ISO 27701 ile 6698 Sayılı KVKK (VERBİS, Saklama-İmha) ve GDPR Teknik/İdari Tedbir Eşleştirmesi
ISO 27701 ile 6698 Sayılı KVKK (VERBİS, Saklama-İmha) ve GDPR Teknik/İdari Tedbir Eşleştirmesi
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) son değişiklikleri, VERBİS envanteri, periyodik imha süreçleri ve AB GDPR maddelerinin TS EN ISO/IEC 27701 PIMS kontrolleriyle nasıl bire bir örtüştüğünü tüm mühendislik ve mevzuat detaylarıyla açıklıyoruz.
Mevzuat Eşleştirme Özeti: 6698 sayılı KVKK (2024 Madde 6 özel nitelikli veriler ve Madde 9 yurt dışına veri aktarımı değişiklikleri dahil) ile AB Genel Veri Koruma Tüzüğü (GDPR) yükümlülükleri; TS EN ISO/IEC 27701 standardının Ek-A ve Ek-B kontrolleriyle %95'in üzerinde doğrudan örtüşür. PIMS kurulumu sayesinde Kişisel Veri İşleme Envanteri, VERBİS sicil kaydı, Veri Saklama ve İmha Politikası, Standart Sözleşmeler ve 72 saatlik ihlal bildirimi yaşayan ve yılda en az iki kez denetlenen bir yönetim sistemine dönüşür.
KVKK'da Sık Yaşanan "Statik Dosya Sendromu" ve ISO 27701 Çözümü
Birçok işletmede yıllar önce danışmanlık alınarak hazırlanmış Kişisel Veri Envanteri ve VERBİS kaydı, şirkete yeni CRM/ERP yazılımları eklendiğinde, bulut sağlayıcı değiştiğinde veya yeni pazarlama kampanyaları başlatıldığında güncellenmeden rafta unutulur. Bir ilgili kişi şikayeti veya veri sızıntısı yaşandığında ise gerçek veri akışıyla VERBİS kaydı arasındaki çelişki doğrudan idari yaptırım doğurur.
ISO/IEC 27701 bu sorunu değişiklik yönetimi ve yaşam döngüsü entegrasyonu ile çözer: kurumda kişisel veri işleyen yeni bir süreç veya yazılım modülü devreye alınmadan önce otomatik olarak Mahremiyet Etki Değerlendirmesi (PIA/DPIA) tetiklenir ve veri envanteri güncellenir.
Madde Madde Eşleştirme: 6698 Sayılı KVKK vs AB GDPR vs ISO/IEC 27701
| Mahremiyet Yükümlülüğü | 6698 Sayılı KVKK Karşılığı | AB GDPR Karşılığı | ISO/IEC 27701 PIMS Kontrolü |
|---|---|---|---|
| Veri İşleme Envanteri ve Kayıt | VERBİS ve Veri İşleme Envanteri (Md. 16 & Yönetmelik) | İşleme Faaliyetleri Kaydı — ROPA (GDPR Md. 30) | A.7.2.8 İşleme kayıtları ve B.8.2.6 Veri işleyen kayıtları |
| Hukuki Sebep ve Açık Rıza | KVKK Madde 5 ve Özel Nitelikli Veri Madde 6 | GDPR Madde 6, Madde 7 ve Madde 9 | A.7.2.1 – A.7.2.4 Amaç belirleme, hukuki dayanak ve rıza alma/geri çekme |
| Aydınlatma ve Şeffaflık | KVKK Madde 10 ve Aydınlatma Tebliği | GDPR Madde 12, 13 ve 14 | A.7.3.2 & A.7.3.3 İlgili kişiye şeffaf bilgilendirme sağlama |
| İlgili Kişi Hakları Yönetimi | KVKK Madde 11 ve 30 Günlük Başvuru Yanıt Süresi | GDPR Madde 15–22 (Erişim, düzeltme, unutulma, taşınabilirlik) | A.7.3.1 – A.7.3.10 İlgili kişi taleplerini karşılama ve 3. taraflara bildirme |
| Veri Saklama, Silme ve Periyodik İmha | KVKK Madde 7 ve Kişisel Verilerin Silinmesi/Yok Edilmesi/Anonim Hale Getirilmesi Yönetmeliği (6 Aylık İmha) | GDPR Madde 5/1-(e) Saklama Sınırlaması ve Madde 17 | A.7.4.7 & B.8.4.2 Geçici dosyaların ve süresi dolan verilerin güvenli silinmesi + ISO 27001 A.8.10 |
| Yurt Dışına Veri Aktarımı | KVKK Madde 9 (2024 Değişikliği: Yeterlilik, Standart Sözleşme Bildirimi — 5 İş Günü, Bağlayıcı Şirket Kuralları) | GDPR Bölüm V (Madde 44–49: SCCs, TIA, BCR) | A.7.5.1 – A.7.5.4 & B.8.5.1 – B.8.5.5 Sınır ötesi veri aktarım ülkelerinin kaydı, hukuki dayanak ve şifreleme |
