KVKK uyumluluğunu yayın haftasına bırakmayın
Kişisel veri kararları mimari kararlardır. Uyumluluğu tasarımın parçası yaptığınızda maliyeti düşer.
6698 sayılı Kişisel Verilerin Korunması Kanunu, çoğu ekipte projenin son haftasında gündeme gelir. Bu noktada uyumluluk, ürüne sonradan yapıştırılan bir metin katmanına dönüşür: bir aydınlatma metni yazılır, bir onay kutusu eklenir ve iş bitmiş sayılır.
Oysa kanunun asıl talep ettiği şey metin değil, karardır. Hangi veriyi topluyorsunuz, hangi hukuki sebebe dayanıyorsunuz, ne kadar süre saklıyorsunuz, kiminle paylaşıyorsunuz? Bu soruların cevabı doğrudan veri modelinizi ve mimarinizi belirler.
Tasarım aşamasında sorulacak sorular
- Bu alanı gerçekten toplamak zorunda mıyız? (veri minimizasyonu)
- Hangi hukuki sebeple işliyoruz — açık rıza mı, sözleşmenin ifası mı?
- Saklama süresi dolduğunda kayıt otomatik olarak siliniyor mu?
- Kullanıcı verisini dışa aktarma ve silme talebini nasıl karşılayacağız?
- Yurt dışına aktarım var mı, varsa hangi mekanizmayla?
Bu sorulara projenin başında cevap veren ekipler, veri saklama süresini bir sütun olarak veri tabanına yazar ve silme işini zamanlanmış bir göreve devreder. Sonunda cevap vermeye çalışan ekipler ise elle çalıştırılan betiklerle ilerler; bu da hem hataya hem denetim riskine açıktır.
