İşlemek ne demek

Açılış sahnesi

Salı sabahı Selin, grup hukuk müdürü Derya Hanım'ın kapısını çalıyor. Elinde dünkü rapor meselesi var. "Raporu açtım, okudum, tarihleri sisteme girdim, aslını hekime gönderdim, telefonumdan sildim," diyor. "Ben veri işlemiş olmuyorum, değil mi? Sadece aracıyım."

Derya Hanım cevap vermeden tahtaya beş kutu çiziyor ve her kutuya Selin'in bir hareketini yazıyor: açtı, tuttu, kaydetti, gönderdi, sildi. Sonra her kutunun altına kanundan bir kelime ekliyor. Tahta dolarken bilgi güvenliği uzmanı Kerem kapıda beliriyor; elinde bir erişim kaydı çıktısı var. "Finans'ın şubesinden biri, dün akşam bir müşterinin dosyasını açmış. Hiçbir işlem yapmamış, sadece bakmış. Bunu ne yapıyoruz?"

Bu derste ne olacak

Selin'in sorusu ile Kerem'in sorusu aynı yere çıkıyor: kanun hangi eyleme işleme der? Bu derste kanundaki tanımı okuyacak ve onun neden bu kadar geniş tutulduğunu göreceğiz. Bir iş gününün sıradan hareketlerini, açmayı, kopyalamayı, sıralamayı, düzeltmeyi, göndermeyi, saklamayı ve silmeyi, tanımın içine tek tek yerleştireceğiz. Sonra kâğıda geçeceğiz: bir ziyaretçi defteri ile bir toplantı notu arasında kanunun gözünde ne fark var? Son olarak kanunun kendi koyduğu bir sınıra, kişinin yalnız kendisi ve ailesi için tuttuğu bilgiye bakacağız. M01-D02'de özel nitelikli veriyi tanıdık; bu ders o veriye ya da herhangi bir kişisel veriye dokunmanın ne zaman kanunun alanına girdiğini anlatıyor.

Kanun ne diyor

Kanun işlemeyi bir fiil listesiyle tanımlar ve listeyi kapatmaz.

Tanımda iki ifade bir çalışanın işini belirler. Birincisi listenin sonundaki "gibi" kelimesidir: sayılan fiiller örnektir, sınır değildir. İkincisi "her türlü işlem" ifadesidir: veriye dokunan, onu yerinden oynatan, ona ulaşılmasını sağlayan ya da onu ortadan kaldıran her hareket bu tanıma girer. Silmek listede adıyla geçmez, ama kanun silmeyi ayrıca düzenler ve silme de veri üzerinde yapılan bir işlemdir.

Uygulamada

Bir iş gününde işleme

Derya Hanım'ın tahtasındaki beş kutu tanımın içine şöyle yerleşir. Selin raporu açtığında veriyi elde etti; telefonunda tuttuğu sürece depoladı ve muhafaza etti; tarihleri sisteme girdiğinde kaydetti; aslını hekime gönderdiğinde aktardı; fotoğrafı sildiğinde de veri üzerinde bir işlem daha yaptı. Selin kendini bir aracı gibi görüyordu, ama kanunun gözünde beş ayrı işlemin içindeydi. Bu bir suçlama değildir; bu işlemlerin her biri meşru bir amaca hizmet ediyordu. Önemli olan, her birinin bir amacı, bir dayanağı ve bir güvenliği olması gerektiğini bilmektir.

Dokunmadan işlemek

Bazı işlemlerde veriye kimse el sürmez. Kanunun "muhafaza edilmesi" ve "elde edilebilir hâle getirilmesi" fiilleri tam da bunları kapsar.

Sadece bakmak

Kerem'in getirdiği erişim kaydı, kurumların en sık karşılaştığı ve en çok küçümsediği işlemle ilgilidir.

Ekranda bir kaydı açmak, veriyi sistemden elde etmektir ve bu hareketin bir iş amacı olması gerekir. Kanun veri sorumlusuna ve veri işleyen kişilere öğrendikleri kişisel verileri işleme amacı dışında kullanmamayı açıkça yükler; bu yükümlülüğün görevden ayrıldıktan sonra da sürdüğünü M01-D04'te göreceğiz. Erişim kayıtlarının neden tutulduğu ve nasıl incelendiği M09-D03'ün, kişisel verilere ilişkin suçlar ise M11-D05'in konusu.

