Rehber · Hukuki dayanak
Çalışan müşteri verisini ChatGPT'ye girdi: KVKK bakımından değerlendirme
Bu rehber, sık karşılaşılan tek bir olayı ele almaktadır: bir çalışanın, kurumsal onaydan geçmemiş kamuya açık bir üretken yapay zekâ aracına müşteri kişisel verisi içeren bir metni girmesi. Olay, 6698 sayılı Kanunun ilgili maddeleri sırasıyla incelenerek nitelendirilmekte, ihlal bildirimi yükümlülüğünün hangi metinden doğduğu tam olarak gösterilmekte ve ilk yetmiş iki saatte izlenecek karar sırası verilmektedir.
İçindekiler
- Olayın tanımı ve nitelendirilmesi
- Md.4: genel ilkeler ve ölçülülük
- Md.5 ve md.6: hukuki sebep ve özel nitelikli veri
- Md.9: yurt dışına aktarım
- Md.10: aydınlatma yükümlülüğü
- Md.11: ilgili kişinin hakları
- Md.12: veri güvenliği ve ihlal bildirimi
- İlk yetmiş iki saat: karar sırası
- Yaptırım yapısı
- Tekrarının önlenmesi
BÖLÜM 1Olayın tanımı ve nitelendirilmesi
Değerlendirmeye konu olay şudur: bir çalışan, müşteri adı, iletişim bilgisi ve talep içeriğini kapsayan bir yazışma metnini, cevap taslağı hazırlatmak amacıyla kamuya açık bir üretken yapay zekâ aracına yapıştırmıştır. Araç kurumsal olarak temin edilmemiş, kullanım için sözleşme yapılmamış ve çalışan kendi hesabıyla erişim sağlamıştır.
Bu olay, hukuken tek bir işlem değildir. En az üç ayrı işleme faaliyeti içerir: müşteri verisinin çalışan tarafından aracın arayüzüne aktarılması, verinin sağlayıcının sunucularında işlenmesi ve verinin sağlayıcının kendi amaçları doğrultusunda saklanması veya kullanılması. Her üç faaliyet de kuruluşun veri sorumlusu sıfatıyla hesap vermesi gereken faaliyetlerdir.
Kişisel Verileri Koruma Kurumu, üretken yapay zekâ ve kişisel verilerin korunmasına ilişkin rehberinde, Kanunun teknolojiden bağımsız olarak uygulandığını ve üretken yapay zekâ kullanımının Kanun bakımından ayrık bir rejime tabi olmadığını açıkça ortaya koymaktadır.[1] Dolayısıyla bu olayda uygulanacak kurallar, herhangi bir üçüncü taraf hizmete veri aktarımında uygulanacak kurallarla aynıdır. Farklılık kuralda değil, kuralın uygulanmasını güçleştiren üç olgudadır: aktarımın bir sistem entegrasyonu değil, bir kopyala ve yapıştır işlemiyle gerçekleşmesi; işlemin arkasında kurumsal bir karar bulunmaması; ve verinin gittiği yerin geri alınamaz olabilmesi.
“Bu işlemi kuruluş yapmadı, çalışan kendi inisiyatifiyle yaptı” biçimindeki savunma, veri koruma hukuku bakımından sonuç doğurmaz. Veri sorumlusu sıfatı, kişisel verinin işlenme amaç ve vasıtalarını belirleyen taraf olmaktan doğar ve bir çalışanın tekil davranışıyla ortadan kalkmaz. Kaldı ki Kanun md.12(1) gerekli teknik ve idari tedbirlerin alınmasını, md.12(3) ise veri sorumlusunun kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmasını veya yaptırmasını zorunlu kılmaktadır.[2] Çalışanın böyle bir işlemi yapabilmiş olması, çoğu hâlde tam olarak bu iki yükümlülüğün yerine getirilmediğine dair bir göstergedir. Uygulamada bu savunma, savunulan hususu zayıflatmaktadır.
