6698 sayılı Kişisel Verilerin Korunması Kanununun 12. maddesi, veri sorumlularının kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlü olduğunu düzenlemektedir. Bu yükümlülük, Kanun kapsamındaki tüm veri sorumluları için geçerlidir. Bu yazıda veri güvenliğine ilişkin teknik ve idari tedbirlerin genel çerçevesi hakkında bilgilendirme sunulmaktadır. Somut tedbirlerin belirlenmesi için uzman desteği almanız önerilir.
Yasal Çerçeve
Kanunun 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek ve verilerin muhafazasını sağlamak amacıyla teknik ve idari tedbirleri almakla yükümlüdür. Özel nitelikli kişisel verilerin işlenmesinde ek güvenlik önlemleri gerekebilir. Veri ihlali halinde Kuruma bildirim yapılması ve ilgili kişinin bilgilendirilmesi de bu madde kapsamında düzenlenmiştir. Kişisel Verileri Koruma Kurulu, veri güvenliği ve ihlal bildirimi konusunda rehberler yayımlamıştır.
Teknik Tedbirler
Teknik tedbirler, kişisel verilerin işlendiği sistemlerin güvenliğini artırmaya yönelik önlemlerdir. Şifreleme (encryption), verilerin yetkisiz erişime karşı korunmasında temel araçlardan biridir. Hassas verilerin depolanması ve aktarımı sırasında güçlü şifreleme yöntemlerinin kullanılması genel olarak önerilir. SSL/TLS sertifikası ile web trafiğinin şifrelenmesi (HTTPS), e-posta veya dosya aktarımında şifreleme kullanımı örnek uygulamalardır. Erişim kontrolü, sadece yetkili kişilerin verilere erişebilmesini sağlayan mekanizmalarla sağlanır. Kullanıcı kimlik doğrulama, rol tabanlı erişim, güçlü parola politikaları bu kapsamda düşünülebilir.
Güvenli Depolama ve Yedekleme
Kişisel verilerin güvenli ortamlarda depolanması ve düzenli yedekleme yapılması veri kaybı ve yetkisiz erişime karşı koruma sağlar. Sunucu ve veritabanı güvenliği, güncel güvenlik yamalarının uygulanması, güvenlik duvarı (firewall) ve benzeri koruma araçlarının kullanılması dikkate alınmalıdır. Bulut hizmeti veya hosting kullanılıyorsa hizmet sağlayıcının güvenlik sertifikaları ve veri işleyen sözleşmesi gözden geçirilmelidir.
İdari Tedbirler
İdari tedbirler, kurum içi politika ve süreçlerle ilgilidir. Çalışanların kişisel verilerin korunması konusunda eğitilmesi, gizlilik sözleşmeleri imzalanması, yetkisiz erişim veya veri sızıntısı durumunda izlenecek prosedürlerin tanımlanması bu kapsamda değerlendirilir. Veri işleyenlerle (hosting, e-posta sağlayıcı, analytics vb.) yapılan sözleşmelerde güvenlik ve gizlilik yükümlülüklerinin açıkça belirtilmesi Kanun uyarınca genel olarak önerilir.
Veri İhlali ve Bildirim Yükümlülüğü
Kanunun 12. maddesinin (5) ve (6) numaralı fıkraları uyarınca, kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kuruma bildirmekle yükümlüdür. Kurum, veri ihlali bildirimi rehberi yayımlamış olup bildirimin içeriği, süresi ve yöntemi bu rehberde belirtilmiştir. İhlal tespiti halinde gecikmeden harekete geçilmesi ve gerekli adımların atılması önem taşır.
Web Sitesi ve Çevrimiçi Veri Güvenliği
Web siteleri üzerinden kişisel veri toplayan veri sorumluları için HTTPS kullanımı, form verilerinin güvenli iletilmesi, güçlü parola politikaları (üyelik sistemleri için) ve düzenli güvenlik taramaları genel çerçevede dikkate alınması gereken konulardır. Web sitesi KVKK uyum rehberimizde veri güvenliği başlığı altında benzer unsurlar yer almaktadır.
Özel Nitelikli Kişisel Veriler
Sağlık, biyometrik veya diğer özel nitelikli kişisel verilerin işlenmesinde ek güvenlik önlemleri alınması gerekebilir. Bu verilerin ayrı ve güvenli ortamlarda tutulması, erişim kısıtlamalarının sıkılaştırılması ve ek şifreleme uygulanması Kurul kararları ve rehberlerde vurgulanmaktadır. Sağlık verisi ve hassas veri rehberimizi inceleyebilirsiniz.
Periyodik Denetim ve Gözden Geçirme
Veri güvenliği tedbirlerinin etkinliği periyodik olarak gözden geçirilmelidir. Yeni riskler, teknoloji değişimleri veya faaliyet genişlemesi durumunda tedbirlerin güncellenmesi önerilir. KVKK güncel gelişmeler rehberimiz son dönem Kurul kararları ve rehber güncellemelerine dair bilgi içerir.
Özet
KVKK kapsamında veri güvenliği yükümlülüğü teknik ve idari tedbirlerin alınmasını gerektirir. Şifreleme, erişim kontrolü, güvenli depolama, çalışan eğitimi, veri işleyen sözleşmeleri ve veri ihlali bildirimi bu kapsamda değerlendirilir. Somut tedbirlerin belirlenmesi için bilgi güvenliği uzmanı veya hukuk danışmanına başvurmanız önerilir.