PDKS Verisi Bulutta mı Yerinde mi? Veri Güvenliği, Saklama ve İmha (KVKK)

PDKS verisi giriş-çıkış kayıtları, vardiya ve izin bilgisi, lokasyon (mobil/geofence) ve bazı kurulumlarda biyometrik veriden oluşur — hepsi 6698 sayılı KVKK kapsamında kişisel veridir, biyometrik veri ise özel nitelikli (hassas) veridir. 'Bulutta mı yerinde mi' sorusu çoğu zaman yanlış çerçevelenir: KVKK açısından belirleyici olan verinin fiziksel olarak nerede durduğu değil, kim eriştiği, nasıl korunduğu ve ne zaman silindiğidir. Veri sorumlusu (işveren) her iki modelde de aynı yükümlülükleri taşır; bulut sağlayıcı yalnızca 'veri işleyen' konumundadır ve sorumluluğu sözleşmeyle düzenlenir. Biyometrik kurulumların hukuki çerçevesi için biyometrik PDKS ve KVKK yazımız ayrıntılı bir referanstır.

Bulut tabanlı PDKS, sunucu bakımı, yedekleme, güncelleme ve ölçeklenmeyi sağlayıcıya devreder; çok lokasyonlu ve saha ekipleri için tek merkezden erişim, mobil giriş ve otomatik güvenlik yamaları büyük kolaylıktır. KVKK açısından dikkat noktaları: (a) verinin yurt içinde mi yurt dışında mı barındırıldığı — yurt dışına aktarım Md.9 kapsamında ek şartlara tabidir; (b) sağlayıcıyla yapılan veri işleme sözleşmesinde güvenlik, erişim ve imha taahhütlerinin yer alması; (c) kiracı (tenant) izolasyonu ve şifreleme. Yurt içinde barındırılan, KVKK uyumlu sözleşmeye bağlı bir bulut hizmeti, çoğu KOBİ için on-prem'den daha yüksek bir güvenlik temeli sunabilir çünkü güncelleme ve yedekleme süreklidir.

Yerinde kurulumda veri işletmenin kendi sunucusunda durur; bu, veri üzerinde tam fiziksel kontrol ve verinin hiç dışarı çıkmaması isteyen kurumlar (kamu, savunma, bazı sağlık kuruluşları) için tercih edilir. Ancak on-prem 'otomatik olarak daha güvenli' değildir: işveren güncelleme, yama, yedekleme, fiziksel erişim güvenliği, şifreleme ve erişim loglarının tamamını kendi sağlamak zorundadır. Güncellenmeyen bir yerinde sunucu, sürekli bakım gören bir buluttan daha riskli olabilir. On-prem seçildiğinde KVKK Md.12 tedbirlerinin (yetki yönetimi, log, şifreli yedek, fiziksel güvenlik) eksiksiz kurulması ve düzenli denetlenmesi gerekir.

Model ne olursa olsun KVKK Madde 12 veri sorumlusuna teknik ve idari tedbirleri alma yükümlülüğü getirir: verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak. Pratikte bu şu kontrollere dönüşür: (a) şifreleme — veri hem aktarımda (TLS) hem depoda şifreli tutulur; (b) erişim logu — kim, ne zaman, hangi kaydı görüntüledi/değiştirdi izlenir ve saklanır; (c) yetki yönetimi — rol bazlı erişim, en az ayrıcalık ilkesi; (d) ihlal müdahale planı — KVKK Kurul'un belirlediği süre içinde bildirim. Erişim logu özellikle önemlidir: hem KVKK denetiminde hem iş uyuşmazlığında 'veriye kimin eriştiği' sorusunun cevabıdır ve audit trail mantığıyla örtüşür.

KVKK Madde 4 işlenen verinin 'işlendikleri amaçla bağlantılı, sınırlı ve ölçülü' olmasını ister — bu veri minimizasyonudur: PDKS yalnızca amaç için gerekli veriyi toplamalı, gereksiz biyometrik veya konum verisi biriktirmemelidir. Madde 7 ise saklama-imhayı düzenler: işlenmesini gerektiren sebepler ortadan kalktığında veri resen veya ilgili kişinin talebiyle silinir, yok edilir veya anonim hale getirilir. İşveren, Kişisel Veri Saklama ve İmha Politikası hazırlar; bu politikada her veri kategorisi için saklama süresi (iş/SGK mevzuatı zamanaşımına göre, genelde 5-10 yıl) ve süre dolunca uygulanacak imha yöntemi tanımlanır. Periyodik imha (örneğin 6 ayda bir) ile süresi dolan kayıtlar otomatik silinmelidir. Mobil/geofence verisinin minimizasyonu için mobil PDKS ve geofence yazımız ek perspektif verir.

PDKSjet bulut (KVKK uyumlu, yurt içi barındırma) ve isteğe bağlı yerinde kurulum seçeneklerini, KVKK tedbirleri yerleşik olacak şekilde sunar: (a) veri aktarımda ve depoda şifrelenir; (b) tüm erişim ve düzeltmeler audit trail ile loglanır — kim, ne zaman, neyi, neden değiştirdi; (c) rol bazlı erişim ve en az ayrıcalık ilkesiyle İK/yönetici/çalışan görünürlüğü ayrılır, çalışan yalnızca kendi kaydını görür; (d) saklama-imha politikası modülü her veri kategorisine süre atar ve süresi dolan kayıtlar için periyodik otomatik imha çalıştırır; (e) veri minimizasyonu varsayılan — biyometrik zorunlu değildir, kart/NFC/mobil/PIN gibi alternatif giriş yöntemleri sunulur, böylece gereksiz hassas veri toplanmaz; (f) aydınlatma ve açık rıza akışları, ilgili kişi başvuru (silme/erişim) süreçleri panelde yönetilir. Amaç, 'bulut mu yerinde mi' tercihinden bağımsız olarak veri sorumlusunun KVKK yükümlülüklerini standart olarak karşılamaktır.