Vize Ofislerinde KVKK Uyumlu Veri Yönetimi
Vize danışmanlık ofislerinde KVKK uyumu: aydınlatma, açık rıza, saklama süreleri, veri güvenliği ve ihlal bildirimi.
Vize danışmanlığı, doğası gereği yoğun kişisel veri işleyen bir faaliyettir: kimlik, pasaport, banka dökümü, aile bilgileri. Bu, ofisleri 6698 sayılı Kanun kapsamında doğrudan sorumlu kılar.
Ofisin hukuki konumu
Vize danışmanlık ofisi, müşterilerinin verileri bakımından veri sorumlusudur. İşleme amaç ve vasıtalarını kendisi belirler.
Kullanılan CRM yazılımının sağlayıcısı ise veri işleyendir; ofisin talimatıyla hareket eder. Bu ayrım, sorumluluğun kimde olduğunu belirler ve aralarında yazılı bir veri işleme sözleşmesi bulunmasını zorunlu kılar.
Asgari uyum adımları
- 1Veri envanteri: Hangi veriyi, hangi amaçla, ne kadar süre sakladığınızı yazılı hâle getirin.
- 2Aydınlatma metni: Müşteriden veri almadan önce aydınlatma yükümlülüğünü yerine getirin.
- 3Açık rıza: Yalnızca gerekli olduğu hâllerde (pazarlama gibi) ayrıca alın ve kaydedin.
- 4Saklama ve imha politikası: Süreleri belirleyin ve periyodik imha uygulayın.
- 5Teknik tedbirler: Şifreleme, yetkilendirme, log tutma ve yedekleme.
- 6İdari tedbirler: Çalışan gizlilik taahhütnameleri ve düzenli eğitim.
- 7VERBİS kaydı: Yükümlülük kapsamındaysanız kaydınızı yapın ve güncel tutun.
Açık rıza her şeyin çözümü değil
Sözleşmenin ifası için gereken veriler açık rızaya değil, Kanun'un 5/2-c bendine dayanır. Her işleme için açık rıza almaya çalışmak hem gereksizdir hem de rızanın geri alınması hâlinde hizmeti sürdürülemez kılar.
Vize ofisine özgü riskli noktalar
| Risk | Önlem |
|---|---|
| Kişisel telefonlarda müşteri belgesi birikmesi | Kurumsal kanal zorunluluğu ve cihaz politikası |
| WhatsApp'tan gelen kimlik fotoğrafları | Belgelerin sisteme aktarılıp cihazdan silinmesi |
| Ortak e-posta hesabı kullanımı | Kişiye özel hesap ve rol bazlı erişim |
| Süresiz saklanan eski dosyalar | Otomatik imha takvimi |
| Yetkisiz personelin tüm dosyaları görmesi | En az yetki ilkesi |
| Fiziksel evrakın açıkta bırakılması | Kilitli dolap ve temiz masa kuralı |
İhlal durumunda ne yapılmalı?
Veri ihlali, kötü niyetli saldırı kadar dikkatsizlikten de doğabilir: yanlış kişiye gönderilen bir e-posta da ihlaldir.
- 1İhlali tespit ettiğiniz anda kayıt altına alın.
- 2Etkilenen veri ve kişi sayısını belirleyin.
- 3Yayılmayı durduracak teknik önlemi alın.
- 4Kurul'a en kısa sürede ve 72 saat içinde bildirin.
- 5Etkilenen ilgili kişileri makul en kısa sürede bilgilendirin.
- 6Kök nedeni analiz edip tekrarını önleyecek önlemi uygulayın.
72 saat kuralı
Bildirim süresi, ihlalin öğrenildiği andan itibaren işler. Tüm ayrıntılar netleşmemiş olsa bile süre içinde bildirim yapılmalı, eksik bilgiler sonradan tamamlanmalıdır.
Sık sorulan sorular
Vize ofisi VERBİS'e kayıt olmak zorunda mı?
Kayıt yükümlülüğü çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi kriterlere bağlıdır. Özel nitelikli veri işleyen ofislerde yükümlülük daha geniş kapsamlıdır; durumun ofis bazında değerlendirilmesi gerekir.
CRM sağlayıcısıyla sözleşme yapmak şart mı?
Evet. Yazılım sağlayıcısı veri işleyen sıfatıyla hareket ettiği için, aranızda verinin nasıl işleneceğini ve güvenlik tedbirlerini düzenleyen yazılı bir sözleşme bulunması gerekir.