KVKK / GDPR Uyum Danışmanlığı ve DPO Hizmeti

KVKK ve GDPR Uyum Danışmanlığı Nedir?

KVKK / GDPR Uyum Danışmanlığı, kurumların kişisel veri işleme faaliyetlerini hukuki, idari, organizasyonel ve teknik gereksinimler açısından değerlendirerek kişisel verilerin güvenli ve mevzuata uygun şekilde yönetilmesini amaçlayan kapsamlı bir veri koruma ve gizlilik danışmanlığı hizmetidir.

Türkiye'de kişisel verilerin korunmasına ilişkin temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) iken, Avrupa Birliği'nde kişisel verilerin korunmasına yönelik temel düzenleme General Data Protection Regulation (GDPR)'dır.

Kişisel veri uyumu yalnızca aydınlatma metni, açık rıza metni veya birkaç politika hazırlanmasından oluşmaz. Günümüzde etkili bir Privacy Governance – Veri Gizliliği Yönetişimi yapısı; kişisel verinin kurum içerisinde nerede bulunduğunu, neden işlendiğini, kimlerin eriştiğini, hangi sistemlerde tutulduğunu, kimlerle paylaşıldığını, ne kadar süre saklandığını ve hangi teknik güvenlik kontrolleriyle korunduğunu birlikte değerlendirmelidir.

SecureSys KVKK ve GDPR Danışmanlık Hizmeti kapsamında kurumların mevcut kişisel veri işleme faaliyetlerini analiz eder; veri envanteri, risk ve GAP analizi, politika ve prosedürler, teknik güvenlik kontrolleri, tedarikçi yönetimi, veri ihlali süreçleri, saklama ve imha süreçleri ile Privacy Governance yapısının oluşturulmasına destek sağlar.

Ayrıca GDPR kapsamında ihtiyaç duyan kuruluşlar için DPO – Data Protection Officer fonksiyonunun oluşturulması, mevcut DPO yapısının geliştirilmesi veya dış kaynak DPO hizmet modeli kapsamında destek sağlanabilir.

Amaç yalnızca mevzuata ilişkin dokümanların hazırlanması değil; kişisel verinin yaşam döngüsünün tamamında güvenli, kontrollü, izlenebilir ve sürdürülebilir bir veri koruma yönetim modeli oluşturulmasıdır.

KVKK Nedir?

KVKK – Kişisel Verilerin Korunması Kanunu, Türkiye'de kişisel verilerin işlenmesine ilişkin temel ilkeleri ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenleyen 6698 sayılı Kanun'dur.

KVKK kapsamında kişisel verilerin;

hukuka ve dürüstlük kurallarına uygun işlenmesi, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlarla işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve gerekli süre kadar muhafaza edilmesi

temel prensipler arasındadır.

Kurumların yalnızca hangi kişisel verileri topladığını bilmesi yeterli değildir.

Verinin;

nereden geldiği → hangi amaçla işlendiği → hukuki sebebi → hangi sistemde tutulduğu → kimlerin eriştiği → kimlerle paylaşıldığı → yurt dışına aktarılıp aktarılmadığı → ne kadar süre saklandığı → nasıl imha edildiği

uçtan uca değerlendirilmelidir.

GDPR Nedir?

GDPR – General Data Protection Regulation, Avrupa Birliği'nin kişisel verilerin korunması ve veri gizliliğine ilişkin kapsamlı düzenlemesidir.

GDPR, kuruluşların kişisel verileri hangi koşullarda işleyebileceğini, ilgili kişilerin haklarını, veri sorumlularının ve veri işleyenlerin yükümlülüklerini, veri ihlali süreçlerini ve uluslararası veri aktarımlarını düzenler.

GDPR özellikle Avrupa Birliği ile çalışan veya belirli koşullarda AB'deki bireylere mal veya hizmet sunan kuruluşlar açısından önem taşır.

GDPR yaklaşımının temelinde yalnızca mevzuata uyum değil, Privacy by Design – Tasarımdan İtibaren Gizlilik ve Privacy by Default – Varsayılan Olarak Gizlilik prensipleri bulunmaktadır.

Bu yaklaşım kişisel veri güvenliğinin bir ürün veya hizmet geliştirildikten sonra eklenmesi yerine, daha tasarım aşamasında değerlendirilmesini hedefler.

KVKK ve GDPR Arasındaki Fark Nedir?

KVKK ve GDPR kişisel verilerin korunması konusunda benzer temel prensiplere sahip olmakla birlikte uygulama alanları ve bazı yükümlülükler açısından farklılık gösterebilir.

İki düzenlemeye birden tabi olan kuruluşlarda süreçleri tamamen birbirinden bağımsız yönetmek yerine ortak bir Privacy Management Framework altında gereksinimlerin eşleştirilmesi daha etkin bir yaklaşım olabilir.

Konu	KVKK	GDPR
Temel Düzenleme	6698 sayılı KVKK	EU GDPR
Ana Odak	Kişisel verilerin korunması	Kişisel veri ve privacy
Veri Sorumlusu	Veri Sorumlusu	Data Controller
Veri İşleyen	Veri İşleyen	Data Processor
Veri Sahibi	İlgili Kişi	Data Subject
Veri Koruma Rolü	Mevzuattaki yükümlülüklere göre yapılandırılır	Belirli koşullarda DPO
Etki Analizi	Risk bazlı değerlendirmeler	DPIA belirli yüksek riskli işlemlerde kritik
Tasarımdan Gizlilik	Teknik/idari tedbirlerle ilişkili	Privacy by Design açık bir yaklaşım
İhlal Yönetimi	KVKK gereksinimleri	GDPR ihlal bildirim mekanizması
Uluslararası Aktarım	KVKK hükümleri	GDPR Chapter V mekanizmaları

KVKK / GDPR Danışmanlığı Neden Gereklidir?

