KABUK Hukuk & Vergi olarak kişisel verilerin korunmasını yalnızca mevzuata uyum veya zorunlu metinlerin hazırlanması meselesi olarak görmüyoruz.

Bizim için veri, modern işletmelerin en önemli görünmeyen varlıklarından biridir.

Bir şirketin müşterileri, çalışanları, ticari ilişkileri, finansal yapısı, sözleşmeleri, fiyatlama yöntemleri, dijital kayıtları ve kurumsal hafızası; çoğu zaman fiziksel varlıklarından daha değerli hale gelebilir.

Bu nedenle temel yaklaşımımız şudur:

Hâkim olmadığınız bilgi, gerçekte size ait değildir.

Bir bilginin şirket sistemlerinde bulunması, o bilginin gerçekten kontrol edildiği anlamına gelmez.

Kimlerin erişebildiği bilinmiyorsa, nerede saklandığı takip edilmiyorsa, ne kadar süre tutulduğu belirlenmemişse ve nasıl korunacağı konusunda açık bir sistem yoksa, veri yalnızca elde tutuluyordur; yönetilmiyordur.

Ve yönetilmeyen bilgi, eninde sonunda risk üretir.

Veriye Sahip Olmak ile Veriyi Yönetmek Arasındaki Fark

Şirketlerin önemli bir bölümü büyük miktarda veri toplar.

Müşteri bilgileri, çalışan kayıtları, kamera görüntüleri, elektronik postalar, telefon numaraları, finansal belgeler ve ticari yazışmalar günlük iş hayatının doğal parçasıdır.

Ancak asıl soru, bu verilerin toplanıp toplanmadığı değil, neden toplandığı ve nasıl yönetildiğidir.

Bir verinin; hangi amaçla işlendiği, hangi hukuki sebebe dayandığı, kimler tarafından erişilebilir olduğu, ne kadar süre saklandığı, kimlerle paylaşıldığı ve ne zaman silinmesi gerektiği bilinmiyorsa, şirket o veriye gerçekten hâkim değildir.

Bilginin Değeri Kullanım Biçiminde Ortaya Çıkar

Verinin kendisi kadar, nasıl kullanıldığı da önemlidir.

Çalınan bir bilginin değerini bilmeyen kişi, yalnızca hırsızdır.

Ama verinin nasıl kullanılacağını bilen kişi, şirketin ticari düzenini, müşteri ilişkilerini ve rekabet gücünü etkileyebilir.

Bu nedenle veri güvenliğini yalnızca dışarıdan gelebilecek saldırılar açısından değil, şirket içindeki erişim ve yetki yapıları açısından da değerlendiriyoruz.

Çünkü veri ihlallerinin önemli bir bölümü, teknolojik saldırılardan çok kontrolsüz erişim, yanlış paylaşım ve iç süreçlerdeki zayıflıklardan kaynaklanabilir.

Veri Envanteri ve Haritalama

KVKK uyumunun ilk adımının, şirketin hangi verileri işlediğini gerçekten bilmesi olduğuna inanıyoruz.

Bu nedenle şirket içindeki veri akışını ortaya çıkarıyoruz. Hangi departmanın hangi veriyi topladığı, bu verinin nerede saklandığı, kimlerle paylaşıldığı, hangi sistemlerde işlendiği ve ne kadar süre tutulduğu detaylı biçimde değerlendirilmelidir.

Veri haritası olmayan bir şirketin, veri riskini sağlıklı biçimde yönetmesi mümkün değildir.

Çalışan Verileri

İnsan kaynakları süreçleri, şirketlerin en yoğun kişisel veri işlediği alanlardan biridir.

Kimlik bilgileri, ücret verileri, sağlık kayıtları, özlük dosyaları, performans kayıtları, kamera görüntüleri ve elektronik iletişim kayıtları özel dikkat gerektirir.