| Veri Güvenliği ve İhlal Bildirimi | KVKK Madde 12 (Teknik/İdari Tedbirler + 72 Saat Kurul Bildirimi) | GDPR Madde 32, 33 (72 Saat Otorite Bildirimi) ve 34 | Madde 6 ek kontrolleri + BGYS olay müdahale ve mahremiyet ihlal bildirim akışı |
2024–2026 Yeni KVKK Yurt Dışı Veri Aktarımı Rejimi ve Bulut Kullanımı
6698 sayılı Kanunun 9. maddesinde yapılan reformla birlikte yabancı merkezli bulut sağlayıcıları (AWS, Microsoft Azure, Google Workspace, Salesforce, HubSpot vb.) kullanan şirketlerin "her çalışandan/müşteriden açık rıza alma" çıkmazı sona ermiş; bunun yerine Kişisel Verileri Koruma Kurumu tarafından ilan edilen Standart Sözleşmelerin (Standard Contractual Clauses) imzalanması ve imzadan itibaren 5 iş günü içinde Kuruma bildirilmesi rejimi getirilmiştir. ISO/IEC 27701 A.7.5 ve B.8.5 kontrollerimizle kurumunuzun tüm yurt dışı bulut/API veri akışlarını haritalıyor ve teknik şifreleme/maskeleme tedbirlerini belgelendiriyoruz.
KVKK Rehberindeki Teknik Tedbirlerin Tamamını Karşılayan Mimari
Kurulun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) içinde yer alan yetki matrisi, erişim logları, şifreleme, sızma testi, veri maskeleme ve yedekleme şartlarının tamamı ISO 27001 + ISO 27701 entegre kurulumumuz ile eksiksiz karşılanır.
Özel Nitelikli Kişisel Verilerde (Sağlık, Biyometri, Ceza Mahkumiyeti) Ek Güvenlik Kalkanı
6698 sayılı KVKK Madde 6 ve Kişisel Verileri Koruma Kurulunun Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler kararı uyarınca; sağlık raporu, parmak izi/yüz tanıma, dernek/sendika üyeliği veya kılık-kıyafet/inanç verisi işleyen kurumlarda ISO/IEC 27701 kapsamında özel tedbirler uyguluyoruz:
- Ayrı Politika ve Sıkılaştırılmış Erişim Yetkisi: İşyeri hekimi, İK özlük sorumlusu veya yetkili sağlık personeli dışındaki tüm sistem yöneticilerinin dahi özel nitelikli verilere erişiminin teknik olarak (şifreleme ve rol izolasyonuyla) kısıtlanması.
- Kriptografik Saklama ve Güvenli Aktarım: Özel nitelikli verilerin veritabanında sütun/disk düzeyinde şifrelenmesi; e-posta ile aktarılması gerekiyorsa kurumsal şifreli kanal veya KEP kullanılması.
- Biyometrik Geçiş Sistemlerinde Ölçülülük İlkesi: Kurul kararları doğrultusunda rutin personel mesai takibinde parmak izi/yüz tanıma yerine kartlı/mobil geçiş alternatiflerinin değerlendirilmesi; yüksek güvenlikli sistem odalarında ise DPIA yapılarak şablon (template) şifrelemesi uygulanması.
İlgili Standartlar ve Alt Rehberlerimiz
ISO/IEC 27701 Kişisel Veri Yönetim Sistemi Ana Rehberi
PIMS standardının kapsamı, belgelendirme aşamaları ve kurumsal kazanımları.
Detaylı İnceleVeri Sorumlusu ve Veri İşleyen (Ek-A & Ek-B) Kontrolleri
KVKK ve GDPR kapsamındaki Veri Sorumlusu ile Veri İşleyen rollerine özel kontrol matrisi.
Detaylı İnceleISO 27001 ve ISO 27701 Entegre Sektörel Kurulum
Finans, sağlık, e-ticaret ve SaaS şirketlerinde birleşik güvenlik ve mahremiyet yönetimi.
Detaylı İnceleÇerez Politikası ve KVKK Aydınlatma Örneğimiz
Kuruluşumuzun kendi dijital platformunda uyguladığı 6698 sayılı KVKK uyumlu şeffaf aydınlatma yapısı.
Detaylı İnceleSıkça Sorulan Sorular ve Uygulama Notları
Kurumunuza ve Projenize Özel Danışmanlık Teklifi Alın
Ankara Genel Merkezimiz (0312 472 30 50) ve İstanbul Şubemiz (0212 541 25 53) üzerinden uzman başdenetçi kadromuzla hemen görüşebilirsiniz.