BÖLÜM 2Md.4: genel ilkeler ve ölçülülük
Hukuki sebep tartışmasından önce genel ilkelerin karşılanması gerekir. Md.4, kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesini, doğru ve güncel olmasını, belirli, açık ve meşru amaçlar için işlenmesini, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini gerektirir.[2]
İncelenen olayda ölçülülük ilkesi bakımından belirleyici soru şudur: cevap taslağının hazırlanabilmesi için müşterinin kimliğine ilişkin verilerin araca girilmesi gerekli midir? Çoğu senaryoda cevap olumsuzdur. Talebin içeriği, kimlik bilgileri çıkarılmış biçimde de araca aktarılabilir ve çıktı aynı kalitede olur. Bu tespit teorik bir nokta değildir; ölçülülük ilkesinin fiilen uygulanabilir olması, kuruluşun çalışanlara kimlik bilgisi çıkarma alışkanlığını kazandırmasına bağlıdır ve bu, tek başına en yüksek getirili kontrollerden biridir.
Saklama süresi ilkesi bakımından da özel bir güçlük bulunmaktadır. Kamuya açık tüketici sürümlerinde girdiler, kuruluşun saklama politikasından tamamen bağımsız bir süre boyunca hizmet sağlayıcısı tarafından tutulabilir. Kuruluşun kendi imha politikası, verinin bu ikinci nüshası bakımından uygulanamaz hâle gelir.
BÖLÜM 3Md.5 ve md.6: hukuki sebep ve özel nitelikli veri
Md.5, kişisel verinin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini, ancak sayılan hâllerden birinin varlığı hâlinde açık rıza aranmayacağını düzenler. İncelenen olayda müşteri, verisinin bir üretken yapay zekâ aracına girileceğine dair bir bilgilendirme almamıştır; dolayısıyla açık rızadan söz edilemez. Geriye, açık rıza dışındaki hukuki sebeplerden birinin bulunup bulunmadığı sorusu kalır.[2]
Uygulamada en çok başvurulan iki sebep, sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma ile veri sorumlusunun meşru menfaatidir. Birinci sebep bakımından dikkat edilmesi gereken nokta, “doğrudan doğruya ilgili olma” ölçütüdür: müşteri talebine cevap verilmesi sözleşmenin ifasıyla ilgilidir, ancak cevabın kamuya açık bir üretken yapay zekâ aracıyla hazırlanması sözleşmenin ifası için zorunlu değildir. İkinci sebep bakımından ise menfaat dengesi testinin yazılı olarak yapılmış olması gerekir. Testin sonradan üretilmesi mümkün değildir; denetim anında yoksa yoktur.
Girilen metin sağlık bilgisi, biyometrik veri, ceza mahkûmiyeti, sendika üyeliği, din veya felsefi inanç gibi bir unsur içeriyorsa değerlendirme md.6 kapsamına geçer ve belirgin biçimde daralır.[2] Bu kategorilerin çoğu için pratikte geriye kalan tek dayanak ilgili kişinin açık rızasıdır ve bu rıza olayda mevcut değildir. Şikâyet, sigorta hasar dosyası, iş kazası bildirimi ve insan kaynakları yazışmaları bu unsurları beklenenden çok daha sık içermektedir.
BÖLÜM 4Md.9: yurt dışına aktarım
Bu, olayın en keskin boyutudur. Kamuya açık üretken yapay zekâ hizmetlerinin büyük çoğunluğu, veriyi Türkiye dışındaki sunucularda işlemektedir. Verinin bu sunuculara ulaşmasıyla birlikte işlem, md.9 anlamında yurt dışına aktarım niteliği kazanır. Aktarımın bilinçli bir kurumsal karar sonucu değil, bir çalışanın tekil davranışıyla gerçekleşmiş olması, aktarımın hukuki niteliğini değiştirmez.[2]
Yurt Dışına Aktarım Yönetmeliği, aktarımın hangi yollarla yapılabileceğini sıralı bir yapı içinde belirlemektedir.[3] Bu yapı bir tercih listesi değildir; sıralıdır ve önceki basamağın bulunmaması hâlinde sonraki basamağa geçilir.
