Etiket arşivi: kvkk

Makale & Analiz

BDDK’nın siber güvenlik ve yeni teknolojilere karşı yeni duruşu

Yorum yapın

Bankacılık Düzenleme ve Denetleme Kurulu (BDDK) 25 Aralık 2018’de resmi sitesinde Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik Taslağı (“Taslak Yönetmelik”) yayınladı.

İlgili yönetmelikte ilgi çekici üç husus bulunuyordu; sırasıyla inceleyelim.

Öncelikle siber güvenlik konusu yıllardır odağımızda olmasına rağmen bu kez eğitimler zorunlu hale geldi; siber güvenlik ile ilgili firmaların bir temsilci atanması gerektiği düzenleme altına alındı. Bu da banka sektörünün siber güvenlik anlamında yatırımlarına bir kalem daha eklemesi olarak yorumlandı.

Ancak pratiğe bakıldığında bankalar bunu zaten yapıyordu; yalnızca artık iş sağlığı ve güvenliği ya da kişisel verilerin korunması gibi belirli periyotlarda çalışanlara uyarıcı ya da bilgilendirici mailler de iletilmesi gerekecek. Tabi bunu yapanlar da mevcuttu.

Tüm bunlara ek olarak siber güvenliği desteklemek adına bankaların sızma testi gerçekleştirmesi; bir takım teknik tedbirleri özellikle kriptoloji anlamında alması da hüküm altına alınmış oldu. Sevindirici olan ilgili Taslak Yönetmelik bilfiil Kişisel Verilerin Korunması Korunması Kanunu (KVKK) ve ikincil mevzuatı BDDK’nın ne kadar desteklediğini gösterir şekilde kaleme alınmış olması.

İkinci mühim konu ise açık bankacılık. Herkesin bildiği ve bu aralar sıklıkla duyduğu açık bankacılık Taslak Yönetmelikte de tanımlandığı üzere “müşterilerin ya da müşteriler adına hareket eden tarafların API, web servis, FTP gibi yöntemlerle bankanın sunduğu bir takım finansal servislere uzaktan erişerek bankacılık işlemlerini gerçekleştirebildikleri veya gerçekleştirilmesi için bankaya talimat verebildikleri elektronik dağıtım kanallarını” ifade etmektedir.

Biraz bu sistemi inceleyecek olursak başta İngiltere olmak üzere pek çok ülke tarafından gerek efor azaltması ve gelir sağlanmasına destek olması gerek ise şeffaf bir şekilde işlemesi sebebi ile desteklenmektedir. Hatta Avrupa’da bu sayede yalnızca dijital şekilde faaliyet gösteren banka örnekleri bile mevcuttur.

Avrupa Birliği’nin ikinci nesil diye addedilen ödeme sistemleri düzenlemesini getirmesi ile ( Payment System Directive Two “PSD2”) 2000 yıllardan beni değişim içerisinde olan bankacılıkta dijitalleşme en üst seviyeye taşınmış oldu. PSD2’ya göre de açık bankacılık ekosistemi veri paylaşımı temelli olması gerekçesi ile müşterinin açık rızasını aramaktadır.

VERİ PAYLAŞIMI ANCAK MÜŞTERİ RIZASI İLE MÜMKÜN

Taslak yönetmelik incelendiğinde de aynı ön şart göze çarpmaktadır. Yine KVKK ile paralel kaleme alınmış maddelerden biri olarak açık bankacılık faaliyetleri için veri paylaşımının söz konusu olacağı noktada müşterinin açık rızası mevcut değil ise bu paylaşımın yapılamayacağı düzenlenmiştir; hatta açık rızanın müşteriye sunulacak hizmetlere ön şart olarak düzenlenemeyeceğinin ilgili Taslak Yönetmenlik ile altı çizilmiştir.

Tüm bunların yanı sıra, bankaların API’ler vasıtası ile müşterilere açık bankacılık hizmeti sunabilecek olmasına dair bir düzenleme getirilmiş oldu. Bu husus Fintech şirketleri için 2019 hediyesi mahiyetindedir. Ancak önemle hatırlatmak isterim ki Taslak Yönetmelik Resmi Gazete ’de henüz yayınlanmadığı için yürürlükte bulunmamaktadır.

BULUT BİLİŞİMİN ÖNÜ AÇILDI

Üçüncü mühim konu Taslak Yönetmelik ile banka sektörünün de belirli şartlar çerçevesinde bulut bilişim sistemi kullanmasının önün açılmış olmasıdır. Bir başka deyişle ilgili Taslak Yönetmelik ile bir güzel haber de bulut bilişim hizmeti sunan şirketlere geldi.

