HUKUK
Alınması Gereken Aksiyonlar
i. Etik Hattı Sistemi Globalden Yönetiliyorsa Alınması Elzem Aksiyonlar Etik hat sisteminin global merkezden yönetildiği yapılarda Türk hukuku kapsamında aşağıdaki aksiyonların alınması zorunludur:
Veri Lokalizasyonu Değerlendirmesi: KVKK madde 9 kapsamında, Türkiye kaynaklı kişisel verilerin yurt dışına aktarımının hukuki dayanağı( açık rıza, yeterlilik kararı veya standart sözleşme mekanizmaları) belirlenmelidir. Etik hat ihbarlarında toplanan kişisel veri niteliğindeki bilgiler bu değerlendirmeye dahildir.
Yerel Bildirim Kapasitesi: 7545 Sayılı Kanun ' un 7. maddesindeki " gecikmeksizin " bildirim yükümlülüğünün karşılanabilmesi için Türkiye ' de yerel düzeyde karar alma ve bildirim mekanizması oluşturulmalıdır. Global merkezden onay beklenmesinin bu yükümlülüğü ihlal edebileceği göz önünde bulundurulmalıdır.
Başkanlık Denetim Erişimi: 7545 Sayılı Kanun ' un 8. maddesi kapsamında Başkanlığın denetim ve mahallinde inceleme yetkisinin kullandırılabilmesi için, global yapıdan bağımsız olarak Türkiye ' deki yetkilinin gerekli erişim ve bilgi paylaşımını sağlayabilecek konumda olması temin edilmelidir.
Hub-and-Spoke Yapısı: Merkezi tehdit istihbaratı ve politika yönetimi yurt dışında yürütülebilirken, Türkiye kaynaklı log verilerinin ve uyarıların işlenmesi için yurt içinde yerel bir Güvenlik Operasyon Merkezi bağlantısı kurulması zorunlu hale gelmektedir.
14
Grup İçi Sorumluluk Netleştirmesi: Yerel yönetimin ihlal bildirimini grup şirketine bırakması hukuki açıdan yeterli değildir. Türk hukukunda bildirimi yapan, kurumsal zincir değil veri sorumlusu sıfatını taşıyan yerel tüzel kişiliktir.
Yapısal Onay Mekanizması: 7545 Sayılı Kanun’ un 18. maddesi kapsamında siber güvenlik alanında faaliyet gösteren şirketlerin birleşme, bölünme ve pay devri işlemleri Başkanlık onayına tabi kılınmıştır; Türkiye operasyonlarını yeniden yapılandıran global şirketlerin bu mekanizmayı hesaba katması gerekmektedir.
ii. Etik Hattı Sistemi Türkiye İçi Dışarıdan Temin Ediliyorsa Alınması Elzem Aksiyonlar Etik hat hizmetinin Türkiye ' de yerleşik bir hizmet sağlayıcıya outsource edildiği yapılarda aşağıdaki aksiyonlar alınmalıdır:
Sözleşmesel Güvenceler: Outsource sözleşmelerinde asgari olarak şu unsurlar yer almalıdır:
• Veri işleyenin kişisel veri niteliğindeki log verilerini veri sorumlusunun talimatı olmaksızın işleyemeyeceğine dair açık hüküm;
• 72 saatlik KVKK bildirim yükümlülüğüne uyum için hizmet sağlayıcının en geç 24 saat içinde veri sorumlusunu haberdar etme yükümlülüğü;
• 7545 Sayılı Kanun ' un bildirim yükümlülükleri, denetim yetkisi ve veri koruma hükümlerine uyum maddeleri;
• denetim hakkı ve en az yılda bir güvenlik testi yaptırma hakkı;
• alt yükleniciye devir yasağı veya önceden yazılı onay zorunluluğu;
• Türk hukukunun yetkili mahkeme olarak belirlenmesi.
Sözleşmenin sona ermesi halinde; geçmiş ihbar kayıtlarının, şifreleme anahtarlarının ve denetim loglarının veri sorumlusuna güvenli ve standart bir formatta devredilmesi prosedürü önceden yazılı kurala bağlanmalıdır. Hizmet sağlayıcının elindeki tüm kopyaların KVKK’ nın Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ' e uygun olarak geri döndürülemez biçimde imha edildiğine dair belgelenebilir bir taahhüt sözleşmeye eklenmelidir.