Kişisel Verilerin Korunması Kanunu (KVKK), kurumlara kişisel verileri yalnızca nasıl işleyecekleri konusunda değil, nasıl koruyacakları ve saklayacakları konusunda da yükümlülük getirir. Yedekler de kişisel veri içerdiği için KVKK kapsamındadır. Bu yazıda, kurumsal yedekleme stratejinizi KVKK açısından değerlendirirken dikkat etmeniz gereken başlıkları özetliyoruz.
KVKK ve yedekleme ilişkisi
6698 sayılı Kanun'un 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür. Üretim sistemlerindeki kişisel veriler için geçerli olan bu yükümlülük, aynı verilerin yedek kopyaları için de geçerlidir. Yedek, "yalnızca bir kopya" değil, kişisel veri barındıran ayrı bir depolama alanıdır.
Yedekleme sürecinde alınabilecek teknik ve idari tedbirler
- Erişim kontrolü: Yedeklere yalnızca yetkili kişiler erişebilmeli; yönetim konsolunda çok faktörlü kimlik doğrulama kullanılmalıdır.
- Şifreleme: Yedekler hem aktarım sırasında hem de depolanırken şifrelenmelidir. Şifreleme anahtarlarının yönetimi de ayrıca planlanmalıdır.
- İzlenebilirlik: Yedeklere kimin, ne zaman eriştiği ve neyi geri yüklediği kayıt altına alınmalıdır.
- Ayrı kimlik bilgileri ve izolasyon: Yedekleme sistemi, üretim ağından ayrı kimlik bilgileriyle korunmalıdır. Fidye yazılımı önlemleri yazımızda bu konuya değindik.
- Veri envanteri: Kişisel verilerin hangi sistemlerde ve hangi yedek konumlarında bulunduğu envanterde yer almalıdır.
- Hizmet sağlayıcı sözleşmeleri: Yedekleme hizmetini bir sağlayıcıdan alıyorsanız, kişisel verilerin korunmasına ilişkin yükümlülükler sözleşmede açıkça belirtilmelidir.
Saklama ve imha: yedeklerde de geçerli
Kanun'a göre kişisel veriler, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde silinir, yok edilir veya anonim hâle getirilir. Kurumlar bu süreci kişisel veri saklama ve imha politikası ile yönetir. Yedekleme tarafında bunun anlamı şudur:
- Yedek saklama sürelerini (retention) saklama ve imha politikanızla uyumlu belirleyin.
- Süresi dolan yedeklerin otomatik olarak silinmesini sağlayın.
- Bir silme talebi durumunda verinin yedek döngüsü içinde de zamanla ortadan kalkacağını planlayın ve bunu dokümante edin.
"Her şeyi süresiz sakla" yaklaşımı, hem depolama maliyetini artırır hem de KVKK açısından risk oluşturabilir.
Yurt dışında barındırılan yedekler
Bulut yedekleme hizmetleri kişisel verileri yurt dışındaki veri merkezlerinde barındırabilir. Bu durum, Kanun'un 9. maddesindeki yurt dışına aktarım hükümleri kapsamında değerlendirilebilir. Bu hükümler güncel mevzuata göre ele alınmalıdır. Bulut yedekleme çözümü seçerken şunları kontrol edin:
- Verinin hangi ülkede/veri merkezinde barındırıldığı
- Sağlayıcı ile yapılan sözleşmedeki güvenceler
- Aktarım için gereken şartların ve bildirimlerin karşılanıp karşılanmadığı
Bulut yedeklemenin avantajlarını bulut yedekleme avantajları sayfasında bulabilirsiniz; hangi yapının sizin için uygun olduğunu değerlendirirken KVKK gereksinimlerini de sürece dahil edin.
Veri ihlali ve yedekler
Fidye yazılımı gibi bir olay kişisel verilerin gizliliğini veya bütünlüğünü etkilediğinde, Kurul kararları uyarınca ihlalin öğrenilmesinden itibaren en kısa sürede ve en geç 72 saat içinde Kurul'a bildirim yapılması gerekir; ilgili kişilere de bildirim yükümlülüğü söz konusu olabilir. Sağlam bir yedek, verilerinizi geri getirmenize yardımcı olur; ancak yasal bildirim yükümlülüğünün yerini almaz. Olay müdahale planınıza bildirim sürecini mutlaka ekleyin. Hedef sürelerinizi belirlemek için RTO ve RPO yazımıza bakabilirsiniz.
KVKK odaklı yedekleme kontrol listesi
- Yedeklerde kişisel veri içeren sistemler envanterde tanımlı mı?
- Yedekler aktarım ve depolama sırasında şifreleniyor mu?
- Yedekleme konsoluna erişim çok faktörlü kimlik doğrulama ile korunuyor mu?
- Saklama süreleri saklama ve imha politikasıyla uyumlu mu?
- Yedeklerin bulunduğu konum (ülke/veri merkezi) ve olası yurt dışı aktarım değerlendirildi mi?
- Hizmet sağlayıcı sözleşmesinde veri güvenliği yükümlülükleri yer alıyor mu?
- Geri yükleme testleri düzenli yapılıyor ve kayıt altına alınıyor mu? (Yedekleme raporlarını okuma rehberi)
- Veri ihlali durumunda bildirim süreci planda tanımlı mı?
Sık sorulan sorular
Yedekler de KVKK kapsamında mı?
Evet. Yedekler kişisel veri içerdiği sürece, üretim sistemlerindeki veriler için geçerli olan güvenlik ve saklama yükümlülükleri yedekler için de geçerlidir.
Bulut yedekleme KVKK'ya aykırı mıdır?
Kendiliğinden aykırı değildir. Önemli olan; verinin nerede barındırıldığı, hangi güvenlik tedbirlerinin alındığı ve gerekli hukuki şartların karşılanıp karşılanmadığıdır. Bu değerlendirmeyi hukuk veya uyum danışmanınızla birlikte yapmanızı öneririz.
Yedekleri ne kadar süre saklamalıyız?
Tek bir süre yoktur. Süre; verinin işlenme amacına, ilgili mevzuata ve kurumunuzun saklama ve imha politikasına göre belirlenir.
Mevcut ortamınıza uygun yedekleme, felaket kurtarma ve siber koruma seçeneklerini uzman ekibimizle konuşabilirsiniz. Ücretsiz danışmanlık için bize ulaşın veya çözümlerimizi inceleyin.
