturma İzni İşlemleri
- Yatırım Süreçlerinin Yürütülmesi
- Yetenek / Kariyer Gelişimi Faaliyetlerinin Yürütülmesi
- Yetkili Kişi, Kuram ve Kuruluşlara Bilgi Verilmesi
- Yönetim Faaliyetlerinin Yürütülmesi
- Ziyaretçi Kayıtlarının Oluşturulması ve Takibi
- Verilerin İşlenmesinin Hukuki Sebeplerinin Tespiti
Kişisel verilerin işlenmesi için, öncelikle işleme amaçlarının belirlenmesi gerektiğini söylemiştik. Böylece keyfi şekilde kişisel veri elde edilmesinin önüne geçilebilir ve gerekli olandan fazla kişisel bilgi talep edilmesi engellenir.
Ancak bu tek başına yeterli değildir. Veri sorumlusunun, elde ettiği veriyi işlemek için makul ve geçerli bir amacının olması, o veriyi işlemek için tek başına kâfi gelmez.
Bu veri işleminin bir de hukuki dayanağının belirlenmesi gerekir. Şu sora, tam da bu anda sorulabilir: Alınacak her bir bilgi için nasıl bir hukuki dayanak bulabiliriz?
Öyle ya; işlenecek her bir verinin ne şekilde ve hangi şartlarda işlenebileceğinin kanunlarda tek tek yazması beklenemez. “Hukuki sebep”ten anlaşılması gereken, tek başına kanun metinleri olmamalıdır.
- Hukuki işlem (Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler v.b.)
- Müşteri işlem (Çağrı merkezi kayıtları, Fatura, senet, çek bilgileri, Gişe dekontlarındaki bilgiler, Sipariş bilgisi, Talep bilgisi v.b.)
- Fiziksel mekan güvenliği (Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, Kamera kayıtları v.b.)
- İşlem güvenliği (IP adresi bilgileri, İnternet sitesi giriş çıkış bilgileri, Şifre ve parola bilgileri v.b.)
- Risk yönetimi (Ticari, teknik, idari risklerin yönetilmesi için işlenen bilgiler v.b.)
- Finans (Bilanço bilgileri, Finansal performans bilgileri, Kredi ve risk bilgileri, Malvarlığı bilgileri v.b.)
- Mesleki deneyim (Diploma bilgileri, Gidilen kurslar, Meslek içi eğitim bilgileri, Sertifikalar, Transkript bilgileri v.b.)
- Pazarlama (Alışveriş geçmişi bilgileri, Anket, Çerez kayıtları, Kampanya çalışmasıyla elde edilen bilgiler v.b.)
- Görsel ve işitsel kayıtlar (Video ve ses kayıtları v.b.)
- Irk ve etnik köken (Irk ve etnik kökeni bilgileri v.b.)
- Siyasi düşünce bilgileri (Siyasi düşüncesini belirten bilgiler, Siyasi parti üyeliği bilgisi v.b.)
- Felsefi inanç, din, mezhep ve diğer inançlar (Diğer inançlarına ilişkin bilgiler, Dini aidiyetine ilişkin bilgiler, Felsefi inancına ilişkin bilgiler, Mezhep aidiyetine ilişkin bilgiler v.b.)
- Kılık ve kıyafet (Kılık kıyafete ilişkin bilgiler v.b.)
- Demek üyeliği (Dernek üyeliği bilgileri v.b.)
- Vakıf üyeliği (Vakıf üyeliği bilgileri v.b.)
- Sendika üyeliği (Sendika üyeliği bilgileri v.b.)
- Sağlık bilgileri (Engellilik durumuna ait bilgiler, Kan grubu bilgisi, Kişisel sağlık bilgileri, Kullanılan cihaz ve protez bilgileri v.b.)
- Cinsel hayat (Cinsel hayata ilişkin bilgiler v.b.)
- Ceza mahkumiyeti ve güvenlik tedbirleri (Ceza mahkumiyetine ilişkin bilgiler, Güvenlik tedbirlerine ilişkin bilgiler v.b.)
- Biyometrik veri (Avuç içi bilgileri, Parmak izi bilgileri, Retina taraması bilgileri, Yüz tanıma bilgileri v.b.)
