Bu Yıl GDPR İçin Ne Yaptınız?

Bilgi ve iletişim teknolojilerinin çeşitlenmesi, ülkeler ve şirketler arasında veri trafiğinin büyümesi, bu süreçte kötü amaçlı veri kullanımının artması ve bu kullanımlara yönelik yasal yaptırımların zayıf kalması; kişisel verilere erişim, verilerin toplanması ve kullanımı konusunda mevcut düzenleme ve altyapılar çerçevesinde ciddi bir reforma gidilmesi gerekliliğini ortaya koydu. Geçtiğimiz yıl 25 Mayıs Cuma günü AB genelinde uygulamaya konan yönetmelikle, bireysel hak ve özgürlüklerden demokratik toplum ve insan hakları tartışmalarına uzanan geniş bir yelpazede bu reform hayata geçti. Yönetmelik, müşteri veritabanında AB vatandaşlarının veya AB ülkelerinde ikamet eden kişilerin bilgilerini bulunduran Türkiye’deki veya AB dışındaki ülkelerde faaliyet gösteren işletmeleri de kapsıyordu.

Veri Koruma Görevlisi gibi yeni bir unvanı hayatımıza sokan bu yönetmelik, veri güvenliği konusunda şirket ve kurumlara sosyal ve ekonomik düzeyde önemli yükümlülükler getirdi. Pek çok işletme iş süreçlerini yeni tüzükle uyumlu hale getirmeye çalışırken, bazıları da geçici çözümlerle açıkları yamalama yoluna gitti.

Peki, gerek müşteriler, gerekse çalışanlar bazında kullanıcı haklarını öne çıkaran GDPR’ın uygulama aşamalarında bir yıl içerisinde nasıl bir yaklaşım sergilendi? Bu süreçte önümüzdeki yıllarda bizi bekleyen gizlilik ve uyumluluk gereksinimlerine dair herhangi bir ders çıkartabildik mi?

GDPR bazı şirketler için varoluşsal bir tehdit

GDPR yürürlüğe girdikten sonra işletmeler bazında iki farklı yaklaşım görüldü. İlki; GDPR uyumluluğunu yakalamak için büyük yatırımlar yaparak farklı işlev ve uzmanlıklara sahip ekipleri bir araya getirmek ve net bir hareket planı ortaya koymak. Bunu yapanlar; GDPR’ın özünü anlayan, bunun bir gizlilik sorunu olduğunu kabul eden ve veri güvenliğinde elde edilecek başarının rekabet üstünlüğü kazandırdığını fark eden şirket ve kurumlar. İkinci yaklaşım ise, GDPR’ı yalnızca bir uyumluluk mevzusu olarak görerek yüzeysel çözümler üretmek. Bunu yapanlar ise, Uluslararası Veri Kurumu (IDC) Avrupa Güvenliği Araştırma Direktörü Martin Whitworth’a göre, “kusurları gizleyip sorunları halının altına süpürenler.”

Whitworth, GDPR yükümlülüklerini yerine getirmek için çaba sarf eden orta ve büyük ölçekli kuruluşların iş süreçlerine ortalama 3 milyon dolar harcadığını belirtirken, Forcepoint EMEA Güvenlik Strateji Başkanı Duncan Brown da, GDPR’ın yalnızca 2018’in olayı olmadığını, şirketlerin ayakta kalma yarışının bugün hala devam ettiğini ve GDPR’ın daimi bir iş süreci olarak algılanması gerektiğini söylüyor. Brown’a göre bu uygulama, aradan geçen bir yılın ardından düzenlemenin ciddiyetini ve önemini anlamak istemeyen şirketler için potansiyel bir “varoluşsal tehdit” oluşturuyor. Çünkü tüzüğün gerekliliklerini yerine getirmeyerek veri ihlaline yol açan işletmeler, 200 milyon avro gibi yüksek oranlı maddi yaptırımlarla karşılayabiliyor. Aynı zamanda müşteri, çalışan veya ziyaretçilerinin gözünde güven ve itibar kaybı yaşayarak marka geleceklerini tehlikeye atıyorlar.

