15. Veri güvenliği ve önleyici tedbirler

Güvenlik tedbirleri, verinin bulunduğu ortam ve onu kullanan kişilerin görevleriyle birlikte değerlendirilir. Riskin belirlenmesi, uygun aracın seçilmesi ve bu aracın günlük işleyişte uygulanması aynı koruma düzeninin parçalarıdır. Önleyici düzenin kurulması ile meydana gelen bir olaya müdahale edilmesi farklı sorulara cevap verir; olay sonrası süreç 16. bölümde ele alınmaktadır.

15.1. Veri koruma ile siber güvenliğin ilişkisi ve ayrıldığı noktalar

Bir işletmenin müşteri dosyalarını güçlü parolalarla koruduğunu, erişimleri kaydettiğini ve dış saldırılara karşı önlem aldığını düşünelim. Bu dosyalarda işleme amacı sona ermiş bilgiler de bulunuyorsa, sistemin korunuyor olması saklamayı kendiliğinden hukuka uygun kılmaz. Tersine, belirli bir amaçla ve geçerli bir hukuki sebeple toplanmış verilerin çalışanların ortak hesabından herkesçe görülebilmesi de toplamanın hukuka uygunluğuyla açıklanamaz. İşlemenin meşruluğu ile güvenliğinin birlikte değerlendirilmesi gerekir.¹

Kişisel Verilerin Korunması Kanunu’nun 12. maddesi güvenliği üç amaçla ilişkilendirir: hukuka aykırı işlemeyi önlemek, hukuka aykırı erişimi önlemek ve kişisel verilerin muhafazasını sağlamak. Böylece korunan menfaat, yalnız verinin kurum dışına çıkmamasına indirgenmez. Verinin yetkisiz biçimde değiştirilmesi, kaybolması veya gereken zamanda kullanılamaması da muhafaza ve uygun güvenlik düzeyi bakımından değerlendirilir. Kanun, bu amaçlara yönelik teknik ve idari tedbirleri birlikte öngörür; yalnız bir güvenlik yazılımının satın alınmasını yeterlilik ölçüsü olarak belirlemez.²

Siber güvenlikle kesişme özellikle bilişim sistemlerinde ortaya çıkar. 7545 sayılı Siber Güvenlik Kanunu’nun tanımında saldırılardan korunmanın yanında, işlenen verinin gizliliği, bütünlüğü ve erişilebilirliği; olayların tespiti, müdahale ve olay öncesi duruma dönüş de yer alır. Gizlilik yetkisiz öğrenmenin önlenmesini, bütünlük bilginin izinsiz veya hatalı değişikliklere karşı korunmasını, erişilebilirlik ise ihtiyaç duyulduğunda bilgiye ulaşılabilmesini anlatır. Bu tanım kişisel verilerle sınırlı değildir. Kişiyle ilişkilendirilemeyen bir üretim verisinin korunması siber güvenlik bakımından önem taşıyabilir; kişisel veri güvenliğiyle doğrudan ortak alan ise gerçek kişiyle ilgili bilgilerin de bu sistemlerde işlenmesidir.³

Bu ortak alan iki düzenlemenin amaç ve konuları arasında güçlü bir ilişki doğurur. Akgün ve Akıncı, siber uzayda veri güvenliğinin sağlanmasının kişisel verilerin etkili korunması için taşıdığı önemi vurgularken, aynı faaliyetin farklı otoritelerin gözetimine girebilmesine de dikkat çeker. Ortak teknik tedbirlerden yararlanılması, iki hukuki değerlendirmeyi tek soruya dönüştürmez. Örneğin saldırıya karşı dayanıklılık incelemesi, müşteri bilgisinin hangi hukuki sebeple reklam amacıyla kullanıldığını tek başına cevaplamaz. Otoritelerin yetkileri ve yaptırımların ilişkisi ise ayrıca değerlendirilmesi gereken bir meseledir.⁴

Veri koruma bakımından güvenlik önlemi, işleme şartının veya amaç sınırlamasının yerine geçmez. Amaç için gerekmeyen verinin şifrelenmiş biçimde tutulması, gereksiz saklamayı ortadan kaldırmaz. İşlenmesini gerektiren sebepler sona ermiş verinin erişimini daraltmak da 7. madde uyarınca yapılması gereken imhaya her durumda alternatif değildir. Şifrelemenin temel niteliği 2.6’da, saklama ve imhanın koşulları 14. bölümde açıklanan ayrımlarla birlikte ele alınmalıdır. Önlem, hukuken sürdürülmesi gereken işlemeyi korur; sona ermesi gereken işlemeye sırf teknik olarak mümkün olduğu için devam etme yetkisi vermez.¹

Güvenlik sorunu yalnız kurum dışındaki saldırganla da sınırlanamaz. Görevi gereği müşteri adresine ulaşabilen bir çalışanın bu bilgiyi kendi ticari faaliyeti için kullanması, sisteme izinsiz giriş olmadan da hukuka aykırılık doğurabilir. 12. maddenin dördüncü fıkrası, öğrenilen kişisel verilerin kanuna aykırı açıklanmasını ve işleme amacı dışında kullanılmasını yasaklar; görevden ayrılma da bu yükümlülüğü sona erdirmez. Ayrıca Kanun’un kapsamı, bir veri kayıt sisteminin parçası olan otomatik olmayan işlemleri de içerir. Bu nedenle sistematik personel dosyalarının tutulduğu fiziksel arşiv, yalnız elektronik ortam kullanılmadığı gerekçesiyle güvenlik değerlendirmesinin dışında bırakılamaz.⁵

