Öncelikle kullanılan VPN’in kendisinde zafiyet olup olmadığından emin olunmalı. Sonrasında ise çalışanlar mutlaka şirket verilerine uzaktan erişirken çok faktörlü doğrulama ile kimlik doğrulaması yapılmalı aksi takdirde saldırganlar tek şifre ile girilebilen açık RDP uygulamaları üzerinden sisteme sızabiliyorlar. Ayrıca çalışanların kullandığı antivirüs/end point protection çözümlerinin güncel olup olmadığı kontrol edilmeli. Çalışanların ortak ağ üzerinden internete bağlanmadığından da emin olunmalı, çalışanlara yalnızca kendilerinin bağlanacağı bir internet hizmeti şirket tarafından sunulmalı uzaktan çalışma döneminde.

Şirket bilgilerinin kişisel bilgisayarlardan erişimi temelde sorunlu bir yaklaşım. Erişim ve kontrol imkanının azalması sebebiyle kişisel verilere gelene kadar zaten pek çok sorunla karşı karşıya kalınması ihtimali mevcuttur. Kişisel veriler açısından değerlendirme yaptığımızda ise, çalışanın kendi bilgisayarı ile çalışması halinde; çalışırken uyması gereken kuralların bir talimatname şeklinde hazırlanarak kendisine iletilmesi, bu talimatnameye uygun davranılıp davranılmadığının denetlenmesi kanaatimce yeterli olacaktır. Tabi ki, çalışanın kötü niyetli olduğu durumlarda şirket bilgisayarı / çalışan bilgisayarı arasında pek fark olmayacak, yeterli tedbirler alınmadıysa iki durumda da veri sorumlusu olarak şirketin sorumluluğuna gidilecektir. Böyle bir durumda da disiplin cezası / uğranılan zararın rücu edilmesi v.s. hükümleri belirttiğiniz gibi iş sözleşmesinde bulundurmak faydalı olacaktır.

KVKK bütüncül yapıda ilerlemesi gereken bir süreçtir. Kullanılan belgelerde hangi tür verilerin bulunduğunu idari tedbirler alınırken tespit ediliyor çoğu zaman bunun akabinde ise kişisel verilerin tutulduğu alanlar belirlenip buralara uygun çözümleri konumlandırmak teknik tedbirler aşamasında gerçekleşiyor. Aslında bu iki süreç birbirinde bağımsız değil hatta birbirini takip eden bir sarmal gibi ilerlemeli. Örneğin saklama imha politikası tek başına bir idari tedbir olarak değerlendirilemez çünkü saklanacak ve imha edilecek verilerin tespiti idari ve teknik sürete birlikte ilerliyor. Hard copy belgeler idari süreçte incelenirken veritabanlarında yer alan kişisel verilein tespiti için teknik bir inceleme yapılması gerekmektedir.

İmzalanacak olan veri işleme sözleşmesinde hangi güvenlik önlemlerinin alınması gerektiğinin bildirilmesi faydalı olacaktır. Veri işleyenin inisiyatifine bırakılması halinde, yeterli güvenlik önleminin alınması ihtimali kanaatimce azalacaktır. Malum olduğu üzere, herhangi bir cezai yaptırım halinde, sözleşmesel ilişki ile bu cezanın sözleşmenin diğer tarafına yansıtılması mümkündür. Ancak Borçlar Hukuku’nun temel ilkeleri olarak; bu sözleşmenin de emredici hukuk kurallarıyla bağlı olduğunu, kimsenin kendi kusuruna dayanan bir zarar sebebiyle üçüncü şahıslardan tazminat isteyemeyeceğini hatırlatmak isterim. Burada sözleşmenin teminatlandırılması, iyi niyetli çözümler v.s. ayrıntılara girmiyorum ancak veri işleyene rücu edecekseniz dahi, veri işleyenin kusuru oranında rücu edebileceğinizi, eğer tüm kusur sizdeyse, rücu etmenizin imkanı olmayacağını belirtmek isterim.

Evet, değerlendirilebilir.