| Yol | Şartı | Bu olay bakımından değerlendirme |
|---|---|---|
| 1. Yeterlilik kararı | Aktarımın yapılacağı ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında Kurulca yeterlilik kararı verilmiş olması. | Bu yola dayanmak isteyen kuruluşun, hizmetin verinin fiilen işlendiği ülkeyi tespit etmesi ve o ülke hakkında yürürlükte bir yeterlilik kararı bulunup bulunmadığını Kurumun yayımlarından doğrulaması gerekir. Sağlayıcının bölge seçimi sunuyor olması, seçimin fiilen yapıldığı anlamına gelmez. |
| 2. Uygun güvenceler | Yeterlilik kararı yoksa; taraflarca uygun güvencelerden birinin sağlanması ve ilgili kişinin aktarım öncesinde hak ve etkili kanun yollarına erişim imkânına sahip olması. Yönetmelik bu başlık altında standart sözleşmeyi, bağlayıcı şirket kurallarını, taahhütnameyi ve kamu kurumları arasındaki anlaşmayı düzenlemektedir. | Rutin kurumsal kullanım için doğru yol budur. Ancak bu yol, kuruluş ile sağlayıcı arasında imzalanmış bir metin gerektirir; tüketici şartlarıyla açılmış bireysel bir hesapta böyle bir metin bulunmaz. |
| 3. Arızi hâller | Yeterlilik kararı bulunmaması ve uygun güvencelerden herhangi birinin sağlanamaması hâlinde, arızi olmak kaydıyla Kanun md.9(6)'da sayılan ve Yönetmelikte ayrıntılandırılan hâllerden birinin varlığı. | Tekil, süreklilik göstermeyen bir olay bakımından tartışılabilir. Düzenli kullanım bakımından uygulanamaz. |
Standart sözleşme ve beş iş günlük bildirim yükümlülüğü
Uygun güvenceler arasında uygulamada en sık kullanılan araç, Kurul tarafından ilan edilen standart sözleşmedir. Bu aracın gözden kaçan bir usul yükümlülüğü bulunmaktadır: standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilir.[3] Bu bildirim bir izin başvurusu değildir ve Kurumun onayı beklenmez; ancak yapılmaması başlı başına bir aykırılık oluşturur. Uygulamada en sık rastlanan hata, sözleşmenin usulüne uygun biçimde imzalanması ancak bildirimin yapılmamasıdır. Bu nedenle standart sözleşme kullanan her kuruluşun, imza tarihi ile bildirim tarihini birlikte gösteren bir takip kaydı tutması önerilmektedir.
Bağlayıcı şirket kuralları, aynı şirketler topluluğu bünyesindeki tüzel kişiler arasındaki aktarımlar için öngörülmüş bir araçtır ve Kurulun onayına tabidir. Onay süreci nedeniyle kısa vadeli bir çözüm olarak değerlendirilmemelidir; ancak topluluk içi aktarımın sürekli ve çok yönlü olduğu yapılarda tekil sözleşmelerin yönetim yükünü ortadan kaldırır. Kişisel Verileri Koruma Kurumunun yurt dışına aktarım rehberi, her iki aracın uygulamasını örneklerle açıklamaktadır.[4]
Arızi hâllerin sınırı
Arızi hâllere dayanmak, uygulamada en çok suistimal edilen yoldur. Yönetmeliğin bu istisnayı düzenleyen hükmü, aktarımın arızi olması şartını açıkça aramaktadır. Arızi kelimesi, süreklilik göstermeyen, tekil ve tekrarlanmayan aktarımı ifade eder. Bir üretken yapay zekâ aracının günlük iş akışında düzenli olarak kullanılması, tanım gereği arızi olmaktan çıkar. Dolayısıyla arızi hâller, incelenen olayda gerçekleşmiş tekil bir aktarımın değerlendirilmesinde gündeme gelebilirse de, aynı aracın kullanılmaya devam edilmesi bakımından dayanak oluşturmaz.