Kişisel veri artık yalnızca insan kaynakları veya hukuk departmanlarının yönettiği bir konu değildir.

CRM sistemleri, ERP uygulamaları, Active Directory, e-posta, mobil uygulamalar, web siteleri, çağrı merkezleri, CCTV sistemleri, bulut servisleri, insan kaynakları uygulamaları, yedekler, dosya sunucuları ve SaaS platformlarında büyük miktarda kişisel veri bulunabilir.

Bu nedenle veri koruma çalışmalarında hukuk + süreç + teknoloji + siber güvenlik birlikte değerlendirilmelidir.

KVKK ve GDPR uyum çalışması ile;

• Kişisel veri işleme faaliyetleri belirlenir.
• Veri envanteri oluşturulur.
• Veri akışları analiz edilir.
• Hukuki işleme sebepleri değerlendirilir.
• Veri saklama süreleri belirlenir.
• Gereksiz veri işleme faaliyetleri tespit edilir.
• Veri erişim yetkileri değerlendirilir.
• Kişisel veri paylaşımı ve aktarımı incelenir.
• Üçüncü taraflar değerlendirilir.
• Teknik ve idari güvenlik tedbirleri analiz edilir.
• Veri ihlali süreçleri oluşturulur.
• İlgili kişi başvuruları için süreç tanımlanır.
• Privacy Governance yapısı oluşturulur.
• Riskli veri işleme faaliyetleri için ek kontroller belirlenir.

KVKK / GDPR Mevcut Durum ve GAP Analizi

Çalışmanın ilk aşamalarından biri KVKK / GDPR Gap Analizi gerçekleştirilmesidir.

Kurumun mevcut politika ve prosedürleri, veri işleme faaliyetleri, bilgi sistemleri, sözleşmeleri, üçüncü taraf ilişkileri ve teknik güvenlik kontrolleri incelenir.

Her gereksinim;

Mevzuat Gereksinimi → Mevcut Durum → GAP → Risk → Önerilen Aksiyon → Sorumlu → Öncelik → Hedef Tarih

yaklaşımıyla değerlendirilebilir.

Böylece yüzlerce maddeden oluşan kontrol listeleri yerine uygulanabilir ve yönetim tarafından takip edilebilir bir KVKK/GDPR Uyum Yol Haritası oluşturulur.

Kişisel Veri Envanteri Nedir?

Kişisel Veri İşleme Envanteri, kurum içerisinde gerçekleştirilen kişisel veri işleme faaliyetlerinin sistematik şekilde belirlenmesini sağlar.

Envanter çalışmasında yalnızca “ad, soyad, telefon, e-posta” gibi veri kategorilerinin listelenmesi yeterli değildir.

Her veri işleme faaliyeti için;

• İş süreci
• Veri kategorisi
• İlgili kişi grubu
• İşleme amacı
• Hukuki sebep
• Veri kaynağı
• Veri alıcısı
• Veri aktarımı
• Kullanılan bilgi sistemi
• Saklama süresi
• Güvenlik tedbirleri
• Veri sahibi departman

gibi bilgiler değerlendirilebilir.

Bu çalışma kuruluşun kişisel veriye ilişkin gerçek veri haritasını oluşturmasına yardımcı olur.

Veri Keşfi ve Veri Haritalama

Kurumların dokümantasyonunda belirtilen veri ile teknik sistemlerde bulunan gerçek veri her zaman aynı olmayabilir.

Bu nedenle ileri seviye KVKK/GDPR çalışmalarında Data Discovery – Veri Keşfi ve Data Mapping – Veri Haritalama önemli hale gelir.

Kişisel veriler;

dosya sunucularında, kullanıcı bilgisayarlarında, SharePoint ortamlarında, veri tabanlarında, e-posta sistemlerinde, bulut depolama alanlarında, CRM/ERP uygulamalarında veya eski arşivlerde bulunabilir.

Veri keşfi çalışmaları ile kişisel verinin nerede bulunduğu belirlenerek;

Veri Kaynağı → Veri İşleme → Veri Depolama → Erişim → Aktarım → Arşiv → İmha

yaşam döngüsü ortaya çıkarılabilir.

KVKK / GDPR Risk Analizi

Kişisel veri işleme faaliyetleri farklı risk seviyelerine sahip olabilir.

Örneğin çalışanların kurumsal e-posta adreslerinin tutulması ile çok sayıda kişinin sağlık bilgilerinin işlendiği bir sistem aynı risk seviyesinde değerlendirilmemelidir.

Privacy Risk Assessment – Gizlilik Risk Analizi kapsamında;

Veri → İşleme Faaliyeti → Tehdit → Zafiyet → Etki → Olasılık → Mevcut Kontrol → Risk Seviyesi → Aksiyon

ilişkisi oluşturulabilir.

Özellikle;

• Özel nitelikli kişisel veriler
• Büyük ölçekli veri işleme
• Çocuklara ilişkin veriler
• Finansal bilgiler
• Biyometrik veriler
• Lokasyon verileri
• Profil oluşturma
• Otomatik karar verme
• AI tabanlı kişisel veri işleme

daha detaylı risk değerlendirmesi gerektirebilir.

DPIA Nedir? Veri Koruma Etki Değerlendirmesi

DPIA – Data Protection Impact Assessment, özellikle GDPR kapsamında kişilerin hak ve özgürlükleri açısından yüksek risk oluşturabilecek veri işleme faaliyetlerinin sistematik şekilde değerlendirilmesini sağlayan Veri Koruma Etki Değerlendirmesi yaklaşımıdır.

DPIA çalışmasında;

• Veri işleme faaliyetinin amacı
• Kullanılan kişisel veriler
• Veri kaynakları
• İlgili kişi grupları
• Veri işleme kapsamı
• İşlemenin gerekliliği ve orantılılığı
• İlgili kişiler üzerindeki potansiyel etkiler
• Mevcut güvenlik kontrolleri
• Risk azaltıcı tedbirler
• Kalan risk

değerlendirilir.