Güvenlik faaliyetinin kendisi de kişisel veri işlemeye yol açabilir. Kullanıcı hareketlerini kaydetmek, bir olayı araştırmak veya yetkileri denetlemek için hangi bilgilerin gerçekten gerektiği belirlenmelidir. Güvenlik amacı, bütün çalışan faaliyetlerinin sınırsız toplanması ve süresiz saklanması için genel bir yetki değildir. Nitekim Siber Güvenlik Kanunu da temel hak ve mahremiyeti temel ilkeler arasında sayar; kendi kapsamındaki kişisel veri işlemlerinde amaçla bağlantılılık, sınırlılık, ölçülülük ve gerekli süreyle muhafaza koşullarını ayrıca düzenler. Böylece güvenliğin sağlanması ile güvenlik için kullanılan kişisel verilerin korunması birlikte düşünülür.⁶

Bu ilişki, kurum içinde hukuk biriminin yalnız metin hazırlaması, bilgi işlem biriminin yalnız araç seçmesiyle kurulamaz. Kanun’un öngördüğü denetim, tedbirin günlük işleyişte uygulanıp uygulanmadığına da yönelir. Kurumun güvenlik rehberi, politika ve prosedürlerin çalışma düzenine entegre edilmesini bu nedenle vurgular. İşten ayrılmış kişinin hesabının açık kalması örneğinde hukuki görev sona ermiş, teknik erişim ise sürmüş olabilir. Uygun çözüm; görev, yetki ve erişim arasındaki bu bağlantıyı kurmayı, ardından işleme bağlamına uygun güvenlik düzeyini belirlemeyi gerektirir.⁷

15.2. Riskin, işleme bağlamının ve uygun güvenlik düzeyinin belirlenmesi

Aynı sayıda kayıt içeren iki dosya aynı güvenlik ihtiyacını doğurmayabilir. Birinde teslimat için kullanılan adresler, diğerinde kişilerin ayrıntılı tedavi bilgileri bulunduğunu düşünelim. Her iki dosyada da kişisel veri vardır; fakat yetkisiz açıklamanın sonuçları, veriye kimlerin neden ulaşması gerektiği ve bilginin ne kadar süreyle kullanılacağı farklılaşır. Tedbir seçimine yalnız dosya büyüklüğünden veya kurumun çalışan sayısından başlanırsa bu farklar gözden kaçabilir.

Kanun’un 12. maddesindeki uygun güvenlik düzeyi, somut işleme faaliyetinin korunma ihtiyacıyla bağlantılı bir ölçüdür. Her türlü teknik ve idari tedbirin gerekli olması, piyasadaki bütün ürünlerin birlikte satın alınması anlamına gelmez; ilgili riskleri karşılamak için gereken tedbirlerin alınmasını ifade eder. İnceleme, bir güvenlik ürününün mevcut olup olmadığı kadar, o ürünün hangi işlemi ve hangi tehlikeye karşı koruduğuna yönelmelidir. Kurumun rehberi de risklerin belirlenmesiyle tedbirlerin seçimi arasında bu bağlantıyı kurar.⁸

Başlangıçta hangi kişisel verilerin nerede bulunduğu ve kimler arasında dolaştığı anlaşılmalıdır. Veri yalnız ana uygulamada değil, çalışanların dışarı aktardığı bir tabloda, hizmet sağlayıcıdaki bir kopyada veya fiziksel dosyada da tutulabilir. İşleme amacının, kullanıcıların, saklama ortamlarının ve aktarım noktalarının birlikte incelenmesi, korunacak alanın eksik tanımlanmasını önler. Bu, her veri sorumlusuna aynı biçimde yeni bir belge hazırlama yükümlülüğü yüklemekten ziyade, gereken tedbirin seçilebilmesi için fiilî durumu ortaya koyma ihtiyacıdır.⁹

Riskin değerlendirilmesinde gerçekleşme olasılığı ile gerçekleştiğinde ilgili kişi üzerinde doğurabileceği sonuç birlikte ele alınır. Rehber, verinin özel nitelikli olup olmadığını, gerektirdiği gizlilik derecesini ve ihlal hâlinde kişi bakımından doğabilecek zararın niteliği ile niceliğini dikkate alır. Bu yaklaşım, yalnız işletmenin ekonomik kaybına odaklanmayı önler. Örneğin tek bir kişinin tedavi bilgisinin açıklanması, kayıt sayısı az olsa bile o kişi üzerinde ciddi sonuçlar doğurabilir. Olasılık değerlendirmesi de yalnız önceki saldırı sayısına değil, erişim düzeni ve işleme biçimindeki somut zayıflıklara bakmalıdır.¹⁰

Aşağıdaki varsayımsal durumlar, aynı “dosyayı koruma” ifadesinin farklı müdahaleleri gerektirebileceğini gösterir. Her durumda tedbirlerin somut sürecin özelliklerine göre tamamlanması gerekir:

