Çalışanınızın önünde 80 MB'lık bir teklif dosyası var. E-posta sunucusu kabul etmiyor. Müşteri dosyayı bugün istiyor. Çalışan tarayıcıyı açıyor, dosyayı sürükleyip bırakıyor, çıkan bağlantıyı yapıştırıp gönderiyor. Toplam süre bir buçuk dakika.
O bir buçuk dakikada kurumunuz, veri sorumlusu sıfatıyla kişisel veri içeren bir belgeyi yurt dışına aktardı. Kimse buna karar vermedi, kimse onay vermedi, hiçbir yere kaydedilmedi. Ve bu, denetimde cevap veremeyeceğiniz bir soruya dönüşüyor.
Dosyayı çalışan yükledi, aktarımı kurum yaptı
Buradaki en yaygın yanılgı, olayı bir çalışan tercihi saymak. Değil. Veri sorumlusu kurumdur ve çalışanın iş amacıyla yaptığı aktarım kurumun aktarımıdır. Politika metninizde "kişisel bulut servisleri kullanılamaz" yazması da bunu değiştirmiyor, çünkü sorumluluk yasaklama beyanına değil fiili duruma bakıyor.
Sunucusu yurt dışında olan bir servise dosya yüklemek, KVKK açısından yurt dışına aktarımdır. Kural da Haziran 2024'te değişti.
Haziran 2024'ten beri kural ne diyor
7499 sayılı Kanun, KVKK'nın 9. maddesini baştan yazdı ve yeni hali 1 Haziran 2024'te yürürlüğe girdi. Artık üç basamaklı bir yapı var ve sırayla işliyor.
| Basamak | Ne gerekiyor |
|---|---|
| 1. Yeterlilik kararı | Kurul, aktarım yapılacak ülke için yeterlilik kararı vermiş olmalı |
| 2. Uygun güvenceler | Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izinli taahhütname |
| 3. Arızi haller | İlk ikisi yoksa yalnızca sayılı istisna |
Birinci basamak bugün için kapalı. Kurum kendi yurt dışına aktarım sayfasında yeterlilik kararı konusunda "Kurul tarafından henüz bir belirleme yapılmamıştır" diyor. Yani hiçbir ülke için yeterlilik kararı yok.
Geriye ikinci basamak kalıyor. Standart sözleşme kullanacaksanız, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirmek zorundasınız. Bu sözleşmeyi bir dosya transfer servisiyle imzalayıp Kuruma bildiren bir kurum tanımıyorum.
"Biz nadiren kullanıyoruz" savunması neden tutmuyor
Bu cümleyi çok duyuyoruz ve tam olarak burada iş ters dönüyor.
Üçüncü basamaktaki istisnalar yalnızca arızi aktarımlar için geçerli. Arızi aktarım seyrek, düzensiz ve süreklilik göstermeyen aktarım demek. Çalışanlarınız her hafta müşteriye dosya gönderiyorsa bu düzenli bir iş akışıdır, arızi değildir.
Yani bu savunma yalnızca doğru olduğu ölçüde işe yarıyor ve iş akışınızın parçası olduğu anda kendiliğinden çöküyor. Ne kadar çok kullanıyorsanız istisnaya sığınma ihtimaliniz o kadar azalıyor.
Denetimde sorulacak soru
Bir veri ihlali bildiriminde ya da bir denetimde soru şudur: bu belge kime, ne zaman ve hangi hukuki sebebe dayanılarak gönderildi?
Üçüncü taraf bir transfer servisi kullanıldığında bu sorunun cevabı kurumda yok. Bağlantı kaç kişiye iletildi bilmiyorsunuz. Kaç kez indirildi bilmiyorsunuz. Bağlantının hala açık olup olmadığını bilmiyorsunuz. Dosyanın o servisin sunucularında ne kadar durduğunu ve ne zaman silindiğini de bilmiyorsunuz.
Veri güvenliği yükümlülüğünün ihlalinde 2026 için idari para cezası alt sınırı 256.357 lira. Ama asıl maliyet ceza değil. Cevap veremediğiniz her soru, denetçinin bir sonraki soruyu daha derinden sormasına yol açıyor.
Kamu kurumundaysanız soru zaten kapalı
2019/12 sayılı Cumhurbaşkanlığı Genelgesi üçüncü maddesinde net konuşuyor. Kamu kurum ve kuruluşlarına ait veriler, kurumların kendi özel sistemleri veya kurum kontrolündeki yerli hizmet sağlayıcılar hariç bulut depolama hizmetlerinde saklanamaz.
Burada tartışılacak bir gri alan yok. Kamu kurumunda bu servisler üzerinden belge paylaşmak bir alışkanlık meselesi değil, doğrudan genelgeye aykırılık.
E-posta eki neden çözüm değil
Akla gelen ilk alternatif dosyayı e-postaya eklemek oluyor. Boyut sınırını yükseltip sorunu kapattığını düşünen çok kurum var ama e-posta eki üç noktada çuvallıyor.
Geri alınamıyor. Yanlış kişiye gönderdiğiniz eki geri çağıramazsınız, dosya karşı tarafın posta kutusunda kalıcı olarak duruyor. Süresi olmuyor. Bugün gönderdiğiniz teklif dosyası üç yıl sonra da o kutuda açılabilir durumda. Ve zincirleme iletmeyi göremiyorsunuz. Alıcı eki üç kişiye daha ilettiğinde bunun kaydı sizde olmuyor.