DPIA özellikle yeni teknoloji, yapay zekâ, profil oluşturma, büyük ölçekli izleme veya hassas veri işleme içeren projelerde önemli bir Privacy Risk Management aracıdır.

Privacy by Design Nedir?

Privacy by Design – Tasarımdan İtibaren Gizlilik, kişisel veri güvenliğinin sistem veya ürün tamamlandıktan sonra düşünülmesi yerine projenin ilk tasarım aşamasından itibaren değerlendirilmesini ifade eder.

Örneğin yeni bir mobil uygulama geliştiriliyorsa;

“Uygulama bittikten sonra KVKK metni ekleyelim.”

yaklaşımı yerine;

Hangi veriye gerçekten ihtiyacımız var? Veriyi neden topluyoruz? Ne kadar süre saklayacağız? Kim erişecek? Şifreleme gerekiyor mu? Kullanıcı verisini nasıl silecek? Üçüncü taraflara aktarım var mı?

sorularının tasarım aşamasında cevaplanması gerekir.

Bu yaklaşım hem veri güvenliği risklerini hem de sonradan yapılacak maliyetli değişiklikleri azaltabilir.

Privacy by Default Nedir?

Privacy by Default – Varsayılan Olarak Gizlilik, sistemlerin varsayılan ayarlarının mümkün olan en yüksek veri koruma seviyesini desteklemesini hedefler.

Bir kullanıcının gizliliğini koruyabilmek için karmaşık ayarlar yapması gerekmemelidir.

Varsayılan olarak yalnızca hizmet için gerekli kişisel verilerin işlenmesi, erişimlerin sınırlandırılması ve gereksiz paylaşımın engellenmesi hedeflenir.

DPO Nedir?

DPO – Data Protection Officer, Türkçede genel olarak Veri Koruma Görevlisi olarak ifade edilen ve GDPR kapsamında veri koruma yönetişiminde önemli sorumluluklar üstlenen bir roldür.

DPO'nun temel amacı yalnızca şirket adına doküman hazırlamak değildir.

DPO;

kişisel veri işleme faaliyetlerinin izlenmesi, GDPR yükümlülükleri konusunda organizasyonun bilgilendirilmesi, farkındalığın artırılması, DPIA süreçlerinin desteklenmesi ve veri koruma yönetişiminin geliştirilmesi

gibi alanlarda görev yapar.

DPO aynı zamanda veri koruma otoriteleriyle ilişkiler açısından önemli bir temas noktası işlevi görebilir.

DPO Ne İş Yapar?

Bir Data Protection Officer veri koruma süreçlerinin kurum içerisinde sürdürülebilir şekilde yönetilmesine yardımcı olur.

DPO'nun görev alanı kuruluşun yapısına göre değişmekle birlikte genel olarak;

• GDPR uyum seviyesinin takip edilmesi
• Kişisel veri işleme faaliyetlerinin değerlendirilmesi
• Privacy politikalarının gözden geçirilmesi
• Veri envanterinin takibi
• İlgili ekiplerin bilgilendirilmesi
• Veri koruma farkındalığının geliştirilmesi
• DPIA çalışmalarının desteklenmesi
• Privacy risklerinin değerlendirilmesi
• Veri ihlali süreçlerinin izlenmesi
• İlgili kişi başvurularının süreç açısından değerlendirilmesi
• Tedarikçi privacy risklerinin takibi
• Yeni projelerde Privacy by Design yaklaşımının desteklenmesi
• İç denetim ve kontrol çalışmalarının takip edilmesi
• Yönetim raporlamalarının hazırlanması

gibi faaliyetleri kapsayabilir.

DPO'nun görevlerini yerine getirirken gerekli bağımsızlığa sahip olması önemlidir.

DPO Her Şirket İçin Zorunlu mudur?

GDPR kapsamında her kuruluşun DPO ataması zorunlu değildir.

DPO gerekliliği kuruluşun niteliği ve gerçekleştirdiği kişisel veri işleme faaliyetlerine göre değerlendirilir.

GDPR kapsamında özellikle belirli kamu otoriteleri ve kamu organları ile temel faaliyetleri büyük ölçekli düzenli ve sistematik izleme veya belirli özel nitelikli veri kategorilerinin büyük ölçekte işlenmesini gerektiren kuruluşlarda DPO atanması gündeme gelebilir.

Bu nedenle;

“GDPR'a tabi olan her şirket DPO atamak zorundadır.”

ifadesi doğru değildir.

Kuruluşun DPO gereksinimi veri işleme faaliyetleri ve GDPR kapsamındaki yükümlülükleri dikkate alınarak ayrıca değerlendirilmelidir.

DPO ile KVKK İrtibat Kişisi Aynı Şey midir?

Hayır.

DPO ile KVKK kapsamında kullanılan irtibat kişisi kavramları aynı rol değildir.

GDPR kapsamındaki Data Protection Officer'ın görevleri, konumu ve bağımsızlığı GDPR tarafından özel olarak düzenlenmiştir.

Türkiye'deki veri sorumlusu organizasyonlarında bulunan farklı temsil, irtibat veya yönetişim rolleri ile DPO'nun görevleri birbirine benzer noktalar taşıyabilse de hukuki açıdan aynı kavramlar olarak değerlendirilmemelidir.

Bu ayrım özellikle hem Türkiye'de hem Avrupa Birliği pazarında faaliyet gösteren kuruluşlar açısından önemlidir.

Dış Kaynak DPO – DPO as a Service Nedir?

Kuruluşlar DPO fonksiyonunu ihtiyaçlarına ve tabi oldukları gereksinimlere göre organizasyon içerisinde yapılandırabileceği gibi uygun durumlarda dış kaynak hizmet modeliyle de destekleyebilir.