Riskler belirlendikten sonra alternatifler maliyet, uygulanabilirlik ve yararlılık bakımından karşılaştırılır. Rehberin bu ölçütleri kullanması, yüksek riskin sırf önlem pahalı bulunduğu için karşılıksız bırakılabileceği anlamına gelmez; kanuni güvenlik yükümlülüğü sürer. Aynı şekilde daha pahalı bir ürün de kendiliğinden daha uygun tedbir değildir. Mevcut erişimleri daraltmak veya gereksiz veri kopyalarını kaldırmak, yeni araç gerektirmeden somut riski azaltabilir. Seçimin gerekçesi fiyatın yanında hangi tehlikeyi ne ölçüde karşıladığını göstermelidir.¹¹

Tedbirin yeterliliği zaman içinde yeniden değerlendirilir. Yeni bir uygulamaya geçilmesi, verinin başka bir hizmet sağlayıcıya taşınması veya çalışanların görevlerinin değişmesi, başlangıçta uygun görülen düzeni etkileyebilir. Kanun’un denetim yükümlülüğü ve rehberin düzenli kontrol, belgelendirme ve güncelleme açıklamaları bu sürekliliği destekler. Denetim, hazırlanmış politikayı tekrar bulmakla sınırlanırsa fiilî erişimlerde veya veri akışında oluşan değişiklik görünmeyebilir.¹²

Henüz saldırı yaşanmamış olması da tek başına tedbirlerin uygunluğunu kanıtlamaz. Güvenlik yükümlülüğü, zarar gerçekleştikten sonra anlam kazanan bir ödev olarak kurulmamıştır. Öğretide de tedbir alma yükümlülüğünün ihlali ile ayrıca bir neticenin ortaya çıkması ayrılmaktadır. Bunun karşılığında, bir olayın meydana gelmesinden hareketle bütün sorumluluk ve yaptırım koşulları incelenmeden otomatik sonuç çıkarılamaz. Uygunluk değerlendirmesinin somutlaştırılması için işleme faaliyeti, belirlenen tehlike, seçilen tedbir ve son kontrolün bulguları birlikte kaydedilebilir. Böyle bir kayıt, tek başına uyum belgesi olmaktan çok, alınan kararın gerekçesini sınamayı ve değişen ihtiyaca göre düzeltmeyi sağlar.¹³

15.3. Erişim yetkileri, kimlik doğrulama, kayıt tutma ve şifreleme

Bir çalışanın kullanıcı adı ve parolayla sisteme girebilmesi, müşteri dosyasındaki bütün verilere ulaşmasının gerekli olduğunu göstermez. Kimlik doğrulama, sisteme başvuranın ilgili hesaba bağlı doğrulama aracını kontrol edip etmediğini sınar; erişim yetkisi ise doğrulanmış hesabın hangi kaydı görebileceğini ve hangi işlemi yapabileceğini belirler. NIST’in dijital kimlik rehberindeki doğrulama açıklaması ile Kurumun görevle sınırlı erişim yaklaşımı birlikte okunduğunda bu iki işlevin ayrılığı belirginleşir.¹⁴

Erişim düzeni, çalışanın görevini yapması için gereken bilgi ve işlemler üzerinden kurulmalıdır. Müşteri hizmetleri çalışanının iletişim bilgisini güncellemesi ile ücret dosyasını indirmesi aynı yetki değildir. Kurumun rehberi, erişimin iş, görev ve sorumluluk için gerekli ölçüde tanınmasını; erişim yetki ve kontrol matrisiyle politika ve prosedürlerin uygulanmasını önerir. Yönetici yetkilerinin yalnız ihtiyaç duyulan durumlarda kullanılması ve ilişiği kesilen kişinin girişlerinin zaman kaybetmeden kapatılması da bu yaklaşımın parçalarıdır. Böylece yetki, bir kez verilip sürekli genişleyen bir izin olarak bırakılmaz.¹⁵

Kimlik doğrulama yönteminin gücü de işleme bağlamına göre değerlendirilir. Çok faktörlü doğrulamada farklı türden kanıtlar birlikte kullanılır; örneğin bir parolanın bilinmesi ile hesaba bağlanmış bir cihazın kontrolü. Aynı türden iki sırrın sorulması, yalnız iki aşamadan oluştuğu için iki farklı faktör kullanıldığı anlamına gelmez. NIST’in 2025 tarihli teknik rehberi bu ayrımı yapar; Kurumun rehberi de buluttaki kişisel verilere uzaktan erişim için iki kademeli doğrulamayı önerir. Bununla birlikte NIST’in kendi uygulama alanındaki teknik gereklilikleri, Türk hukukunda bütün sistemler için doğrudan aynı yükümlülüğün bulunduğu şeklinde aktarılamaz. Türkiye bakımından seçimin hukuki temeli, somut işleme için uygun güvenlik düzeyinin sağlanmasıdır.¹⁶

İşlem kayıtları, verilen yetkinin nasıl kullanıldığını ve olağan dışı hareketleri izlemeyi sağlar. Ancak kaydın üretilmesi ile incelenmesi farklıdır. Uyarıların değerlendirilmediği bir sistemde çok sayıda log bulunması, ihlalin zamanında fark edilmesini sağlamayabilir. Ayrıca birden fazla kişinin aynı hesabı kullanması, kayıtta görünen hesap ile işlemi fiilen yapan kişi arasındaki bağlantıyı zayıflatır. Kayıt düzeni; kullanıcı, yetki ve işlem arasındaki ilişkinin izlenebilmesine, ilgili uyarı üzerine harekete geçilmesine hizmet etmelidir.¹⁷