Çalışan verilerinin gereğinden fazla toplanmaması, yalnızca yetkili kişiler tarafından erişilebilir olması ve kullanım amacının açık biçimde belirlenmesi gerekir.

Bu süreçleri iş hukuku ile KVKK perspektifini birlikte kullanarak değerlendiriyoruz.

Kamera ve Gözetim Sistemleri

Kamera sistemlerinin varlığı tek başına hukuka uygunluk anlamına gelmez.

Kameraların hangi alanlarda bulunduğu, hangi amaçla kullanıldığı, çalışan ve ziyaretçilere bilgi verilip verilmediği, kayıtların ne kadar süre saklandığı ve kimler tarafından izlendiği önemlidir.

Özellikle çalışan gözetiminde işverenin yönetim hakkı ile çalışanın özel hayatının korunması arasında hassas bir denge kurulması gerektiğine inanıyoruz.

Biyometrik Veriler

Parmak izi, yüz tanıma ve benzeri biyometrik veriler özel nitelikli kişisel veri niteliği taşıyabilir ve yüksek risklidir.

Bu nedenle biyometrik sistemlerin yalnızca pratik olduğu için kullanılmasını doğru bulmuyoruz.

Aynı amaca daha az müdahaleci yöntemlerle ulaşılabiliyorsa, bu seçeneklerin değerlendirilmesi gerekir.

Veri koruma yaklaşımımızın temelinde ölçülülük ilkesi yer alır.

Müşteri ve Tedarikçi Verileri

Şirketlerin ticari ilişkileri sırasında topladığı müşteri ve tedarikçi bilgileri de KVKK kapsamında dikkatle yönetilmelidir.

İletişim bilgileri, ödeme bilgileri, sözleşmeler ve ticari yazışmalar hem kişisel veri hem de ticari sır niteliği taşıyabilir.

Bu nedenle sözleşme süreçleri ile veri koruma yükümlülüklerini birbirinden ayrı görmüyoruz.

Aydınlatma ve Açık Rıza

Aydınlatma metinlerinin internet sitesine konulan standart belgelerden ibaret olmaması gerektiğine inanıyoruz.

İlgili kişiye hangi verinin neden işlendiğinin açık ve anlaşılır biçimde anlatılması gerekir.

Açık rıza ise her veri işleme faaliyetinin otomatik hukuki dayanağı değildir.

Mevzuatın izin verdiği diğer işleme şartları dikkatle değerlendirilmeden yalnızca açık rızaya dayanılması, şirket açısından ileride hukuki sorunlar yaratabilir.

Saklama ve İmha Politikaları

Bir verinin hukuka uygun şekilde toplanmış olması, sonsuza kadar saklanabileceği anlamına gelmez.

Şirketlerin hangi veriyi ne kadar süre tutacağını belirlemesi gerekir.

Saklama süresi sona eren verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine yönelik sistemlerin oluşturulmasına destek oluyoruz.

Çünkü gereksiz yere tutulan her veri, potansiyel bir risk alanıdır.

Erişim Yetkileri

Veri güvenliğinin en kritik unsurlarından biri erişim kontrolüdür.

Bir çalışanın görevini yerine getirmesi için ihtiyaç duymadığı verilere erişebilmesi, şirket açısından gereksiz risk oluşturur.

Bu nedenle “herkes her şeyi görebilir” anlayışının yerine, görev ve sorumluluğa göre erişim yetkilerinin belirlenmesini önemsiyoruz.

Bilgiye erişim bir ayrıcalık değil, sorumluluktur.

Veri İhlalleri

Veri ihlali meydana geldiğinde doğru ve hızlı hareket edilmesi gerekir.

İhlalin kapsamının belirlenmesi, etkilenen veri gruplarının tespiti, gerekli bildirimlerin yapılması ve tekrarını önleyecek önlemlerin alınması kritik önem taşır.

Bu süreçlerde olayın yalnızca hukuki değil, teknik ve kurumsal boyutunun birlikte değerlendirilmesi gerekir.