Bankalar bir dış hizmet olarak bulut bilişim hizmetlerinden ancak birincil veya ikincil sistemler kapsamına giren bir hizmetin bulut bilişim yöntemiyle alınması, bu dış hizmetin sadece bankalara hizmet vermek üzere tesis edilmiş ve bankaların tabi olduğu mevzuat hükümlerine uygun olan ülke sınırları içerisinde yer alan bulut hizmet modelleriyle alması halinde yararlanabilecektir.

Ancak ana bankacılık uygulaması, kredi ve kredi kartı uygulamaları ile ödeme hizmeti gibi faaliyet konularında topluluk bulutu hizmet modeliyle dış hizmet alınabilmesini Bankacılık Kanunu müşteri sırrı prensibi gerekçesi ile BDDK iznine tabi olacaktır.

Bu iznin kişisel veri transferi içermesi gerekçesi Kişisel Verilerin Korunması Kurulu (“Kurul”) tarafından da değerlendirilmesi gerektiği düşüncesindeyim; ancak BDDK bunun bir gereksinim olduğuna kanaat getiri ise bu noktada Kurul da veri setini inceleyerek amaç dışında veri aktarımı olup olmadığını tespit edebilir. Böylelikle ile veri küçültmesi yapılarak bankanın daha sınırlı bir veri desenini paylaşması, bir başka deyişle daha az risk alıyor olması da sağlanabilir.

TASLAK YÖNETMELİK: BANKALARIN DİJİTALLEŞMESİNDE GÜZEL BİR ADIM

Son olarak ise, Taslak Yönetmelik’e rağmen başta da söylemiş olduğum gibi bulut kullanımı için belirli bir çerçeve olması gerekçesi ile yurtdışı paylaşımları bir başka deyiş ile yurtdışı bulut kullanımı yolunun açık olduğunu söylemek mümkün olmayacaktır. Bankacılık Kanunu müşteri sırrı, Taslak Yönetmelikte de yer alan hassas veri kategorisi ile veri mahremiyeti düzenlemeleri ve KVKK nedeni ile yurt dışı aktarımı hususunda KVKK’da düzenlenmiş olan herhangi bir yasal dayanak mevcut değil ise  açık rıza aranacaktır.

Ek olarak, müşterinin açık rızası alınmış olsa dahi müşteri bilgilerinin yurt dışıyla paylaşılması veya yurt dışına aktarılması hususunda BDDK izni ön şart olarak düzenlenmektedir. Bunu ikili bir koruma olarak yorumlamak mümkündür; zira KVKK izni olsa dahi ki çoğu zaman bu izinler doğru kaleme alınmadığı için aktarılan veri seti ile karşılaştırıldığında örtüşmeyen açıkta kalan hususlar mevcut olabiliyor. BDDK’nın tekrar denetliyor olması müşterilerin veri sağlığı bakımından önem arz edecektir. Yurt dışında kurulu bankalar ise ödeme veya mesajlaşma sistemleri ile etkileşimin gerekli olduğu bankacılık işlemleri için BDDK izni aranmaksızın KVKK şartlarını sağlaması halinde paylaşım gerçekleştirebileceklerdir.

İlgili Taslak Yönetmelik’in bankaların dijitalleşmesi adına güzel bir adım olduğunu söylemek mümkün olup ilgili dijitalleşme adımlarının MASAK tarafında da atılması beklenmektedir.

Türkiye

“Vatandaşlar işlenen verisini, VERBİS üzerinden görecek”

Yorum yapın
Faruk Bilir

Kişisel Verileri Koruma Kurumu (KVKK) Başkanı Prof. Dr. Faruk Bilir, kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce kısa adı “VERBİS” olan Veri Sorumluları Sicil Bilgi Sistemi’ne kaydolmak zorunda olduğunu, uygulamanın yarından itibaren kademeli olarak hayata geçirileceğini bildirdi.

Bilir,  7 Nisan 2016’da yürürlüğe giren Kişisel Verilerin Korunması Kanunu ile kurulan kurumun, 12 Ocak 2017’den itibaren görevine başladığını anımsattı. Bilir, kişisel verilerin korunması ile ilgili olarak toplumdaki bilincin her geçen gün daha da arttığının gözlemlendiğini bildirdi.