Kayıtların kapsamı da korunması gereken veriyi gereksiz yere çoğaltmamalıdır. Kurulun 2023/412 sayılı karar özetinde, istek içeriklerinin loglanması nedeniyle kredi kartı bilgilerinin de kayıtlara girmesi, ihlalin boyutunu büyüten bir durum olarak değerlendirilmiştir. Bu örnek, güvenlik için tutulan günlüğün yeni bir veri açığına dönüşebileceğini gösterir. İnceleme için gereken işlem bilgisi ile parolalar, kart bilgileri veya bütün belge içeriğinin kayda alınması arasında ayrım yapılmalıdır. Bu kayıtların saklama ve imha koşulları 14.6’daki açıklamalarla birlikte ele alınır.¹⁸

Şifreleme ise bilginin, çözme imkânı bulunmayan kişilerce okunmasına karşı koruma sağlar. Sisteme giriş parolası, dosyanın değiştirilmesini önleyen parola ve veriyi kriptografik olarak şifrelemek aynı işlem değildir. Kurumun rehberi, bazı yazılımlardaki değişiklik engelinin yetkisiz okumayı durdurmadığına özellikle dikkat çeker. Dolayısıyla bir dosyada “parola koruması” bulunması, hangi işlevin gerçekten sağlandığı araştırılmadan yeterli güvenlik sonucu olarak kabul edilemez. Verinin aktarılırken ve saklanırken karşılaştığı tehlikeler ayrıca değerlendirilmelidir.¹⁹

Şifreleme anahtarına erişim, bu korumanın esaslı bir parçasıdır. Şifreli dosyayla birlikte çözme anahtarına da ulaşılabiliyorsa, yalnız dosyanın şifrelenmiş olması beklenen engeli sağlamayabilir. Rehber, anahtarın yalnız yetkili kişilerin erişebileceği ortamda tutulmasını vurgular. Spindler ve Schmechel de şifreleme değerlendirmesinde anahtar yönetiminin önemini ve anahtarı tutan kişi bakımından verinin kişisel niteliğini koruduğunu belirtir. Burada teknik korumanın incelenmesi ile anonimleştirme sonucunun kabulü ayrılmalıdır; temel kavramsal sınır 2.6’da açıklanmıştır.²⁰

Bu tedbirler birbirini tamamlar. Güçlü doğrulama, gereğinden geniş yetki verilmesini düzeltmez; dar yetki, ortak kullanılan hesabın kimin elinde olduğunu göstermez; ayrıntılı kayıt da okunabilir bırakılan veriyi tek başına korumaz. Kurulun 2023/412 sayılı olayda erişim sınırlaması, izleme, parola ve iki kademeli doğrulamayı birlikte değerlendirmesi bu bağlantının uygulamadaki önemini gösterir. Somut olayda belirlenen eksikliklerden bütün sistemler için değişmez bir ürün listesi çıkarmak yerine, her tedbirin hangi riski karşıladığı ve diğer tedbirlerle nerede birleştiği gösterilmelidir.²¹

15.4. Fiziksel arşiv, taşınabilir cihaz, uzaktan çalışma ve yedekleme

Kişisel verinin kurum binasından çıkarılması, veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmaz. Müşteri dosyasının bir dizüstü bilgisayara kopyalanması, personel evrakının evden çalışma için taşınması veya bir yedeğin başka yerde tutulması, verinin bulunduğu ortamı ve karşılaştığı tehlikeleri değiştirir. Kanun’un kapsamındaki kayıt sisteminin parçası olan kâğıt dosyalar da bu incelemeye dâhildir. Kurumun rehberi, yerleşke dışındaki kâğıt ve elektronik ortamlar için de güvenlik önlemleri alınmasına açıkça işaret eder.²²

Fiziksel arşivde yalnız oda kapısının kilitli olması yeterlilik sorusunu bitirmez. Dosyayı kimin alabileceği, alındığında nerede kullanılacağı ve yerine nasıl döneceği de önem taşır. Hırsızlık ve kayıp yanında yangın veya su baskını gibi dış riskler dikkate alınmalıdır. Rehberin ortama giriş çıkışların kontrolü, evrak ve cihazların kullanılmadığında kilit altında tutulması yönündeki açıklamaları bu risklere karşılık gelir. Dosyanın çoğaltılması veya taşınması da aynı korunma zinciri içinde değerlendirilmelidir.²³

Taşınabilir cihazda ise cihazın kendisi ile içindeki bilginin korunması birlikte ele alınır. Bir bilgisayarın kaybolması, içindeki veriye mutlaka ulaşılabildiğini göstermez; ancak verilere erişimi önleyen tedbirlerin gerçekten işlediğinin değerlendirilmesini gerektirir. Oturumun açık olması, dosyaların ayrıca dışarı aktarılması veya anahtarın aynı ortamda bulunması, 15.3’te açıklanan korumanın etkisini değiştirebilir. Çalışanın kişisel cihazıyla kurum ağına erişmesi de bu nedenle başlı başına bir tercih meselesi olarak bırakılamaz; hangi cihazların hangi verilere hangi koşullarda erişebileceği belirlenmelidir.²⁴

