KVKK teknik ve idari tedbirler, şirketlerin kişisel verileri hukuka aykırı işleme, yetkisiz erişim, veri kaybı, veri sızıntısı ve amaç dışı kullanım risklerine karşı alması gereken güvenlik ve yönetim önlemleridir. Bu tedbirler yalnızca bilişim sistemlerine parola koymaktan ibaret değildir. Yetki matrisi, personel eğitimi, gizlilik taahhütleri, tedarikçi kontrolü, veri minimizasyonu, log kayıtları, yedekleme ve erişim sınırları birlikte değerlendirilmelidir.
Bir işletmenin KVKK uyum dosyası hazırlanırken teknik ve idari tedbirler ayrı bir başlık olarak ele alınmalı; ancak uygulamada bu iki alan birbirinden kopuk düşünülmemelidir. Çünkü güçlü bir parola politikası teknik tedbir gibi görünse de, bu politikanın personele duyurulması, uygulanması, denetlenmesi ve ihlal halinde yaptırım sürecinin belirlenmesi idari tedbir gerektirir.
KVKK teknik ve idari tedbirler, şirketlerin kişisel veri güvenliğini sağlamak için hem yazılı politika hem de uygulama düzeyinde kurması gereken önlemler bütünüdür. Şirketler; hangi verileri işlediklerini belirlemeli, erişim yetkilerini sınırlandırmalı, log kayıtlarını tutmalı, düzenli yedekleme yapmalı, çalışanlarını eğitmeli ve tedarikçilerini KVKK açısından kontrol etmelidir. Teknik tedbirler bilgi sistemleri güvenliğine, idari tedbirler ise politika, süreç, eğitim, sözleşme ve denetim düzenine yöneliktir.
1. Teknik ve İdari Tedbirler Neden Gereklidir?
KVKK bakımından kişisel veri güvenliği, yalnızca veri ihlali yaşandıktan sonra gündeme gelen bir konu değildir. Veri sorumlusu olan şirketler, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı erişimi engellemek ve kişisel verilerin güvenli şekilde muhafazasını sağlamak için uygun güvenlik düzeyini temin etmelidir.
Bu nedenle teknik ve idari tedbirler, KVKK uyum sürecinin temel parçalarından biridir. Bir şirketin aydınlatma metni, açık rıza metni veya veri envanteri bulunması tek başına yeterli değildir. Bu belgelerin gerçek işleyişle desteklenmesi gerekir.
Örneğin bir işletmede çalışan özlük dosyalarına tüm personelin erişebilmesi, hasta bilgilerinin ortak bilgisayarda şifresiz tutulması, müşteri listesinin kişisel e-posta adreslerine gönderilmesi veya eski çalışanların sistem erişimlerinin kapatılmaması veri güvenliği riski doğurabilir.
2. Teknik Tedbir ile İdari Tedbir Arasındaki Fark Nedir?
Teknik tedbirler, kişisel verilerin işlendiği dijital veya fiziksel sistemlerin güvenliğini sağlamaya yönelik teknoloji ve altyapı önlemleridir. Parola politikası, erişim logları, antivirüs yazılımları, güvenlik duvarı, şifreleme, yedekleme, ağ güvenliği, çok faktörlü kimlik doğrulama ve yetkisiz erişim engelleme sistemleri bu kapsamdadır.
İdari tedbirler ise kişisel veri güvenliğinin kurum içinde nasıl yönetileceğini gösteren politika, prosedür, eğitim, görev tanımı, sözleşme, taahhüt ve denetim düzenidir. KVKK iç politikası, veri envanteri, saklama ve imha politikası, gizlilik taahhüdü, personel eğitimi, tedarikçi sözleşmeleri ve disiplin süreçleri idari tedbir niteliğindedir.
Sağlıklı bir KVKK uyum yapısında teknik ve idari tedbirler birlikte çalışır. Örneğin log kaydı almak teknik tedbirdir; log kayıtlarının kim tarafından, hangi süreyle, hangi amaçla inceleneceğini belirlemek ise idari tedbirdir.
