KVKK veri işleyen denetimi: tedarikçilerinizdeki kişisel veriyi güvence altına alın.
Kişisel verileri sizin adınıza işleyen tedarikçiler, veri güvenliği açısından sizin sorumluluk alanınızdadır. Veri işleyenlerin teknik ve idari tedbirlerini kanıta dayalı olarak denetliyoruz.
6698 sayılı Kişisel Verilerin Korunması Kanunu’na göre veriler veri sorumlusu adına başka bir kişi tarafından işlendiğinde, veri sorumlusu veri güvenliğine ilişkin tedbirlerin alınması konusunda veri işleyenle birlikte müştereken sorumludur. Bu nedenle bordro, çağrı merkezi, bulut, yazılım ve pazarlama hizmeti veren tedarikçilerin veri güvenliği tedbirlerinin değerlendirilmesi ve denetlenmesi gerekir.
Hangi tedarikçiler veri işleyen sayılır?
Kişisel verileri sizin talimatınızla ve sizin adınıza işleyen gerçek veya tüzel kişiler veri işleyendir. Uygulamada sık görülen örnekler; bordro ve insan kaynakları hizmetleri, çağrı merkezleri, bulut ve barındırma sağlayıcıları, yazılım ve bakım firmaları, e-posta ve pazarlama platformları, arşiv ve imha hizmetleridir.
Bu tedarikçilerle yapılan sözleşmeler, verinin hangi amaçla ve hangi tedbirlerle işleneceğini, alt veri işleyen kullanımını ve sözleşme sonunda verinin akıbetini açıkça düzenlemelidir.
Veri işleyen denetiminde neleri inceliyoruz?
Sözleşme ve talimat
Veri işleme sözleşmesi, işleme amacı ve veri sorumlusunun talimatları.
Teknik tedbirler
Erişim kontrolü, şifreleme, kayıt izleme, yedekleme ve zafiyet yönetimi.
İdari tedbirler
Politikalar, gizlilik taahhütleri, eğitim ve yetki gözden geçirmeleri.
Yurt dışı aktarım
Verinin işlendiği ve saklandığı ülkeler ile aktarım dayanağı.
Alt veri işleyenler
Tedarikçinin kullandığı alt yükleniciler ve onay mekanizması.
İhlal ve imha
Veri ihlali bildirim süreci, iade ve imha kayıtları.
Veri işleyen denetimi nasıl yürütülür?
Envanter
Kişisel veri işleyen tedarikçiler ve işledikleri veri kategorileri belirlenir.
Önceliklendirme
Veri hacmi, özel nitelikli veri ve aktarım durumuna göre öncelik verilir.
Değerlendirme
Soru seti ve kanıt talebiyle tedbirler değerlendirilir.
Denetim
Öncelikli veri işleyenler online ve gerektiğinde yerinde denetlenir.
Takip
Eksikler aksiyon planına bağlanır ve kapanışa kadar izlenir.
KVKK veri işleyen denetimi hakkında sık sorulanlar
Veri sorumlusu, veri işleyenin güvenlik açığından sorumlu olur mu?
KVKK, veriler veri sorumlusu adına başka bir kişi tarafından işlendiğinde veri güvenliği tedbirlerinin alınması konusunda veri sorumlusunu veri işleyenle birlikte müştereken sorumlu tutar. Bu nedenle veri işleyenlerin tedbirlerinin değerlendirilmesi önemlidir.
Veri işleme sözleşmesinde neler bulunmalı?
İşleme amacı ve kapsamı, veri sorumlusunun talimatları, teknik ve idari tedbirler, gizlilik, alt veri işleyen kullanımı, ihlal bildirimi, denetim hakkı ve sözleşme sonunda verinin iadesi veya imhası düzenlenmelidir.
Veri işleyenler ne sıklıkla denetlenmeli?
İşlenen verinin hassasiyetine ve hacmine göre belirlenmelidir. Özel nitelikli veri veya yüksek hacimde veri işleyen tedarikçiler için periyodik değerlendirme ve gerektiğinde denetim önerilir.
Tedarikçi verileri yurt dışında işliyorsa ne yapılmalı?
Verinin hangi ülkede işlendiği tespit edilmeli ve aktarımın KVKK’daki yurt dışı aktarım kurallarına uygun bir dayanakla yapıldığı doğrulanmalıdır.
Bu sayfa genel bilgilendirme amaçlıdır ve hukuki görüş değildir; özel durumlar için hukuk danışmanınızla birlikte değerlendirme yapılmalıdır.
Kişisel veri işleyen tedarikçilerinizi birlikte önceliklendirelim.
Hangi tedarikçinin öncelikli olarak değerlendirilmesi gerektiğini kısa bir ön görüşmede belirleyelim.