Kâğıt da kapsamda

Kanun yalnız bilgisayardaki veriyle ilgilenmez. Kâğıt üzerindeki kişisel veri, bir veri kayıt sisteminin parçasıysa aynı kurallara tabidir.

Kanunun kendi sınırı

Kanun bir alanı bilerek dışarıda bırakır: kişinin yalnızca kendisi ve evinde yaşayan ailesi için tuttuğu bilgi.

Gri alan

Kanunun tanımı geniş, ama sınırlarında hâlâ belirsizlik var. İlki yalnızca görüntülemedir. "Ekranda görmek" kanunun listesinde adıyla geçmez; onu işleme saymanın gerekçesi "elde etme" fiili ve listenin "gibi" ile açık bırakılmasıdır. Bir ekranın önünden geçerken başka birinin açık tuttuğu bir kaydı istemeden görmek ile bir kaydı arayıp açmak arasında fark vardır ve bu farkın sonucu, Kurul önüne gelen bir olayda, kimin hangi amaçla ve hangi yetkiyle o veriye ulaştığına göre tartılır.

İkincisi dağınık kâğıt notlardır. Bir toplantıda müşterinin söylediklerini not ettiğin bir kâğıt, tek başına düzenlenmiş bir kayıt sistemi olmayabilir. Ama o not müşterinin dosyasına konduğu, bir klasöre tarih sırasıyla takıldığı ya da bilgisayara geçirildiği anda sistemin parçası olur. Hangi notun hangi anda kapsama girdiği her zaman net değildir; güvenli yol, işle ilgili her notu kapsamdaymış gibi korumaktır.

Üçüncüsü kişisel cihazlardır. Kişisel ve ailevi faaliyet istisnası açık bir kural koyar, ama aynı telefonda iş ve özel hayat iç içe geçtiğinde hangi kaydın hangi tarafta durduğu tartışmalı olabilir. Böyle bir durumda karar senin değil, kurumun cihaz ve iletişim kurallarının işidir.

Senin masanda

Bir kişisel veriye her dokunuşunu bir işlem olarak düşün ve her işlemden önce kendine iki soru sor: bunu yapmak için bir iş amacım var mı ve bunu yapmanın en dar yolu hangisi? Bir soruyu sormak için ekran görüntüsü yerine kayıt numarasını, bir hatayı göstermek için bütün kayıt yerine ilgili satırı kullan.

İş amacın olmayan hiçbir kaydı açma. Merak, bir komşunun adı, bir ünlünün dosyası, eski bir iş arkadaşının bordrosu iş amacı değildir. Bilgi sistemlerinin çoğu her girişi kaydeder ve bu kayıtlar düzenli olarak incelenir; ama asıl sebep kaydın tutulması değil, o veri sahibinin sana güvenmiş olmasıdır.

İşi biten veriyi bekletme. Masaüstündeki eski listeler, indirilenler klasöründeki dökümler, çekmecedeki fotokopiler kimse onlara bakmasa da işlenmeye devam eder. Silmeden önce de dur: bazı belgelerin kanunen saklanması gerekir, silme kararı şirketin saklama ve imha kurallarına göre verilir.

Kâğıdı küçümseme. Ziyaretçi defterini kapalı tut, başvuru formlarını masanın üstünde bırakma, yazıcıdan çıktını hemen al. İşle ilgili kişisel bilgileri kendi telefonuna, kendi rehberine kaydetme; şirketin sağladığı sistemi kullan.

Kendin dene

Aklında kalsın

Kanun işlemeyi bir fiil listesiyle tanımlar ve listeyi "gibi" diye bitirir: elde etmek, kaydetmek, saklamak, değiştirmek, sıralamak, açıklamak, aktarmak, erişime açmak ve silmek dahil, veri üzerinde yapılan her türlü işlem işlemedir.

Veriye dokunmadan da işlenir: bir depoda bekleyen dosya muhafaza edilir, bir panele tanımlanan erişim veriyi elde edilebilir hâle getirir. İş amacı olmadan bir kaydı açmak, hiçbir şey değiştirmesen de amaç dışı bir işlemdir.