Arızi hâllerden birine dayanmadan önce, yeterlilik kararının bulunmadığının ve uygun güvencelerden hiçbirinin sağlanamadığının tespit edilmiş olması gerekir. Bu tespitin yazılı olarak yapılması önerilmektedir; aksi hâlde arızi hâle dayanma kararının kendisi gerekçesiz kalır.
BÖLÜM 5Md.10: aydınlatma yükümlülüğü
Md.10, veri sorumlusunun kişisel verilerin elde edilmesi sırasında ilgili kişileri; veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile md.11'de sayılan diğer hakları konusunda bilgilendirmesini gerektirir.[2]
İncelenen olayda aydınlatma yükümlülüğü iki noktada karşılanmamış olur. Birincisi, aktarım alıcı grubu bakımından: müşteriye sunulan aydınlatma metni, verinin bir üretken yapay zekâ hizmet sağlayıcısına aktarılabileceğini içermemektedir. İkincisi, yurt dışına aktarım bakımından: metin, yurt dışına aktarım yapılabileceğini ve hangi dayanakla yapılacağını göstermemektedir.
Bu tespitin bir sonucu daha vardır. Aydınlatma metninin sonradan güncellenmesi, geçmişte gerçekleşmiş bir aktarımı hukuka uygun hâle getirmez. Metnin güncellenmesi ileriye yönelik bir düzeltmedir ve gerçekleşmiş olayın nitelendirmesini değiştirmez. Bununla birlikte, aynı aracın kurumsal olarak devreye alınması hâlinde metnin güncellenmesi zorunludur ve envanterin bulunmadığı bir yapıda bu güncellemenin doğru yapılması mümkün değildir.
BÖLÜM 6Md.11: ilgili kişinin hakları
Md.11, ilgili kişiye kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme haklarını tanımaktadır.[2]
Üretken yapay zekâ bağlamında iki hak özel bir güçlük yaratmaktadır. Birincisi, aktarılan üçüncü kişileri bilme hakkıdır: envanteri bulunmayan bir kuruluş, bu soruya doğru cevap veremez ve “bilmiyoruz” cevabı da başlı başına bir tespittir. İkincisi silme hakkıdır. Verinin sağlayıcının sistemlerinden silinmesi talep edilebilir; ancak veri model eğitiminde kullanılmışsa, silme işleminin model ağırlıklarına yansıyıp yansımayacağı ayrı bir sorundur. Bu hususta kesin bir teknik çözümün bulunduğu söylenemez ve mevzuatta bu ihtimale özgü bir düzenleme bulunmamaktadır.
Bu belirsizlik, kuruluşun yapması gerekeni değiştirmez: silme talebi sağlayıcıya iletilmeli, sağlayıcıdan alınan cevap kayıt altına alınmalı ve ilgili kişiye teknik sınırlar açıkça bildirilmelidir. Belirsizliğin varlığı, talebin cevapsız bırakılmasını meşru kılmaz.
BÖLÜM 7Md.12: veri güvenliği ve ihlal bildirimi
Md.12(1), veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almasını zorunlu kılar. Md.12(3) ise veri sorumlusunun kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmasını veya yaptırmasını öngörür.[2]
Md.12(5), işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini düzenler. Kanun metninde sayısal bir süre yer almamaktadır.
Yetmiş iki saatlik azami süre Kanun metninden değil, Kanun md.12(5)'teki “en kısa sürede” ifadesini yorumlayan 24 Ocak 2019 tarihli ve 2019/10 sayılı Kişisel Verileri Koruma Kurulu kararından doğmaktadır. Karar, veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurula bildirimde bulunmasını öngörmektedir.[5] Bu ayrımın pratik önemi şudur: sürenin kaynağı bir Kurul kararı olduğundan, güncel metnin ve Kurumun yayımladığı bildirim formunun esas alınması gerekir. Süre, ihlalin gerçekleştiği tarihten değil, öğrenildiği tarihten itibaren işlemeye başlar.
