Kişisel Veri Bilgi Sistemi: Tanım ve Bileşenler
Kişisel Veri Bilgi Sistemi (İSBD), vatandaşların kişisel bilgilerini içeren veri tabanları ile bunların işlenmesini sağlayan teknolojilerin (yazılım, sunucular, ağlar) birleşimidir. İSBD kapsamında, bir kişiyi tanımlamaya olanak tanıyan tüm bilgiler yer alır: ad soyad ve telefon numarasından biyometrik verilere ve satın alma geçmişine kadar. Müşteri iletişim bilgilerini içeren basit bir Excel tablosu bile hukuki açıdan İSBD olarak kabul edilir ve verilerin korunmasına ilişkin 152-FZ kanununun gerekliliklerine uyulmasını zorunlu kılar.
İSBD Nedir – Basit Anlatım
"Kişisel Veriler Hakkında" 152 Sayılı Federal Kanun'un 3. maddesine göre, İSBD yalnızca bir yazılım değil, aşağıdakileri içeren bir komplekstir:
- Verilerin kendisi – veri tabanlarında saklanan gerçek kişiler hakkındaki bilgiler.
- Teknik araçlar – sunucular, bilgisayarlar, ağ ekipmanları.
- Yazılım araçları – işletim sistemleri, VTYS (veritabanı yönetim sistemleri), uygulama yazılımları (CRM, ERP, insan kaynakları).
- Organizasyonel önlemler – yönetmelikler, talimatlar, güvenlik politikaları.
Temel kriter: Belirli bir kişiyi tespit etmeye olanak tanıyan bilgileri topluyor, kaydediyor, sistematize ediyor veya saklıyorsanız, bir İSBD oluşturuyorsunuz ve bunun işleyeni haline geliyorsunuz.
İSBD statüsünün şirketin büyüklüğüne veya veri hacmine bağlı olmadığını anlamak önemlidir. 50 e-posta adresinden oluşan bir veri tabanına sahip küçük bir çevrimiçi mağaza veya müşteri randevu defteri tutan küçük yerel bir güzellik salonu da büyük bankalar gibi İSBD işleyenisidir.
İSBD Kapsamına Giren Veriler
Kişisel veriler (KV), doğrudan veya dolaylı olarak belirlenmiş bir gerçek kişiyle ilgili her türlü bilgidir. İSBD kapsamında aşağıdaki bilgi kategorileri yer alabilir:
Genel (temel) veriler
Çoğu ticari kuruluşta işlenen en yaygın bilgi türü:
- Soyadı, adı, babasının adı.
- Doğum tarihi ve yeri.
- İletişim bilgileri: telefon numarası, e-posta adresi, posta adresi.
- Pasaport bilgileri, sosyal sigorta numarası, vergi kimlik numarası (sözleşme imzalama veya işe alım sırasında).
- Eğitim, meslek ve çalışma yeri bilgileri.
Özel kategoriler
Bu verilerin işlenmesi, yasada açıkça belirtilen istisnai durumlar (örneğin tıbbi faaliyetler veya iş mevzuatının uygulanması) haricinde yasaktır:
- Irksal ve ulusal köken.
- Siyasi görüşler, dini inançlar.
- Sağlık durumu, özel hayat.
Biyometrik veriler
Bir kişinin fizyolojik ve biyolojik özelliklerini tanımlayan ve kimliğinin tespit edilmesi amacıyla kullanılan bilgiler:
- Parmak izleri.
- Göz retinası taramaları.
- Fotoğraflar ve video kayıtları (yalnızca kimlik doğrulama amacıyla kullanılıyorsa, örneğin erişim kontrol sistemlerinde).
- Ses örnekleri.
Yaygın hata: Web sitesindeki veya CRM veri tabanındaki çalışan fotoğraflarını biyometrik veri olarak kabul etmek. Fotoğraf yalnızca görsel tanıma (kimin kim olduğunu görme) amacıyla kullanılıyorsa, bu genel kişisel veridir. Ancak ofise giriş için yüz tanıma algoritması çalıştırılıyorsa, bu biyometrik veridir ve veri sahibinden ayrı yazılı izin alınmasını gerektirir.
Diğer veriler
- Mal varlığı durumu (gelirler, mal mülk sahipliği).
- Satın alma geçmişi, tercihler, web sitesindeki davranışlar (kullanıcı profiline bağlıysa çerezler, IP adresleri).
- Medeni durum, çocuk sahibi olup olmadığı.
Pratikte Bilgi Sistemi Örnekleri
İSBD soyut bir kavram değil, işletmelerin günlük olarak karşılaştığı somut araçlardır. Düzenlemeye tabi olan tipik sistem örnekleri şunlardır:
| Sistem Türü | Hangi Veriler İşlenir | İşleyen Kimdir |
|---|---|---|
| CRM sistemi | Müşterilerin ad soyadı, telefonları, sipariş geçmişi, yazışmalar | Çevrimiçi mağazalar, hizmet şirketleri |
| İnsan Kaynakları sistemi (1C:ZUP ve benzerleri) | Özgeçmişler, çalışanların pasaport bilgileri, maaş bilgileri, hastalık raporları | Tüm işverenler |
| Erişim Kontrol Sistemi (EKS) | Ad soyadı, giriş kartı numaraları, giriş/çıkış saatleri, bazen biyometrik veriler | Ofis merkezleri, üretim tesisleri |
| İletişim formu içeren web sitesi | Ziyaretçinin adı, e-postası, telefonu, IP adresi, çerezler | Web sitesi ve açılış sayfası sahipleri |
| Video gözetleme | İnsanların görüntüleri (kimliklerinin tespit edilebilmesi durumunda) | Alışveriş merkezleri, apartman girişleri, ofisler |
Muhasebecinin bilgisayarındaki, pasaport bilgileriyle birlikte çalışan listesini içeren yerel bir Excel dosyası bile resmi olarak kuruluşun İSBD'sinin bir parçasıdır.