Bilir, kurumun faaliyete başladığı tarihten itibaren de tüm sektörlerde kanuna uyuma ilişkin çalışmalara başlandığını anlattı. Kurumun tanıtımına yönelik programlar düzenlendiğini aktaran Bilir, bugüne kadar 12 ilde farkındalık toplantılarının düzenlendiğini, bu toplantıların 2019’da da süreceğini belirtti.

“Kamu kurumları da kayıt yaptıracak”

Kişisel verileri işleyen, aralarında şirketlerin de bulunduğu gerçek ve tüzel kişilerle ilgili kanun hükmü gereğince oluşturulan Veri Sorumluları Sicil Bilgi Sistemi’nin (VERBİS) faaliyete geçirileceğini dile getiren Bilir, sistemle ilgili şu bilgileri verdi:

“Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce kısa adı VERBİS olan Veri Sorumluları Sicil Bilgi Sistemi’ne kaydolmak zorundadır. VERBİS’e kayıt için belli kriterler çerçevesinde veri sorumluları sınıflandırılmış ve kademeli bir kayıt başlangıç tarihi belirlenmiştir. Bu kapsamda VERBİS’e kayıt yükümlülüğünden istisna olmayanlar için yıllık çalışan sayısı ve mali bilanço toplamı, Kurulca belirlenmiş olan rakamın üstünde olan veri sorumluları ile yurt dışında yerleşik veri sorumluları 1 Ekim 2018, bu rakamların altında kalan veri sorumluları 1 Ocak 2019, kamu kurumları da 1 Nisan 2019 tarihinde VERBİS’e kayıt olmaya başlayacaktır.”

İLGİLİ HABER>> KVKK’ya uyum süreci hukuk şirketleri/BT işbirliğinden geçiyor

“VERBİS’te kesinlikle kişilere ait veriler olmayacak”

Sisteme veri sorumlularının kişisel verileri hangi kategorilerde işlediklerine, hangi amaçlarla bu bilgileri kullandıklarına, aktarım yapıp yapmadıklarına yönelik bilgilerin de girileceğini anlatan Bilir, verilerin hangi sürelerle saklandığına, veri güvenliğini sağlamak amacıyla ne tür tedbirlerin alındığına yönelik de bilgi girişinin yapılacağını kaydetti.

Sisteme girilecek bilgilerin kamuya açık olacağına değinen Bilir, aktarılacak bilgilerin kesinlikle gerçek kişilere ait bilgiler olmayacağına işaret etti.

Faruk Bilir, işlenen kişisel verilerle ilgili “kimlik”, “iletişim” gibi kategorilerde veri işlendiğine yönelik bilgilendirmelerin sisteme kaydedileceğini söyledi.

Bilir, sistemin bir denetim mekanizmasını da sağlayacağına dikkati çekerek, vatandaşların VERBİS üzerinden veri sorumlularının girdiği bilgileri denetleyebileceğini hatırlattı.

Vatandaşların, kişisel verilerin kanunda belirtilen şartlar dışında işlendiğini düşündüğünde VERBİS üzerinden sorgulama yaparak verileri işleyenlerin yaptığı işlemleri, hangi amaçlarla, hangi kategorilerde verileri işlediğini görebileceğini dile getiren Bilir, amaç dışında hareket edildiğinin tespiti halinde de kuruma şikâyet başvurusu yapılabileceğine değindi.

Kaynak: Anadolu Ajansı

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Lostar

Lostar: Kişisel Veri Güvenliği Rehberi tavsiye niteliğinde önemli bir doküman

Yorum yapın

Bilgi teknolojilerinin sosyal, ticari ve kurumsal her alanda artan önemi ve beraberinde getirdiği siber tehditler, ülkeleri kişi hak ve özgürlüklerini korumaya yönelik yasal düzenlemeler yapmaya zorluyor.

Türkiye’de bu alanda atılan en önemli yasal adımlardan biri yaklaşık iki yıl önce yürürlüğe giren Kişisel Verileri Koruma Kanunu (KVKK) olmuştu.

KVKK sonrası uyum sürecini kolaylaştırmak için geçtiğimiz aylarda Kişisel Verileri Koruma Kurumu tarafından “veri sorumlularının alması gereken teknik ve idari tedbirlere” ilişkin ‘Kişisel Veri Güvenliği Rehberi’ yayımlandı.

