Şirket verileri ve kişisel verilerin güvenliği için: KVKK Dijital Çözümleri

Büyük Veri’nin (Big Data) en önemli teknolojilerden biri haline geldiği dijital dönüşüm sürecinde, Veri Çağı’ndayız. Şirketler verilerinin güvenliğini, müşterilerinin ve çalışanlarının kişisel verilerini korumak zorunda. Kişisel verileri korumanın bir insan hakkı olarak görüldüğü Veri Çağı’nda, işletmeler verilerini; etik, uyumlu, güvenli kullanma konusunda sorumlu. İş gereklilikleri ve yasal yaptırımların yanı sıra verileri ve kişisel verileri koruma, işletmelerin sürdürülebilirliği, marka değeri ve ticari itibarlarını korumaları açısından da hayati önemde. Kaldı ki müşteri verilerini koruyamayan veya başkalarıyla paylaşan şirketleri 1 milyon TL’ye kadar para cezası bekliyor. Bunun için de ‘KVKK Dijital Çözümleri’ne ihtiyaç var.

VERBİS’e son kayıt tarihi: 31 Aralık 2021: Türkiye konuyla ilgili mevzuat çalışmalarını sürekli güncelleyen ülkeler arasında. ‘6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK)’ 7 Nisan 2016 tarihinde yürürlüğe girdi, tanınan uyum süresi 31.12.2019’da sona erdi; kanundan doğan sorumluluklar ve haklar başladı. Şirketlerin, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) başvurup kayıt olmaları gerekiyor. Kişisel Verileri Koruma Kurumu (KVKK), Covid-19 Salgını (Pandemi) nedeniyle VERBİS’e kayıt yaptıramayan işletmeler için sürenin uzatıldığını duyurmuştu. Ana faaliyet konusu kişisel veri işleme olan KOBİ’lerin VERBİS’e kayıt süresi 31 Aralık 2021’e kadar uzatıldı. Mevzuat, dijitalleşmedeki yeni gelişmelere göre güncellenmeye devam ediyor. Kanun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek veya tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemeyi amaçlıyor.

Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanıyor.  Örneğin; müşterilerin, bayilerinin ve personellerinin adı, soyadı, cep telefonu, e-posta, TC kimlik numarası, adres, fotoğraf, kimlik fotokopisi ve benzeri diğer bilgilerini kaydeden ve işleyen şirketler bu kapsamda.

KVKK ve veri güvenliğinde işletmel nelere dikkat etmeli?
• VERBİS’e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yaptırılmalı: 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 16’ncı maddesi gereği, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Sicili’ne kaydolmak zorunda. Bu yapılmazsa Kanun’un 18. maddesindeki yaptırımlar devreye girecek.
• Sicile kayıt ve bildirim yükümlülüğü, süresinde VERBİS’e kayıt olunmasının yanısıra VERBİS’e beyan edilen bilgilerin tüm kişisel veri işleme faaliyetlerini kapsayacak şekilde doğru, güncel ve güvenilir bilgilerin de beyan edilmesini kapsıyor.
• Faaliyet ana konusu kişisel veri işlemek olmayan ve istihdamı 50’den az olan KOBİ’ler kanun kapsamı dışındadır.
• İlginin açık rızası olmaksızın işlenmesi yasak özel veriler işlenmemeli: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
• İşletmeler, kurum ve kuruluşlar, KVKK ve veri güvenliği konusunda tüm siber güvenlik önlemlerini almalı.