Uzaktan çalışmada kurumun erişim düzeni, verinin kullanıldığı çalışma ortamıyla birlikte düşünülür. Ekranın veya kâğıt belgenin görevli olmayan kişilerce görülebilmesi ile uzaktan bağlantı üzerinden izinsiz erişim farklı risklerdir. Bunların biri çalışma ortamına ilişkin önlemleri, diğeri bağlantı ve kullanıcı erişiminin korunmasını gerektirir. Rehberin kurum dışındaki ortamları da koruma yaklaşımı ve buluttaki verilere uzaktan erişimde iki kademeli doğrulama önerisi bu ayrımı somutlaştırır. Alınacak tedbirlerin çalışanın özel yaşamına etkisi ayrıca 15.7’deki ölçülülük değerlendirmesine tabidir.²⁵

Bakım ve onarım süreci de veri dolaşımının bir parçasıdır. Cihazın teknik servise verilmesi, içindeki bütün kişisel verilerin servis personelince kullanılmasını gerektirmez. Rehber, saklama ortamının sökülerek kurumda tutulması veya yalnız arızalı parçanın gönderilmesi gibi yöntemleri; dışarıdan gelen personelin verileri kopyalayıp çıkarabilmesine karşı önlem alınmasını açıklar. Uygun yöntem, arızanın ve cihazın özellikleriyle birlikte belirlenir. Teknik müdahale için gereken erişim ile ilgisiz kişisel veri içeriğine erişim ayrılmalıdır.²⁶

Yedekleme, zarar gören veya kullanılamayan veriden sonra faaliyetin sürdürülebilmesine hizmet eder. Bunun için yalnız kopyanın üretilmiş olması değil, gerektiğinde güvenli biçimde kullanılabilmesi önem taşır. Rehber, kötü amaçlı yazılımların asıl veriye erişimi engelleyebileceğini belirterek yedekleme stratejisini, yedeklerin ağ dışında tutulmasını, erişimin sistem yöneticisiyle sınırlandırılmasını ve fiziksel güvenliğini vurgular. Asıl sistemle birlikte aynı tehlikeye açık bırakılan kopya, bu amaca hizmet etmeyebilir. Geri yüklemenin uygulanabilirliğini sınamak, kopya oluşturma ile gerçekten kullanılabilir bir yedeğe sahip olma arasındaki farkı görünür kılar.²⁷

Yedeğin kullanılabilir olması, bütün eski verinin tekrar etkin sisteme alınmasını gerektirmez. Güvenliğin erişilebilirlik amacı ile saklama süresinin sınırı birlikte korunmalıdır. Artık kullanılmaması gereken verinin geri yüklemeyle yeniden işleme açılmaması 14.6’da açıklanan sorundur. Buradaki tedbir seçimi de hangi verinin kurtarılacağı, kim tarafından erişileceği ve hangi süreçte tekrar kullanılacağı üzerinden kurulmalıdır. Böylece fiziksel koruma, uzaktan erişim ve yedekleme, aynı kişisel verinin farklı ortamlarda birbirinden kopuk korunmasına bırakılmaz.²⁸

15.5. Personel eğitimi, gizlilik, görev değişikliği ve işten ayrılma

Güvenlik politikasının hazırlanmış olması, bir çalışanın yanlış alıcıya gönderdiği dosyayı nasıl fark edip bildireceğini bildiği anlamına gelmez. Personelin hangi veriye neden eriştiğini, neyi paylaşabileceğini ve olağan dışı bir durumda kime başvuracağını bilmesi, teknik erişim düzeninin günlük çalışmada uygulanmasını sağlar. Kurumun rehberi, eğitimi yalnız dış saldırıya karşı farkındalıkla sınırlamaz; kişisel verinin hukuka aykırı açıklanması ve paylaşılması ihtimallerini de ele alır.²⁹

Eğitimin içeriği kişinin göreviyle ilişkilendirilmelidir. Müşteriyle iletişim kuran çalışanın alıcıyı ve paylaşılacak içeriği kontrol etmesi ile sistem yöneticisinin erişim uyarısını değerlendirmesi aynı bilgi ihtiyacını doğurmaz. Rehber, çalışanların konumlarından bağımsız olarak güvenliğe ilişkin rol ve sorumluluklarının görev tanımlarında belirlenmesini ve bu sorumlulukların farkında olmalarının sağlanmasını ister. Bu yaklaşım, bütün çalışanlara aynı metni iletmekten öte, ilgili görevin veri işleme sürecindeki yerini anlaşılır kılmayı gerektirir.³⁰

Gizlilik taahhüdü, bu sorumlulukların açıklanmasında yararlı olabilir; fakat tek başına erişim düzenini veya eğitimi ikame etmez. Kanun’un 12. maddesinin dördüncü fıkrası, öğrenilen verilerin kanuna aykırı açıklanmasını ve işleme amacı dışında kullanılmasını yasaklar. Bu yasağın kaynağı yalnız imzalanan belge değildir. Rehber de işe alım sürecinde gizlilik anlaşması istenebilmesini, çalışan eğitimi ve güvenlik prosedürleriyle birlikte ele alır. Dolayısıyla imzalı taahhüdün varlığı, gereken teknik ve idari tedbirlerin uygulanıp uygulanmadığı sorusunu ortadan kaldırmaz.³¹

