Normesta
Giriş YapDenemeye Başla
Temeller ve LiderlikAşama: Kur

İşleme faaliyeti envanterini amaç ekseninde kurmak

Kişisel veri işleme envanterini uygulama başına değil amaç başına kurma ve aynı envanterden hem iç yönetim hem VERBIS bildirimini besleme yöntemi.

Ne zaman kullanılır?

VERBIS bildirimi yapılmış ama iç envanter yok; ya da envanter uygulama listesine dönüşmüş ve saklama süreleri boş kalmış.

Nasıl yapılır

  1. 1Satır birimini amaç olarak seç: aynı verinin işe alım değerlendirmesi ile bordro hesabı iki ayrı satırdır. Uygulama adıyla satır açarsan aynı amaç altı parçaya bölünür ve dayanak analizi yapılamaz.
  2. 2Her satırda altı kolonu boş bırakmadan doldur: veri kategorileri, ilgili kişi grubu, işleme amacı, alıcı grupları, saklama süresi, aktarım durumu. Boş kolon envanterin değil analizin eksikliğidir.
  3. 3Saklama süresini sayı ve dayanağıyla yaz (örn. 10 yıl, ticari defterler için; 2 yıl, aday havuzu için kurum kararı). Mevzuat süresi kadar ifadesi kimseye bir tarih vermez.
  4. 4Özel nitelikli verileri ayrı bir işaretle göster (sağlık raporu, adli sicil, biyometrik giriş kaydı) çünkü bunların dayanağı ve güvenlik tedbiri farklı yürür.
  5. 5VERBIS bildirimini bu envanterden üret, ayrı bir tabloda tutma. İki defter tuttuğun anda tetkikte hangisinin doğru olduğunu savunamazsın.

Tetkikçi ne sorar

  • Şu faaliyetin saklama süresi kaç yıl ve süre dolduğunda silme işini kim tetikliyor?
  • VERBIS kaydınızla bu envanteri yan yana karşılaştırabilir miyiz?
  • İnsan kaynakları dosyalarında hangi veriler özel nitelikli olarak işaretlendi, kim işaretledi?

Sahada sık yapılan hatalar

  • Envanter uygulama başına yazılmış; işe alım verisi üç sistemde üç satır olmuş, amaç ve dayanak hiçbirinde net değil.
  • VERBIS'e girilen bilgi ile iç envanter farklı; tetkikte iki defter ortaya çıkıyor ve güncel olan belirsiz kalıyor.
  • Saklama süresi kolonuna yasal süre kadar yazılmış; süre dolduğunda silmeyi tetikleyen kimse ve hiçbir görev yok.
  • Özlük dosyasındaki sağlık ve adli sicil verileri normal veri gibi işlenmiş, özel nitelikli işareti hiç konmamış.

İlgili maddeler

ISO/IEC 27701 · A.1.2.9ISO/IEC 27701 · A.1.2.2ISO/IEC 27701 · A.2.2.7ISO/IEC 27001 · A.5.34

Yalnız madde numaralarına atıf yapılır; standart metni yayımlanmaz. Bu maddelerin yürürlükteki baskısını kendi standart nüshanızdan doğrulayın.

İlgili kartlar

Her işleme amacı için hukuki dayanağı seçmek

İşleme envanterindeki her amaç satırına ayrı hukuki dayanak atama ve rızayı son seçenek olarak konumlandırma yöntemi.

Yurt dışı aktarımı bulmak ve dayanağını belgelemek

Gizli kalmış yurt dışı aktarımlarını verinin fiziken nerede durduğu ve kimin eriştiği sorularıyla ortaya çıkarma, her aktarıma KVKK m.9 dayanağı bağlama yöntemi.

VERBİS kayıt yükümlülüğünü karara bağlamak ve sicili envanterden beslemek

Veri Sorumluları Sicili karşısındaki durumu bir iddia değil gerekçeli bir karar hâline getirme ve sicile beyan edilen bilgiyi işleme envanteriyle tek kaynaktan besleme yöntemi.

Bu kartı referans alan kartlar

Kayıtların saklama, erişim ve imha düzenini kurmak

Hangi kaydın ne kadar saklanacağını, kimin erişebileceğini ve süresi dolduğunda ne olacağını tek bir düzende karara bağlama yöntemi.

Bilgi varlığı envanterini süreçten türetmek

Envanteri demirbaş listesinden değil, işin işlediği bilgiden başlatarak kurma yöntemi. Her bilgi kümesine taşıyıcı varlıklar ve iki katmanlı sahiplik bağlanır.

İlgili kişi başvurusunu otuz gün içinde kapatmak

Başvuruyu hangi kanaldan gelirse gelsin tek kayda düşürme, süreyi doğru günden başlatma ve aramanın hangi sistemlerde yapıldığını kanıtlama yöntemi.

Veri ihlalinde yetmiş iki saatlik akışı yürütmek

Kişisel veri ihlalinde öğrenme anını kayda geçirme, bildirim kararını gerekçesiyle üretme ve ekibi mesai dışında da çalışacak şekilde kurma yöntemi.

Bu yöntemi Normesta'da yürütün

Akademide okuduğunuz metodun kaydını, kanıtını ve raporunu ürünün içinde tutarsınız; her kayıt dayandığı standart maddesine bağlanır.

Denemeye BaşlaPlanları görün

Akademi içeriği hakkında

  • Belge vermiyoruz. Normesta bir belgelendirme kuruluşu değildir ve ISO belgesi veya sertifikası düzenlemez. Uygunluk, kuruluşun gerçek uygulaması ve objektif kanıtlarıyla, yetkili belgelendirme kuruluşları tarafından değerlendirilir.
  • Standart metni yayımlamıyoruz. Standartların telifli metinleri kopyalanmaz; ürün madde numaralarına atıf yapar, içeriğini kendi anlatımıyla açıklar.
  • Eğitim içeriğidir. Akademi yazıları bilgilendirme ve eğitim amaçlıdır; danışmanlık ya da hukuki görüş değildir. Sattığımız edim, yazılımın belirli süreli kullanım hakkıdır.
  • Adlar sahiplerinindir. Metinlerde anılan marka, çerçeve ve model adları sahiplerine aittir; Normesta bu kuruluşlarla bağlantılı değildir.

Bu yazılar Normesta'nın ürün içi akademisinden yayımlanır; metinde geçen ekran, kayıt ve profil atıfları uygulamadaki karşılıklarını anlatır.