KVKK Uyumlu Doküman Yönetimi: Maskeleme ve Unutulma Hakkı

KVKK uyumlu doküman yönetimi üç şeye dayanır: hassas alanların otomatik maskelenmesi, silme taleplerini yöneten bir unutulma hakkı süreci ve erişimin izlenebilmesi için IP kaydı. Aşağıda bu üç parçanın pratikte nasıl çalıştığını ve nerede sık hata yapıldığını anlatıyoruz.

Bir sözleşme klasörü nasıl soruna dönüşür?

Orta ölçekli bir şirketin muhasebe birimi, tedarikçi sözleşmelerini ortak bir klasörde tutuyor. Dosyaların içinde kimlik numaraları, IBAN bilgileri ve imza sirküleri var. Klasöre onlarca kişi erişebiliyor.

Bir gün eski bir çalışan verilerinin silinmesini istiyor. Hangi dosyada adının geçtiğini kimse bilmiyor. Dosyalar e-postayla da dolaşmış. Sorun, verinin kendisinden çok onun dağınıklığıdır.

KVKK açısından risk de tam burada doğar. Kişisel veriye kimin, ne zaman, neden eriştiğini söyleyemiyorsanız uyumdan bahsetmek zorlaşır.

Uyumlu doküman yönetimi neyi kapsar?

Doküman yönetimi yalnızca dosyaları saklamak değildir. Dosyanın nerede durduğunu, kimin görebildiğini ve ne kadar süre tutulduğunu da belirler.

KVKK ve GDPR çerçevesinde üç unsur öne çıkar: hassas alanlarda maskeleme, unutulma hakkı protokolleri ve IP kayıt sistemi. Biri eksik kalırsa diğer ikisi tek başına yeterli olmaz.

Maskeleme gereksiz görünürlüğü azaltır. Unutulma süreci talep geldiğinde düzenli davranmanızı sağlar. IP kaydı ise sonradan olanı kanıtlamanıza yardım eder.

Kimlik numarası ve IBAN neden maskelenmeli?

Bir belgeyi açan herkesin tüm alanları görmesi gerekmez. Satış temsilcisi sözleşmenin tutarına bakar; kimlik numarasını görmesine gerek yoktur. Gerekmeyen görünürlük, gereksiz risktir.

Otomatik maskeleme, kimlik numarası ve IBAN gibi hassas alanları sistemin kendisi gizler. İnsan hatasına bırakılmaz. Yetkisi olan kişi ilgili alanı görür, diğerleri maskelenmiş hâlini görür.

En sık yapılan hata, maskelemeyi elle ve dosya dosya yapmaktır. Biri unuttuğunda açık kalan tek belge bile sorun yaratır.

Silme talebi geldiğinde ne yapılır?

Unutulma hakkı, kişinin verilerinin silinmesini ya da yok edilmesini isteyebilmesi demektir. Talebi karşılamak için önce verinin nerede durduğunu bilmeniz gerekir.

Bir protokol, talebi kimin alacağını, kimin onaylayacağını ve silmenin nasıl kayda geçeceğini önceden tanımlar. Böylece her talep tesadüfen değil, aynı adımlarla yürür.

Yasal saklama yükümlülükleri ayrı bir konudur. Hangi belgenin silinemeyeceği konusunda hukuk danışmanınıza ya da Kişisel Verileri Koruma Kurumu'nun yönlendirmelerine bakmanız doğru olur.

• Talebi tek bir kanaldan kabul edin ve kayda alın.
• Talep sahibini doğrulayın.
• Verinin bulunduğu belgeleri tespit edin.
• Saklama zorunluluğu olanları ayırın.
• Silme işlemini ve tarihini kayda geçirin.

IP kaydı denetimde size ne kazandırır?

Bir belgeye kimin eriştiğini sonradan sorgulamanız gerekebilir. IP kayıt sistemi, erişimlerin hangi adresten yapıldığını tutar. Olağandışı bir erişim olduğunda iz sürmek kolaylaşır.

Kayıt, suçlama aracı değil, şeffaflık aracıdır. Yanlış anlaşılmaları da çözer. Çalışan kendini savunabilir, siz de olayın akışını görebilirsiniz.

Kayıtların kendisi de kişisel veri sayılabileceğinden, ne kadar süre tutulacağını belirlemeniz ve çalışanları bilgilendirmeniz gerekir.

Elle yönetim ile sistemli yönetim arasındaki fark

Aşağıdaki tablo iki yaklaşımı temel başlıklarda karşılaştırır. Küçük bir ekipte elle yönetim bir süre idare eder. Belge sayısı arttıkça tutarlılık bozulur.

Doküman sisteminizi seçerken bakmanız gerekenler

Bir sistem seçerken özellik listesine değil, günlük işleyişe bakın. Maskeleme gerçekten otomatik mi? Silme talebi bir süreçle mi yürüyor? Erişim kaydı raporlanabiliyor mu?

Filezonia kalite ve doküman yönetimi çözümümüz bu üç alanı, yani hassas alanlarda otomatik maskelemeyi, unutulma hakkı protokollerini ve IP kayıt sistemini bir arada ele alır. Kendi ihtiyacınızla karşılaştırmak için bir bakış atabilirsiniz.

Hangi aracı seçerseniz seçin, uyum yalnızca yazılımla sağlanmaz. Kurum içi politikanız ve eğitim verdiğiniz ekip de aynı ölçüde belirleyicidir.

Bu hafta atacağınız üç adım

Önce hangi belgelerde kimlik numarası ve IBAN gibi alanların geçtiğini listeleyin. Bu envanter, her şeyin başlangıcıdır.

Sonra kimlerin bu alanları gerçekten görmesi gerektiğini belirleyin ve geri kalanı için maskelemeyi devreye alın. Silme talepleri için tek bir sorumlu atayın.

Son olarak erişim kayıtlarınızın tutulup tutulmadığını kontrol edin. Tutulmuyorsa en acil eksik budur. Hukuki ayrıntılar için uzman görüşü almayı da ihmal etmeyin.