Kâğıt, belli ölçütlere göre düzenlenmiş bir kayıt sisteminin parçasıysa kapsamdadır. Kişinin yalnızca kendisi ve evindeki ailesi için tuttuğu bilgi kanunun dışındadır; işle ilgili bir amaç girdiği anda değildir.

Sonraki derse köprü

Derya Hanım'ın tahtasında Selin'in beş işlemi duruyor. Peki bu işlemlerin sahibi kim? Selin mi, İK birimi mi, Ilgaz Grup mu, yoksa raporu saklayan bulut hizmetinin sağlayıcısı mı? M01-D04, kanunun bu soruya verdiği cevabı, veri sorumlusu, veri işleyen tedarikçi ve çalışan arasındaki ayrımı ele alacak ve çalışanın sır saklama yükümlülüğünün işten ayrıldıktan sonra neden sürdüğünü anlatacak.

Kendini sına

Soru 1 · Kavram

Kanunun işleme tanımı için hangisi doğrudur?

• A) Yalnızca veriyi başkasına göndermek işleme sayılır
• B) Yalnızca bilgisayar ortamındaki veri işlenebilir
• C) Tanımdaki fiiller kesin bir listedir; listede olmayan eylem işleme değildir
• D) Tanımdaki fiiller örnektir; veri üzerinde yapılan her türlü işlem işlemedir

Cevap: D. Kanunun 3. maddesi fiilleri sayar ve "gibi veriler üzerinde gerçekleştirilen her türlü işlemi" diye biter. Göndermek işlemelerden yalnızca biridir; kâğıt üzerindeki veri de bir veri kayıt sisteminin parçasıysa kapsamdadır.

Soru 2 · Senaryo

Bir şube çalışanı, mesai bitiminde merak ettiği bir tanıdığının hesabını sistemde açıp bakıyor ama hiçbir şey değiştirmiyor. Bu durum için hangisi doğrudur?

• A) Çalışan iş amacı olmadan veriyi elde etmiştir; bu amaç dışı bir işlemdir
• B) Hiçbir şey değiştirilmediği için ortada bir işlem yoktur
• C) Bilgi kimseye söylenmediği sürece sorun yoktur
• D) Mesai saati dışında olduğu için kurumun sorumluluğu yoktur

Cevap: A. Kaydı açmak veriyi sistemden elde etmektir ve kanun öğrenilen verinin işleme amacı dışında kullanılmamasını ister. Değişiklik yapmamak ya da bilgiyi paylaşmamak bunu değiştirmez; mesai saati de kaydın bir iş amacı olmadan açıldığı gerçeğini değiştirmez.

Soru 3 · Tuzak

Hangisi kanunun kapsamı dışında kalır?

• A) Tarih sırasıyla tutulan bir ziyaretçi defteri
• B) Arşiv deposunda yıllardır açılmayan kredi dosyaları
• C) Bir çalışanın kendi telefonunda tuttuğu ailesinin ve arkadaşlarının numaraları
• D) Bir ajansa panel erişimiyle açılan müşteri segmentleri

Cevap: C. Kanunun 28. maddesi, kişinin tamamen kendisi ve evinde yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlediği veriyi kapsam dışında tutar. Ziyaretçi defteri bir veri kayıt sistemidir, depodaki dosyalar muhafaza edilmektedir, panel erişimi ise veriyi elde edilebilir hâle getirir.

Soru 4 · Uygulama

Bir temsilci, hatalı görünen bir fatura kaydını takım arkadaşlarına sormak istiyor. En uygun yol hangisidir?

• A) Kaydın tam ekran görüntüsünü ekip grubuna atmak
• B) Kayıt numarasını ya da yalnızca hatalı satırı paylaşarak soruyu kurumun kanalından sormak
• C) Kaydı yazdırıp ekip panosuna asmak
• D) Müşteri bilgilerini kendi telefonuna not alıp eve gidince bakmak

Cevap: B. Soruyu sormak için kayıt numarası ya da ilgili satır yeterlidir; tam ekran görüntüsü müşterinin adını, adresini ve borcunu grubun bütün üyelerine açar. Çıktıyı panoya asmak da, bilgiyi kişisel telefona almak da veriyi gereksiz yere çoğaltır ve kurumun denetiminden çıkarır.