İlgili kişiye yapılacak bildirimin içeriği ise ayrı bir kararla belirlenmiştir. 18 Eylül 2019 tarihli ve 2019/271 sayılı Kurul kararı, ilgili kişiye yapılacak bildirimde bulunması gereken asgari unsurları saymaktadır: ihlalin ne zaman gerçekleştiği, kişisel veri kategorileri bazında hangi verilerin etkilendiği, ihlalin olası sonuçları, olumsuz etkilerin azaltılması için alınan veya alınması önerilen tedbirler ve ilgili kişilerin konu hakkında bilgi alabileceği irtibat bilgileri.[6]
İncelenen olayın md.12(5) anlamında “kanuni olmayan yollarla başkaları tarafından elde edilme” sayılıp sayılmayacağı, olayın somut koşullarına göre değerlendirilmesi gereken bir husustur ve mevzuatta üretken yapay zekâ araçlarına veri girilmesi hâline özgü bir düzenleme bulunmamaktadır. Değerlendirmede belirleyici olan unsurlar; verinin sağlayıcı tarafından kendi amaçları için kullanılıp kullanılamayacağı, girdinin model eğitiminde kullanılıp kullanılmadığı, hesabın başka kişilerce erişilebilir olup olmadığı ve verinin başka kullanıcılara görünür hâle gelme ihtimalidir. Nitelendirmenin şüpheli kaldığı hâllerde, bildirim yapılmaması yönünde karar verilmeden önce hukuki görüş alınması önerilmektedir.
BÖLÜM 8İlk yetmiş iki saat: karar sırası
Olayın öğrenilmesinden itibaren izlenecek sıra aşağıdadır. Sıranın önemi, sonraki adımların önceki adımların çıktısına dayanmasıdır; özellikle bildirim kararı, kapsam tespiti tamamlanmadan verilemez.
- Öğrenme anını kaydediniz. Tarih ve saat, kimin öğrendiği ve nasıl öğrenildiği yazılı olarak kayda geçirilmelidir. Yetmiş iki saatlik süre bu andan itibaren işler ve sürenin başlangıcının sonradan ispatı ancak bu kayıtla mümkündür.
- Erişimi kesiniz ve delili koruyunuz. İlgili hesabın kullanımı durdurulmalı, ancak hesap veya sohbet geçmişi silinmemelidir. Silme işlemi kapsam tespitini imkânsız hâle getirir ve sonradan aleyhe yorumlanabilir.
- Kapsamı tespit ediniz. Hangi kişisel verilerin, kaç ilgili kişiye ait olarak, hangi tarih aralığında ve kaç kez girildiği belirlenmelidir. Tespit; çalışan beyanı, hesabın sohbet geçmişi ve ağ kayıtlarının birlikte incelenmesiyle yapılır.
- Özel nitelikli veri bulunup bulunmadığını belirleyiniz. Bu tespit, hem hukuki sebep değerlendirmesini hem de olası sonuçların ağırlığını doğrudan etkiler.
- Aktarımın gerçekleşip gerçekleşmediğini ve dayanağını değerlendiriniz. Hizmetin işleme yeri belirlenmeli ve md.9 kapsamında bir dayanağın bulunup bulunmadığı tespit edilmelidir.
- Sağlayıcıdan silme talep ediniz ve cevabı kayıt altına alınız. Talebin içeriği, tarihi ve alınan cevap dosyaya konulmalıdır. Cevabın olumsuz olması hâlinde bu durum da bir bulgudur.
- Bildirim yükümlülüğü doğup doğmadığına karar veriniz. Karar, gerekçesiyle birlikte yazılı hâle getirilmelidir. Bildirim yapılmaması yönündeki karar da yazılı gerekçe gerektirir; gerekçesiz bir karar denetimde savunulamaz.
