Bir muayenehanenin hasta kayıtlarını tutan bilgisayarı açılmıyor. Bir muhasebe bürosunun sunucusunda yüzlerce müşterinin bordro bilgisi var. Bir insan kaynakları uzmanının dizüstünde aday özgeçmişleri duruyor. Bu cihazlardan birini kurtarma için bir laboratuvara teslim ettiğinizde, yalnızca bir donanımı değil, başka insanlara ait kişisel verileri de emanet etmiş olursunuz. Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde bu sürecin nasıl ele alınabileceğine dair genel bir bakış sunuyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Kurumunuza özgü yükümlülükler için hukuk danışmanınızdan görüş almanızı öneririz.
Rolleri doğru tanımlamak
KVKK, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen kişi veya kuruma veri sorumlusu, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi veya kuruma ise veri işleyen der. Bir işletme, arızalı sunucusunu kurtarma için bir laboratuvara gönderdiğinde genellikle işletme veri sorumlusu, laboratuvar ise veri işleyen konumundadır.
Bu ayrımın pratik bir sonucu vardır: Kanunun 12. maddesine göre veri sorumlusu, veriler kendi adına başka biri tarafından işlendiğinde gerekli güvenlik tedbirlerinin alınmasından o kişiyle birlikte sorumludur. Yani “cihazı verdik, gerisi onların işi” yaklaşımı yeterli değildir; kimle ve hangi koşullarla çalıştığınızı belgelemeniz gerekir.
Cihazı teslim etmeden önce
- Cihazda ne tür veri olduğunu not edin. Özellikle sağlık bilgisi, biyometrik veri veya ceza mahkûmiyeti gibi özel nitelikli kişisel veriler varsa bunu bilmek, alınacak önlemlerin düzeyini belirler.
- Yazılı bir çerçeve oluşturun. Gizlilik sözleşmesi ya da veri işleme şartlarını içeren bir hizmet sözleşmesi; verilerin yalnızca kurtarma amacıyla işleneceğini, üçüncü kişilerle paylaşılmayacağını ve iş bitiminde ne olacağını açıkça yazmalıdır.
- Teslim kaydı tutun. Cihazın seri numarası, teslim tarihi, teslim eden ve teslim alan kişi bir tutanakta yer almalıdır. Kargo ile gönderimde de takip numarasını saklayın.
- Kapsamı daraltmayı düşünün. Yalnızca belirli klasörlere ihtiyacınız varsa bunu belirtin. Gereğinden fazla verinin işlenmemesi, kanunun ölçülülük ilkesiyle de uyumludur.
- Erişim bilgilerini güvenli kanaldan iletin. Disk şifreleme anahtarları veya parolalar gerekiyorsa bunları cihazın üzerine yapıştırılmış bir kâğıtla değil, ayrı ve güvenli bir kanalla paylaşın.
Laboratuvarda sorulması gerekenler
Çalışacağınız firmaya şu soruları yöneltmek, değerlendirmenizi kolaylaştırır: Cihaza ve kurtarılan verilere kimler erişebiliyor? Kopyalar hangi ortamda tutuluyor? Veriler bir bulut hizmetine veya yurt dışına aktarılıyor mu? İş bitiminde laboratuvardaki kopyalar nasıl siliniyor ve bu bildiriliyor mu? Firma seçerken bakılacak diğer noktaları veri kurtarma firması seçerken dikkat edilmesi gerekenler yazımızda topladık.
Bizim uygulamamızda veriler yalnızca kurtarma amacıyla işlenir, talep edildiğinde gizlilik sözleşmesi imzalanır ve teslimat tamamlandığında laboratuvarda kalan kopyalar güvenli yöntemlerle temizlenir. Ayrıntıları gizlilik ve veri güvenliği sayfamızda ve KVKK aydınlatma metnimizde bulabilirsiniz.
Veri kaybı bir veri ihlali mi?
Her arıza bir ihlal değildir. Bir diskin bozulması, verilerin yetkisiz kişilerin eline geçtiği anlamına gelmez. Ancak bazı durumlar daha dikkatli bir değerlendirme gerektirir: Fidye yazılımı saldırısında saldırganın verileri kopyalayıp kopyalamadığı çoğu zaman ilk anda bilinmez; şifrelenmemiş bir yedek diskin veya dizüstünün kaybolması ya da çalınması da benzer bir risk taşır.
KVKK, işlediğiniz kişisel veriler hukuka aykırı biçimde üçüncü kişilerin eline geçtiğinde, veri sorumlusu olarak durumu Kurul’a ve etkilenen kişilere en kısa sürede bildirmenizi öngörür. Kurul bu süreyi kararlarında 72 saat olarak yorumlamaktadır. Bu nedenle bir saldırı fark edildiğinde teknik müdahale ile hukuki değerlendirmenin paralel yürümesi önemlidir. Saldırı sonrası teknik adımlar için fidye yazılımı veri kurtarma sayfamıza bakabilirsiniz.
Kurtarmadan sonra: eski cihazlar ve imha
Veriler kurtarıldıktan sonra arızalı disk genellikle unutulur; bir dolabın köşesinde bekler ya da elektronik atıkla birlikte çıkar. Oysa arızalı bir disk de okunabilir veriler içerebilir. Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi de KVKK kapsamında düzenlenen bir yükümlülüktür ve bunun kayıt altına alınması beklenir. Kullanım dışı kalan diskler için güvenli veri imha hizmetimizden yararlanabilirsiniz.
Yedekleriniz de aynı ilkelere tabidir: Kişisel veri içeren yedeklerin şifrelenmesi, erişimin sınırlandırılması ve saklama süresinin belirlenmesi gerekir. Sahada sık karşılaştığımız eksikler için yedekleme hataları listemize göz atabilirsiniz.
Bireysel kullanıcılar için
Kişisel fotoğraflarınızı veya aile belgelerinizi kurtarmaya gönderiyorsanız, KVKK’nın getirdiği veri sorumlusu yükümlülükleri sizin için genellikle söz konusu olmaz; kanun, kişilerin kendileri ve aileleriyle ilgili ev içi faaliyetlerini kapsam dışında tutar. Yine de gizliliğiniz önemlidir: Kimin elinde ne kadar süre kalacağını sormak, sizin de hakkınızdır.
BAMER olarak veri kurtarmanın yanında bilgi güvenliği ve KVKK danışmanlığı da veriyoruz. Kurumsal süreçleriniz için kurumsal veri kurtarma sayfamıza göz atabilirsiniz.
Sık sorulan sorular
Veri kurtarma firmasıyla ayrı bir sözleşme yapmamız gerekir mi?
Kanun, veri işleyenle ilişkinin belirli bir formda olmasını şart koşmasa da güvenlik tedbirlerinin alındığını gösterebilmek için yazılı bir çerçeve oluşturmak iyi bir uygulamadır. Gizlilik sözleşmesi bu çerçevenin temel parçasıdır.
Kurtarılan veriler bize nasıl teslim edilmeli?
Mümkünse şifrelenmiş bir ortamda ve yetkili bir kişiye, tutanakla teslim edilmesi önerilir. Teslim ortamının parolasının ayrı bir kanaldan iletilmesi riski azaltır.
Hasta veya müşteri verilerini içeren bir diski kargoyla göndermek uygun mu?
Uygun paketleme, takipli gönderim ve teslim kaydıyla mümkündür. Disk şifreliyse risk önemli ölçüde azalır. Gönderim öncesinde firmayla teslim koşullarını yazılı olarak netleştirin.