KVKK Kapsamında Veri Sorumlusunun Güvenlik Yükümlülükleri

Gelişen teknoloji ile birlikte kişisel verilerin elektronik ortamlarda işlenmesi, veri güvenliği kavramını hukukun en tartışmalı alanlarından biri haline getirmiştir. Kişisel Verilerin Korunması Kanunu (KVKK) ve Genel Veri Koruma Tüzüğü (GDPR) ışığında, kişisel verilerin hukuka uygun bir şekilde işlenmesi kadar, bu verilerin güvenliğinin sağlanması da büyük bir önem taşımaktadır. Kanun koyucu, veri güvenliğini sağlamak adına en büyük sorumluluğu veri sorumlusu sıfatını haiz gerçek ve tüzel kişilere yüklemiştir. Veri sorumlusunun güvenlik yükümlülüğü; verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini engellemek ve kişisel verilerin güvenli bir biçimde muhafazasını sağlamak şeklinde temel unsurlara ayrılmaktadır. Bu yükümlülük, bir kereye mahsus gerçekleştirilecek statik bir eylem değil, sürekli güncellenmesi gereken dinamik bir süreçtir. Veri sorumluları, ihlalleri engellemek adına gelişen teknolojik şartlara uygun olarak gerekli tüm tedbirleri almak zorundadır.

Hukuka Aykırı İşlemenin ve Erişimin Önlenmesi

KVKK'nın ilgili hükümleri uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini önlemek ve yetkisiz erişimi engellemek amacıyla gerekli her türlü tedbiri almakla mükelleftir. Hukuka aykırı işleme, kişisel verilerin kanunlarda öngörülen meşru şartlar dışında ve ilgili kişinin temel hak ve özgürlüklerini zedeleyecek biçimde kullanılması anlamına gelir. Öte yandan, hukuka aykırı erişim ise, veri sorumlusunun organizasyonunda yer alan veya dışarıdan sisteme sızan yetkisiz kişilerin, kişisel verileri ele geçirmesidir. Her iki durumun da engellenmesi için veri sorumlusunun idari ve teknik düzeyde koruma kalkanları oluşturması şart koşulmuştur. Özellikle dışarıdan gelebilecek siber saldırılara ya da şirket içindeki personelin yetki aşımına karşı erişim sınırlandırmaları getirilmesi, hukuki korumanın en önemli yapıtaşlarındandır.

Veri Sorumlusunun Alması Gereken İdari Tedbirler

Veri güvenliğinin sağlanmasında sadece dijital güvenlik altyapısı değil, aynı zamanda kurum içi kuralların ve işleyişin de mevzuata uyumlu hale getirilmesi gereklidir. Bu kapsamda veri sorumlusu tarafından uygulanacak idari tedbirler, veri güvenliği zafiyeti risklerini en aza indiren adımların başında gelmektedir. Kurul tarafından yayımlanan Kişisel Veri Güvenliği Rehberi kapsamında, veri sorumlularının öncelikle detaylı bir risk analizi yapması ve şirket içi veri işleme, saklama ve imha politikalarını yazılı hale getirmesi beklenmektedir. Bunun yanı sıra, veri işleme sürecindeki çalışanlara yönelik sürekli eğitim ve farkındalık çalışmaları yapılması, yetki matrislerinin oluşturulması, personelle gizlilik taahhütnamelerinin imzalanması ve ihlal durumlarında uygulanacak şirket içi disiplin prosedürlerinin belirlenmesi de yasal gerekliliklerdendir.

Veri Sorumlusunun Alması Gereken Teknik Tedbirler

Hukuki yükümlülüklerin yerine getirilmesi noktasında teknik tedbirler, özellikle dijital ortamda tutulan verilerin güvenliği için son derece kritik bir öneme sahiptir. Kanun koyucu her ne kadar somut teknolojiler saymasa da, mevcut rehberler uyarınca güncel bilişim teknolojilerine uyum sağlamak veri sorumluları için kaçınılmazdır. Siber güvenliğin asgari standartlarda sağlanabilmesi için güvenlik duvarları, izinsiz giriş tespit sistemleri ve güncel anti-virüs yazılımlarının kurum sistemlerine entegre edilmesi gerekir. Ayrıca verilerin maskelenmesi ve özellikle özel nitelikli kişisel verilerde güçlü kriptografik şifreleme yöntemlerinin kullanılması, hukuka aykırı sızmaların etkisini kıracak önlemlerdir. Alınan bu teknik savunma mekanizmalarının etkinliği, düzenli sızma testleri yapılarak ve erişim loglarının düzenli tutulmasıyla sürekli denetlenmelidir.

Veri Güvenliğinde Denetim ve Sır Saklama Yükümlülüğü

Kanun koyucu, veri sorumlusuna koruyucu tedbirleri almakla yetinmeyip, bu tedbirlerin şirket içindeki işleyişini sürekli olarak kontrol etme görevi de yüklemiştir. İlgili mevzuat uyarınca veri sorumlusu, kendi organizasyonunda hukuk kurallarının eksiksiz uygulandığından emin olmak için periyodik denetimler yapmak veya yaptırmak zorundadır. Yapılacak bu denetimler sayesinde, mevcut güvenlik politikalarındaki hukuki ve teknik zafiyetler erken tespit edilerek ivedilikle giderilir. Buna ek olarak, veri sorumluları ve bünyelerindeki çalışanlar için sıkı bir sır saklama yükümlülüğü öngörülmüştür. Elde edilen kişisel veriler, hukuka aykırı olarak başkalarına açıklanamaz ve işleme amacı dışında kesinlikle kullanılamaz; üstelik bu katı yükümlülük, görevli çalışanların kurumdan ayrılmasından sonra da devam edecek şekilde düzenlenmiştir.

Alınması Gereken Temel Önlemler Tablosu

Veri güvenliğinin eksiksiz sağlanması amacıyla Kurul tarafından tavsiye edilen ve veri sorumlularınca uygulanması zorunlu olan tedbirlerin genel çerçevesi, veri işleme süreçlerinin doğasına göre farklılıklar göstermektedir. Şirketlerin faaliyet alanları, işledikleri kişisel verilerin niteliği ve boyutları dikkate alındığında, standart bir güvenlik paketinden ziyade özelleştirilmiş koruma mekanizmalarının inşa edilmesi şarttır. Veri sorumlularının kendi organizasyon yapılarına ve teknolojik altyapılarına uygun olarak bu önlemleri somutlaştırması, çalışanlarını eğitmesi ve istikrarlı şekilde denetlemesi, veri sızıntılarına karşı en güçlü korumadır. Aşağıda yer alan tabloda, veri sorumlularının yükümlülükleri kapsamında hayata geçirmeleri gereken temel idari ve teknik tedbirler hukuki bir perspektifle sınıflandırılarak özetlenmiş ve maddeler halinde bir araya getirilmiştir.