- Bildirim yapılacaksa Kurula bildiriniz. Bildirim, Kurumun yayımladığı veri ihlali bildirim formu üzerinden ve öğrenmeden itibaren en geç yetmiş iki saat içinde yapılır. Bu süre içinde tüm bilgiler toplanamamışsa, eldeki bilgilerle bildirimde bulunulup eksikler sonradan tamamlanır; sürenin kaçırılmaması önceliklidir.[5]
- İlgili kişilere bildiriniz. Bildirim, 2019/271 sayılı kararda sayılan asgari unsurları içerecek biçimde hazırlanmalıdır.[6]
- Aynı aracın kullanımına ilişkin geçici bir karar veriniz. Kararın, aynı iş ihtiyacını karşılayan bir alternatifle birlikte duyurulması önerilmektedir.
- Kök nedeni tespit ediniz ve kalıcı kontrolü planlayınız. Olayın münferit mi olduğu yoksa yaygın bir uygulamanın görünen kısmı mı olduğu, ancak envanter çıkarılarak anlaşılabilir.
Olayın yaygınlığını ölçmek
Tekil bir olayın münferit olup olmadığı, yalnızca ağ kayıtlarının, abonelik giderlerinin ve çalışan beyanlarının birlikte incelenmesiyle anlaşılabilir. Yöntemin ayrıntısı ayrı bir rehberde yer almaktadır.
BÖLÜM 9Yaptırım yapısı
Kanun md.18, kabahatleri ve bunlara uygulanacak idari para cezalarını düzenlemektedir. Bu rehberde tutar belirtilmemektedir; çünkü idari para cezası alt ve üst sınırları her yıl yeniden değerleme oranında artırılmaktadır ve güncel rakamların ilgili yılın resmî yayımlarından doğrulanması gerekir. Tutar yerine yapının bilinmesi, karar almak bakımından daha yararlıdır.
| Unsur | Açıklama |
|---|---|
| Kabahat türüne göre ayrışma | Aydınlatma yükümlülüğüne aykırılık, veri güvenliğine ilişkin yükümlülüklere aykırılık, Kurul kararlarının yerine getirilmemesi ve sicile kayıt ile bildirim yükümlülüğüne aykırılık ayrı kabahatler olarak düzenlenmiştir ve farklı bantlara tabidir. |
| Aynı olayda birden fazla kabahat | Tek bir olay, birden fazla kabahati aynı anda oluşturabilir. Bu olayda aydınlatma yükümlülüğü ile veri güvenliği yükümlülüğü bakımından ayrı ayrı değerlendirme yapılması mümkündür. |
| Alt ve üst sınır arasında takdir | Kurul, sınırlar arasında takdir yetkisini kullanır. Kabahatler Kanununun genel hükümleri uyarınca kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu dikkate alınır. |
| Yıllık yeniden değerleme | Tutarlar her yıl yeniden değerleme oranında güncellenir. Bu nedenle herhangi bir kaynakta görülen rakamın hangi yıla ait olduğu mutlaka kontrol edilmelidir. |
| Kamu kurumları bakımından farklı rejim | Kanun, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bakımından idari para cezası yerine disiplin hükümlerinin uygulanmasını öngörmektedir. |
| Diğer sorumluluk kaynakları | İdari para cezası tek yaptırım değildir. İlgili kişinin tazminat talebi, müşteri sözleşmesindeki gizlilik hükmüne aykırılıktan doğan sözleşmesel sorumluluk ve Kurul kararıyla verilebilecek işleme durdurma kararı ayrıca gündeme gelebilir. |
Bu sayfada idari para cezası tutarı verilmemektedir. Güncel alt ve üst sınırların, ilgili takvim yılı için Kişisel Verileri Koruma Kurumunun kendi yayımlarından doğrulanması gerekmektedir. İnternette yer alan rakamların önemli bir kısmı önceki yıllara aittir.
