HUKUK
ii. Etik Hat Kontrol Hizmetinin Global Bir Hizmet Sağlayıcıdan Alınması
Birçok şirket etik hat operasyonlarını uluslararası üçüncü taraf hizmet sağlayıcılara devretmektedir. Bu modelde platform yurt dışında işletilmekte ve veriler genellikle yurt dışındaki sunucularda barındırılmaktadır. Outsource modelinin tercih edilme nedenleri arasında teknik altyapı uzmanlığı, 7 / 24 izleme kapasitesi, çok dilli destek ve ölçek ekonomileri yer almaktadır.
Outsource modelinde sorumluluk devredilip devredilmediği kritik bir sorudur. Hukuki yanıt açıktır: sorumluluk devredilmez. KVKK madde 12 ve Bankacılık Düzenleme ve Denetleme Kurumu( BDDK) Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Yönetmeliği( BDDK Yönetmeliği), veri sorumlusunun outsource aracılığıyla güvenlik yükümlülüklerini devre dışı bırakamayacağını açıkça ortaya koymaktadır. Türkiye ' deki sıkı veri egemenliği gereklilikleri, yerel denetim yükümlülükleri ve BDDK / Bilgi Teknolojileri ve İletişim Kurumu( BTK) düzenlemeleri göz önüne alındığında, outsource modelleri yüksek uyum riskleri barındırmakta; outsource, hukuki yaptırımdan kaçınma aracı olarak değil etkin güvenlik sağlamanın yöntemi olarak kurgulanmalıdır.
7545 Sayılı Kanun ' un 7. maddesi de bu ilkeyi teyit etmekte; bilişim sistemleri kullanan tüm kuruluşları siber güvenlik yükümlülüklerine tabi kılmaktadır. Madde 7 / 1-c uyarınca kamu kurumları ve kritik altyapılarda kullanılacak siber güvenlik ürün ve hizmetlerinin Başkanlık tarafından yetkilendirilmiş kaynaklardan tedarik edilmesi zorunludur. Madde 16 / 1 ise yetkili mercilerin talep ettiği bilgi ve donanımı vermeyenlere hapis ve adli para cezası öngörmekte; outsource edilen sistemlerde bu yükümlülüğün karşılanamaması halinde hem hizmet sağlayıcının hem de hizmeti devreden şirketin cezai sorumluluğu gündeme gelebilmektedir.
10 iii. Etik Hat Hizmeti’ nin Türkiye ' de Veri Saklayan Bir Hizmet Sağlayıcı’ dan Alınması veya Şirketin Süreci Türkiye’ de Kendi Yönetmesi
İdeal senaryo, etik hat sürecinin şirketin kendi bünyesinde, Türkiye ' de konuşlandırılmış altyapıyla yönetilmesidir. Bu model veri egemenliği gerekliliklerini en sağlıklı biçimde karşılar; KVKK madde 9 kapsamındaki yurt dışı aktarım kısıtlamalarını ortadan kaldırır ve 7545 Sayılı Kanun ' un 8. maddesi kapsamındaki denetim yetkisinin etkin kullandırılmasını kolaylaştırır. Ancak etik hat platformunun teknik güvenliğinin sağlanması, uzman personel istihdamı, 7 / 24 izleme ve düzenli güvenlik testleri şirketin kendi kaynaklarıyla karşılanması gereken yükümlülüklerdir; küçük ve orta ölçekli işletmeler için bu yük outsource seçeneğini daha cazip kılabilmektedir.
Şirketin kendi bünyesinde etik hat yönetmesinin mümkün olmadığı durumlarda, Türkiye ' de veri saklayan bir hizmet sağlayıcıya outsource ikinci en uygun seçenektir. Veriler yurt içinde kaldığından KVKK madde 9 kısıtlamaları uygulanmamakta; BDDK Yönetmeliği kapsamındaki yurt içi altyapı zorunluluğu doğrudan karşılanmaktadır. BTK açısından da yetkili personelin sistemlere erişim hakkı güvence altına alınmış olmaktadır.