Teknik Tedbirler

KVKK’nın 12. maddesi veri sorumlusuna, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Teknik tedbirler, bu yükümlülüğün bilgi sistemlerine ilişkin ayağıdır.

Başlıca Teknik Tedbirler

Kurul’un Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), şu tedbirleri öne çıkarır:

• Yetki matrisi ve erişim yönetimi: Her çalışanın yalnızca görevi için gereken verilere erişmesi,
• Kayıt tutma: Erişim ve işlem kayıtlarının (log) tutulması ve düzenli olarak incelenmesi,
• Şifreleme ve kimlik doğrulama: Verilerin şifrelenmesi ve çok faktörlü kimlik doğrulama,
• Ağ güvenliği: Güvenlik duvarı, zararlı yazılım koruması ve yama yönetimi,
• Yedekleme: Düzenli yedekleme ve yedeklerin güvenliği,
• Test: Sızma testi ve zafiyet taramaları,
• Taşınabilir ortamlar: Taşınabilir bellekler ve uzaktan erişim için güvenlik önlemleri,
• Veri maskeleme: Test ve analiz ortamlarında takma adlandırma ve maskeleme.

Özel Nitelikli Veriler

Özel nitelikli kişisel veriler için Kurul’un belirlediği yeterli önlemler ayrıca alınmalıdır: bu verilerin kriptografik yöntemlerle saklanması, güvenli aktarım kanallarının kullanılması ve erişimlerin kayıt altına alınması bunların başlıcalarıdır.

Risk Temelli Yaklaşım

Tedbirlerin düzeyi; işlenen verilerin niteliği, miktarı, işleme ortamları ve olası bir ihlalin ilgili kişilere vereceği zarar dikkate alınarak belirlenir. Bir kişisel veri ihlalinde Kurul’un ilk sorduğu soru, gerekli tedbirlerin alınıp alınmadığıdır. Veri güvenliği yükümlülüğüne aykırılık, KVKK’da öngörülen en yüksek tutarlı idari para cezalarından birine tabidir. 2025’te yürürlüğe giren Siber Güvenlik Kanunu da kritik sektörlerdeki kurumlar için ek yükümlülükler getirir; bkz. Siber Olay.