Outsourced DPO / DPO as a Service, kuruluşun veri koruma faaliyetlerinin uzman bir ekip tarafından sürekli olarak desteklenmesini amaçlayan hizmet modelidir.

Dış kaynak DPO hizmeti kapsamında;

• Periyodik GDPR uyum kontrolleri
• Privacy risk değerlendirmeleri
• Veri envanteri takibi
• DPIA desteği
• Politika güncellemeleri
• Veri ihlali süreç desteği
• İlgili kişi başvurularının süreç desteği
• Tedarikçi privacy değerlendirmeleri
• Yeni proje kontrolleri
• Farkındalık çalışmaları
• Yönetim raporlamaları

gerçekleştirilebilir.

Buradaki önemli nokta, DPO fonksiyonunun yalnızca ismen atanmış bir kişiden oluşmamasıdır.

Etkili DPO hizmeti, kurumun günlük veri işleme süreçlerinin gerçekten takip edildiği aktif bir Privacy Governance mekanizması oluşturmalıdır.

DPO as a Service Kimler İçin Uygundur?

Dış kaynak DPO hizmet modeli özellikle;

• Avrupa'da faaliyet gösteren şirketler
• AB müşterilerine hizmet veren kuruluşlar
• SaaS şirketleri
• Yazılım şirketleri
• E-ticaret kuruluşları
• Çok uluslu şirketler
• Büyük miktarda kişisel veri işleyen organizasyonlar
• Kendi bünyesinde tam zamanlı privacy ekibi bulunmayan kuruluşlar
• Düzenli GDPR danışmanlığına ihtiyaç duyan şirketler

için değerlendirilebilir.

Kuruluşun hukuki olarak DPO atama zorunluluğu bulunmasa dahi veri koruma yönetişiminin desteklenmesi için farklı privacy danışmanlık modelleri uygulanabilir.

Privacy Officer ve DPO Arasındaki Fark Nedir?

Privacy Officer daha geniş anlamda kuruluşun veri gizliliği programını yöneten kurumsal bir rol olarak kullanılabilir.

DPO ise GDPR'da tanımlanan belirli görev, konum ve bağımsızlık gereksinimlerine sahip bir fonksiyondur.

Bu nedenle her Privacy Officer otomatik olarak GDPR kapsamında DPO değildir.

Kuruluşların görev tanımlarını hazırlarken bu ayrımı dikkate alması önemlidir.

KVKK / GDPR Teknik Çalışmalar

SecureSys KVKK ve GDPR danışmanlık yaklaşımında kişisel veri güvenliği yalnızca hukuki metin ve dokümantasyon üzerinden değerlendirilmez.

Kapsam dahilinde kişisel verilerin bulunduğu teknik sistemler ve uygulanan güvenlik kontrolleri de incelenebilir.

Teknik çalışmalar kapsamında;

• Active Directory erişim yetkilerinin incelenmesi
• Kullanıcı ve grup yetkilerinin değerlendirilmesi
• Ayrıcalıklı hesapların incelenmesi
• MFA kullanımının değerlendirilmesi
• Parola politikalarının kontrolü
• Kişisel veri bulunan sistemlerin belirlenmesi
• Veri tabanı erişimlerinin incelenmesi
• Dosya sunucusu yetkilerinin değerlendirilmesi
• DLP kontrollerinin incelenmesi
• Veri sınıflandırma yapısının değerlendirilmesi
• Log ve SIEM altyapısının kontrol edilmesi
• Veri erişim loglarının incelenmesi
• PAM kullanımının değerlendirilmesi
• Endpoint güvenlik kontrollerinin incelenmesi
• EDR/XDR kapsamının değerlendirilmesi
• E-posta güvenliği kontrollerinin incelenmesi
• Veri şifreleme yöntemlerinin değerlendirilmesi
• Backup ve restore süreçlerinin incelenmesi
• Yedeklerde kişisel veri güvenliğinin değerlendirilmesi
• Bulut servislerinin incelenmesi
• SaaS uygulamalarının değerlendirilmesi
• Veri aktarım kanallarının incelenmesi
• API güvenliği kontrollerinin değerlendirilmesi
• Mobil uygulamalardaki veri güvenliği kontrolleri
• Web uygulamalarındaki kişisel veri güvenliği
• Test ortamlarında kullanılan verilerin değerlendirilmesi
• Maskeleme ve anonimleştirme kontrollerinin incelenmesi
• Veri imha mekanizmalarının teknik olarak doğrulanması
• EOL/EOS sistemlerde bulunan kişisel verilerin değerlendirilmesi
• Üçüncü taraf erişimlerinin kontrol edilmesi

gerçekleştirilebilir.

Bu yaklaşım sayesinde “kişisel veriyi koruyoruz” ifadesinin gerçek teknik ortamda karşılığı olup olmadığı değerlendirilebilir.

Veri Sınıflandırma ve KVKK/GDPR

Kurum içerisindeki bütün bilgiler aynı güvenlik seviyesinde değildir.

Bu nedenle etkili bir veri güvenliği yaklaşımında bilgilerin sınıflandırılması önemlidir.

Örneğin;

Genel → Kurum İçi → Gizli → Çok Gizli / Hassas

gibi sınıflandırmalar oluşturulabilir.

Kişisel ve özel nitelikli kişisel verilerin sınıflandırılması sayesinde;

• Kimlerin erişebileceği
• E-posta ile gönderilip gönderilemeyeceği
• Harici ortama kopyalanıp kopyalanamayacağı
• Şifreleme gereksinimleri
• DLP politikaları
• Saklama ve imha yöntemleri

daha etkin şekilde yönetilebilir.