İSBD İşleyeninin Yükümlülükleri
Bir kuruluş kişisel verileri işlemeye başladığında, süreçlerin güvenliğini ve yasallığını sağlamak üzere bir dizi yükümlülük üstlenir.
- Veri tabanlarının yerelleştirilmesi. Rusya Federasyonu vatandaşlarının kişisel verilerini içeren veri tabanları, fiziksel olarak Rusya topraklarında bulunan sunucularda yer almalıdır (yerelleştirme gerekliliği).
- Hukuki dayanak. Veri işleme için veri sahibinin rızasını almak (veya sözleşmenin ifası gibi başka bir yasal dayanağa sahip olmak) gerekir. Web sitesinde Gizlilik Politikası yayınlanmalıdır.
- Bilgi güvenliği. İşleyen, teknik ve organizasyonel koruma önlemlerini uygulamakla yükümlüdür:
- Erişim haklarının sınırlandırılması (çalışan yalnızca işi için gerekli verileri görür).
- Sertifikalı bilgi güvenliği araçlarının kullanılması (gerektiğinde antivirüsler, güvenlik duvarları, şifreleme araçları).
- Güvenlik tehditlerinin düzenli olarak değerlendirilmesi.
- Roskomnadzor'a bildirim. Veri işlemeye başlamadan önce, işleyen Roskomnadzor'a kişisel veri işleyenleri siciline kayıt için bildirimde bulunmalıdır (152-FZ'nin 22. maddesinde belirtilen nadir durumlar hariç; örneğin, veriler yalnızca veri sahibiyle yapılan belirli bir sözleşmenin ifası amacıyla işleniyorsa ve üçüncü taraflara aktarılmıyorsa).
Tavsiye: Denetimi beklemeyin. İç denetim yapın: Müşteri ve çalışan verilerinin saklandığı tüm yerlerin (bulut hizmetleri, yerel bilgisayarlar, kağıt arşivler) envanterini çıkarın ve bunların parola ve antivirüs ile korunup korunmadığını kontrol edin. Bu, uyumluluğa (compliance) atılacak ilk adımdır.
İSBD ile Çalışırken Yapılan Yaygın Hatalar
- "Küçük" formatların göz ardı edilmesi. Birçok kişi, kanunun yalnızca büyük veri tabanlarını ilgilendirdiğini düşünür. Oysa bir Excel tablosundan veya satış temsilcisinin not defterinden kaynaklanan veri sızıntısı da sunucu hacklenmesiyle aynı cezaları doğurur.
- Web sitesinde rıza olmaması. "Kişisel verilerin işlenmesine onay veriyorum" onay kutusu ve gizlilik politikasına bağlantı olmadan veri toplama formu yerleştirmek doğrudan ihlaldir.
- Verilerin güvensiz mesajlaşma uygulamalarına aktarılması. Pasaport kopyalarının veya maaş tablolarının çalışanlar tarafından WhatsApp veya Telegram üzerinden gönderilmesi, yetersiz koruma önlemi olarak değerlendirilebilir.
- Gerekenden fazla veri saklanması. "İhtiyaç olabilir" diye bilgi toplamak (örneğin, hizmet için gerekli olmayan durumlarda cinsiyet veya doğum tarihi istenmesi) asgari yeterlilik ilkesini ihlal eder.
SSS
IP adresi kişisel veri midir? Dinamik IP adresi tek başına genellikle kişiyi kesin olarak tanımlamaya olanak tanımaz. Ancak diğer verilerle (örneğin kişisel hesap girişi) birlikte kullanıldığında kişisel profilin bir parçası haline gelir ve İSBD kapsamına girer. Rusya Federasyonu'ndaki yargı uygulamaları, işleyenin IP adresini belirli bir kişiyle eşleştirme teknik imkanına sahip olması durumunda, IP adresinin kişisel veri olarak kabul edilebileceği yönündedir.
Veriler yalnızca kağıt üzerinde saklanıyorsa İSBD'nin kaydı gerekir mi? Evet. 152-FZ kanunu, kağıt ortamlar dahil olmak üzere herhangi bir araçla kişisel verilerin işlenmesini düzenler. Ancak "kağıt" sistemler için teknik koruma gereklilikleri farklıdır (odak noktası fiziksel mekan güvenliği, kasalar, dosya teslim kayıt defterleridir). Roskomnadzor'a bildirim yine de yapılmalıdır.
İSBD'nin korunmamasının cezası nedir? Kişisel verilerin işlenmesi alanındaki ihlaller için Rusya Federasyonu İdari Suçlar Kanunu'nun 13.11. maddesi uyarınca para cezaları öngörülmüştür. Tespit edilen her ihlal için (örneğin gizlilik politikasının olmaması, rıza olmadan veri aktarımı, Roskomnadzor'a bildirim yapılmaması) cezalar yüz binlerce rubleye ulaşabilir. Tekrarlayan ihallerde ceza miktarları toplanır ve milyonlarca rubleye çıkabilir.