Denetim Nedir?
Veri koruma denetimi, kuruluşun kişisel veri işleme faaliyetlerinin yürürlükteki veri koruma mevzuatına (KVKK, GDPR ve benzerleri) uygunluğunun değerlendirilmesidir. Siber güvenlik denetiminden farkı, odağın verinin korunmasından çok HUKUKA UYGUN İŞLENMESİ olmasıdır.
Neden Yapılır?
Amaç, idari para cezası ve itibar riski doğuran uyumsuzlukları tespit etmek ve veri sahiplerinin haklarının korunduğunu doğrulamaktır.
Kim Talep Eder?
- Yoğun kişisel veri işleyen kuruluşlar
- GDPR kapsamında AB'de faaliyet gösteren veya AB'ye hizmet veren şirketler
- Veri işleyen sıfatıyla hizmet veren teknoloji firmaları
- Müşterisinden veri koruma güvencesi istenen tedarikçiler
- ISO/IEC 27701 kuran kuruluşlar
Denetim Kriteri
Kriter, yürürlükteki veri koruma mevzuatı (KVKK, GDPR) ile varsa ISO/IEC 27701 gibi bir gizlilik yönetim sistemi standardıdır. Sektörel düzenlemeler ve müşteri sözleşmelerindeki veri işleme şartları da eklenir.
Denetim Kapsamı
- Kişisel veri envanteri ve işleme faaliyetleri kaydı
- İşleme faaliyetlerinin hukuki dayanağı
- Aydınlatma metinleri ve açık rıza yönetimi
- Veri sahibi haklarının kullanım süreçleri ve yanıt süreleri
- Veri minimizasyonu ve saklama süreleri
- İmha politikası ve gerçekleşen imha kayıtları
- Veri işleyen sözleşmeleri ve alt işleyici yönetimi
- Yurt dışına veri aktarımı ve dayanakları
- Veri koruma etki değerlendirmesi (DPIA) gereken işlemeler
- Teknik ve idari tedbirlerin yeterliliği
- Veri ihlali tespit, bildirim ve kayıt süreçleri
- Çalışan farkındalığı ve gizlilik taahhütleri
- İrtibat kişisi veya veri koruma görevlisi görevlendirmesi
İlgili Standartlar
- ISO/IEC 27701
- ISO/IEC 27001
- ISO/IEC 29134
- ISO 19011
Denetim Süreci
- 1Uygulanacak Kriterin SeçimiDenetim hangi standarda, şemaya veya mevzuata göre yapılacaksa belirlenir; konu bazlı denetimlerde kriter seçimi sonucun anlamını doğrudan belirler.
- 2Risk Değerlendirmesi ve KapsamKuruluşun faaliyeti ve bulunduğu coğrafyaya göre risk alanları belirlenir; denetim gün sayısı buna göre planlanır.
- 3Doküman ve Kayıt İncelemesiPolitika, prosedür, izin, ölçüm kayıtları ve önceki denetim sonuçları incelenir.
- 4Saha Denetimiİlgili alanlar gezilir; konuya özgü ölçüm, gözlem ve kayıt kontrolü yapılır.
- 5Çalışan GörüşmeleriKonu gerektiriyorsa çalışanlarla yönetimden bağımsız ve gizli görüşmeler yapılır; kayıtlarla beyanlar karşılaştırılır.
- 6Yasal Uyum DeğerlendirmesiYürürlükteki mevzuata uyum ayrıca kontrol edilir; yasal uygunsuzluk her şemada en ağır bulgu kategorisindedir.
- 7Bulguların RaporlanmasıBulgular önem derecesine göre sınıflandırılır ve rapor hâline getirilir.
- 8Düzeltici Faaliyet ve TakipDüzeltici faaliyet planı alınır; şemanın öngördüğü sürede kapatılması takip edilir.
Bulgular
Bulgular arasında en ağırları hukuki dayanağı bulunmayan işleme, süresi dolmuş verinin imha edilmemesi ve ihlal bildirim sürecinin bulunmamasıdır. Bunlar doğrudan idari yaptırım riski taşır.
Denetim Raporu
- Denetim kuruluşu, denetçi ve denetlenen taraf bilgileri
- Uygulanan standart, şema veya mevzuat
- Denetim tarihi, süresi ve kapsamı
- Doküman ve kayıt incelemesi bulguları
- Saha gözlemleri ve ölçüm sonuçları
- Çalışan görüşmesi bulguları (yapıldıysa)
- Yasal uyum değerlendirmesi
- Bulgular, önem dereceleri ve kanıtlar
- Düzeltici faaliyet planı ve süreler
Çıktının Sınırı
Veri koruma denetimi teknik ve süreçsel bir değerlendirmedir; hukuki görüş değildir. Mevzuatın yorumu ve bir işlemenin hukuka uygunluğu konusunda bağlayıcı değerlendirme yetkili denetim otoritesine aittir. Denetim raporu bir uyum belgesi veya otorite nezdinde koruma sağlayan bir belge değildir.
Akreditasyon
Denetimin akreditasyonu, denetimin türüne göre değişir. Yönetim sistemi belgelendirmesine dayanak olan üçüncü taraf denetimleri ISO/IEC 17021-1, ürün belgelendirmesine dayanak olanlar ISO/IEC 17065 kapsamında yürütülür ve bu kapsamlar akreditasyona tabidir. Birinci ve ikinci taraf denetimleri ile şema sahibinin kendi kurallarına bağlı denetimler (SMETA, amfori BSCI gibi) akredite belgelendirme kapsamında değildir; bunlar ISO 19011 kılavuzuna göre yürütülür ve rapor üretir. EUROLAB, ISO/IEC 17021-1 ve ISO/IEC 17065 kapsamlarında IAF çok taraflı tanınma anlaşmasına taraf akreditasyon kuruluşlarından alınmış uluslararası tanınan akreditasyona sahiptir; hangi denetimin akredite kapsamda sunulabildiği teklif aşamasında yazılı olarak teyit edilir.
Kapsam ve yetkilerİlgili Denetimler
Sık Sorulan Sorular
Denetimden geçmek KVKK uyumlu olduğumu kanıtlar mı?
Kanıtlamaz. Uyum, yetkili otoritenin değerlendirmesine tabidir. Denetim, uyum için gereken süreçlerin kurulduğunu ve işlediğini gösteren bir iç güvence sağlar; olası bir incelemede iyi niyet ve özen göstergesi olarak değerlendirilebilir.
ISO/IEC 27001 belgem varken veri koruma denetimi gerekir mi?
Gerekebilir. ISO/IEC 27001 bilgi güvenliğine odaklanır; verinin hukuka uygun işlenip işlenmediğine bakmaz. Aydınlatma, açık rıza, saklama süresi ve veri sahibi hakları 27001 kapsamında değildir. Gizlilik tarafı için ISO/IEC 27701 daha doğrudan bir çerçevedir.
Bu denetim sonucunda belge alır mıyım?
Denetimin hangi çerçevede yapıldığına bağlıdır. Akredite bir belgelendirme şeması kapsamında yürütülürse belgeye bağlanabilir; müşteri talebiyle veya iç değerlendirme amacıyla yapılan denetimlerin çıktısı ise rapordur.
Yasal uyum ayrıca kontrol ediliyor mu?
Evet ve her konu bazlı denetimde en ağır bulgu kategorisi yasal uygunsuzluktur. Yönetim sistemi ne kadar iyi kurulmuş olursa olsun, yürürlükteki mevzuata aykırılık tespit edilirse bu öncelikli olarak raporlanır.