DLP ve Kişisel Veri Güvenliği

DLP – Data Loss Prevention, kişisel veya kritik verilerin kurum dışına yetkisiz şekilde çıkarılmasını tespit etmek ve engellemek amacıyla kullanılan veri güvenliği teknolojilerinden biridir.

DLP sistemleri;

e-posta, endpoint, web, bulut servisleri ve dosya transferleri

üzerinden hassas veri hareketlerini izleyebilir.

KVKK/GDPR teknik uyum çalışmalarında DLP tek başına mevzuat uyumu sağlamaz ancak veri sızıntısı risklerinin azaltılmasında önemli bir teknik kontrol olabilir.

Veri Maskeleme Nedir?

Data Masking – Veri Maskeleme, gerçek verilerin belirli kullanıcı veya ortamlarda doğrudan görünmesini engellemek amacıyla verilerin maskelenmiş şekilde gösterilmesidir.

Özellikle test ve geliştirme ortamlarında gerçek müşteri verilerinin kullanılması önemli privacy riskleri oluşturabilir.

Mümkün olduğu durumlarda test verilerinin anonimleştirilmesi, sentetik veri kullanılması veya hassas alanların maskelenmesi değerlendirilebilir.

Anonimleştirme ve Takma Ad Kullanımı

Anonymization – Anonimleştirme, verinin belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesini amaçlar.

Pseudonymization – Takma Ad Kullanımı ise doğrudan tanımlayıcıların farklı değerlerle değiştirilmesi gibi yöntemlerle veri ile kişi arasındaki doğrudan ilişkinin azaltılmasını sağlar.

İki kavram aynı değildir.

Takma ad kullanılan veriler, yeniden ilişkilendirme imkânı bulunduğu sürece kişisel veri niteliğini koruyabilir.

Veri Minimizasyonu Nedir?

Data Minimization – Veri Minimizasyonu, yalnızca belirlenen işleme amacı için gerçekten gerekli kişisel verilerin toplanması ve işlenmesi yaklaşımıdır.

“İleride lazım olabilir.”

düşüncesiyle gereksiz kişisel veri toplanması hem güvenlik riskini hem de uyum yükünü artırabilir.

Bu nedenle her veri alanı için;

Bu veriye gerçekten ihtiyacımız var mı?

sorusu sorulmalıdır.

Saklama ve İmha Yönetimi

Kişisel veriler süresiz olarak saklanmamalıdır.

Kurumun hukuki, sözleşmesel ve operasyonel gereksinimleri doğrultusunda Data Retention – Veri Saklama süreleri belirlenmelidir.

Saklama süresi sona eren kişisel veriler uygun yöntemlerle;

• Silme
• Yok etme
• Anonim hale getirme

süreçlerine tabi tutulabilir.

Bu işlemlerin yalnızca prosedür üzerinde tanımlanması değil, bilgi sistemlerinde uygulanabilir olması önemlidir.

Kişisel Veri İhlali Nedir?

Personal Data Breach – Kişisel Veri İhlali, kişisel verilerin güvenliğinin ihlal edilmesi sonucu verilerin yetkisiz şekilde açıklanması, erişilmesi, değiştirilmesi, kaybolması veya yok edilmesi gibi durumları kapsayabilir.

Örneğin;

• Yanlış kişiye e-posta gönderilmesi
• Çalınan kullanıcı hesabı
• Ransomware saldırısı
• Yetkisiz veri tabanı erişimi
• Kaybolan cihaz
• Hatalı cloud yapılandırması
• Web uygulamasından veri sızıntısı
• Tedarikçi kaynaklı ihlal

kişisel veri ihlali açısından değerlendirme gerektirebilir.

KVKK / GDPR Veri İhlali Yönetimi

Kurumların veri ihlali meydana geldikten sonra ne yapacağını önceden belirlemesi gerekir.

Bu nedenle Data Breach Response Plan oluşturulmalıdır.

Süreç;

Tespit → İlk Müdahale → Sınırlama → Teknik Analiz → Etki Değerlendirmesi → Hukuki Değerlendirme → Bildirim Kararı → İyileştirme

aşamalarıyla yönetilebilir.

GDPR kapsamında belirli koşullarda denetim otoritesine bildirim için 72 saatlik süre kritik önem taşır. Bu nedenle teknik olay müdahale ekibi, hukuk/privacy ekibi ve yönetim arasında önceden tanımlanmış bir eskalasyon mekanizması bulunmalıdır.

Veri İhlali Tatbikatı

Veri ihlali prosedürünün hazırlanmış olması tek başına yeterli olmayabilir.

Data Breach Tabletop Exercise ile kurumun olası bir veri ihlalinde nasıl hareket edeceği senaryo bazlı olarak test edilebilir.

Örneğin;

“CRM sisteminden 100.000 müşteri kaydı sızdırıldı.”

senaryosu üzerinden;

SOC, IT, hukuk, DPO, yönetim, kurumsal iletişim ve ilgili iş birimlerinin hangi aksiyonları alacağı test edilebilir.

Tatbikat sonucunda süreçlerdeki eksiklikler gerçek bir olay yaşanmadan önce belirlenebilir.

İlgili Kişi Başvuruları ve Data Subject Rights

KVKK ve GDPR kapsamında bireylerin kişisel verileri üzerinde çeşitli hakları bulunmaktadır.

Kuruluşların bu talepleri alabilecek, doğrulayabilecek, ilgili sistemlerde veriyi bulabilecek ve mevzuata uygun şekilde cevaplayabilecek süreçlere sahip olması gerekir.

Bu nedenle Data Subject Request Management yalnızca hukuk departmanının cevap hazırlamasından ibaret değildir.

Örneğin kişi;

“Benim hakkımda hangi verileri tutuyorsunuz?”

dediğinde kurumun farklı sistemlerdeki verileri tespit edebilmesi gerekir.

Bu durum veri envanteri ve Data Discovery çalışmalarının önemini artırmaktadır.