1 yılda 60 milyon avro para cezası kesildi

Nitekim, geçtiğimiz 12 ay içinde düzenleyici kurumlarca para cezası kesilen pek çok şirkete tanık olduk. Bunlardan biri, veri toplama aşamalarıyla ilgili olarak kullanıcılarına yeterince şeffaf ve net olmadığı gerekçesiyle Fransız veri koruma kurumu CNIL tarafından 50 milyon avroluk cezaya çarptırılan internet devi Google’dı. Almanya’da bir şirket çalışanlarının şifrelerinde gerekli kriptolama sistemini kullanmadığı için 20 bin avro ceza alırken, Avusturya’da bir perakendeci de gerekli uyarıları yapmadan halka açık kaldırımın bir kısmını güvenlik kamerasıyla izinsiz izlediği için 4 bin 800 avroluk para cezasına çarptırıldı. Bir diğer haber de Portekiz’den, bambaşka bir sektörden geldi: Bir hastane, hastaların tıbbi verilerini sağlık personeli olmayan bazı kişilerin erişimine açık tuttuğu için 400 bin avro ceza aldı.

Ancak bu cezalar, ihlal bildirimlerinin sayısıyla karşılaştırıldığında halihazırda oldukça yetersiz kalıyor. Kullanıcıların dijital hakları için mücadele eden Access Now adlı insan hakları kuruluşuna göre, Haziran 2019 itibarıyla, Mayıs 2018’den bu yana 28 AB üye ülkesinden 95 bin şikayet dosyalandı, 59 bin veri ihlali rapor edildi; Google’ın da aralarında bulunduğu bazı şirketlere ise 60 milyon avroya yakın para cezası kesildi.

“GDPR’ın özü bireylerin gizlilik hakkına saygı duymaktır”

Whitworth, tüm bu gelişmeler ışığında mevcut programlarını yeniden gözden geçirmek ve GDPR uyumluluğunu geliştirmek isteyen işletmelere beş öneride bulunuyor:

1. Düzenleyici kurumları yakından takip edin: Çünkü halen yasal yaptırımlarda belirsizlikler var. Bu kurumlar her ne kadar rehberlik desteği alsa da yetkilerini nereye kadar kullanabileceklerini belirlemeye çalışıyorlar. Unutmayın, yaptırımlar yalnızca para cezasıyla sınırlı kalmayabilir; hukuki yaptırımlar farklı formlarda karşımıza çıkabilir.
2. Gizliliği işinizin merkezine ve gündelik rutinine oturtun: İlgili Kişi Erişim Talebi’ne (SAR) dair iş akışlarında acilen otomasyon gerekiyor. SAR için gereken tüm bilgileri temin edemiyorsanız, unutulma veya düzeltme haklarını da gerektiği gibi yerine getiremezsiniz.
3. Büyük veri BÜYÜK zorluk: Bazı işletmeler GDPR uyumluluğunu bir adım ileri götürerek işletmenin kendisine zarar verecek şekilde gereğinden fazla veriyi sildi.
4. Veri Koruma yine gündemde: Veri koruma anlayışı yükselişe geçmiş durumda. Bunun pek çok nedeni olmasına rağmen en belirgini kişisel gizlilik sorunu. Çin, Brezilya, Kanada, ABD ve Avustralya gibi AB dışındaki pek çok ülke bu konuyla ilgili yeni yasal düzenlemeler yapmaya başladı. Bu gelişmeler uluslararası veri yönetiminde zincirleme bir etki yapacaktır. 
5. Olay sadece uyumluluk değil: Düzenlemeyi külfetli ve karmaşık olarak nitelendiren işletmelerin unutmaması gereken en önemli şey, GDPR’ın iş süreçlerini uyumlu hale getirme zorunluluğunun da ötesinde, bireylerin gizlilik hakkına saygı duymak olduğudur.

Şirket ve kurumların İK, finans, iletişim ve BT birimlerine kadar pek çok farklı departmanı ilgilendiren GDPR uyumluluk süreçleri, bilgi ağı altyapısının ve veri merkezlerinin yenilenmesini, CRM, müşteri ve çalışan veritabanlarının yeniden düzenlenmesini ve veri güvenliği sistemlerinin güncellenmesini içeren kapsamlı bir çalışma stratejisine ihtiyaç duyuyor. Ancak tüm bu teknik ayrıntıların arasında en çok ihtiyaç duyduğu şey zihniyet değişimi ve kişisel verilerin korunmasının temel bir hak olduğu.