Kısa cevap
KVKK uyumlu yazılım, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ilkelerini tasarım aşamasından itibaren koda yansıtan yazılımdır: yalnızca gerekli veriyi toplar, aydınlatma ve gerektiğinde açık rızayı kayıt altına alır, veriyi şifreler, erişimi yetkiye bağlar ve kayıt altına alır, saklama süresi dolan veriyi siler ya da anonimleştirir, yurt dışına aktarımı Kanun'un 9. maddesine göre yönetir. Uyumu yayından sonra eklemek zordur; mimarinin parçası olarak baştan kurulmalıdır.
Kişisel veri işleyen hemen her yazılım (müşteri kaydı tutan bir CRM, çalışan bilgisi içeren bir İK uygulaması, üyelik sistemi olan bir web sitesi) KVKK kapsamına girer. Kanun yazılım geliştiricilere doğrudan teknik bir şartname vermez; veri sorumlusuna "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma" yükümlülüğü getirir (m.12). Bu tedbirlerin önemli bir kısmı yazılımın içinde hayata geçer.
Bu yazı, yazılım ekipleri ve proje sahipleri için pratik bir kontrol listesidir. Hukuki danışmanlık yerine geçmez; kendi durumunuz için bir KVKK uzmanı ya da avukattan görüş almanızı öneririz.
KVKK uyumlu yazılım ne demek?
KVKK uyumlu yazılım, kişisel verilerin Kanun'un 4. maddesindeki genel ilkelere uygun işlenmesini teknik olarak destekleyen ve veri sorumlusunun yükümlülüklerini yerine getirmesini kolaylaştıran yazılım demektir. Bu ilkeler şunlardır:
- Hukuka ve dürüstlük kurallarına uygun olma
- Doğru ve gerektiğinde güncel olma
- Belirli, açık ve meşru amaçlar için işlenme
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
Yazılım tarafında bu ilkelerin karşılığı somuttur: gereksiz alan toplamamak, verinin hangi amaçla toplandığını kaydetmek, saklama süresini tanımlamak ve süre dolunca veriyi otomatik olarak silmek.
Veri sorumlusu ve veri işleyen ayrımı neden önemli?
Yazılım projelerinde rollerin karışması sık görülür. Veri sorumlusu, verinin işleme amaçlarını ve vasıtalarını belirleyen taraftır; veri işleyen ise veriyi veri sorumlusu adına işleyen taraftır.
| Durum | Veri sorumlusu | Veri işleyen |
|---|---|---|
| Şirketin kendi müşteri veritabanı | Şirket | Yazılımı barındıran sunucu sağlayıcı |
| SaaS ürününe müşterinin girdiği kayıtlar | SaaS'ı kullanan müşteri | SaaS sağlayıcısı |
| SaaS sağlayıcısının kendi abone bilgileri | SaaS sağlayıcısı | Ödeme ve e-posta servisleri |
| Ajansın geliştirip işlettiği kampanya sitesi | Kampanya sahibi marka | Ajans |
Bu ayrım, kimin aydınlatma metni hazırlayacağını, kimin VERBİS kaydı yapacağını ve sözleşmelerde hangi taahhütlerin yer alacağını belirler. Veri sorumlusu, veri işleyenin aldığı güvenlik tedbirlerinden de birlikte sorumludur (m.12/2).
Aydınlatma ve açık rıza yazılıma nasıl yansır?
Kanun'un 10. maddesi, kişisel veri elde edilirken ilgili kişinin bilgilendirilmesini (aydınlatma yükümlülüğü) şart koşar. Açık rıza ise yalnızca Kanun'da sayılan diğer işleme şartlarından hiçbiri yoksa aranan ayrı bir hukuki dayanaktır.
Yazılım tarafında dikkat edilecek noktalar:
- Aydınlatma metni veri toplanan her noktada erişilebilir olmalı. Kayıt formu, iletişim formu, mobil uygulama ilk açılış ekranı gibi.
- Aydınlatma ile açık rıza ayrı tutulmalı. Aydınlatma metnini "okudum, kabul ediyorum" kutusuyla açık rızaya dönüştürmek yanlış bir uygulamadır.
- Açık rıza önceden işaretli olmamalı ve hizmet şartına bağlanmamalı. Kullanıcı, ticari ileti onayı vermeden de hizmeti kullanabilmelidir.
- Rıza kaydı tutulmalı. Kimin, ne zaman, hangi metin sürümüne, hangi kanaldan onay verdiği veritabanında saklanmalıdır.