Dijitalleşme ve Yapay Zekâ

Yapay zekâ sistemleri, şirketlerin veri kullanım kapasitesini ciddi biçimde artırmaktadır.

Ancak veri kullanımının artması, hukuki sorumlulukların da artması anlamına gelir.

Yapay zekâ uygulamalarında kullanılan verilerin kaynağı, hukuki dayanağı, kişisel veri içerip içermediği ve üçüncü kişilerle paylaşım boyutu dikkatle değerlendirilmelidir.

Teknolojinin sunduğu imkânların, veri koruma yükümlülüklerini görünmez hale getirmesine izin verilmemesi gerektiğine inanıyoruz.

Ticari Sırlar ve Kişisel Veriler

Her önemli bilgi kişisel veri değildir.

Ancak şirketlerin en kritik bilgi varlıklarından bazıları ticari sır niteliğindedir.

Müşteri listeleri, fiyatlandırma yöntemleri, üretim süreçleri, iş modelleri ve stratejik belgeler de korunmalıdır.

Bu nedenle veri koruma yaklaşımımızı KVKK ile sınırlamıyor; bilgi güvenliği ve ticari sırların korunması perspektifiyle birlikte ele alıyoruz.

Veri Minimizasyonu

Şirketlerin yalnızca gerçekten ihtiyaç duyduğu veriyi işlemesi gerektiğine inanıyoruz.

Çünkü ne kadar çok veri tutulursa, o kadar çok risk yönetilmesi gerekir.

Bu nedenle temel sorularımızdan biri şudur:

Bu veriye gerçekten ihtiyacımız var mı?

Eğer cevap hayır ise, en güvenli veri hiç toplanmamış veridir.

Kurumsal Veri Kültürü

KVKK uyumunun yalnızca hukuk departmanının işi olmadığını düşünüyoruz.

İnsan kaynakları, muhasebe, bilgi işlem, satış, pazarlama ve yönetim birimlerinin tamamı veri işleyebilir.

Bu nedenle gerçek uyum, şirket genelinde veri bilincinin oluşmasıyla mümkündür.

Çalışan eğitimleri, şirket içi prosedürler ve düzenli kontrol mekanizmaları bu kültürün önemli parçalarıdır.

Veri Koruma ile Kurumsal İtibar

Veri ihlallerinin sonucu yalnızca idari para cezaları değildir.

Müşteri güveninin kaybı, çalışan ilişkilerinin bozulması ve şirket itibarının zarar görmesi çok daha büyük sonuçlar doğurabilir.

Bu nedenle veri koruma çalışmalarını yalnızca yasal uyum değil, kurumsal güvenin korunması olarak değerlendiriyoruz.

KABUK Yaklaşımı

KABUK olarak veri korumada temel sorunun yalnızca “mevzuata uyduk mu?” olmadığını düşünüyoruz.

Asıl soru şudur: Şirket kendi bilgisine gerçekten hâkim mi?

Hangi veriye sahip olduğunu bilmiyorsa, kimin eriştiğini kontrol edemiyorsa, neden tuttuğunu açıklayamıyorsa, ne zaman sileceğini bilmiyorsa, o bilgi şirket için varlık olmaktan çıkıp riske dönüşmeye başlar.

Bizim için güçlü veri yönetimi, bilgiyi toplamak değil; onu anlamak, sınırlamak, korumak ve gerektiğinde zamanında yok edebilmektir.

Çünkü bilgi güçtür.

Ama yalnızca kontrol edildiği sürece.

Hâkim olmadığınız bilgi size ait değildir.

Ve bir bilginin gerçek değeri, yalnızca ele geçirilmesinde değil; ne anlama geldiğinin ve nasıl kullanılacağının bilinmesindedir.

KABUK Hukuk & Vergi

Biz veri istifçisi değiliz, verinin kimde olduğunu, neden tutulduğunu ve nasıl korunacağını yönetiyoruz.