Kısa cevap: KVKK uyumu bir yazılım satın almakla değil, elinizdeki kişisel veriyi bilmekle başlar. Pratikte dört soruya yazılı cevap vermek gerekir: hangi veriyi tutuyorum, neden tutuyorum, ne kadar süre tutacağım ve kim görebiliyor. Bu dördü netleştiğinde geri kalan adımlar (aydınlatma metni, erişim yetkileri, güvenlik tedbirleri) kendiliğinden sıraya girer. Aşağıdakiler genel çerçevedir; işletmenizin sektörü ve veri hacmine göre yükümlülükler değişebileceği için kendi durumunuzu bir hukuk danışmanıyla doğrulamanız gerekir.
Önce ilke, sonra araç
Kişisel verinin korunması konusu küçük işletmelerde genelde iki uçtan birine savrulur. Bir uçta “biz küçüğüz, bizi ilgilendirmez” vardır; diğer uçta panikle imzalatılan, kimsenin okumadığı yığınla form. İkisi de işe yaramaz, çünkü ikisi de aynı adımı atlar: elinizde ne olduğunu bilmek.
Kişisel veri, bir kişiyi belirli ya da belirlenebilir kılan her bilgidir. Ad soyad, telefon, adres, e-posta bunun en bilinen biçimleridir; ama müşterinin aracının plakası, servis geçmişi, sipariş notları ve kamera kaydı da aynı kategoriye girer. Bir küçük işletme çoğu zaman bunların hepsini zaten tutuyordur, yalnızca “veri” diye adlandırmamıştır.
İlkeler tarafında akılda kalması gereken birkaç temel vardır: veri belirli ve açık bir amaç için toplanır, o amacın gerektirdiğinden fazlası istenmez, amaç ortadan kalktığında saklanmaya devam edilmez, doğruluğu güncel tutulur ve güvenliği için makul tedbirler alınır. Teknolojiyle ilgili olan yalnızca son maddedir; ilk dördü işletmenin kendi disiplinidir.
Veri envanteri: elinizde ne var
Envanter karmaşık bir belge olmak zorunda değil. Bir sayfalık bir tablo, çoğu küçük işletme için düzen kurmaya yeter. Aşağıdaki kalıp örnek olarak kullanılabilir; süreler yerine amaca bağlı ölçüt yazıldığına dikkat edin, çünkü sabit bir süre vermek sektöre ve mevzuata göre değişir.
| Veri türü | Neden tutuluyor | Ne zamana kadar | Kim görmeli |
|---|---|---|---|
| Ad soyad ve telefon | Sipariş ve teslimat iletişimi | Ticari ilişki ve yasal saklama yükümlülüğü sürdüğü sürece | Satış ve sevkiyat |
| Fatura ve vergi bilgileri | Yasal yükümlülük | Mevzuatın öngördüğü saklama süresince | Muhasebe |
| Adres | Teslimat ve servis | İş tamamlanıp garanti süresi kapanana kadar | Sevkiyat ve servis |
| Pazarlama izni ve e-posta | Açık rızaya dayalı iletişim | Rıza geri alınana kadar | Pazarlamadan sorumlu kişi |
| Servis ve arıza notları | Tekrar eden arızanın izlenmesi | Cihazın hizmet ömrü boyunca | Teknik ekip |
| Kamera kaydı | İşyeri güvenliği | Kısa ve belirlenmiş bir döngüyle üzerine yazılmalı | Yalnızca yetkili kişi |
| Çalışan özlük bilgileri | İş hukuku yükümlülükleri | Mevzuatın öngördüğü süre | İşveren ve insan kaynakları |
Bu tabloyu doldururken en çok işe yarayan sonuç şu olur: bazı satırların “neden tutuluyor” hücresi boş kalır. Boş kalan satır, silinmesi gereken veridir. Envanterin en hızlı kazancı budur.
Uygulanabilir altı kural
- Toplamadığınız veri, korumanız gereken veri değildir. Formda gerçekten gerekmeyen alanı kaldırmak, en ucuz güvenlik tedbiridir. Doğum tarihi, kimlik numarası ya da meslek gibi alanlar çoğu küçük işletmenin işine yaramaz.
- Amaç ile kullanım aynı kalsın. Teslimat için alınan telefon numarasına kampanya mesajı atmak, veriyi toplandığı amacın dışında kullanmaktır. Pazarlama iletişimi ayrı ve açık bir izne dayanır.
- Aydınlatma metni görünür olsun. Veriyi toplarken kişiye kim olduğunuzu, veriyi niçin aldığınızı, kimlerle paylaştığınızı ve haklarını nasıl kullanacağını söylemek gerekir. Metnin sitenin dip bölümünde bir bağlantı olarak durması ve form yanında da erişilebilir olması beklenir.
- Erişimi role göre verin. Herkesin her kayda girebildiği bir sistem, bir kişi hata yaptığında tüm veriyi riske atar. Yetkiler “kim neyi işi için görmek zorunda” sorusuna göre kurulur.
- Üçüncü tarafları listeleyin. Muhasebeci, kargo firması, barındırma sağlayıcısı, e-posta hizmeti ve ödeme kuruluşu sizin verinizi işliyor olabilir. Kimin hangi veriye eriştiği yazılı olmadan uyumdan söz edilemez.
- Silmeyi bir işe dönüştürün. Saklama süresi dolan verinin kendiliğinden silinmesi beklenmez. Yılda bir kez envanteri açıp süresi geçmiş kayıtları temizlemek, denetim anında en çok işe yarayan alışkanlıktır.
