Kurumun verisi

Açılış sahnesi

Misafir anahtarını alıp asansöre yürüdükten sonra Gizem, Oya'ya dönüyor. «Gerçekten bilmiyorum», diyor. «Biz hep böyle yaptık. Kimliğin fotokopisini alırız, akşama kadar şu dosyada durur, akşam vardiyası arşive kaldırır. Arşivde ne kadar kaldığını da bilmiyorum.»

Oya dosyayı açmıyor; yalnız masanın neresinde durduğuna bakıyor. Dosya, misafirlerin kartlarını uzattığı tezgâhın hemen arkasında, kapağı açık. Resepsiyon bilgisayarının ekranında da bir oturum açık: kullanıcı adı «resepsiyon1». Oya bir soru soruyor: «Bu bilgisayara bu sabah kaç kişi bu adla girdi?» Gizem gülüyor. «Hepimiz.»

Bu derste ne olacak

Bir otelde, bir depoda ya da bir finans biriminde her gün işlenen verinin bir kısmı kişisel veridir: bir misafirin kimliği, bir tedarikçi yetkilisinin telefonu, bir çalışanın banka hesabı. Bu verinin korunmasının hukuki bir sorumlusu var: veri sorumlusu, yani kurum. Ama kurumun aldığı tedbirler, onları her gün uygulayan çalışanın elinden geçer. Bu ders 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun iki maddesini okuyor: kişisel verinin işlenmesindeki genel ilkeler ve veri güvenliğine ilişkin yükümlülükler. Kurumun hangi tedbirleri alması gerektiğini ayrıntılı olarak KVKK ve Veri Koruma Akademisi anlatıyor; burada soru şu: o tedbirlerin içinde çalışanın payı nedir?

Kanıt ne diyor

Kanun kişisel verinin güvenliğini kuruma yükler, ama bu yükümlülüğün bir kısmı doğrudan veriyi işleyen kişiye de uzanır.

Sahada

Masanın arkasındaki dosya

Verinin gittiği yerler

Gri alan

Kurumun tedbir yükümlülüğü ile çalışanın günlük davranışı arasındaki çizgi her zaman belirsiz ve tartışmalı. Kanun tedbiri veri sorumlusuna yükler; bir resepsiyonistin oturumunu kapatmaması bir tedbir eksikliği mi, bir çalışan hatası mı? Çoğu zaman ikisi birden: kurum her çalışana ayrı bir kullanıcı adı vermediyse, çalışan oturumunu kapatsa da kayıtlar kimin ne yaptığını göstermez. Bu yüzden ders çalışana bir sorumluluk payı veriyor, ama kurumun eksikliğini çalışanın sırtına yüklemiyor. Bir başka belirsizlik «kişisel veri» kavramının genişliğiyle ilgili: bir tedarikçi yetkilisinin cep telefonu, bir müşterinin oda numarası, bir saha ekibinin konum kaydı da kişisel veri olabilir ve çalışanlar bunu çoğu zaman bilmez. Son olarak, Oya'nın fotokopi sorusu bir hukuk sorusu ve bu dersin kapsamı dışında: konaklama tesislerinin misafir bilgisini nasıl kaydedeceği ayrı bir mevzuata bağlı ve bu ders o mevzuatı ele almıyor. Ders yalnız şunu söylüyor: bir verinin neden toplandığını bilmek, onu korumanın ilk adımı.

Senin işinde

İşinde her gün dokunduğun kişisel verileri bir düşün: müşterilerin, misafirlerin, tedarikçi yetkililerinin, çalışma arkadaşlarının bilgileri. Bu verilerin her biri için üç şeyi kontrol et: nerede duruyor, kim görebiliyor, ne zaman yok ediliyor? Masanda, ekranında ya da bir dosyada açık duran bir kişisel veri varsa, onu kapat, kilitle ya da kaldır. Kurumunun sana verdiği kullanıcı adını başkasıyla paylaşma; ortak bir hesap kullanılıyorsa, bunun bir sorun olduğunu yöneticine söyle. Bir listeyi ya da bir belgeyi kurum sisteminin dışına, örneğin bir mesaj grubuna ya da kişisel e-postana göndermeden önce dur ve kurumunun kuralını sor. Bir müşteri ya da misafir verisinin neden toplandığını soruyorsa, kendi başına bir cevap uydurma; kurumunun bilgilendirme metnini bul ya da soruyu yetkili birime ilet. İşten ayrıldığında, öğrendiğin kişisel verilerin seni bağlamaya devam ettiğini bil. Bir yöneticiysen, ekibinin her üyesinin kendi kullanıcı adıyla çalıştığından ve «biz hep böyle yaptık» denen bir veri toplama alışkanlığının amacının bilindiğinden emin ol.