- Rızanın geri alınması kolay olmalı. Vermek kadar geri almak da tek adımda yapılabilmelidir.
Ticari elektronik ileti (SMS, e-posta kampanyası) gönderilecekse İleti Yönetim Sistemi (İYS) kuralları da ayrıca uygulanır.
Veri minimizasyonu ve saklama süreleri
Toplanmayan veri sızdırılamaz. Her form alanı için "bu veriyi neden topluyoruz, ne kadar süre tutacağız?" sorusunun yazılı bir cevabı olmalıdır.
- Doğum tarihi yerine yalnızca yaş doğrulaması yeterliyse tam tarih saklamayın.
- T.C. kimlik numarası yalnızca fatura ya da yasal yükümlülük için gerekiyorsa yalnızca o akışta isteyin.
- Log ve analiz verilerine kişisel veri yazmaktan kaçının; gerekiyorsa maskeleyin.
Saklama süresi dolan veriler silinmeli, yok edilmeli ya da anonim hale getirilmelidir (m.7). Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, saklama ve imha politikası hazırlamakla yükümlü veri sorumluları için periyodik imhanın en fazla altı aylık aralıklarla yapılmasını öngörür. Bu işi elle yapmak yerine, veri türü başına saklama süresi tanımlayan ve süresi dolan kayıtları otomatik işleyen zamanlanmış görevler kurmak daha güvenilirdir. Yedeklerdeki verilerin de bu politikaya dahil olduğu unutulmamalıdır.
Teknik güvenlik tedbirleri: kontrol listesi
Aşağıdaki liste, yazılım ve altyapı tarafında en sık uygulanan teknik tedbirleri özetliyor. Kişisel Verileri Koruma Kurumu'nun yayımladığı veri güvenliği rehberi de bu konuda ayrıntılı bir çerçeve sunar.
| Alan | Tedbir |
|---|---|
| İletimde şifreleme | Tüm trafik TLS (HTTPS) üzerinden; eski protokoller kapalı |
| Depoda şifreleme | Disk ya da veritabanı şifreleme; hassas alanlar için alan düzeyinde şifreleme |
| Parolalar | bcrypt veya Argon2 gibi parola özetleme algoritmalarıyla saklanır, hiçbir zaman düz metin tutulmaz |
| Erişim kontrolü | Rol tabanlı yetki; her kullanıcı yalnızca işi için gereken veriyi görür |
| Erişim kayıtları | Kişisel veriye kim, ne zaman, hangi işlemle eriştiği kayıt altına alınır |
| Yönetici erişimi | İki adımlı doğrulama, IP kısıtlaması, kişiye özel kurumsal hesaplar |
| Gizli anahtarlar | API anahtarları ve parolalar ortam değişkeninde ya da gizli anahtar kasasında, kod deposunun dışında |
| Yedekleme | Şifreli, ayrı konumda tutulan ve düzenli geri dönüş testi yapılan yedekler |
| Zafiyet yönetimi | Bağımlılık güncellemeleri, OWASP Top 10 kontrolleri, sızma testi |
| Test ortamı | Gerçek kişisel veri yerine maskelenmiş ya da sentetik veri |
Bu tedbirlerin veritabanı ve sunucu tarafındaki uygulamasını sunucu ve veritabanı seçimi rehberimizde ayrıca ele aldık.
Yurt dışına veri aktarımı (KVKK m.9)
Bulut sunucular, e-posta servisleri, analiz araçları ve yapay zekâ API'leri çoğunlukla yurt dışında barındırılır. Bu servislere kişisel veri göndermek, yurt dışına aktarım anlamına gelebilir.
6698 sayılı Kanun'un 9. maddesi, 7499 sayılı Kanun ile 2024'te değiştirilmiştir. Güncel düzenlemeye göre yurt dışı aktarım şu yollarla yapılabilir:
- Yeterlilik kararı: Aktarım yapılacak ülke, sektör ya da uluslararası kuruluş hakkında Kurul'un yeterlilik kararı bulunması.
- Uygun güvenceler: Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname gibi güvencelerden birinin sağlanması. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir.
- Arızi aktarım: Bu ikisi de yoksa, yalnızca arızi olmak kaydıyla Kanun'da sayılan istisnai haller (ör. riskler hakkında bilgilendirilmiş açık rıza).
Yazılım mimarisinde bunun pratik karşılığı, kullanılan her dış servisin bir listesini tutmak, hangi veriyi hangi ülkeye gönderdiğini belgelemek ve mümkün olduğunda kişisel veriyi Türkiye'deki sunucularda tutmaktır.
