KVKK Uyum Sürecinde Envanter Neden Diğer Her Şeyden Önce Gelir

Bir kuruma KVKK uyum çalışması için gidildiğinde elde genellikle şu vardır. Bir aydınlatma metni, bir açık rıza formu, bir saklama ve imha politikası. Üçü de hazırlanmış, imzalanmış, klasöre konmuştur.

Sonra tek bir soru sorulur. Bu metinlerde yazan veri kategorileri nereden çıkarıldı?

Cevap çoğunlukla şudur. İnternette bulunan bir örnek alınmış, kurumun adı yazılmış, birkaç madde eklenmiş. Yani beyan, gerçeğin tespitinden değil bir şablondan türetilmiş. Bu, uyum çalışmalarında gördüğüm en yaygın ve en maliyetli sıra hatasıdır.

Sıra neden bu kadar önemli

Aydınlatma metni bir beyandır. Kanun'un 10. maddesi, veri sorumlusunun işlenen veri kategorilerini, amaçları, aktarılacağı tarafları ve hukuki sebebi bildirmesini öngörür. Beyanda bulunuyorsanız, beyanınızın doğru olması gerekir.

Envanter çıkarmadan yazılan metin doğru olamaz. En iyi ihtimalle eksik olur. Denetimde metinde yer almayan bir işleme faaliyeti tespit edildiğinde, ortada yalnızca teknik bir eksiklik değil, aydınlatma yükümlülüğünün gereği gibi yerine getirilmemesi hâli bulunur.

Bunun tersi de doğrudur. Envanteri elinde olan bir kurum aydınlatma metnini bir günde yazar, çünkü yazılacak her şey zaten tespit edilmiştir.

Envanterde gerçekten ne aranıyor

Envanter tablosu genellikle veri kategorisi, amaç ve saklama süresi sütunlarıyla hazırlanır. Bu üç sütun yetmez.

Eksik olan sütun şudur. Bu veri fiziksel olarak nerede duruyor? Hangi veritabanında, hangi tabloda, hangi alanda? Yedeklerde de var mı? Bir üçüncü taraf hizmet sağlayıcının sisteminde kopyası var mı?

Bu soru sorulmadığında envanter, kurumun kendi hakkındaki kanaatini yansıtır ve gerçeği yansıtmaz. Bir veri ihlali yaşandığında sorulacak ilk soru "o sunucuda hangi kişisel veri vardı" olacaktır. Fiziksel yerleşimi yazmayan envanter o an işe yaramaz.

Hukuki sebep seçimi bir mimari karardır

Kanun'un 5. maddesi işleme şartlarını sayar. Uygulamada bu maddeye çoğu zaman formalite olarak bakılır, oysa seçilen hukuki sebep sistemin nasıl kurulacağını doğrudan belirler.

Açık rızaya dayanan bir işleme faaliyetinde, rıza her an geri alınabilir. Geri alındığı anda işlemenin durması gerekir. Bu, sistemde şu üç şeyi zorunlu kılar. Rızanın hangi sürüm metne verildiğinin kaydı, geri alma işlemini kullanıcıya sunan bir arayüz ve rıza geri alındığında ilgili işlemeyi durduran bir kontrol. Üçü de yoksa rızaya dayanmak kurumu savunulamaz bir konuma sokar.

Buna karşılık sözleşmenin ifası için zorunlu olan bir işlemede bu mekanizmalar gerekmez. Aynı veri, farklı hukuki sebeple işlendiğinde bambaşka bir teknik yük doğurur. Bu yüzden hukuki sebep seçimini avukat tek başına, mimariden bağımsız olarak yapmamalıdır.

Saklama süresi ve onu uygulayan bileşen

Saklama süresi belirlemek, uyum çalışmasının en kolay kısmıdır. Uygulanmasını sağlamak en zor kısmıdır.

Çalışan bir kurgu şöyle görünür. Her kayıt kendi saklama süresini taşır, örneğin bir saklama_bitis alanı bulunur. Süresi dolan kayıtları tarayan bir iş düzenli olarak çalışır. İş, kaydı siler, yok eder ya da anonim hâle getirir ve yaptığı işlemi ayrı bir tabloya yazar. Denetimde sunulan şey politika metni değil, o tablodur.

Bu yapıyı kurmayan kurumlar genellikle şunu yapar. Süreyi politikaya yazar, uygulamayı ileri bir tarihe bırakır ve o tarih hiç gelmez. Aradan iki yıl geçtiğinde elde silinmemiş veri ve onun silinmiş olması gerektiğini yazan bir belge bulunur. Bu ikisinin bir arada bulunması, hiç politika yazmamış olmaktan daha kötü bir durumdur.

VERBİS ve kapsam meselesi

Veri Sorumluları Sicili'ne kayıt yükümlülüğü, Kurul tarafından belirlenen kriterlere tabidir. Yıllık çalışan sayısı, mali bilanço büyüklüğü ve işlenen verinin niteliği belirleyicidir.

Burada bir uyarı gerekiyor. Muafiyet kapsamı Kurul kararlarıyla zaman içinde değişmiştir ve değişmeye devam edebilir. Bugün muaf olan bir kurum, çalışan sayısı arttığında yükümlü hâle gelir. Bu nedenle muafiyet bir kez tespit edilip unutulacak bir konu değildir, yıllık olarak kontrol edilmelidir. Güncel eşikler için Kurum'un yayımladığı duyurulara bakılması gerekir.

İhlal planı önceden yazılır

Kanun'un 12. maddesinin beşinci fıkrası, ihlalin en kısa sürede Kurul'a bildirilmesini öngörür. Kurul kararlarında bu süre yetmiş iki saat olarak somutlaşmıştır.

Yetmiş iki saat, olayı fark ettikten sonra kapsamı tespit etmek, etkilenen kişileri belirlemek ve bildirimi hazırlamak için ayrılan toplam süredir. Bu adımların ilki bile çoğu kurumda günler alır, çünkü hangi verinin nerede tutulduğu yazılı değildir.

Yani ihlal hazırlığı ihlalden çok önce başlar ve yine aynı yere çıkar. Envanter.

Uyum bittiğinde ne olur

Bitmez. Yeni bir özellik yeni bir veri alanı doğurur. Yeni bir tedarikçi yeni bir aktarım doğurur. Kurul kararları çerçeveyi daraltır.

Bu yüzden uyumu bir proje olarak kurgulamak yerine, ürün geliştirme sürecinin içine yerleştirmek gerekir. Yeni bir alan eklenirken envanterin de güncellenmesi, kod incelemesinin bir parçası hâline gelirse süreç kendi kendini taşır. Aksi hâlde her yıl baştan başlanır ve her seferinde aynı sıra hatası tekrarlanır.