Çerez Yönetimi ve Cookie Compliance

Web siteleri ve mobil uygulamalar üzerinden kullanılan çerezler ve benzeri takip teknolojileri privacy uyumunun önemli alanlarından biridir.

Cookie Compliance kapsamında;

• Kullanılan çerezlerin belirlenmesi
• Çerezlerin kategorize edilmesi
• Gerekli ve gerekli olmayan çerezlerin ayrılması
• Çerez politikasının oluşturulması
• Kullanıcı tercihlerinin yönetilmesi
• Consent Management Platform yapılandırmalarının değerlendirilmesi

gibi çalışmalar gerçekleştirilebilir.

Çerez yönetiminin yalnızca web sitesinde bir banner göstermekten ibaret olmadığı unutulmamalıdır.

Consent Management – Açık Rıza Yönetimi

Açık rıza kullanılan süreçlerde rızanın hangi amaç için, ne zaman ve nasıl alındığının takip edilebilmesi gerekir.

Ayrıca rızanın geri alınabilmesine yönelik süreçlerin de oluşturulması önemlidir.

Ancak her kişisel veri işleme faaliyeti için otomatik olarak açık rıza alınması doğru bir yaklaşım değildir.

Öncelikle ilgili veri işleme faaliyeti için geçerli hukuki işleme şartı değerlendirilmelidir.

Tedarikçi ve Üçüncü Taraf Privacy Risk Yönetimi

Kişisel veriler yalnızca kurumun kendi sistemlerinde bulunmayabilir.

Bordro firmaları, çağrı merkezleri, CRM sağlayıcıları, bulut servisleri, SaaS uygulamaları, pazarlama ajansları ve diğer tedarikçiler kişisel verilere erişebilir veya bu verileri işleyebilir.

Bu nedenle Third Party Privacy Risk Management kapsamında;

• Tedarikçilerin belirlenmesi
• İşlenen verilerin tespit edilmesi
• Veri işleme rollerinin değerlendirilmesi
• Güvenlik kontrollerinin incelenmesi
• Sözleşmelerin değerlendirilmesi
• Alt işleyenlerin belirlenmesi
• Veri lokasyonunun incelenmesi
• İhlal bildirim süreçlerinin değerlendirilmesi
• Tedarikçi risk seviyesinin belirlenmesi

önemlidir.

Data Processing Agreement – DPA Nedir?

DPA – Data Processing Agreement, özellikle GDPR ekosisteminde veri sorumlusu ile veri işleyen arasındaki kişisel veri işleme şartlarını düzenleyen önemli sözleşmesel mekanizmalardan biridir.

DPA içerisinde işlenen verilerin kapsamı, işleme amacı, güvenlik yükümlülükleri, alt işleyen kullanımı, veri ihlali bildirimleri ve veri işleme sona erdiğinde uygulanacak süreçler gibi konular düzenlenebilir.

Yurt Dışına Veri Aktarımı

Bulut ve SaaS servislerinin yaygınlaşması nedeniyle kurumların farkında olmadan farklı ülkelerde bulunan sistemlere veri aktarması mümkün olabilir.

Örneğin;

e-posta, CRM, HR, cloud storage, ticketing, analytics ve AI servisleri

yurt dışı veri aktarımı açısından değerlendirilmelidir.

Bu nedenle KVKK/GDPR çalışmalarında yalnızca “veriyi kime gönderiyoruz?” değil;

“Kullandığımız teknoloji veriyi fiziksel veya hukuki olarak nereye aktarıyor?”

sorusu da değerlendirilmelidir.

Uluslararası veri aktarım mekanizmaları ilgili mevzuatın güncel gereksinimleri doğrultusunda ayrıca ele alınmalıdır.

KVKK / GDPR ve Bulut Güvenliği

Microsoft 365, Azure, AWS, Google Workspace ve diğer SaaS/Cloud servislerinin kullanılması kişisel veri sorumluluğunu ortadan kaldırmaz.

Bulut ortamlarında;

• Veri lokasyonu
• Kullanıcı yetkileri
• MFA
• Administrator hesapları
• Şifreleme
• Loglama
• Paylaşım ayarları
• Harici kullanıcılar
• Backup
• Retention
• DLP
• Tedarikçi sorumlulukları

değerlendirilmelidir.

KVKK / GDPR ve Yapay Zekâ

Generative AI ve LLM kullanımının yaygınlaşması privacy açısından yeni riskler oluşturmaktadır.

Çalışanların yapay zekâ sistemlerine kişisel veri girmesi, müşteri verilerinin AI API'leri üzerinden işlenmesi veya AI ile profil oluşturulması gibi senaryolar değerlendirilmelidir.

Bu nedenle KVKK/GDPR çalışmalarının AI Governance ve ISO 42001 süreçleriyle ilişkilendirilmesi gerekebilir.

Özellikle;

• AI sistemlerine kişisel veri aktarımı
• Model sağlayıcısının veriyi kullanma koşulları
• Otomatik karar verme
• Profil oluşturma
• Veri minimizasyonu
• Şeffaflık
• İnsan gözetimi
• Veri saklama

privacy açısından değerlendirilmelidir.

KVKK / GDPR ve ISO 27001 Arasındaki İlişki

ISO/IEC 27001, Bilgi Güvenliği Yönetim Sistemine yönelik bir standarttır.

KVKK ve GDPR ise kişisel verilerin korunmasına ilişkin hukuki düzenlemelerdir.

ISO 27001 kapsamında uygulanan;

• Erişim kontrolü
• Varlık yönetimi
• Loglama
• Şifreleme
• Yedekleme
• Olay yönetimi
• Tedarikçi güvenliği
• Risk yönetimi
• İş sürekliliği

gibi kontroller KVKK/GDPR veri güvenliği çalışmalarını önemli ölçüde destekleyebilir.