Küçük işletmelerde en sık görülen hatalar
- Müşteri listesinin kişisel telefonlarda dolaşması. İşten ayrılan bir çalışanın telefonunda yüzlerce müşteri kaydının kalması, hem veri ihlali hem ticari kayıptır.
- Mesajlaşma uygulamalarının kayıt sistemi gibi kullanılması. Sipariş ve adres bilgisi sohbet geçmişinde kaldığında ne silinebilir ne de kimin gördüğü bilinebilir.
- Tek bir ortak hesabın herkes tarafından kullanılması. Ortak şifre, yetkilendirmeyi de kayıt izini de ortadan kaldırır.
- Eski tabloların hiç silinmemesi. Yıllar önceki bir müşteri listesinin masaüstünde durması, bugün tutulan verinin düzeninden bağımsız bir risktir.
- İzinsiz toplu e-posta ve mesaj. Rızası olmayan listeye gönderim, uyum tarafında en görünür ve en kolay şikâyet edilen ihlaldir.
Veriyi sizin adınıza işleyen üçüncü taraflar
Bir küçük işletme, müşteri verisini neredeyse hiçbir zaman tek başına işlemez. Muhasebeci fatura bilgilerini görür, kargo firması ad ve adresi alır, barındırma sağlayıcısı sitedeki form kayıtlarını saklar, e-posta hizmeti yazışmaları tutar, ödeme kuruluşu işlem kayıtlarını işler. Bu zincirin tamamı, verinin sizin sorumluluğunuzdan çıktığı anlamına gelmez; aksine, zincirin her halkasını bilmek sizin sorumluluğunuzdadır.
Pratik yaklaşım şudur: envanter tablosunun yanına ikinci bir sayfa açıp kiminle hangi veriyi paylaştığınızı, bunu hangi amaçla yaptığınızı ve aranızda yazılı bir sözleşme olup olmadığını listeleyin. Yazılı bir dayanağı olmayan paylaşımlar önce buradan görünür hâle gelir. Ayrıca verinin yurt dışındaki bir sunucuda tutulup tutulmadığı da bu listede yer almalı; bu durumun ek yükümlülük doğurup doğurmadığı sektörünüze ve veri türüne göre değiştiği için hukuk desteğiyle teyit edilmesi gereken bir başlıktır.
Çalışan tarafındaki disiplin
Uyum, yazılı bir politikadan çok günlük alışkanlıkla ilgilidir. Üç basit kural çoğu riski kapatır. Birincisi, müşteri verisinin kişisel cihazlara indirilmemesi; indirilmesi gerekiyorsa işin bitiminde silinmesi. İkincisi, işten ayrılan kişinin hesaplarının ayrılış günü kapatılması ve rol adreslerinin başka birine yönlendirilmesi. Üçüncüsü, yeni başlayan kişiye yetkinin işinin gerektirdiği kadar verilmesi, “sonra kısarız” denmemesi.
Bu üç kuralın yazılı hâle getirilip ekibe bir kez anlatılması, karmaşık bir eğitim programından daha etkili olur. Çalışan hangi davranışın sorun yarattığını bilmediği sürece iyi niyetiyle risk üretmeye devam eder.
Kişi haklarını kullandığında ne yapılır
Bir müşteri size “benimle ilgili hangi verileri tutuyorsunuz” ya da “verilerimi silin” diye başvurabilir. Böyle bir talep geldiğinde panik yapmamanın yolu, hazırlıklı olmaktır: başvuruların hangi adrese geleceği belirlenmiş olmalı, kim cevaplayacağı bilinmeli ve envanter sayesinde cevabın nereden çıkarılacağı belli olmalıdır. Silme talebinde dikkat edilecek nokta, yasal saklama yükümlülüğü olan kayıtların (örneğin fatura) bu talebe rağmen saklanmaya devam edebileceğidir; bu ayrımı yaparken kendi sektörünüzdeki yükümlülüğü doğrulamanız gerekir.
Veri ihlali, yani verinin yetkisiz kişilerin eline geçmesi durumunda da hazırlık işe yarar. Olayın ne zaman fark edildiği, hangi veriyi kapsadığı ve ne yapıldığı kayda geçirilmeli; bildirim yükümlülüğünüzün kapsamı için de hukuk desteği alınmalıdır. Bu yazı genel bir çerçeve sunar, hukuki görüş yerine geçmez.
Bir sayfalık başlangıç
Uyumu büyük bir proje gibi görmek işi başlamadan bitirir. Bir hafta içinde yapılabilecek dört iş şunlardır: envanter tablosunu doldurmak, formlardaki gereksiz alanları kaldırmak, ortak hesapları kişi bazlı hesaplara çevirmek ve aydınlatma metnini erişilebilir bir yere koymak. Bu dördü tamamlandığında işletmenin durumu, çoğu küçük işletmenin bulunduğu yerin açık biçimde önündedir.
Devamını okumak için
Veri düzeni, verinin nerede durduğu kararıyla doğrudan ilgilidir: işletme yazılımını buluta taşımak yazısında erişim yetkileri ve dışa aktarma konularına ayrıca değiniliyor. Hesap ve e-posta tarafındaki hijyen için alan adı ve kurumsal e-posta hijyeni yazısına, üye ve aidat kayıtlarının düzeniyle ilgili bakış için aidat takibini kolaylaştırın yazısına göz atabilirsiniz. Diğer başlıklar blog sayfamızda, çalışma alanlarımız ana sayfamızda yer alıyor.