Görev değişikliği, erişimlerin yeniden gözden geçirilmesini gerektiren bir andır. Önceki görevin yetkileri korunurken yeni görevin yetkileri de ekleniyorsa, çalışanın erişimi fiilen genişleyebilir. Örneğin personel biriminden başka bir göreve geçen kişinin eski ücret dosyalarını hâlâ görebilmesi, yeni görevin ihtiyacıyla açıklanamayabilir. Görevle sınırlı erişim ilkesi, yetkinin ilk tanımlandığı anda olduğu kadar görevin değiştiği anda da uygulanmalıdır. Rol değişimi ile teknik yetki değişiminin aynı iş akışında ele alınması bu nedenle önemlidir.³²

İşten ayrılmada da yalnız teslim tutanağına bakılması yeterli olmaz. Kurum hesabı, uzaktan erişim imkânı, paylaşılan klasör ve kişinin elindeki kopyalar birlikte değerlendirilmelidir. Rehber, ilişiği kesilen çalışanların hesabının silinmesi veya girişlerinin zaman kaybetmeden kapatılması yönünde açıklama yapar. Burada amaç, artık görevden kaynaklanan erişim ihtiyacı kalmayan kişinin veriye ulaşmasını önlemektir. Hesabın kullanımının sona erdirilmesi ile o hesapta tutulmuş bütün verilerin hangi koşullarda saklanacağı ise farklı sorulardır.³³

Bu ayrım, ayrılan kişinin kurumsal e-posta hesabında özellikle önem taşır. Kurulun 2026/2035 sayılı ilke kararına ilişkin kamuoyu duyurusu, iş ilişkisinin sona ermesinden sonra hesap ve içindeki verilere yönelik işlemenin hukuki dayanağının ayrıca değerlendirilmesini vurgular. Kurumun işin devamını sağlamak istemesi, eski çalışanın bütün yazışmalarının süresiz ve sınırsız biçimde kullanılmasını kendiliğinden haklı kılmaz. Saklanması gereken iş kaydı ile hesabın tamamının açık tutulması veya içeriklerin genel incelemeye açılması ayrı ayrı gerekçelendirilmelidir. Denetimin mahremiyet boyutu 15.7’de ele alınmaktadır.³⁴

Ayrılma, öğrenilmiş veriler bakımından gizlilik yükümlülüğünü de sona erdirmez. Kanun bu devamlılığı açıkça belirtir. Bunun yanında kurum içindeki kontrol, yalnız ayrılan kişiye yükümlülük hatırlatmakla bırakılmamalı; erişimi kaldıran, gerekiyorsa kopyaların durumunu belirleyen ve iş için korunacak kayıtları yetkili kişiye aktaran düzenle tamamlanmalıdır. Belirli bir iş sözleşmesine aykırılığın disiplin veya tazminat sonucu ise kendi şartları çerçevesinde ayrıca değerlendirilir; güvenlik önlemi açıklaması bu sonuçları otomatik olarak belirlemez.³¹

Personelin bilgisi ile fiilî uygulama arasındaki bağın sürdürülmesi için politika değişiklikleri de çalışanlara yansıtılmalıdır. Rehber, önemli değişikliklerde yeni eğitimlerle bilgilerin güncel tutulmasını öngörür. Eğitim katılım kaydı, bilgilendirmenin yapıldığını göstermeye yarayabilir; belirli görevin güvenli biçimde yürütüldüğünü tek başına kanıtlamaz. Bu nedenle eğitim, görev tanımı, erişim düzeni ve denetim birbirine bağlandığında güvenlik, yalnız işe girişte alınmış imza veya bir defalık sunuma bırakılmamış olur.³⁵

15.6. Tedarikçi güvenliği, veri işleyen sözleşmesi ve denetim

Kişisel verinin bir hizmet sağlayıcıda işlenmesi, güvenlik kararının bütünüyle sağlayıcıya bırakılabileceği anlamına gelmez. Bununla birlikte önce hizmet sağlayıcının hangi sıfatla hareket ettiği belirlenmelidir. Veri sorumlusunun verdiği yetkiye dayanarak onun adına işleme ile sağlayıcının kendi amaçlarını belirleyerek işleme faaliyeti aynı değildir. 6. bölümde açıklanan rol ayrımı, burada güvenlik görevlerinin ve denetimin kiminle hangi ilişki içinde yürütüleceğini belirler.³⁶

Veri sorumlusunun kendi adına başka bir kişiye veri işletmesi hâlinde, Kanun’un 12. maddesinin ikinci fıkrası, birinci fıkradaki güvenlik tedbirleri bakımından müşterek sorumluluk öngörür. Bu hüküm, hizmet alınmasıyla veri sorumlusunun güvenlik ödevinden kurtulduğu düşüncesini dışlar. Hükmün güvenlik tedbirlerine ilişkin ifadesi ile sözleşmenin bütün borçları veya belirli bir zararın tazmininin şartları ayrı ayrı incelenmelidir. İnceleme, ilgili tedbir ve somut işleme ilişkisi üzerinden yürütülmelidir.³⁷

