İdari Tedbirler

Diğer adları: Kurumsal Tedbirler, İdari Güvenlik Tedbirleri, Organisational Measures, KVKK m. 12

Kısaca

Veri sorumlusunun kişisel verilerin güvenliğini sağlamak için kurum içinde aldığı politika, prosedür, eğitim, sözleşme, yetkilendirme ve denetim gibi kurumsal önlemler.

KVKK’nın 12. maddesi veri sorumlusuna, kişisel verilerin güvenliği için teknik tedbirlerin yanında gerekli idari tedbirleri de alma yükümlülüğü getirir. İdari tedbirler, güvenliğin insan, süreç ve organizasyon boyutunu düzenler. Uygulamada veri ihlallerinin önemli bir kısmı teknik zafiyetlerden değil, çalışan hatalarından ve süreç eksikliklerinden kaynaklanır.

Başlıca İdari Tedbirler

Politika ve prosedürler: Kişisel veri işleme, bilgi güvenliği, saklama ve imha politikaları ile ihlal müdahale prosedürü,
Eğitim ve farkındalık: Çalışanlara düzenli KVKK ve bilgi güvenliği eğitimi,
Gizlilik taahhütleri: Çalışanlardan ve tedarikçilerden gizlilik taahhütnameleri alınması,
Sözleşmeler: Veri işleyenlerle veri güvenliği hükümleri içeren veri işleme sözleşmeleri,
Yetkilendirme süreçleri: Görev değişikliği ve işten ayrılışta yetkilerin kaldırılması,
Envanter: Güncel bir kişisel veri envanteri tutulması,
Denetim: Düzenli iç denetimler ve tespit edilen eksikliklerin giderilmesi.

Denetim Yükümlülüğü

Veri sorumlusu, KVKK hükümlerinin uygulanmasını sağlamak amacıyla kendi kurum veya kuruluşunda gerekli denetimleri yapmak veya yaptırmak zorundadır. Veriler başka biri tarafından veri sorumlusu adına işleniyorsa, tedbirlerin alınması konusunda veri işleyenle birlikte müştereken sorumludur.

Çalışanların Sır Saklama Yükümlülüğü

KVKK’ya göre veri sorumluları ve veri işleyenler bünyesinde çalışanlar, öğrendikleri kişisel verileri başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrılmalarından sonra da devam eder. Bu yükümlülüğün iş sözleşmelerinde ve eğitimlerde hatırlatılması, idari tedbirlerin temel bir parçasıdır.

Sık Sorulan Sorular

Çalışanlarımızın gizlilik yükümlülüğü işten ayrıldıktan sonra da devam eder mi?

Evet. KVKK'ya göre veri sorumluları ve veri işleyenler bünyesinde çalışanlar, öğrendikleri kişisel verileri başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder.

KVKK eğitimi zorunlu mu?

KVKK eğitimi açıkça adlandırmaz; ancak Kurul'un Kişisel Veri Güvenliği Rehberi çalışanların eğitimini temel idari tedbirler arasında sayar. Bir ihlalde eğitim verilmediğinin anlaşılması, tedbirlerin yetersiz bulunmasına yol açabilir.

← Tüm Kavramlar