3. Şirketler İçin KVKK Teknik ve İdari Tedbirler Tablosu
Aşağıdaki tablo, işletmelerin KVKK uyum sürecinde kontrol etmesi gereken temel teknik ve idari tedbirleri özetlemektedir. Her tedbir, şirketin sektörü, büyüklüğü, işlediği kişisel veri türü, özel nitelikli veri işleyip işlemediği ve bilgi sistemleri altyapısına göre ayrıca değerlendirilmelidir.
| Tedbir Alanı | Tedbir Türü | Şirket Ne Yapmalı? | Pratik Kontrol Sorusu |
|---|---|---|---|
| Veri envanteri | İdari | İşlenen kişisel veriler, veri kategorileri, ilgili kişi grupları, alıcı grupları, saklama süreleri ve işleme amaçları belirlenmelidir. | Hangi kişisel veriyi, hangi amaçla ve ne kadar süreyle işlediğimizi biliyor muyuz? |
| Yetki matrisi | İdari + Teknik | Departman ve görev bazında kimin hangi verilere erişebileceği yazılı olarak belirlenmelidir. | Her çalışan yalnızca işi için gerekli verilere mi erişiyor? |
| Parola politikası | Teknik | Güçlü parola, düzenli parola değişimi, ortak kullanıcı hesabı yasağı ve mümkünse çok faktörlü kimlik doğrulama uygulanmalıdır. | Ortak şifre kullanımı veya kolay tahmin edilen parolalar var mı? |
| Log kayıtları | Teknik | Sistem, kullanıcı, erişim, işlem ve güvenlik logları tutulmalı; yetkisiz erişim incelemesine elverişli hale getirilmelidir. | Kimin, ne zaman, hangi veriye eriştiğini görebiliyor muyuz? |
| Yedekleme | Teknik | Kritik kişisel veri içeren sistemler düzenli yedeklenmeli; yedeklerin güvenliği ve geri yükleme testi sağlanmalıdır. | Sistem arızasında veya saldırıda verileri geri getirebilir miyiz? |
| Gizlilik taahhüdü | İdari | Çalışanlardan ve gerekiyorsa dış hizmet sağlayıcılardan gizlilik taahhüdü alınmalıdır. | Personel, öğrendiği kişisel verileri amacı dışında kullanamayacağını biliyor mu? |
| Personel eğitimi | İdari | KVKK, veri güvenliği, sosyal mühendislik, e-posta kullanımı, veri paylaşımı ve ihlal bildirimi konularında eğitim verilmelidir. | Çalışanlar yanlış alıcıya e-posta gönderme veya veri sızıntısı risklerini biliyor mu? |
| Tedarikçi kontrolü | İdari | Yazılım, bulut, çağrı merkezi, kargo, muhasebe programı ve güvenlik firmaları KVKK hükümleriyle kontrol edilmelidir. | Tedarikçi sözleşmelerinde gizlilik, veri güvenliği ve alt işleyen hükümleri var mı? |
| Veri minimizasyonu | İdari + Teknik | Gereksiz kişisel veri toplanmamalı; eski, ihtiyaç dışı veya fazla veri işleme faaliyetleri azaltılmalıdır. | Gerçekten ihtiyaç duymadığımız verileri toplamaya devam ediyor muyuz? |
| Erişim sınırları | İdari + Teknik | İnsan kaynakları, muhasebe, satış, sağlık, kamera ve müşteri kayıtlarına erişim görevle sınırlanmalıdır. | Eski çalışanların ve görev değişikliği yapan personelin erişimleri kapatıldı mı? |
| Fiziksel güvenlik | Teknik + İdari | Arşiv odaları, dosya dolapları, kamera kayıt alanları ve ziyaretçi erişimleri kontrol edilmelidir. | Kağıt ortamdaki kişisel veriler kilitli ve kontrollü alanda mı tutuluyor? |
| Saklama ve imha | İdari | Saklama süreleri belirlenmeli; süresi dolan veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. | Hangi verinin ne zaman imha edileceğini gösteren bir planımız var mı? |
| Veri ihlali yönetimi | İdari + Teknik | İhlal tespit, iç bildirim, Kuruma bildirim, ilgili kişiye bildirim ve delil koruma süreci belirlenmelidir. | Veri ihlali olursa kimin ne yapacağı önceden belli mi? |
