KVKK

KVKK nedir?

KVKK, Türkiye’de kişisel verilerin işlenmesini ve korunmasını düzenleyen 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur. Veri sorumlularına verinin hukuka uygun işlenmesi ve güvenliğinin sağlanması yükümlülükleri getirir, kişilere ise verileri üzerinde bilgi alma ve düzeltme gibi haklar tanır.

Bu madde genel bilgi niteliğindedir, hukuki tavsiye değildir. Somut durumlar için bir hukuk uzmanına ve Kişisel Verileri Koruma Kurumu’nun güncel düzenlemelerine başvurulmalıdır.

Neden önemlidir?

Kanun, kişisel veriyi işleyen her gerçek ve tüzel kişiyi ilgilendirir; internet sitesinde iletişim formu bulunduran küçük bir işletme de buna dahildir. Kanun veri güvenliği için uygun teknik ve idari tedbirlerin alınmasını ve veri ihlallerinin düzenlemelere göre bildirilmesini öngörür.

Kişilerin hakları arasında verinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi başlıklar yer alır.

Sunucu ve hosting ortamında

Müşteri verisi tutan siteler, üyelik sistemleri, e-posta sunucuları ve yedekler kişisel veri içerebilir. Barındırma sağlayıcısı ile site sahibi arasındaki roller (veri sorumlusu, veri işleyen) sözleşmelerde netleştirilmelidir.

• Erişim kontrolü, şifreleme ve günlükleme veri güvenliği tedbirlerine örnektir.
• Yedeklerin de kişisel veri içerdiği ve korunması gerektiği unutulmamalıdır.
• Veri ihlali durumunda uygulanacak süreç önceden hazırlanmalıdır.

Nelere dikkat edilmeli?

• Hangi kişisel verileri, hangi amaçla ve nerede işlediğinizi envanter olarak çıkarın.
• Gereksiz veri toplamayın ve saklama sürelerini belirleyin.
• Erişim yetkilerini en az yetki ilkesine göre sınırlayın.
• Aktarım ve depolamada şifreleme uygulayın, sunucuyu güncel tutun.
• Aydınlatma metni ve gerekli durumlarda açık rıza süreçlerini düzenleyin.
• Süreçlerinizi bir hukuk veya uyum uzmanıyla gözden geçirin.

Sık yapılan hatalar

• KVKK’yı yalnızca büyük kurumları ilgilendiren bir konu sanmak.
• Veri güvenliğini sadece hukuki metinlerle sınırlı görmek, teknik tedbirleri atlamak.
• Yedekleri ve eski sunucuları korumasız bırakmak.
• Sağlayıcı ile veri işleme rollerini sözleşmede belirsiz bırakmak.