Ancak ISO 27001 belgesine sahip olmak tek başına KVKK veya GDPR uyumu anlamına gelmez.

En güçlü yaklaşım;

ISO 27001 + Privacy Governance + KVKK/GDPR + Teknik Veri Güvenliği

yapılarının birlikte yönetilmesidir.

KVKK / GDPR Uyum Süreci Nasıl İlerler?

SecureSys KVKK/GDPR danışmanlık metodolojisi kuruluşun yapısına göre özelleştirilebilir.

1. Kapsam Belirleme

İş süreçleri, lokasyonlar, bilgi sistemleri ve ilgili veri işleme faaliyetleri belirlenir.

2. Mevcut Durum ve GAP Analizi

Mevcut privacy yapısı ile mevzuat gereksinimleri arasındaki farklar belirlenir.

3. Kişisel Veri Envanteri

Kişisel veri işleme faaliyetleri ve veri akışları çıkarılır.

4. Privacy Risk Analizi

Kişisel veri işleme faaliyetlerinden kaynaklanan riskler değerlendirilir.

5. Hukuki ve Organizasyonel Süreçlerin Değerlendirilmesi

İşleme amaçları, hukuki sebepler, aydınlatma süreçleri ve veri paylaşımları değerlendirilir.

6. Politika ve Prosedürler

Gerekli privacy politika ve prosedürleri oluşturulur veya güncellenir.

7. Teknik Güvenlik Analizi

Kişisel verilerin bulunduğu sistemlerde uygulanan teknik kontroller değerlendirilir.

8. Tedarikçi ve Veri Aktarım Analizi

Üçüncü taraflar ve veri aktarım süreçleri incelenir.

9. Eğitim ve Farkındalık

Çalışanların kişisel veri güvenliği konusunda bilinçlendirilmesi sağlanır.

10. Uyum Yol Haritası

Tespit edilen bulgular risk ve öncelik seviyelerine göre aksiyon planına dönüştürülür.

11. Periyodik İzleme

Uyum durumunun sürdürülebilirliği için kontrol ve gözden geçirme mekanizması oluşturulur.

KVKK / GDPR Politika ve Prosedürleri

Kapsama göre;

• Kişisel Veri Koruma Politikası
• Veri Saklama ve İmha Politikası
• Veri İhlali Müdahale Prosedürü
• İlgili Kişi Başvuru Prosedürü
• Privacy by Design Prosedürü
• Veri Sınıflandırma Politikası
• Erişim Kontrol Politikası
• Veri Aktarım Prosedürü
• Tedarikçi Privacy Yönetimi
• Çerez Politikası
• Açık Rıza Yönetimi
• DPO Çalışma Prosedürü
• DPIA Prosedürü
• Veri Minimizasyonu İlkeleri
• Mobil Çalışma ve Uzaktan Erişim Politikaları

hazırlanabilir veya mevcut dokümanlar güncellenebilir.

KVKK / GDPR Eğitim ve Farkındalık

İnsan hatası kişisel veri ihlallerinde önemli bir risk alanıdır.

Bu nedenle çalışanların yalnızca işe giriş sırasında bir KVKK metni imzalaması yeterli değildir.

Farklı kullanıcı profillerine göre;

Genel Çalışan Privacy Eğitimi Yönetici Eğitimi İK Privacy Eğitimi IT ve Siber Güvenlik Eğitimi Yazılım Geliştirici Privacy by Design Eğitimi DPO / Privacy Team Eğitimi

planlanabilir.

Eğitimlerin düzenli aralıklarla tekrarlanması ve farkındalığın ölçülmesi sürdürülebilir uyum açısından önemlidir.

KVKK / GDPR Olgunluk Analizi

Kuruluşun Privacy Management seviyesi belirli bir olgunluk modeli üzerinden değerlendirilebilir.

Seviye 1 – Başlangıç: Veri koruma faaliyetleri reaktif ve kişilere bağımlıdır.

Seviye 2 – Gelişmekte: Temel dokümantasyon bulunmaktadır ancak süreçlerin uygulaması sınırlıdır.

Seviye 3 – Tanımlı: Privacy süreçleri dokümante edilmiş ve kurum genelinde uygulanmaktadır.

Seviye 4 – Yönetilen: Risk, ihlal, talepler ve kontroller ölçülerek takip edilmektedir.

Seviye 5 – Optimize: Privacy by Design, otomasyon ve sürekli kontrol mekanizmaları uygulanmaktadır.

Bu çalışma sayesinde kurumun yalnızca uyum eksiklikleri değil, mevcut ve hedef Privacy Maturity seviyesi de ortaya çıkarılır.

KVKK / GDPR Danışmanlığı Çıktıları

Projenin kapsamına göre;

• KVKK/GDPR Mevcut Durum Analizi
• KVKK/GDPR GAP Analiz Raporu
• Kişisel Veri İşleme Envanteri
• Veri Akış Haritası
• Privacy Risk Analizi
• DPIA
• Politika ve Prosedür Seti
• Veri Saklama ve İmha Matrisi
• Veri Sınıflandırma Modeli
• Teknik Güvenlik Değerlendirmesi
• Tedarikçi Risk Analizi
• Veri Aktarım Envanteri
• İlgili Kişi Başvuru Süreci
• Veri İhlali Müdahale Planı
• Data Breach Tabletop Senaryosu
• DPO Yönetişim Modeli
• Privacy KPI/KRI Seti
• Eğitim ve Farkındalık Planı
• Düzeltici Faaliyet Planı
• KVKK/GDPR Uyum Yol Haritası
• Yönetici Özet Raporu

hazırlanabilir.

KVKK / GDPR Danışmanlığı Kimler İçin Uygundur?

Kişisel veri işleyen hemen her organizasyon için veri koruma süreçleri önemlidir.

