KVKK uyumlu bulut geçişi: 10 maddelik kontrol listesi

Bulut geçişi çoğu kurumda bir altyapı projesi olarak başlar. Oysa KVKK açısından bakıldığında, aynı proje bir uyum projesidir ve teknik kararların çoğu hukuki sonuç doğurur.

1. Veri envanterini çıkarın. Hangi sistemde hangi kişisel veri işleniyor, hangi kategoride ve hangi hukuki sebebe dayanıyor? Bu envanter yoksa geçiş planı da eksik kalır.

2. Veri yerleşimini yazılı olarak teyit edin. Sağlayıcınızın verinin fiziksel olarak nerede tutulacağını sözleşmede taahhüt etmesi gerekir. "Bulutta" ifadesi bir yer belirtmez.

3. Yurt dışı aktarım olup olmadığını netleştirin. Yedekler, log sistemleri ve destek erişimleri çoğu zaman gözden kaçar. Destek ekibi yurt dışındaysa bu da bir erişimdir.

4. Veri sorumlusu ve veri işleyen rollerini tanımlayın. Hangi katmanın kimin sorumluluğunda olduğu sözleşmede açık olmalı; belirsizlik ihlal anında maliyetli hale gelir.

5. Saklama ve imha sürelerini belirleyin. Süresiz saklanan yedek, uyumsuzluk üretir. Her veri kategorisi için süre tanımlayın.

6. Erişim yetkilerini geçişten önce sadeleştirin. Mevcut sistemdeki fazla yetkileri buluta taşımayın; geçiş, yetki temizliği için doğal bir fırsattır.

7. Şifreleme kararlarını netleştirin. Aktarım sırasında ve durağan halde şifreleme ayrı konulardır. Anahtar yönetiminin kimde olduğunu da belirleyin.

8. Loglama ve izlenebilirliği planlayın. Kimin hangi veriye ne zaman eriştiği sorulduğunda cevap verebilmelisiniz.

9. İhlal bildirim sürecini tazeleyin. Bulut ortamında ihlalin tespiti ve bildirimi farklı işler; sağlayıcının size ne kadar sürede haber vereceği sözleşmede olmalı.

10. Çıkış senaryosunu baştan yazın. Hizmeti bırakırsanız veriyi hangi formatta, ne kadar sürede alacağınız ve kalan kopyaların nasıl imha edileceği geçişten önce belli olmalı.

Bu maddelerin çoğu teknik değil, sözleşmesel. Bu yüzden geçiş projesinde hukuk ve BT ekiplerinin aynı masada olması, sonradan yapılacak düzeltmelerden çok daha ucuzdur.