4. Yetki Matrisi Nasıl Hazırlanmalıdır?
Yetki matrisi, şirket içinde hangi çalışanın veya departmanın hangi kişisel verilere erişebileceğini gösteren temel kontrol aracıdır. Bu matris hazırlanırken “herkes her veriye erişebilir” yaklaşımı terk edilmelidir.
İnsan kaynakları personeli özlük dosyalarına erişebilirken, satış personelinin çalışan sağlık raporlarına erişmesi genellikle gerekli değildir. Muhasebe departmanı fatura ve cari hesap bilgilerine erişebilir; ancak tüm müşteri şikâyet kayıtlarına sınırsız erişim ihtiyacı olmayabilir.
- Bu veriye hangi departman gerçekten ihtiyaç duyuyor?
- Erişim okuma, yazma, indirme veya silme yetkisi olarak ayrıldı mı?
- Özel nitelikli kişisel verilere erişim daha sıkı sınırlandı mı?
- Eski çalışanların sistem hesapları kapatılıyor mu?
- Görev değişikliği halinde yetkiler güncelleniyor mu?
- Yönetici hesabı ve standart kullanıcı hesabı ayrımı yapılıyor mu?
Yetki matrisi yalnızca tablo olarak hazırlanıp dosyada bırakılmamalıdır. Fiili sistem yetkileriyle uyumlu olmalı ve belirli aralıklarla gözden geçirilmelidir.
5. Parola Politikası, Log Kayıtları ve Yedekleme Nasıl Kurgulanmalıdır?
Parola politikası, bilgi sistemlerine yetkisiz erişimi önlemek için temel teknik tedbirlerden biridir. Ortak kullanıcı adı ve ortak şifre kullanımı mümkün olduğunca kaldırılmalı; her kullanıcıya ayrı hesap tanımlanmalıdır. Şifrelerin kolay tahmin edilebilir olmaması, belirli karmaşıklık seviyesine sahip olması ve kritik sistemlerde çok faktörlü kimlik doğrulama kullanılması önemlidir.
Log kayıtları, bir güvenlik olayında geriye dönük inceleme yapılmasını sağlar. Hangi kullanıcının hangi sisteme ne zaman girdiği, hangi işlemi yaptığı ve hangi veriye eriştiği belirlenemiyorsa, şirketin ihlali tespit etmesi ve yönetmesi zorlaşır.
Yedekleme ise yalnızca dosyaların kopyasını almak anlamına gelmez. Yedeklerin nerede tutulduğu, kimlerin erişebildiği, yedeklerin şifrelenip şifrelenmediği ve geri yükleme testlerinin yapılıp yapılmadığı da değerlendirilmelidir. Yedek alınmasına rağmen geri yükleme yapılamıyorsa, tedbir kâğıt üzerinde kalmış olur.
6. Personel Eğitimi ve Gizlilik Taahhüdü Neden Önemlidir?
Kişisel veri güvenliği ihlallerinin önemli bir kısmı yalnızca teknik açıklar nedeniyle değil, insan hatası nedeniyle ortaya çıkar. Yanlış kişiye e-posta gönderilmesi, müşteri listesinin kişisel hesaba aktarılması, WhatsApp gruplarında gereksiz veri paylaşılması, masada açık dosya bırakılması veya eski evrakların uygun şekilde imha edilmemesi bu risklere örnektir.
