Veri Güvenliği Uyum Programı
Kişisel verilerin korunması tek seferlik bir belge işi değil; değişen mevzuat ve iş süreçleriyle birlikte süreklilik isteyen bir yapı. KVKK kapsamındaki idari para cezaları 256 bin TL’den 17 milyon TL’ye kadar uzanıyor. Bunun yanında Türk Ceza Kanunu ve Siber Güvenlik Kanunu’nun öngördüğü hapis cezaları, uyum programını şirket yöneticileri için doğrudan kişisel bir mesele hâline getiriyor.
Bir ihlal çoğu zaman karmaşık bir siber saldırıdan değil, sıradan bir açıktan doğuyor: oltalama e-postasına tıklayan bir çalışan, yıllardır silinmemiş bir aday havuzu, sözleşmesi olmayan bir tedarikçiye açılmış bir veri akışı, hakkındaki başvuruya cevap alamayınca Kurum’a giden bir kullanıcı. Bu program, söz konusu noktaları envanter düzeyinde görünür kılıp kapatmak için kurgulandı.
Aşamalar
Mülakatlar
Önce çalışanlara KVKK eğitimi verilerek farkındalık sağlanır, ardından her departmanla birebir görüşülür; veri işleme süreçleri, işlenen veriler, işleme amaçları, verilerin aktarıldığı kişi ve gruplar ile saklama süreleri tespit edilir.
Süreç İncelemeleri
Görüşmelerde tespit edilen süreçlerde kullanılan sözleşme, politika, belge ve evraklar şirketten temin edilerek incelenir; veri haritaları çıkarılır, yurt içi ve yurt dışı veri akışları belirlenir.
Risk Değerlendirmesi
Elde edilen bilgiler çerçevesinde şirketin veri güvenliği bağlamındaki riskleri tespit edilir; Risk ve Aksiyon Raporu hazırlanarak yönetime sunulur, sorular yanıtlanır ve eylemlerin icrası için planlama yapılır.
Uyum Eylemleri
Politika ve prosedürler güncellenir; aydınlatma metinleri, açık rıza metinleri ve sözleşmeler yenilenerek uygulamaya alınır; teknik ve idari tedbirler belgelenir; kişisel veri işleme envanteri ile VERBİS uyumlu envanter oluşturulur ve VERBİS bildirimi yapılır.
Test ve Eğitim
Uyum aşamasının ardından kapanış raporu hazırlanır. Sürecin tamamlanmasından yaklaşık iki ay sonra bir denetim yapılır ve programa uyumun sağlanıp sağlanmadığı ayrı bir denetim raporuyla ortaya konur.
İnceleme Alanları
- Veri işleme süreçleri ve veri akışları
- Yurt içi ve yurt dışı veri transferleri, standart sözleşmeler
- Saklama ve imha süreçleri
- KVKK uyumu ve VERBİS yükümlülükleri
- GDPR uyumu
- ISO 27001 ve bilgi güvenliği yönetimi
- Siber güvenlik yükümlülükleri
- Teknik ve idari tedbirler, yetki matrisi
- Çalışan, çalışan adayı, müşteri, tedarikçi ve ziyaretçi verileri
Çıktılar
- Kişisel Veri İşleme Envanteri
- VERBİS uyumlu envanter ve VERBİS bildirimi
- Risk ve Aksiyon Raporu
- Kapanış ve Denetim Raporu
- Kişisel Verilerin Korunması Politikası
- Özel Nitelikli Kişisel Verilerin Korunması Politikası
- Saklama ve İmha Politikası ile imha tutanakları
- Çalışan, çalışan adayı, müşteri, tedarikçi ve ziyaretçi aydınlatma metinleri
- Açık rıza metinleri ve gizlilik taahhütnameleri
- Veri sorumlusu – veri işleyen sözleşmesi ve sözleşme maddeleri
- Çerez politikası ve çerez bandı
- Yetki matrisi ve idari tedbir dokümantasyonu
- KVKK eğitim sunumları
Sık Sorulan Sorular
VERBİS kaydını ve bildirimini siz mi yapıyorsunuz?
Evet. Programın uyum eylemleri aşamasında kişisel veri işleme envanteri ve VERBİS'e uyumlu envanter hazırlanıyor, bildirim de bu envanter üzerinden yapılıyor. Şirketin VERBİS kaydı zorunluluğu yoksa bu durum da envanter çalışmasıyla birlikte tespit ediliyor ve raporlanıyor.
Program yalnızca KVKK'yı mı kapsıyor, GDPR'ı da içeriyor mu?
Avrupa Birliği'ndeki kişilere mal ya da hizmet sunan veya onların davranışlarını izleyen şirketler için GDPR da kapsamda. Bu şirketlerde envanter, aydınlatma metinleri ve aktarım mekanizmaları iki düzenlemeyi birlikte karşılayacak şekilde hazırlanıyor. İki düzenleme büyük ölçüde benzer ama aynı değil; özellikle hukuki sebepler, ihlal bildirimi ve yurt dışına aktarım konularında farklılıklar ayrı ayrı ele alınıyor.
Programın sonunda ISO 27001 sertifikası alıyor muyuz?
Hayır; ISO 27001 sertifikasını yalnızca akredite belgelendirme kuruluşları verebiliyor. Program, bilgi güvenliği yönetimine ilişkin teknik ve idari tedbirleri belgeleyerek şirketin hukuki yükümlülüklerini ve sertifikasyona hazırlığını destekliyor. Sertifika hedefleniyorsa, çalışmanın bu hedefe göre kurgulanması programın başında planlanıyor.
Departmanlarımız programa ne kadar zaman ayırmalı?
Her departmanla programın başında birebir görüşme yapılıyor; ardından görüşmelerde adı geçen sözleşme, form ve belgelerin paylaşılması isteniyor. Sonraki aşamalarda departmanlardan beklenen, hazırlanan yeni metinlerin ve süreçlerin uygulamaya alınması. Görüşmelerden önce verilen KVKK eğitimi, departmanların hangi bilgiyi neden paylaştığını anlamasını sağlayarak süreci hızlandırıyor.
Bu programı şirketinizde yürütmek ister misiniz? Bizimle bir görüşme planlayın, ilk görüşme ücretsizdir.
Görüşme Planla