Rehberi ve beraberinde getirdiklerini Siber Bülten’e değerlendiren Lostar Bilgi Güvenliği’nin Kurucu Genel Müdürü Murat Lostar’a göre, kurul tarafından yayınlanan bu dokümanın ve ilgili maddelerinin en önemli özelliği yasal bir yaptırım gücünün olmaması.

“Bu rehber, bizim tavsiye niteliğinde diyebileceğimiz, herhangi bir yaptırımı olmayan, tek tek her satırı yapmak zorunda olmadığımız ama ‘acaba biz bu işi nasıl yaparız’ diye düşündüğümüzde bize yanıt veren dokümanlardan bir tanesi,” diyor Lostar.

KVKK’ya göre, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan veri sorumlusu, kişisel verilerin erişilemez ve tekrar kullanılamaz olması için gerekli her türlü “teknik ve idari” tedbirleri almakla yükümlüdür.

“Peki ama ‘kurum bu verilerin güvenliğini sağlarken neler yapabilir, nedir bu teknik ve idari adımlar?’ sorusunu cevabını bu dokümanda buluyoruz,” şeklinde konuşuyor Lostar.

CEO’ya göre, banka, sigorta şirketi ya da sağlık kuruluşlarının bilgi işlem altyapılarındaki kişisel verileri korumak için neler yapılabileceklerine ilişkin idari ve teknik adımlar bu rehber doküman sayesinde daha net olarak belirtiliyor.

“Aslında bu rehber, şirketlerin yüzde 99’unu çok güzel bir şekilde kapsıyor ve çok güzel yol gösteriyor. Kurumlar ne yapacağını anlamak için bu rehbere bakıyor olacak.”

 

-Mağduriyetleri giderebilecek bir rehber

Lostar’a göre Verileri Koruma Rehberi’nin şöyle bir yararı daha var.

“Biz güvenlik camiasında biliriz, yüzde yüz güvenlik olmaz diye. Mükemmel güvenli önlemleri altında bile saldırıya uğrayabilirsiniz. Bu durumda Kişisel Verileri Koruma Kurulu’nun sizlerin bu konuda bir kusurunuz olup olmadığını değerlendirme durumu söz konusu olacaktır,” diye belirtiyor Lostar ve ekliyor:

“Böyle bir mağduriyet durumunda, eğer siz bu rehber dâhilindeki maddeleri uygulamış olduğunuzu ve gerekli önlemleri aldığınız gösterebilirseniz, yaşamış olduğunuz veri çalınması olayının aslında sizin kusurunuzdan değil de karşı taraftan kaynakladığını ispatlama olasılığınız artıyor.”

Lostar’a göre raporda siber saldırılara karşı kişisel veri güvenliğini sağlamak için çalışan eğitiminin önemi de ciddi şekilde vurgulanıyor.

Rehberin dokümanın “Çalışanların Eğitilmesi ve Farkındalık Çalışmaları” adlı maddesinde, kişisel veri güvenliğini zedeleyecek saldırılar ile siber güvenliğe ilişkin, çalışanların sınırlı bilgileri olsa dahi ilk müdahaleyi yapmalarının, kişisel veri güvenliğinin sağlanması için hayati önem taşıdığı özellikle belirtiliyor.

 

-Siber güvenlik şirketleri için yeni rehberlik hizmeti

KVKK yayınlandığından beri kurumlar kanunla uyumlu hale gelebilmek için birçok çalışma yapıyor.

Lostar’a göre bu çalışma farklı yollardan geçerek mümkün ve bu yollardan bir tanesi içeride tutulan verileri daha güvenli hale getirmek.

“Bizim için bu doküman son derece değerli. Resmi bir kurum tarafından yayınlanmış olmasının da çok ciddi bir anlamı var,” diyor tecrübeli CEO.

Murat Lostar’a göre yayınlanan rehber, kurumların veri güvenliği ile ilgili yapmış oldukları çalışmaları inceleyip, idari ve teknik anlamda almaları gereken başka ne gibi veri güvenliği önlemleri olduğunu ve bunların nasıl gerçekleştirebileceklerini ayrıntılı ve düzgün bir raporla sunabilecekleri bir hizmet de başlattı: “Bu veri güvenliğini yeterince sağlıyor muyum sorusunun cevabını veren bir hizmet.”

Lostar’a göre bu hizmet kapsamında güvenlik şirketi, hizmet alan kurumun bilgi güvenliği ile ilgili almış olduğu farklı idari ve teknik önlemleri değerlendiriyor ve rehber doküman ile kıyaslıyor.