Kanun uyarınca kişisel verilerin işlenmesi için belirli şartlar öngörülmüştür, bunlar özetle; 1) diğer, 2) diğer başlığı altına girmeyen konularda “açık rıza” alınmasıdır. “Diğer” başlığı altındaki en önemli ve güçlü madde “kanunlarda açıkça öngörülmesi”dir.  Sınava girişte, sınava girenin kimliğinin tespiti, sınava girmesi gereken kişi ile sınava girenin aynı kişi olduğunun tespiti kanundan kaynaklanan yükümlülüklerdir. Sınav mahaline girerken kimliğinizi göstermeniz, masanın üzerine, gözetmenin incelemesine izin vermeniz gibi. Yani aslında bu manada verilerinizin işlenmesi, daha büyük bir amaca hizmet ediyor. Tersinden baktığımızda, sizin yerinize başka birisinin sınava girip kasten size düşük not aldırmasını da istemezsiniz. Yani kanundaki söz konusu düzenleme aslında sizin verilerinizi de koruma amacı taşıyor. Hizmet sunumu açık rıza şartına bağlanamasa da, kanunun 5. Maddesindeki işleme şartlarından biri mevcutsa, veriler açık rıza olmaksızın işlenebilmekte, kişisel verilerin iletilmemesi halinde ise hizmet verilmesinden kaçınılabilmektedir. Örneğin, kimliğinizi göstermeden sınav alanına girmeniz mümkün olmaz.

Kurul bünyesine yoğun bir şekilde denetçi ve danışman alımına başladı son 6 ay içerisinde bu da gsteriyor ki yakın zamanda finansal denetimler gibi düzenli bir şekilde kurul da şirketleri kişisel verileri koruma kapsamında denetlemeye başlayacak. Benim öngörüm Verbis’e kayıt tarihlerinin sonlanmasıyla birlikte başlayacağı yönünde.

Veri sorumlusu-veri işleyen sözleşmesinde eğer yer alan veri işleme kapsamında, amaçlarında veya işlenen kişisel veriler kapsamında bir değişiklik varsa sözleşme yenilenmeli elbette ama aksi takdirde yenilenmesine gerek yoktur. Fakat şunu unutmamalıyız ki veri sorumlusu veri işleyenin aldığı idari ve teknik tedbirleri kontrol ve takip etmekle yükümlüdür. O yüzden şu anda uzaktan çalışma dönemine geçilmesiyle veri işleyen önlemlerini almış mı almamış mı, VPN güvenliğini sağlamış mı bunları kontrol etmek de Veri Sorumlusunun yükümlülüğündedir. Herhangi bir veri sızıntısı durumunda Veri sorumlusu da bu ihlalden sorumludur bunu unutmamak gerekiyor.

Öncelikle, yayınlanan asgari özelliklerin bulunduğu ülkeleri listelemek çok zor ve tutarsız sonuçlar doğurur. Aslında kanundaki bu yöndeki hükmün sorunlu olduğunu düşünüyorum. Ülkenin güvenli olup olmadığına bir kurulun karar vermesini beklemek çok doğru değil. Birbirine entegre ekonomilerde verilerin yurtdışına çıkartılmasının yasaklanması pek makul bir çözüm değil. Burada münferit olarak alınacak tedbirlere odaklanılmalı diye düşünüyorum.

Elbette tek başına farkındalık yeterli olmayacaktır bu durumda. Çalışanların kendi iş süreçlerinde kullanması gereken belgeler ve alanlar dışında herhangi bir yere erişememeli. Bunun için en basit yöntem olarak active directoy kullanılmasını önerebilirim. E-mail ile paylaşılması konusunda da hem e-mail güvenliği sağlanmalı hem de daha güçlü bir önlem alınmak istenirse de DLP ile belirli kurallar yazıp çalışanların kişisel verileri belirli kişiler dışında paylaşılması önlenebilir veya paylaşıldığında admin’e bir uyarı mesajı gönderilir bu sayede kimin paylaştığı tespit edilir ve uyarıda bulunulabilir.