İlgili kişi hakları ve veri ihlali için yazılım hazırlığı
Kanun'un 11. maddesi, kişilere verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini ya da silinmesini isteme gibi haklar tanır. Veri sorumlusu bu başvuruları en geç otuz gün içinde sonuçlandırmalıdır (m.13). Yazılımın bu süreyi karşılayabilmesi için:
- Bir kişiye ait tüm verileri tek sorguda bulup dışa aktarabilen bir yönetim aracı olmalı.
- Silme ya da anonimleştirme işlemi ilişkili tablolarda tutarlı çalışmalı.
- Başvurular ve verilen yanıtlar kayıt altına alınmalı.
Veri ihlali durumunda veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmekle yükümlüdür (m.12/5). Kurul, 2019/10 sayılı kararında Kurul'a bildirim için bu süreyi ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlamış; ilgili kişilere ise etkilenenler belirlendikten sonra makul en kısa sürede bildirim yapılmasını öngörmüştür. Bu süreyi karşılamak için erişim kayıtları, anormal erişim uyarıları ve önceden yazılmış bir olay müdahale planı gerekir.
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı ise veri sorumlusunun yükümlülüğüdür; Kurul belirli çalışan sayısı ve mali bilanço eşiklerinin altındaki bazı veri sorumlularını muaf tutmuştur. Güncel eşikleri Kurum'un sitesinden kontrol etmek gerekir. Veri altyapınızın tasarımı ve güvenliği için veritabanı ve altyapı hizmet sayfamıza göz atabilirsiniz; SaaS ürünlerinde rol ayrımı için SaaS ürün geliştirme rehberimiz de yardımcı olabilir.
Sık sorulan sorular
KVKK sadece büyük şirketleri mi ilgilendirir?
Hayır. Kişisel veri işleyen her gerçek ve tüzel kişi KVKK kapsamındadır; şirket büyüklüğü yalnızca VERBİS kaydı gibi bazı yükümlülüklerde muafiyet doğurabilir. Küçük bir işletmenin web sitesindeki iletişim formu bile aydınlatma yükümlülüğü ve veri güvenliği tedbirleri gerektirir.
Aydınlatma metni ile açık rıza aynı şey mi?
Değildir. Aydınlatma metni, ilgili kişiyi veri işleme hakkında bilgilendirme yükümlülüğüdür ve her durumda gerekir. Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilen onaydır; yalnızca Kanun'daki diğer işleme şartlarından hiçbiri yoksa aranır. İkisinin aynı metin ya da tek onay kutusunda birleştirilmemesi gerekir.
Yurt dışındaki bir bulut sunucusunu kullanabilir miyim?
Kullanılabilir, ancak kişisel veri aktarımı söz konusuysa KVKK'nın 9. maddesindeki şartlardan birinin sağlanması gerekir. Yeterlilik kararı yoksa standart sözleşme gibi uygun güvenceler değerlendirilmeli ve standart sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilmelidir. Kişisel verilerin Türkiye'de barındırılması bu yükü önemli ölçüde azaltır.
Test ortamında gerçek müşteri verisi kullanılabilir mi?
Önerilmez. Test ortamları genellikle canlı ortam kadar korunmaz ve daha fazla kişinin erişimine açıktır. Testler için maskelenmiş, anonimleştirilmiş ya da sentetik veri kullanmak hem güvenlik hem de veri minimizasyonu ilkesi açısından doğru yaklaşımdır.
Veri ihlali yaşanırsa ne yapmalıyız?
İhlalin kapsamı hızla tespit edilmeli, sızıntı durdurulmalı ve etkilenen kişiler ile veri türleri belirlenmelidir. Kanun, veri sorumlusunun durumu en kısa sürede ilgili kişilere ve Kurul'a bildirmesini öngörür; Kurul'a bildirim için bu süre Kurul kararıyla 72 saat olarak yorumlanmıştır. Önceden hazırlanmış bir olay müdahale planı ve erişim kayıtları bu süreci büyük ölçüde kolaylaştırır.
Kaynaklar
AssistoTech Ekibi
İstanbul'da web, mobil, masaüstü, oyun, SaaS ve kurumsal yazılım geliştiren ekibiz. Bu yazı, kendi ürünlerimizde ve müşteri projelerinde edindiğimiz deneyime dayanır. Projeniz için bize yazın.