“Bu alınan önlemlerin bu rehber dokümanın hangi maddelerine nasıl uyduğunu ya da uymayan yerlerin neler olduğunu ortaya koyuyoruz.”

Ayrıca, bu değerlendirme sonucunda kurumun hangi maddelerle ilgili hiç çalışma yapmamış olduğu ortaya çıkıyor.

“Ve bu eksilerin tamamlanması için neler yapması gerektiğini bir rapor haline getirip, bir yol haritasıyla beraber müşterimize teslim ediyoruz,” diye ekliyor Lostar.

Lostar Bilgi Güvenliği’nin kurumlar için hazırlamış olduğu “Güvenlik Rehberi” yazısına aşağıdaki link üzerinden ulaşabilirsiniz:

https://lostar.com.tr/2017/08/sirketler-icin-guvenlik-rehberi.html

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Lostar, Şirket Haberleri

KVKK’ya uyum süreci hukuk şirketleri/BT işbirliğinden geçiyor

Yorum yapın

Uzun yıllardır devam eden bekleyişin ardından geçen yıl Mart ayında TBMM’de kabul edilen Kişisel Verileri Koruma Kanunu (KVKK), 7 Nisan 2016 tarihinde Resmi Gazete’de yayınlanarak, 6 ay sonra 7 Ekim 2016’da yürürlüğe girmişti.

Bununla beraber, 7 Nisan 2016 tarihinden önce işlenmiş olan kişisel verilerin KVKK’ya uyum süreci devam ediyor ve son tarih 7 Nisan 2018.

Avrupa Birliği ve Amerika gibi ülkelerde on yıllardır gündemde olan kanun, “kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek” olarak tanımlanıyor devlet tarafından.

LOSTAR BLOG >> Kişisel Verilerin Korunması ve Veri Küçültme (Data Minimisation)

Peki bir yılı aşkın süredir hayatımızda olan, sade vatandaştan şirketlere kadar herkesi ilgilendiren bu kanuna uyum süreci nasıl olmalı?

Kanun ve uyum süreciyle alakalı Siber Bülten’e özel bir röportaj veren Lostar’ın CEO’su Murat Lostar,  kanuna uyumun genellikle bu konuda çalışan hukuk firmalarıyla başladığını söylüyor.

İlgili haber>> Sisteminizi Abome’ye emanet edin gözünüz arkada kalmasın

“Türkiye’deki kişisel veri barındıran her bir özel ve tüzel şirketin bu kanuna uyumlu hale gelmesi gerekiyor,” diyen Lostar’a göre kanuna sağlıklı uyum süreci ise hukuk şirketleri ve BT şirketlerinin ortak danışmanlığından geçiyor.

“Hukuk firmaları, kurumları kanunun hukuksal gereksinimleri hakkında bilgilendiriyorlar. Fakat günümüzde verilerin çok büyük bir kısmının elektronik ortamda olduğunu düşünürsek, bu kanuna uyumun sadece hukuk firmasıyla olması mümkün değil. Mutlaka işin bir de BT konusunda hem kanuna hem bilgi teknolojilerine hakim bir kurum tarafından da destekleniyor olması gerekiyor,” diyor Lostar.

Hukuk şirketi/BT işbirliği uyum sürecini kolaylaştırıyor

Türkiye’nin önde gelen hukuk firmalarıyla ortak hareket ettiklerini söyleyen CEO Lostar, şirketin kanun çerçevesinde kurumların yapacağı teknik uyumlulukların anlaşılması ve bunu uygulayacak BT ekiplerine rehberlik hizmeti verdiğinin altını çiziyor.

İlgili haber >> Sektörün yetişmiş eleman ihtiyacını karşılayacak yeni bir eğitim programı

Yürürlüğe giren kanunun getirdiği birtakım yeni gereksinimleri hakkında bilgi veren Murat Lostar şirketin, kurumlara danışmanlığın yanı sıra kişisel verilerin kurumun içinde nerelerde olduğunun envanterinin çıkartılması gibi birtakım hizmetler de sağladığını söylüyor.

LOSTAR BLOG>> Flash Tabanlı Katı Hal Sürücülerinden Güvenli Veri Silme

“Biz de bu konuda yapmış olduğumuz birtakım Ar-Ge’lerde ‘Veri Avcısı’ dediğimiz bir yazılım sayesinde kurumun içindeki disklerde, dosyalarda e-postalarda, Word ve Excel dosyalarında hangi kişisel veriler bulunduğunu çıkartıp envanter oluşturulması konusunda yardımcı oluyoruz. Bunlar danışmanlığın yanı sıra yapılması gereken bir iş. Bu işlerle alakalı destekler de veriyoruz,” diye belirtiyor CEO Lostar.