Kendin dene

Aklında kalsın

Kişisel verinin güvenliğini kuracak önlemleri almak veri sorumlusunun, yani kurumun yükümlülüğüdür; ama o tedbirler her gün çalışanın elinden geçer. Veriyi işleyen kişiler öğrendikleri kişisel verileri Kanuna aykırı olarak açıklayamaz, amaç dışında kullanamaz ve bu yükümlülük görevden ayrıldıktan sonra da sürer. Veri belirli bir amaçla, ölçülü ve gerekli süre kadar işlenir; toplanmamış ya da zamanında silinmiş bir veri çalınamaz. Bir verinin neden toplandığını bilmek, onu korumanın ilk adımıdır.

Sonraki derse köprü

Oya Antalya'dan ayrılmadan önce Gizem ona bir şey daha anlatıyor. Gece vardiyasındaki resepsiyonist, evdeyken de rezervasyonlara bakabilmek için kendi telefonuna otelin rezervasyon sisteminin uygulamasını yüklemiş; şifresi telefonda kayıtlı. Bir başka çalışan ise otelin dizüstü bilgisayarında akşamları kendi kişisel işlerini yapıyor. «İkisi de iyi niyetli», diyor Gizem. «Ama ikisi de bir yerde yanlış gibi.» M01-D03 kurum işini kişisel cihazda yapmanın ve kişisel işi kurum cihazında yapmanın risklerini ayırmayı ele alıyor.

Kendini sına

Soru 1 · Kavram

6698 sayılı Kanun madde 12'ye göre kişisel veriyi korumak için gereken önlemleri almak kimin yükümlülüğüdür?

• A) Yalnız bilgi işlem biriminin.
• B) Kişisel verisi işlenen kişinin.
• C) Veri sorumlusunun, yani kurumun.
• D) Yalnız Kişisel Verileri Koruma Kurulu'nun.

Cevap: C. Tedbirleri almak veri sorumlusunun yükümlülüğüdür; ama o tedbirler her gün çalışanların davranışıyla uygulanır.

Soru 2 · Kanun

Madde 12'nin dördüncü fıkrasına göre, veri işleyen bir çalışanın öğrendiği kişisel verileri açıklamama yükümlülüğü ne zaman sona erer?

• A) İşten ayrıldığı gün.
• B) Bir yıl sonra.
• C) Sözleşmesinde ne yazıyorsa o zaman.
• D) Sona ermez; Kanun bu yükümlülüğün görevden ayrıldıktan sonra da devam ettiğini söyler.

Cevap: D. Kanuna göre bu sınır işten çıkışla kalkmaz; sezon bitince başka bir işe geçen çalışanı da bağlar.

Soru 3 · Senaryo

Bir resepsiyon ekibi, akşam vardiyası hazırlıklı gelsin diye grup misafirlerinin listesinin fotoğrafını kendi mesajlaşma grubunda paylaşıyor. Bu davranışın sorunu nedir?

• A) Liste kurumun sisteminden çıkıp kişisel telefonlara ve bir dış hizmetin sunucusuna gider; veri, işleme amacı ve kurumun tedbirleri dışında dolaşmaya başlar.
• B) Sakıncası yoktur; ekip aynı yerde çalışıyor.
• C) Yalnız fotoğrafın kalitesi düşükse sorun olur.
• D) Yalnız yöneticiye haber verilmezse sorun olur.

Cevap: A. Veri işleyen kişiler veriyi Kanuna aykırı olarak açıklayamaz ve amaç dışında kullanamaz; iyi niyet, verinin kurumun koruması dışına çıkmasını değiştirmez.

Soru 4 · Tuzak

Bir otelde misafirlerin kimlik fotokopileri yıllardır alınıyor, ama kimse neden alındığını bilmiyor. Bu derse göre ilk sorulması gereken soru hangisidir?

• A) Fotokopileri daha güvenli bir dolapta mı saklamalıyız?
• B) Bu veriyi hangi amaçla topluyoruz ve bu amaç için ne kadar süre saklamamız gerekiyor?
• C) Fotokopileri dijital olarak mı saklamalıyız?
• D) Misafirlerden daha fazla belge mi istemeliyiz?

Cevap: B. Kanun veriyi belirli bir amaçla, ölçülü ve gerekli süre kadar işlemeyi ister; amacı bilinmeyen bir veri hem gereksiz bir risk hem de korunması zor bir veridir. Dolap sorusu ancak bu sorudan sonra anlamlıdır.