Kişisel veri güvenliği yönergesi

Veri sorumlusu: Veri sorumlusu unvanı veya adı​ Belge no: Belge numarası​ — Tarih: Belge tarihi

Amaç, KVKK m.12 kapsamında hukuka aykırı işleme ve erişimi önlemek, verilerin muhafazasını sağlamaktır. Tedbirler işlenen verinin niteliği, riskler ve işleme biçimiyle orantılıdır. Özel nitelikli verilerde m.6 ve Kurulun belirlediği yeterli önlemler ayrıca dikkate alınır. Sistemler, odalar, ortamlar ve veri yerleri: Sistemler, ortamlar ve saklama yerleri​. Sorumlular, yetki sınırları ve vekâlet: Koordinasyon ve güvenlik sorumluları​. Bu yönerge kurum içindir. Kişilere gerekli aydınlatma sunulur; parola, anahtar, ağ ayrıntısı ve saldırıyı kolaylaştıracak yapılandırmalar kamuya açıklanmaz.

Yönetim tedbirleri ve kaynakları onaylar; koordinatör envanteri, başvuruları, eğitim ve ihlal takibini yürütür. Sistem yöneticileri onaylı ayarları uygular, işlem kanıtlarını korur; birim amirleri erişim ihtiyacını ve görev değişikliklerini bildirir. Aynı kişinin birden çok rolü varsa yetki sınırları ve kontrol yöntemi belirlenir. Çalışan veriyi yalnız görev için kullanır. Kişisel hesaba gönderme, onaysız hizmete yükleme, izinsiz kopyalama ve şifre paylaşımı yasaktır. Yanlış gönderim veya şüpheli erişim gizlenmeden derhâl bildirilir. Gizlilik görev bitince de sürer; kanuni başvurulara engel oluşturmaz.

Yetki matrisi: Erişim ve yetki matrisi​. Talep; amaç, sistem veya fiziksel alan, veri grubu, işlem türü ve süreyi içerir. İş ihtiyacı birim amirince doğrulanır; yetkili onayından sonra uygulanır ve kaydedilir. Kişisel hesap kullanılır; zorunlu ortak teknik erişimler ayrıca kontrol edilir ve işlem yapanın izlenebilirliği sağlanır. Görev değişikliğinde yetkiler güncellenir, ayrılışta veya işleme nedeni kalktığında erişim kapatılır ve cihazlar, kartlar, anahtarlar teslim alınır. Haklar düzenli olarak fiilî görevlerle karşılaştırılır. Veri verilmeden önce alıcının kimliği ve yetkisi doğrulanır. Çalışan kuralları öğrenmeden erişime açılmaz.

Yeni sistem veya önemli değişiklik öncesinde veri kategorileri, erişim yolları ve tehditler değerlendirilir; risklere uygun teknik ve idari tedbirler seçilir ve etkinliği denenir. Şirket büyüklüğü tek başına güvenlik seviyesi belirlemez; bu metin özel bir sertifikaya sahip olunduğunu beyan etmez. Kişiye özgü hesaplar, görev bazlı yetki, uygun güçlü kimlik doğrulama, güncelleme ve zararlı yazılım önlemleri uygulanır. Kritik yetkiler ve dış bağlantılar izlenir; güvenlik kayıtları değişiklik ve yetkisiz erişime karşı korunur. Şifreleme ve anahtar yönetimi veri ve ortam riskine göre düzenlenir. Yedeklerin erişimi ve saklama süresi sınırlandırılır; geri yükleme denemesi ve sonucu kaydedilir. Geri yüklemede daha önceki hukuka uygun silme ve kısıtlamaların yeniden uygulanması sağlanır. Test ortamına gerçek veri aktarımı ayrıca gerekçelendirilir; mümkünse kimliği belirlenemeyen test verileri kullanılır. Risk değerlendirmesi: Risk değerlendirmesi ve tedbir gerekçeleri​. Sistemlere özgü tedbirler: Sistemlere özgü teknik tedbirler​. Yedekleme ve geri yükleme planı: Yedekleme ve geri yükleme planı​. Kayıtlar yetkili kişilerin erişebildiği kilitli yerlerde tutulur. Dosya çıkarma, iade ve çoğaltma izlenir; amaçla ilgisiz kayıtlara erişim engellenir. Belgeler ortak yazıcıda veya açık masada bırakılmaz; nakil kapalı ambalaj ve yetkili teslimle yapılır. Hatalı çıktılar olağan çöpe atılmaz, kontrollü imhaya ayrılır. Saklama yerleri, sorumlular ve teslim düzeni: Fiziksel kayıt güvenliği​.

İç bildirim ve yedek irtibat: İhlal irtibatları ve iç bildirim kanalı​. Bildiren kişi kayıtları silmez; olayın zamanı ve belirtileri korunur. Sorumlu, öğrenilme zamanını, sistemleri, kişi ve veri kategorilerini, muhtemel kapsamı ve tedbirleri kaydeder. Erişim sınırlanırken deliller gereksiz yere yok edilmez. KVKK m.12/5 kapsamındaki ihlal Kurula gecikmeksizin ve öğrenilmesinden itibaren en geç 72 saat içinde bildirilir. Mevcut bilgilerle bildirim yapılır, eksikler tamamlandıkça sunulur; varsa gecikme gerekçelendirilir. Etkilenen kişilere, belirlendikten sonra makul olan en kısa sürede uygun kanaldan bilgi verilir. İç araştırmanın tamamlanması beklenmez. Neden, etki ve iyileştirme adımları kayıt altına alınır. Tekrar erişim riski giderilir, gerekli yetki ve parola değişiklikleri yapılır; çalışanlara ilgili düzeltmeler anlatılır. Kayıtlar yalnız yetkili kişilerce, uygun süreyle saklanır.

Eğitim, denetim, etkinlik değerlendirmesi ve düzeltici işler: Eğitim, denetim ve düzeltici işlem planı​. Yetkiler, yedekler, fiilî saklama, sağlayıcılar ve önceki bulgular örneklenir; sorumlu ve tarih belirlenir, giderilme yeniden kontrol edilir. Tüm işleme şartları sona erdiğinde veriler, kanuni saklama yükümlülüğü ve hak talepleri değerlendirilerek silinir, yok edilir veya anonimleştirilir. İşlem gereksiz veri tutmayı sürdürme gerekçesine dönüştürülemez. Sistem, kopya ve yedekler birlikte ele alınır; veri işleyenlerden de teyit alınır. Yetkililer, ortamlar, yöntemler ve kanıtlar: İmha yöntemi ve kanıtları​. Silme ilgili kullanıcıların erişimini ve yeniden kullanımını; yok etme herkesin erişimini ve geri getirmeyi önleyecek şekilde uygulanır. Anonimleştirmede başka verilerle eşleştirme ihtimali de değerlendirilir. Saklama ve imha takvimindeki süreler ve başvuru üzerine işlem süreleri gözetilir; yapılan imha işlemleri en az üç yıl, varsa daha uzun kanuni yükümlülüğe uygun saklanır. İmzalayanın görevi​ — İmzalayanın adı ve soyadı​ — İmza: __________ Yetki dayanağı: İmza yetkisinin dayanağı​