Bu nedenle personel eğitimi, KVKK uyum dosyasının tamamlayıcı değil, merkezi unsurudur. Eğitimlerde yalnızca kanun maddeleri anlatılmamalı; şirketin günlük iş akışı üzerinden pratik örnekler verilmelidir.
Gizlilik taahhüdü de çalışanların görevleri sırasında öğrendikleri kişisel verileri amacı dışında kullanamayacaklarını ve üçüncü kişilerle paylaşamayacaklarını gösteren önemli bir idari tedbirdir. Bu yükümlülük, iş ilişkisinin sona ermesinden sonra da devam edecek şekilde düzenlenmelidir.
7. Tedarikçi ve Hizmet Sağlayıcılar Nasıl Kontrol Edilmelidir?
Birçok şirket kişisel verileri yalnızca kendi içinde işlemez. Muhasebe programı, bordro yazılımı, çağrı merkezi, kargo firması, güvenlik şirketi, bulut depolama hizmeti, e-posta altyapısı, CRM sistemi ve teknik destek sağlayıcıları da kişisel verilere temas edebilir.
Bu nedenle KVKK bakımından tedarikçi kontrolü yapılmalıdır. Tedarikçinin veri sorumlusu mu, veri işleyen mi olduğu belirlenmeli; sözleşmelerde gizlilik, veri güvenliği, alt hizmet sağlayıcı kullanımı, veri ihlali bildirimi, yurt dışına aktarım, saklama süresi ve sözleşme bitiminde verilerin iadesi veya imhası gibi hükümler yer almalıdır.
Özellikle bulut hizmetlerinde verilerin hangi ülkede tutulduğu, sunucu lokasyonu, erişim yetkileri, yedekleme, şifreleme ve alt işleyenler ayrıca değerlendirilmelidir.
8. Veri Minimizasyonu ve Erişim Sınırları Nasıl Uygulanır?
Veri minimizasyonu, şirketin yalnızca gerekli kişisel verileri toplaması ve işlemesi anlamına gelir. Bir veri “ileride lazım olabilir” düşüncesiyle süresiz ve sınırsız şekilde toplanmamalıdır. İşleme amacı için gerekli olmayan kimlik fotokopileri, sağlık raporları, aile bilgileri, banka verileri veya özel nitelikli veriler gereksiz risk doğurabilir.
Erişim sınırları da veri minimizasyonunun devamıdır. Gereksiz veri toplamak kadar, gereğinden fazla kişiye erişim yetkisi vermek de risklidir. Bu nedenle kişisel veri içeren klasörler, yazılımlar, arşivler, kamera kayıtları ve ortak disk alanları görev bazlı sınırlandırılmalıdır.
- Ortak klasörlerde kişisel veri taraması yapmak,
- Eski çalışanların hesaplarını kapatmak,
- Departman bazlı erişim yetkisi belirlemek,
- Özel nitelikli verilere erişimi sınırlı kişilere vermek,
- İhtiyaç dışı veri alanlarını formlardan kaldırmak,
- Eski ve gereksiz kayıtları saklama-imha planına göre temizlemek.
9. KVKK Uyum Dosyasında Hangi Belgeler Bulunmalıdır?
Teknik ve idari tedbirler, KVKK uyum dosyasında somut belgelerle desteklenmelidir. Her şirket için aynı belge listesi birebir geçerli olmayabilir; ancak genel olarak şu belgeler değerlendirilmelidir:
- Kişisel veri işleme envanteri,
- Teknik ve idari tedbirler kontrol listesi,
- Yetki matrisi,
- Bilgi güvenliği politikası,
- Parola ve erişim politikası,
- Saklama ve imha politikası,
- Gizlilik taahhütleri,
- Personel KVKK eğitim kayıtları,
- Tedarikçi ve veri işleyen sözleşme hükümleri,
- Veri ihlali müdahale prosedürü,
- Aydınlatma metinleri,
- Açık rıza metinleri,
- Başvuru yönetimi prosedürü,
- Kamera kayıtları ve ziyaretçi süreçlerine ilişkin bilgilendirme metinleri.
