Yabancı merkezdeki hukuk ekibi, Türkiye sahasındaki bir olayla ilgili kayıtların korunmasını ister. Aynı mesajda görüntünün gönderilmesi de talep edilmiş olabilir. Saklamaya ilişkin değerlendirme ile kimlerin kaydı görebileceği ayrı işlemlerdir; birinin karara bağlanması diğerinin otomatik olarak onaylandığı anlamına gelmemelidir.
Kamera kaydı, ziyaretçi formu veya olay bildirimi farklı sorumluların kontrolünde bulunabilir. Talebin tek e-postayla gelmesi, bütün kayıtların aynı kişiden ve aynı yöntemle alınabileceğini göstermez. İlk ihtiyaç, kurumun yetkili hukuk, veri ve sistem sorumlularının ortak bir işlem tanımı oluşturmasıdır.
Akademik çerçeve neden ayrım yapmayı önerir?
Daniel Solove'un 2006 tarihli akademik hukuk makalesi, mahremiyet sorunlarını bilgi toplama, işleme ve yayma gibi farklı faaliyetler üzerinden sınıflandırır. Bu normatif çerçeve, eylemleri ayrı düşünmeye yardımcı olur; Türkiye'deki bir kayıt saklama talebinin hukuki sonucunu belirleyen ampirik çalışma veya güncel mevzuat değildir. [1]
Buradaki önerimiz, korunacak kayıt ve paylaşılacak kayıt için ayrı karar alanları kullanmaktır. Böylece teknik ekibin yaptığı işlem ile hukuk ekibinin istediği sonuç arasında varsayım kurulması önlenmeye çalışılır.
Talebi kayıt türüne ve döneme bağlayın
İşletmenin yetkilileri, olay referansını, ilgili kayıt türünü ve incelenecek dönemi açıklamalıdır. Geniş ve belirsiz bütün kayıtları tutun ifadesi, hangi işlemin yapılacağını veya ne zaman tekrar değerlendirileceğini anlatmaz. Kapsamın uygunluğunu ilgili hukuk ve veri sorumluları belirlemelidir.
Kayıt mevcut mu, teknik olarak erişilebilir mi ve yetkili işlem henüz yapılmış mı soruları ayrı cevaplanmalıdır. Görevli, yalnız kendisine mesaj gelmiş olmasını kayıt korunmuştur diye raporlamamalıdır. Mevcut olmayan veya henüz doğrulanmamış bilgi açıkça belirtilmelidir.
Koruma işleminin tamamlandığını yetkili kişi teyit etsin
KVKK, kişisel verilere hukuka aykırı erişimin önlenmesi ve muhafazanın sağlanması için uygun teknik ve idari tedbirleri ele alır. [2] Bunun işletmedeki karşılığı, ilgili sistem üzerinde yalnız yetkili kişilerin onaylı işlemleri yapmasıdır.
Güvenlik görevlisi kendi imkânıyla görüntü kopyalamaya veya kişisel cihazına aktarmaya yöneltilmemelidir. Yapılan işlem, sorumlusu ve sonucu kurumun belirlediği güvenli kayıtta izlenebilir tutulabilir. Teknik bütünlük değerlendirmesi gerektiğinde ilgili uzman devreye girer.
Paylaşım için ikinci bir karar kaydı açın
- Hangi kayıt veya bölüm isteniyor?
- Talebin belirli amacı ve yetkili sahibi kim?
- Alıcı hangi kişi veya kurum; erişim hangi ülkeden olacak?
- Gerekli hukuki ve veri koruma değerlendirmesini kim tamamladı?
- Onaylanan aktarım yöntemi ve erişim kapsamı ne?
- İşlemi kim yaptı ve sonucu nasıl doğrulandı?
KVKK'nın genel açıklamaları amaçla bağlantılı ve ölçülü işlemeyi vurgular. [3] Yabancı hukuk ekibinin mesleki sıfatı, Türkiye'deki bütün veri işleme ve aktarım koşullarının kendiliğinden karşılandığı varsayımına dönüştürülmemelidir. Somut durumdaki gereklilikler yetkili danışmanlarca belirlenir.
Süreç kapanırken açık işleri gözden geçirin
Talebin sonucu, saklama düzeninin ne zaman yeniden inceleneceği ve paylaşım yetkisinin devam edip etmediği sorumlu birimlerce belirlenmelidir. Belirsizlik nedeniyle süresiz saklama veya talep kapandı diye kendiliğinden silme kararı verilmemelidir.
Güvenlik hizmetinden beklenen, kaydın mahkemede nasıl değerlendirileceğine karar vermek değildir. Doğru talebi doğru sorumluya iletmek, kendi görev kapsamındaki gözlemi açık yazmak ve yetkili işlemin teyidini takip etmek; işletmeye değerlendirilebilir, izlenebilir bir süreç sunar.