Özellikle;

• Finans kuruluşları
• Kamu kurumları
• Savunma şirketleri
• Sağlık kuruluşları
• E-ticaret firmaları
• SaaS şirketleri
• Yazılım şirketleri
• İnsan kaynakları şirketleri
• Telekomünikasyon şirketleri
• Perakende kuruluşları
• Enerji şirketleri
• Eğitim kurumları
• Çağrı merkezleri
• Çok uluslu şirketler
• Avrupa Birliği ile çalışan kuruluşlar

için KVKK/GDPR uyum çalışmalarının sistematik şekilde yönetilmesi kritik önem taşır.

Neden SecureSys KVKK / GDPR Danışmanlığı?

Kişisel verilerin korunması yalnızca hukuk departmanına bırakılabilecek bir konu değildir.

Bir politika dokümanında “kişisel verilere yalnızca yetkili kullanıcılar erişebilir” yazması yeterli değildir.

Gerçek ortamda;

Active Directory yetkileri doğru mu? Veri tabanına kim erişiyor? Log tutuluyor mu? MFA kullanılıyor mu? DLP mevcut mu? Veri şifreleniyor mu? Cloud paylaşım linkleri kontrol ediliyor mu? Yedeklerdeki kişisel veriler korunuyor mu? Tedarikçiler hangi verilere erişiyor?

sorularının da cevaplanması gerekir.

SecureSys bu nedenle KVKK/GDPR çalışmalarını;

Privacy + GRC + Siber Güvenlik + Veri Güvenliği + Teknik Kontroller

perspektifleriyle birlikte ele alır.

Amaç yalnızca uyum dokümanları oluşturmak değil; kişisel verinin kurum içerisinde gerçekten korunduğu ölçülebilir ve sürdürülebilir bir veri koruma modeli oluşturmaktır.

KVKK ve GDPR Hakkında Sık Sorulan Sorular

KVKK Danışmanlığı Nedir?

KVKK danışmanlığı, kuruluşun kişisel veri işleme faaliyetlerinin 6698 sayılı KVKK kapsamında değerlendirilmesi, eksikliklerin belirlenmesi ve gerekli organizasyonel, süreçsel ve teknik tedbirlerin oluşturulmasına yönelik danışmanlık hizmetidir.

GDPR Danışmanlığı Nedir?

GDPR danışmanlığı, kuruluşun GDPR kapsamındaki veri işleme faaliyetlerinin değerlendirilmesi, privacy risklerinin belirlenmesi, gerekli politika, süreç ve kontrollerin oluşturulmasını kapsar.

KVKK ve GDPR Aynı mı?

Hayır. Benzer veri koruma prensiplerine sahip olmakla birlikte farklı hukuki düzenlemelerdir. Kuruluşun faaliyetlerine göre yalnızca KVKK'ya veya hem KVKK hem GDPR'a tabi olabileceği durumlar bulunabilir.

DPO Açılımı Nedir?

DPO, Data Protection Officer ifadesinin kısaltmasıdır ve Türkçede Veri Koruma Görevlisi olarak ifade edilir.

DPO Ne İş Yapar?

DPO, GDPR uyumunun izlenmesi, çalışanların bilgilendirilmesi, DPIA süreçlerinin desteklenmesi ve veri koruma otoritesiyle ilişkiler gibi veri koruma görevlerini yürütür.

Her Şirket DPO Atamak Zorunda mı?

Hayır. GDPR kapsamında DPO atanması belirli şartlarda zorunludur. Kuruluşun veri işleme faaliyetleri ve niteliği değerlendirilmelidir.

DPO Dışarıdan Hizmet Olarak Alınabilir mi?

GDPR, DPO fonksiyonunun hizmet sözleşmesi temelinde yerine getirilmesine imkân tanır. Ancak rolün gerektirdiği uzmanlık, erişim, kaynak ve bağımsızlık koşullarının korunması gerekir.

DPIA Nedir?

DPIA, yüksek risk oluşturabilecek kişisel veri işleme faaliyetlerinin kişilerin hak ve özgürlükleri üzerindeki potansiyel etkilerini değerlendiren Data Protection Impact Assessment çalışmasıdır.

KVKK Uyumunda Siber Güvenlik Önemli mi?

Evet. Kişisel verilerin korunabilmesi için erişim kontrolü, loglama, şifreleme, zafiyet yönetimi, yedekleme, DLP ve olay müdahale gibi teknik güvenlik kontrolleri kritik rol oynar.

ISO 27001 Belgesi KVKK Uyumu Sağlar mı?

Tek başına sağlamaz. ISO 27001 güçlü bir bilgi güvenliği yönetim altyapısı oluşturabilir ancak KVKK'nın hukuki ve veri koruma gereksinimleri ayrıca değerlendirilmelidir.

KVKK / GDPR Danışmanlık Teklifi

Kişisel verilerin korunması yalnızca bir uyum projesi değil, kurumun itibarını, müşteri güvenini, bilgi güvenliğini ve operasyonel sürdürülebilirliğini doğrudan etkileyen kurumsal bir sorumluluktur.

SecureSys KVKK / GDPR Uyum Danışmanlığı ve DPO Hizmeti ile mevcut durum analizi, kişisel veri envanteri, GAP analizi, Privacy Risk Assessment, DPIA, politika ve prosedürler, teknik güvenlik değerlendirmeleri, veri ihlali yönetimi, tedarikçi kontrolleri, eğitim ve sürdürülebilir privacy yönetişimi süreçlerinde kurumunuza destek sağlar.

Verinizi Sadece Saklamayın, Güvenle Yönetin

Kişisel veriyi doğru yönetin, risklerinizi azaltın, müşterilerinizin güvenini güçlendirin.

KVKK ve GDPR uyum sürecinizi sürdürülebilir hale getirmek, DPO / Data Protection Officer desteği almak ve kurumunuza özel veri koruma yol haritası oluşturmak için hemen teklif alın.