Sağlayıcının seçimi bu nedenle yalnız hizmet bedeli ve kapasitesiyle sınırlı tutulmamalıdır. İşlenecek veri, erişecek kişiler, kullanılacak ortam ve güvenlik olayının nasıl fark edilip bildirileceği bakımından sağlayıcının imkânları değerlendirilmelidir. Rehber, hizmet alınan veri işleyenin en az veri sorumlusunun sağladığı güvenlik seviyesini sağlamasından emin olunmasını vurgular. Bu karşılaştırma, veri sorumlusundaki yetersiz bir uygulamanın sağlayıcıya aynen aktarılmasıyla tamamlanmış olmaz; her iki tarafta da somut işlemeye uygun güvenlik düzeyi sağlanmalıdır.³⁸

Sözleşme, bu görevlerin açıklaştırılmasına hizmet eder. Rehber, sözleşmenin yazılı olmasını; talimat, işleme amacı ve kapsamı, mevzuata uyum, saklama ve imha düzeni ile gizlilik hükümlerini içermesini önerir. Bu açıklama, rehberdeki öneri ile kanundaki yükümlülüğün ayrılarak okunmasını gerektirir. Yurt dışına aktarıma ilişkin özel güvence ve şekil koşulları ise 13. bölümdeki rejime göre ayrıca incelenir. Sağlayıcının güvenlik konusunda genel bir taahhütte bulunması, hangi verilere hangi amaçla erişeceği belirsiz bırakılmışsa bu eksikliği tek başına gidermez.³⁹

Sözleşmedeki görevler, uygulanma biçimlerinin görülebileceği bir denetim düzeniyle tamamlanmalıdır. Kanun veri sorumlusuna gerekli denetimleri yapma veya yaptırma ödevi yükler; rehber de denetim raporlarının ve sağlayıcının yerinde incelenebilmesine işaret eder. Öğretide Turan Başara, veri işleyenin hesap verme yükümlülüğünü, edimin yerine getirilip getirilmediğini ve talimatlara uyulup uyulmadığını öğrenme ve kontrol etme imkânıyla ilişkilendirir. Böylece hizmetin başında alınmış bir güvenlik beyanı, ilişki boyunca her şeyin aynı kaldığının kanıtı olarak görülmez.⁴⁰

Olay bildirimine ilişkin sözleşme düzeni de bu iş birliğinin parçasıdır. Sağlayıcıdaki bir olayın veri sorumlusuna zamanında ulaşmaması, onun olayı değerlendirmesini ve kanuni bildirim görevini yerine getirmesini güçleştirebilir. Rehber bu nedenle veri işleyenin ihlali derhal veri sorumlusuna bildirmesine ilişkin hüküm konulmasını yararlı görür. Bildirilecek kişinin, iletişim kanalının ve gerekli ilk bilgilerin belirlenmesi bu amacı somutlaştırabilir. Sağlayıcının sözleşmeye dayanan bildirimi ile veri sorumlusunun ilgili kişiye ve Kurula yönelik kanuni bildirimi aynı işlem değildir; olay sonrası süreç 16. bölümde ayrıca incelenmektedir.⁴¹

Hizmetin sona ermesi de önceden düşünülmelidir. Verinin hangi biçimde geri alınacağı, hangi kopyaların kaldırılacağı ve bunların nasıl doğrulanacağı belirsizse, sözleşme bitmiş olsa bile veriler sağlayıcının farklı ortamlarında kalabilir. Turan Başara’nın iade ve güvenli silmeyi sözleşme sonrası yükümlülükler arasında ele alan açıklaması, bu ihtiyacın özel hukuk yönünü gösterir. Saklama ve imhanın maddi koşulları ise Kanun’un 4. ve 7. maddeleri ile 14. bölümdeki ayrımlar korunarak değerlendirilir. İşlemenin dışarıya bırakılması, güvenliğin kurulması ve sürdürülmesi ihtiyacını ortadan kaldırmayıp taraflar arasında somut bir görev ve kontrol düzenine dönüştürür.⁴²

15.7. Güvenlik tedbirleri ile çalışan mahremiyeti arasında denge

Bir kurum, müşteri bilgilerinin dışarı çıkarıldığından kuşkulandığında çalışan hesaplarındaki hareketleri incelemek isteyebilir. Güvenliği sağlama amacı böyle bir incelemeyi gerekli kılabilir; ancak hangi hesapların, hangi dönem ve hangi veri bakımından inceleneceği ayrıca gerekçelendirilmelidir. Kanun’un güvenlik ödevi, aynı Kanun’un amaçla sınırlılık ve ölçülülük ilkelerinden bağımsız bir gözetim yetkisi olarak okunamaz. Güvenlik için yapılan denetim de kişisel veri işlemeye ilişkin hukuki şartlara tabidir.⁴³

İletişim aracının kuruma ait olması da bu değerlendirmeyi ortadan kaldırmaz. Kurumsal hesabın iş için verilmiş olması, içindeki her yazışmanın her zaman okunabileceği anlamına gelmez. Teknik yöneticinin bir oturuma, cihaza veya ağa erişebilmesi ile çalışanın özel e-posta veya mesajlaşma hesabındaki içeriği incelemeye hukuken yetkili olması farklıdır. Kurumun 2026/2035 sayılı ilke kararına ilişkin açıklamasında bu teknik ve hukuki erişim ayrımı özellikle belirtilmektedir.⁴³