- Genetik veri (Genetik veriler v.b.)
- Diğer bilgiler
- Verilerin İşlenme Amaçlarının Belirlenmesi
Veri sorumlusunun dilediği her bilgiye, dilediği şekilde sahip olma hakkı yoktur. Örneğin iş başvurusunda bulunan bir adaydan anne ve babasının öğrenim durumu belgeleri istenemez.
Benzer şekilde; marketten sadakat kartı talep eden bir müşteriden adli sicil kaydı da istenemez. Bu uç örnekleri verme sebebim; işlenecek her bir verinin bir amaca dayanması gerektiğini vurgulamaktır.
- Etnik kökeni
- Siyasi düşüncesi
- Felsefi inancı
- Dini, mezhebi veya diğer inançları
- Kılık ve kıyafeti
- Demek, vakıf ya da sendika üyeliği
- Sağlığı
- Cinsel hayatı
- Ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri
- Biyometrik ve genetik verileri
Eğer işlenen kişisel veri özel nitelikli kişisel veri ise bunlara ilişkin kanunda öngörülen işleme şartları, işleme amaçları, yurt içine aktarım, yurt dışına aktarım ve alınması gereken güvenlik tedbirleri açısından farklılıklar olacağından, bunlara dikkat edilmesi gerekir.
Kişisel Verilerin Kimleri İlgilendirdiğinin Tespiti
Bu durumun teknik adı “veri konusu kişi grubunun belirlenmesidir. Hangi kişisel verinin kimi ilgilendirdiği belirlenirken, bunun tek tek her gerçek kişi için yapılması elbette çok zor olacaktır.
Burada yapılması gereken, kişi grupları belirlemektir. Böylece kişisel veri işlenirken, bunun hangi grupla ilgili olduğu da belli olacaktır.
Bir organizasyondaki kişi grupları ilk bakışta müşteriler, çalışanlar ve ortaklardan ibaret görülebilir. Ama bu liste genişletilebilir. Aşağıda örnek kişi gruplarını bulabilirsiniz:
- Çalışan Adayı
- Çalışan
- Hissedar/Ortak
- Potansiyel Ürün veya Hizmet Alıcısı
- Stajyer
- Tedarikçi Çalışanı
- Tedarikçi Yetkilisi
- Ürün veya Hizmet Alan Kişi
- Veli / Vasi / Temsilci
- Ziyaretçi
- Alt İşveren
- Bayi
- İş/çözüm Ortağı
- Şirket Yetkilisi
- Talep/Şikâyet Sahibi
- Aile Bireyleri ve Yakın Bilgisi
- Kişisel Verilerin Saklama ve İmha Süresinin Tespiti
Kişisel verileri işlemek, veri sorumlusuna, onlara sonsuza kadar sahip olma hakkı vermez. Kitabımızın ilgili bölümünde anlatıldığı üzere, şartlan oluştuğunda kişisel verilerin silinmesi ya da yok edilmesi gerekecektir.
İşte veri sorumluları tarafından, kişisel verilerin ne kadar süre saklanacağı ve sürenin bitiminde imha işlemi uygulanacağına ilişkin belirlemenin yapılması gerekir.
Veri sorumluları, işledikleri kişisel verilere ilişkin saklama sürelerini belirlerken öncelikle işlenen kişisel verilerle ilgili mevzuatta herhangi bir saklama süresi öngörülüp öngörülmediğine bakmalıdır. İlgili mevzuatta bir süre öngörülmüşse saklama süresi olarak bu süre belirtilmelidir.
Saklama süresi tek tek ve “kişisel veri bazında” belirlenmelidir. Belirleme örneğin aşağıdaki şekillerde yapılabilir:
- Kimlik/20 yıl
- Özlük dosyası / Hukuki ilişki sürdüğü sürece ve +10 yıl
- Müşteri işlemleri / 10 yıl
- Mesleki deneyim / Hukuki ilişki sürdüğü sürece + 10 yıl
- Görsel ve işitsel kayıtlar / 2 yıl
- Biyometrik veri / İstihdam süresince
- Ceza ve güvenlik tedbirleri bilgisi / İstihdam süresince +5 yıl
- Sağlık bilgileri / İstihdam süresince +5 yıl
Burada dikkat edilmesi gereken iki temel husus vardır. İlk olarak, her bir veri kategorisi için mutlaka süre belirtilmeli; ikinci olarak ise, kanunlarda açıkça öngörülen yasal saklama yükümlülüklerine dikkat edilmelidir.