Bütün kurumların er ya da geç kanuna uyum sürecinden geçmek zorunda kalacakları bir dönemde, bir kurumun KVK doğrultusunda bir hukuk bir de BT şirketiyle çalışması sürecin kolay, hızlı ve eksiksiz tamamlamasının en kolay yolu olarak gözüküyor. Uluslararası kurumlar uyum çalışmalarına büyük bir hızla devam ederken yerli birçok şirketin henüz adım atmamış olması dikkat çekici.

İlgili haber >> Türkiye’nin en geniş sızma testi ekibi: İşi otomasyona bırakmayız son sözü biz söyleriz

“Kanun gereği herhangi bir şekilde ister çalışan, ister ziyaretçi, ister müşteri olsun kişileri tanımlayabilecek verileri toplayan, işleyen, kaydeden, üzerinde bir çalışma yapan her kurumun bu kanuna uyumlu hale gelmesi gerekiyor.”

Lostar, kendi hukuk departmanları olan büyük ölçekli şirketlerin de kanunun BT ayağında desteğe ihtiyaçları olduğunu belirtiyor ve sürdürüyor:

“Şirketler hukuk konusunu halletseler de BT konusunda bir desteğe ihtiyaçları var. Hukuki uyum çalışmaları birkaç ay sürüyor ama BT çalışmaları çok daha uzun zaman alabiliyor. Bunun farkına baştan varmıyor olabiliyorlar ama sonrasında çok zorlanıyorlar. Başlangıç anından itibaren işin ehli bir BT kurumuyla çalışılması gerekiyor.”

Kanunun getirdikleri

Kanun kişisel verileri ikiye ayırıyor; normal kişisel veriler ve özel nitelikli kişisel veriler.

Normal kişisel veriler bir kişiyi tanımlayan ad, soyad, TC kimlik no, ayakkabı numarası, saç rengi gibi verilere deniliyor.

Bir de kanunun tanımladığı, tek tek saydığı daha hassas korunması gereken özel nitelikli veriler var. Kanun; sağlık verileri, kan grubu, hastalık verileri, dernek, vakıf, sendika ve siyasi parti üyelikleri, dini, mezhebi veya diğer inançları, kılık kıyafeti gibi bilgiler, kişisel ses, parmak izi gibi verilere özel nitelikli kişisel veriler diyor ve bunları daha sıkı koruyor.

Kişisel verilerin ve özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi kanunca yasak olmakla birlikte bu kurala, sadece kanunda belirtilen sınırlı haller dahilinde istisna getirilmiştir.

Konuyla ilgili kanunun çeşitli ceza maddeleri var. Kanun kapsamında kurum ve yöneticileri 1 ila 4 yıl arasında değişen hapis cezaları ile ihlal başına 1 milyon TL’ye kadar varabilen idari para cezaları gibi yaptırımlarla karşı karşıya kalabilirler.

Cezai yaptırımlar nedeniyle konunun farkında olan çok uluslu ve büyük kurumların kanuna uyumlu hale gelmek için çok çaba sarf ettiklerini söyleyen Lostar, kurumları uyarmayı da ihmal etmiyor:

“Son derece detaylı ve eksiksiz bir kişisel veriler envanteri çıkarmak gerek. Hangi kişisel veri bilgisayar sistemlerinde nerelerde duruyor , nerelere kopyalanıyor, nerelere gidiyor. Hangi kişisel veriler kimlerle paylaşılıyor. Bu bilgilerin çok detaylı bir şekilde envanterinin tutuluyor olması lazım,” diyor Lostar.

Tecrübeli CEO ayrıca bir kişisel verinin yurt içinde ya da yurt dışında bir başkasına gönderilmesi söz konusu ise bu kişisel verinin çok iyi bir şekilde korunarak gönderiliyor olması gerektiğini ya da kriptolanarak aktarılması gerektiğini söylüyor ve uyarıyor:

Verilerin aleni olarak, kamuya açık bir şekilde paylaşılması durumları -mesela korumalı olmayan, herkese açık Twitter, Instagram hesabında paylaşılan bilgiler- bu kanun kapsamının dışına çıkıyor. Bireylerin buna dikkat etmesi gerekiyor.