Denetimden önce yapılacak açıklama, “kurum hesapları denetlenebilir” şeklinde belirsiz bir uyarıyla sınırlanmamalıdır. İşlemenin amacı ve hukuki sebebi, kullanılacak yöntem, incelemenin kapsamı, içeriklere hangi hâllerde erişileceği, saklama süresi ve ilgili kişinin hakları anlaşılır biçimde ortaya konulmalıdır. Burada önceden bilgilendirme ile Kanun’un 10. maddesindeki aydınlatma yükümlülüğü de ayrılmalıdır. Kurumun açıklamasına göre her bilgilendirme, aydınlatma yükümlülüğünün yerine getirilmiş olduğu sonucunu doğurmaz; buna karşılık gerekli unsurları ve somut denetim bilgisini içeren usulüne uygun aydınlatma, önceden bilgilendirme işlevini de karşılayabilir. Aydınlatma metninin imzalanması ise tek başına denetime rıza verildiği anlamına gelmez.⁴⁴

İncelemenin yöntemi, ulaşılmak istenen amaçla bağlantılı olarak kademelendirilmelidir. Dosyanın kurum dışına aktarılıp aktarılmadığının belirli işlem kayıtlarıyla anlaşılabildiği varsayımsal bir olayda, aynı sonuca ulaşmak için çalışanın bütün yazışma içeriğinin okunması ayrıca açıklama gerektirir. İçeriğe erişim gerektiğinde de ilgili hesap, tarih aralığı ve olayla bağlantı belirlenmelidir. Kurumun açıklaması, daha az müdahaleci yöntemle amaca ulaşılabildiğinde ağır yönteme başvurulmamasını; içerik incelemesinin kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru amaçla sınırlanmasını öngörür. Trafik kayıtlarının incelenmesi de amaç ve ölçü denetiminin dışında değildir.⁴⁵

İş amaçlı ve özel amaçlı kullanım kuralları bu sınırların öngörülebilir olmasına yardım eder. Bununla birlikte özel amaçlı kullanım yasaklanmış olsa bile denetimin ölçülülüğü ayrıca incelenir. Birbirinden açıkça ayrılamayan iş ve özel iletişimlerde müdahalenin kapsamı daha dar tutulmalıdır. Dolayısıyla kullanım kuralına aykırılık ihtimali, hesapta bulunan ilgisiz bütün kişisel bilgileri değerlendirmeye alma gerekçesine dönüştürülmemelidir.⁴⁶

İş ilişkisindeki rıza da bağımlılık ve güç dengesi içinde değerlendirilir. Çalışanın bir sözleşme veya genel politika metnini imzalamış olması, her veri işlemesi bakımından özgürce verilmiş açık rızanın bulunduğunu kendiliğinden kanıtlamaz. Kurumun 2026 tarihli açıklaması, e-posta denetiminde açık rızanın her durumda öncelikli hukuki dayanak olarak kabul edilemeyeceğini vurgular. Rızaya dayanılacaksa özgür irade somut koşullarda incelenir; başka bir işleme şartına dayanılacaksa onun şartları gösterilir. Geçerli bir hukuki sebebin varlığı da ölçülülük ve amaç sınırını kaldırmaz.⁴⁷

Bu sınırlar, işverenin güvenliği sağlamada veya işin yürütülmesini denetlemede hiçbir menfaatinin bulunmadığı düşüncesine dayanmaz. Sur, çalışan iletişiminin korunmasına ilişkin gelişmenin işverenin yönetim ve fesih sebeplerini kanıtlama imkânını daralttığına dikkat çeker; aynı zamanda diğer çalışanları koruma ihtiyacının da değerlendirilmesi gerektiğini belirtir. Bu gerilim, güvenlik amacını peşinen geçersiz saymakla veya bütün içeriğe erişimi serbest bırakmakla çözülemez. Denetimin gerekçesi ile kişi bakımından doğurduğu müdahalenin kapsamı aynı olay üzerinde karşılaştırılmalıdır.⁴⁸

İncelenen yazışmada yalnız çalışanın değil, iletişimin karşı tarafının veya başka kişilerin verileri de bulunabilir. Bu nedenle olayla ilgisiz içeriğin ayıklanması, inceleme için gereken veriye yalnız görevli kişilerin erişmesi ve elde edilen bilginin farklı amaçlara kaydırılmaması önem taşır. Kurumun açıklaması; erişimin belirli, yetkili personelle sınırlandırılması, erişim kayıtlarının tutulması ve gizlilik yükümlülüğünün güvenceye alınmasını birlikte ele alır. Böylece denetim için toplanan bilgi, yeni ve denetimsiz bir kişisel veri havuzuna dönüşmemelidir.⁴⁹

Örnekteki veri aktarımı kuşkusunda uygun düzen; hangi güvenlik olayının araştırıldığını, neden seçilen kayıtlara ihtiyaç duyulduğunu, incelemenin kim tarafından ve ne kadar süreyle yürütüleceğini gösterebilmelidir. Bu değerlendirme, 15.3’te açıklanan erişim ve kayıt tedbirlerini hukuki amaçlarına bağlar. Önlemin teknik olarak çalışması ile hukuken sınırları içinde kullanılması birlikte aranır. Bir güvenlik olayı ortaya çıktığında ise araştırmanın kapsamı, delilin korunması ve bildirim görevleri 16. bölümdeki ayrı koşullara göre ele alınmalıdır.

Dipnotlar