BÖLÜM 10Tekrarının önlenmesi
Olay sonrası alınan tedbirlerin yalnızca eğitim ve politika duyurusundan ibaret kalması, uygulamada en sık görülen ve en az sonuç veren yaklaşımdır. Politika, kontrolün yerine geçmez. Aşağıdaki sıralama, kalıcı etkisi ölçülebilen tedbirleri öncelik sırasına göre göstermektedir.
| Tedbir | Etkisi | İlgili yükümlülük |
|---|---|---|
| Onaylı ve kurumsal sözleşmeye bağlı bir alternatifin sağlanması | Kullanım ihtiyacını ortadan kaldırmadan, ihtiyacı denetlenebilir bir kanala taşır. Diğer tüm tedbirlerin etkisi buna bağlıdır. | md.9, md.12 |
| Kurumsal kimlik sağlayıcısı üzerinden zorunlu oturum açma | Kişisel hesap kullanımını engeller; işten ayrılışta erişimin kesilmesini mümkün kılar. | md.12 |
| Veri kaybı önleme kurallarının yapay zekâ istem alanlarını kapsayacak biçimde genişletilmesi | Kimlik numarası, kart numarası ve sağlık verisi kalıplarının araca yapıştırılmasını tespit eder veya engeller. Engelleyici moda geçmeden önce simülasyonda çalıştırılması önerilmektedir. | md.12 |
| Envanterin çıkarılması ve güncel tutulması | Aydınlatma metninin doğru yazılabilmesinin ve ilgili kişi taleplerine doğru cevap verilebilmesinin önkoşuludur. | md.10, md.11 |
| Aydınlatma metinlerinin alıcı grupları ve aktarım dayanağı bakımından güncellenmesi | İleriye yönelik uygunluk sağlar; geçmiş olayı düzeltmez. | md.10 |
| Kimlik bilgisi çıkarma alışkanlığının kazandırılması | Ölçülülük ilkesinin fiilen uygulanmasını sağlar ve girdideki kişisel veri hacmini belirgin biçimde azaltır. | md.4 |
| İhlal müdahale planına yapay zekâ senaryosunun eklenmesi | Yetmiş iki saatlik sürenin, senaryo ilk kez tartışılırken değil, hazırlanmış bir akışla yönetilmesini sağlar. | md.12(5) |
| Denetim kaydı saklama süresinin gözden geçirilmesi | Kapsam tespitinin yapılabilmesi, kayıtların olay tarihine kadar geriye gitmesine bağlıdır. | md.12(1), md.12(3) |
Son olarak bir hususun açıkça belirtilmesi gerekmektedir: bu sayfada yer alan değerlendirme genel niteliktedir ve hukuki mütalaa yerine geçmez. Somut bir olayın nitelendirilmesi, girilen verinin içeriğine, kullanılan hizmetin sözleşmesel şartlarına ve kuruluşun mevcut kontrollerine bağlıdır. Kişisel Verileri Koruma Kurumunun bu sayfada atıf yapılan rehberleri bağlayıcı değildir; bağlayıcı olan Kanun, Yönetmelik ve Kurul kararlarıdır.[1]
EKKaynaklar
Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.
- KVKK Üretken YZ Rehberi (15 Soruda) — Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda). Kişisel Verileri Koruma Kurumu, Yayın No. 113. Kaynak metin · PDF (Bağlayıcı değil)
- 6698 sayılı KVKK — Kişisel Verilerin Korunması Kanunu (Kanun No. 6698). Resmî Gazete, 7 Nisan 2016, sayı 29677. Kaynak metin (Bağlayıcı)
- Yurt Dışına Aktarım Yönetmeliği — Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik. Resmî Gazete, 10 Temmuz 2024, sayı 32598. Kaynak metin (Bağlayıcı)
- KVKK Yurt Dışına Aktarım Rehberi — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi. Kişisel Verileri Koruma Kurumu. Kaynak metin (Bağlayıcı değil)
- Kurul kararı 2019/10 — Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı. Kişisel Verileri Koruma Kurumu. Kaynak metin (Bağlayıcı)
- Kurul kararı 2019/271 — Veri sorumlusu tarafından ilgili kişiye yapılan veri ihlali bildiriminde yer alması gereken asgari unsurlara ilişkin 18.09.2019 tarih ve 2019/271 sayılı Karar. Kişisel Verileri Koruma Kurumu. Kaynak metin (Bağlayıcı)