Kişisel Verilerin Aktarılıp Aktarılmadığının Tespiti
Kişisel veriye sahip olan bir veri sorumlusu, bu verileri kimseyle paylaşmayabilir. Ama uygulamada özellikle kimlik, iletişim gibi temel bilgiler başkalarıyla sık sık paylaşılmaktadır.
İşte her bir kişisel veri grubunun kimlerle paylaşıldığı da açıkça belirlenmelidir. Bu paylaşımın sadece yurt içinde mi yapıldığı, yoksa yurt dışına bilgi aktarımın da yapılıp yapılmadığı tespit edilmelidir.
Verilerin aktarıldığı alıcı grupları şunlar olabilir:
- Gerçek kişiler veya özel hukuk tüzel kişileri
- Hissedarlar
- îş Ortakları
- İştirakler ve bağlı ortaklıklar
- Tedarikçiler
- Topluluk Şirketleri
- Yetkili Kamu Kurum ve Kuruluşları
- Kişisel Verilerin Korunması İçin Alınan Tedbirlerin Tespiti
6698 sayılı Kanuna göre veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
Veri sorumlularının bu kapsamda, kişisel verilerin muhafazası için aldığı tedbirleri belirlemesi gerekir.
Güvenlik tedbirleri idari ve teknik olarak kendi içinde ayrılmalı ve her bir güvenlik tedbirinin türü böylece belirlenmelidir.
Aşağıda, örnek şeklinde mevcut olan bazı güvenlik tedbirlerini görebilirsiniz:
- Ağ güvenliği ve uygulama güvenliğinin sağlanması
- Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılması
- Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınması
- Bulutta depolanan kişisel verilerin güvenliğinin sağlanması
- Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri olması
- Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılması
- Çalışanlar için yetki matrisi oluşturulması
- Erişim loğlarının düzenli olarak tutulması
- Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmış olması
Gizlilik taahhütnameleri yapılması
- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin iptali
- Güncel anti-virüs sistemleri kullanılması
- Güvenlik duvarları kullanılması
- İmzalanan sözleşmelerin veri güvenliği hükümleri içermesi
- Kâğıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınması ve ilgili evrakın gizlilik dereceli belge formatında gönderilmesi
- Kişisel veri güvenliği politika ve prosedürlerinin belirlenmesi
- Kişisel veri güvenliği sorunlarının hızlı bir şekilde rapor- lanması
- Kişisel veri güvenliğinin takibinin yapılması
- Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemlerinin alınması
- Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliğinin sağlanması
- Kişisel veri içeren ortamların güvenliğinin sağlanması
- Kişisel verilerin mümkün olduğunca azaltılması
- Kişisel verilerin yedeklenmesi ve yedeklenen kişisel verilerin güvenliğinin de sağlanması
- Kullanıcı hesap yönetimi ve yetki kontrol sisteminin uygulanmakta olup bunların takibinin de yapılması.
- Kurum içi periyodik ve/veya rastgele denetimlerin yapılması ve yaptırılması.
- Log kayıtlarının kullanıcı müdahalesi olmayacak şekilde tutulması
- Mevcut risk ve tehditlerin belirlenmesi
- Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürlerin belirlenmiş ve uygulanıyor olması
- Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmesi
- Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografık anahtarlar kullanılması ve farklı birimlerce yönetilmesi
- Saldırı tespit ve önleme sistemleri kullanılması
- Sızma testi uygulanması
- Siber güvenlik önlemleri alınması ve uygulanmasının sürekli takip edilmesi
- Şifreleme yapılması
- Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler verilerin şifrelenerek aktarılması
- Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetiminin sağlanması
- Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığımn sağlanması
- Veri kaybı önleme yazılımları kullanılması