Bir de sessiz bir maliyet var. Aynı 80 MB'lık dosya on kişiye gönderildiğinde posta sunucunuzda on kopya oluşuyor ve yedeklemeniz o on kopyayı da her gece yedekliyor.
Yasaklamak neden işe yaramıyor
Çoğu kurumun ilk refleksi engellemek oluyor. Güvenlik duvarında adres kapatılıyor, politikaya bir madde ekleniyor, herkese e-posta gidiyor.
Sonra şu oluyor: çalışan dosyayı kişisel e-posta hesabına atıp evden gönderiyor, ya da mesajlaşma uygulamasından yolluyor, ya da telefonuna alıp müşterinin ofisinde taşınabilir bellekle veriyor. Sorun çözülmüyor, yalnızca görünmez oluyor. Üstelik artık kaydı da tutulmuyor.
Bunun sebebi basit. Çalışan kural tanımaz olduğu için değil, işini yapması gerektiği için o kanalı kullanıyor. Yasakladığınız şeyin yerine çalışan bir şey koymadığınız sürece sonuç hep aynı çıkıyor.
Kurallı bir kanal neye benziyor
Alternatifin iki şartı var. Kullanıcı için en az o servisler kadar kolay olacak, kurum için kayıtlı ve kurallı olacak. İkisinden biri eksikse ya kimse kullanmıyor ya da denetimde işinize yaramıyor.
Somut olarak şunlar gerekiyor:
| Kural | Ne işe yarıyor |
|---|---|
| Parola | Bağlantı yanlış kişiye iletildiğinde dosya yine de açılmıyor |
| Son kullanma tarihi | Teklif dosyası altı ay sonra hala erişilebilir kalmıyor |
| İndirme limiti | Bağlantı zincirleme paylaşıldığında sınır devreye giriyor |
| Alıcı e-posta kısıtı | Yalnızca belirlediğiniz adresler açabiliyor |
| İndirme engeli | Karşı taraf belgeyi görüyor ama indiremiyor |
| Erişim kaydı | Kim, ne zaman açtı ve indirdi, hepsi kayıtta |
Bu listenin son satırı denetimde işinizi gören satır. Diğerleri sızıntıyı önlüyor, o ise sızıntı olmadığını kanıtlıyor.
Altı maddenin altısını birden veren ürün sayısı sandığınızdan az. Değerlendirme yapıyorsanız kurumsal dosya yönetim sistemi nasıl seçilir yazısındaki on iki soruluk listeyi teklif aşamasında sorun; onuncu soru tam olarak bu.
Veyro'da durum
Veyro kurumunuzun kendi sunucusunda çalışıyor, yani dosya kurum sınırının dışına hiç çıkmıyor ve yurt dışına aktarım sorusu baştan doğmuyor.
Kurum dışına paylaşım kurallı bir bağlantı üzerinden yapılıyor. Yukarıdaki altı kuralın hepsi var ve paylaşımı yapan çalışan bunları paylaşım anında kendisi seçiyor. Karşı tarafın hesap açması gerekmiyor, bağlantıyı tarayıcıdan açıyor, parola koyduysanız parolayı giriyor ve belgeyi görüyor.
Gizlilik etiketi taşıyan belgelerde kurallar zorunlu hale geliyor. Çok Gizli etiketli bir belge kurum dışına hiç paylaşılamıyor, Gizli etiketli belge ise yalnızca parolalı ve süreli bağlantıyla çıkabiliyor. Yani kuralı çalışanın hatırlamasına bırakmıyorsunuz.
Her dış erişim değiştirilemez bir denetim kaydına yazılıyor. Kayıtlar hash zinciriyle birbirine bağlı olduğu için denetçiye verdiğiniz raporun sonradan değiştirilmediği de gösterilebiliyor. Denetimde "bu belge kime gitti" sorusunun cevabı üretilmesi gereken bir çıktı değil, sistemde zaten duran kayıt.
Kurum içinde 80 MB'lık dosya da sorun olmaktan çıkıyor. Çalışan dosyayı Veyro'ya yüklüyor, bağlantıyı paylaşıyor ve e-posta boyut sınırı denklemden çıkıyor.
Bunu bu çeyrekte çözmek
Bu sorunun büyümesi sessiz oluyor. Bugün kaç çalışanınızın kaç belgeyi dışarı gönderdiğini bilmiyorsanız, denetim geldiğinde de bilmiyor olacaksınız ve geriye dönük üretilebilecek bir kayıt yok.
Pilot ücretsiz ve taahhütsüz. Sizden istediğimiz bir sunucu ve bir dizin bağlantısı, ortam hazırsa kurulum aynı gün tamamlanıyor. En çok dosya gönderen departmanla başlıyoruz, iki hafta gerçek işle deniyorsunuz ve kurum geneline açma kararını siz veriyorsunuz. Sonuç beklediğiniz gibi değilse kurulum kaldırılıyor.
Demo talebinde bulunun. Otuz dakikalık bir oturumda hangi belgelerin bugün kurum dışına çıktığını ve hangi kurallarla çıkması gerektiğini birlikte konuşalım.