KVKK Dijital Çözümleri
• Yapay Zeka
• Büyük Veri (Big Data) ve İş Analitiği
• Sensörler
• Yetki Matrisi / Yetki Kontrol Erişim Logları
• Kullanıcı Hesap Yönetimi
• Ağ Güvenliği / Ağ Erişim Kontrolü (NAC)
• Veri Maskeleme ve Şifreleme / Veri Kaybı Önleme (DLP) Yazılımları / Veri Sızıntısı Önleme (DLP) Testi / Veri Sınıflandırma, Logging ve Monitoring
• Masaüstü ve Sunucu Yedekleme / Sunucu Oturumu Kaydı
• Siber Güvenlik / Uygulama Güvenliği / E-Posta Güvenliği Testi / Güvenlik Duvarları / Güncel Anti-Virüs Sistemleri
• Şifreleme / Şifreleme Testi
• Sızma Testi
• Saldırı Tespit ve Önleme Sistemleri
• Web Güvenliği ve ADC Testleri
• Log Kayıtları / Log ve SIEM Teknolojileri Testi
• Yedekleme
• Veri Silme, Yok Etme veya Anonim Hale Getirme / Veri Silme ve Yok Etme Testi / Veri Tabanı Güvenliği Testi
• Zaman Damgası Testi
• Anahtar Yönetimi
• İdari Tedbirler
• Kişisel Veri İşleme Envanteri / Kişisel Veri Tespit Testi
• Tokenizasyon Testi
• KVKK Modülü
• KVKK Uyumluluk Testi
• Mobil Cihaz Yönetimi (MDM) Ürünleri
• Yetki ve Erişim Denetim Ürünleri
• Kurumsal Politikalar (Erişim, Bilgi Güvenliği, Kullanım, Saklama ve İmha vb.)
• Sözleşmeler (Veri Sorumlusu-Veri Sorumlusu, Veri Sorumlusu-Veri İşleyen Arasında)
• Gizlilik Taahhütnameleri
• Kurum İçi Periyodik ve/veya Rastgele Denetimler Risk Analizleri İş Sözleşmesi
• Disiplin Yönetmeliği (Kanuna Uygun Hükümler İlave Edilmesi)
• Kurumsal İletişim (Kriz Yönetimi, Kurul ve İlgili Kişiyi Bilgilendirme Süreçleri, İtibar Yönetimi vb.)
• Eğitim ve Farkındalık Faaliyetleri (Bilgi Güvenliği ve Kanun)
• Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) Bildirim
• Zorunlu KVKK Eğitimi
• Denetim Hizmetleri
• KVKK Danışmanlığı
• KVKK Uyum Danışmanlığı
• VERBİS Kayıt Süreci Yönetimi
• Cihaz Kurulumu ve Konfigürasyonu

KVKK ve GDPR uyum süreci
Veri koruma mevzuatımız Avrupa Birliği (AB) ile uyum sürecinde şekilleniyor. Avrupa genelinde AB vatandaşlarının kişisel verilerini korumaya yönelik oluşturulmuş yönetmelik GDPR (General Data Protection Regulation-Genel Veri Koruma Yönetmeliği), 25 Mayıs 2018’den itibaren yürürlüğe girdi. AB’ye üye ülkelerde büyük kurum ve kuruluşlarda var olan kişisel verilerin yönetmelikte belirtilen kurallar çerçevesinde güvenliğini sağlamayı amaçlayan GDPR, AB sınırları içerisindeki vatandaşlarının kişisel verilerini barındıran bütün işletmeleri kapsar. Şirketin konumu AB sınırları içerisinde bulunmasa dahi bu vatandaşların verilerini topladığı için yönetmelikten sorumlu tutuluyor. GDPR maddelerine uyum sağlamayan işletmeleri ciddi ceza ve yaptırımlar bekliyor. Türkiye’de kurulan ve faaliyet gösteren fakat bir şekilde AB vatandaşlarının verisini işleyen gerçek ve tüzel kişilerin GDPR’ye ayrıca ve açıkça uyum sağlaması şartı sözkonusu. Dolayısıyla e-ticaret siteleri de bu kurallara uymak zorunda.
*Bilgi için: www.kvkk.gov.tr

Kişisel veri nedir?
Kanuna göre ‘kişisel veri’, şöyle tanımlanıyor: “Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.”

Suçlar ve cezalar
Kanunun;
a) 10’uncu maddesinde (Veri sorumlusunun aydınlatma yükümlülüğü) öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,
b) 12’nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,
c) 15’inci maddesi uyarınca Kurul (Kişisel Verileri Koruma Kurulu) tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,
ç) 16’ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar, idari para cezası verilir.

“Kişisel veriler sizindir”
Kişisel Verileri Koruma Kurumu (KVKK) Başkanı Prof.Dr. Faruk Bilir, 2010’daki Anayasa değişikliğiyle birlikte kişisel verilerin korunmasını istemenin bir anayasal hak olarak tanındığını belirterek, 2016’da yürürlüğe giren Kanun (KVKK) ile Türkiye’de kişisel verilerin korunmasında yeni bir dönem başladığının altını çizdi. Bilir, “Kişisel veriler sizindir. Size ait olan sizde kalsın. Kişi herhangi bir ihlal olmaksızın kendisi hakkında veri işlenip işlenmediğini öğrenme hakkında sahip” dedi.