Bu belgelerin yalnızca hazırlanması yeterli değildir. Belgeler güncel olmalı, şirketin fiili uygulamasına uygun olmalı ve çalışanlar tarafından uygulanabilir nitelik taşımalıdır.
10. Sık Yapılan Hatalar
- Teknik ve idari tedbirler listesinin yalnızca matbu bir belge olarak dosyada tutulması,
- Veri envanteri ile gerçek erişim yetkilerinin uyumsuz olması,
- Tüm çalışanların ortak klasörlere sınırsız erişebilmesi,
- Eski çalışanların e-posta ve yazılım hesaplarının kapatılmaması,
- Yedekleme yapılmasına rağmen geri yükleme testinin yapılmaması,
- Tedarikçi sözleşmelerinde KVKK hükümlerinin bulunmaması,
- Personel eğitimlerinin hiç yapılmaması veya belgelendirilmemesi,
- Özel nitelikli kişisel verilerin sıradan verilerle aynı seviyede korunması,
- Kişisel verilerin gereğinden uzun süre saklanması,
- Veri ihlali halinde kimin ne yapacağının önceden belirlenmemiş olması.
11. Lilyum Danışmanlık Nasıl Destek Olur?
Lilyum Danışmanlık, şirketlerin KVKK teknik ve idari tedbirler sürecini yalnızca belge hazırlığı olarak değil, uygulanabilir bir uyum yapısı olarak ele alır. Bu kapsamda veri envanteri, yetki matrisi, saklama-imha düzeni, aydınlatma metinleri, personel farkındalığı, tedarikçi kontrolleri ve veri güvenliği tedbirleri birlikte değerlendirilir.
Sık Sorulan Sorular
KVKK teknik ve idari tedbirler her şirket için aynı mıdır?
Hayır. Tedbirler şirketin faaliyet alanına, çalışan sayısına, işlenen veri türlerine, özel nitelikli veri işleyip işlemediğine, kullanılan yazılımlara ve risk seviyesine göre belirlenmelidir.
Teknik tedbirler sadece bilişim firmaları için mi gereklidir?
Hayır. Kişisel veri işleyen her işletme teknik tedbirleri değerlendirmelidir. Küçük işletmelerde dahi parola politikası, erişim sınırı, yedekleme ve antivirüs gibi temel önlemler önemlidir.
İdari tedbirler nelerdir?
İdari tedbirler; KVKK politikaları, veri envanteri, yetki matrisi, gizlilik taahhütleri, personel eğitimi, tedarikçi sözleşmeleri, veri ihlali prosedürü ve saklama-imha düzeni gibi yönetimsel önlemlerdir.
Log kaydı tutmak neden önemlidir?
Log kayıtları, bir sisteme kimin, ne zaman ve hangi işlem için eriştiğinin sonradan incelenebilmesini sağlar. Bu kayıtlar veri ihlali, yetkisiz erişim veya iç denetim süreçlerinde önemlidir.
Tedarikçi sözleşmelerinde KVKK hükmü bulunmalı mı?
Evet. Kişisel verilere erişen yazılım, bulut, kargo, güvenlik, çağrı merkezi, bordro veya muhasebe programı sağlayıcılarıyla yapılan sözleşmelerde gizlilik, veri güvenliği, ihlal bildirimi, alt hizmet sağlayıcı ve veri imhası gibi hükümler değerlendirilmelidir.
Resmî Kaynaklar
Bilgilendirme Notu
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Her şirketin teknik ve idari tedbir ihtiyacı; faaliyet alanı, işlenen veri türleri, kullanılan yazılımlar, tedarikçi yapısı ve özel nitelikli kişisel veri işleme durumuna göre ayrıca değerlendirilmelidir.
