OSGB Yazılımında Veriler Nerede Saklanır? Bulut, KVKK ve Sağlık Verisi Soruları
OSGB yazılımında veriler ya sağlayıcının sunucusunda (bulut) ya da OSGB'nin kendi bilgisayarında (kurulu program) saklanır. OSGB, ürettiği İSG kayıtları için çoğunlukla veri sorumlusu konumundadır; bulut sağlayıcı ise genellikle veri işleyendir ve güvenlik sorumluluğu paylaşılır. Bu yüzden asıl soru verinin yeri kadar, sözleşmede kimin neyi üstlendiğidir.
Bu sayfada
Bulut yazılım ile kurulu program arasında veri açısından fark nedir?
Fark, verinin kimin altyapısında durduğunda ve güvenlik işini kimin yaptığındadır. Kurulu programda veri OSGB'nin bilgisayarında ya da sunucusundadır; yedek, şifreleme ve erişim OSGB'nin işidir. Bulutta veri sağlayıcının altyapısındadır ve bu işlerin büyük kısmını sağlayıcı yürütür.
Rol dağılımı, verinin nerede durduğuna göre değişmez. Kişisel Verilerin Korunması Kanununun (6698 sayılı) 3. maddesi veri sorumlusunu işleme amaçlarını ve vasıtalarını belirleyen kişi, veri işleyeni onun adına veri işleyen kişi olarak tanımlar. OSGB, ürettiği İSG kayıtları için çoğunlukla veri sorumlusu konumundadır; işverenle rol dağılımını hukuk danışmanınızla netleştirin. Bulut sağlayıcı ise genellikle veri işleyendir.
| Konu | Kurulu program | Bulut yazılım |
|---|---|---|
| Verinin yeri | OSGB'nin bilgisayarı ya da sunucusu | Sağlayıcının altyapısı |
| Yedek | OSGB alır | Sağlayıcı alır, sıklığı sözleşmede yazar |
| Sahadan erişim | Çoğunlukla ek kurulum gerekir | İnternet bağlantısıyla |
| Bilgisayar kaybı ya da arızası | Yedek yoksa veri gider | Veri sağlayıcıda kalır |
| Sorulacak asıl soru | Yedeği kim, nereye alıyor? | Sağlayıcı neyi üstleniyor? |
Kurulu program "veri bizde kalıyor" diye daha güvenli sanılabilir. Yedeği düzenli alınmayan, şifrelenmemiş bir ofis bilgisayarı ise çoğu zaman en zayıf halkadır.
Sağlık verisi için yazılımda hangi ayrım beklenir?
Sağlık verisine yalnız onunla çalışması gereken kişilerin erişmesi beklenir. KVKK'nın 6. maddesine göre sağlık bilgisi özel nitelikli veridir; aynı maddenin dördüncü fıkrası bu verilerin işlenmesinde Kurulca belirlenen yeterli önlemleri şart koşar. Aynı maddeye göre işleme, iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olduğunda mümkündür.
İSG mevzuatı da aynı yönü gösterir. İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliğinin 13. maddesi muayene sonuçlarının kişisel sağlık dosyalarında gizlilik ilkesine uyularak saklanmasını OSGB'nin sorumlulukları arasında sayar.
Yazılımda bu ayrımın üç işareti vardır. Sağlık kayıtları ayrı bir yetkiyle açılır. Uzman bir çalışanın eğitim kaydını görürken muayene sonucunu görmez. Sağlık belgeleri, genel belge listesinde ve dışa aktarımlarda ayrıca korunur. FirstİSG'de firma dosyasındaki sağlık raporlarının sonucu, hekim yetkisi olmayan ekip kullanıcılarına gösterilmez.
Erişim yetkileri ve kayıt izi nasıl sorulur?
Erişim yetkileri rol ve firma ekseninde, kayıt izi ise "kim, ne zaman, neyi" sorusuyla sorulur. Demoda iki farklı rolle giriş yapılmasını isteyin ve her rolün neyi gördüğünü karşılaştırın. Yöneticinin bütün firmaları, uzmanın yalnız kendi firmalarını görmesi beklenir.
Kayıt izi için şu soruları sorun. Bir raporu kimin açtığı ve kimin değiştirdiği kaydediliyor mu? Bir belgenin kimin tarafından indirildiği görülebiliyor mu? Bu kayıtlar ne kadar süre tutuluyor ve OSGB yöneticisi onlara erişebiliyor mu?
KVKK'nın 12. maddesi veri sorumlusundan hukuka aykırı erişimi önleyecek teknik ve idari tedbirler ister. Kayıt izi, bu tedbirin alındığını sonradan gösterebilmenin yoludur.
Yedekleme ve veri iadesi sözleşmede nasıl yazılır?
Yedekleme ve veri iadesi sözleşmede sıklık, süre ve biçimle yazılır. "Düzenli yedek alınır" cümlesi ölçülemez; "her gün yedek alınır, yedekler belirli bir süre saklanır" cümlesi ölçülebilir. Sürenin kendisini sağlayıcının yazılı cevabından alın.
Veri iadesi için üç unsur yazılmalıdır. Hangi veriler iade edilir: listeler, raporlar, belgeler ve fotoğraflar. Hangi biçimde iade edilir: tablo, PDF ve özgün dosya. Ne kadar sürede iade edilir ve ardından sağlayıcıdaki kopya ne zaman silinir.
Bir kaydın yanlışlıkla silinmesi de ayrı bir durumdur. Kullanıcının sildiği bir raporun yedekten geri getirilip getirilemeyeceğini ve bunun ücretli olup olmadığını sorun.
Sağlayıcıdan hangi belgeleri istemek gerekir?
Sağlayıcıdan en az dört belge istenir. Bunlar sözleşmeye ek olarak ya da sözleşmenin içinde yer alabilir; önemli olan yazılı olmalarıdır.
- Veri işleme şartları. Sağlayıcının OSGB adına hangi verileri, hangi amaçla işlediği ve hangi güvenlik tedbirlerini üstlendiği.
- Altyapı bilgisi. Verinin tutulduğu altyapı, sunucunun bulunduğu ülke ve kullanılan alt hizmet sağlayıcılar.
- Güvenlik tedbirleri listesi. Şifreleme, erişim kontrolü, yedekleme ve personel gizlilik yükümlülüğü.
- İhlal bildirimi taahhüdü. Bir veri ihlalinde OSGB'ye ne kadar sürede ve hangi bilgiyle haber verileceği.
Sunucu yurt dışındaysa KVKK'nın 9. maddesindeki aktarım şartları gündeme gelir. Bu durumda sağlayıcıdan aktarımın dayandığı şartı da yazılı isteyin. Bilgi güvenliği belgesi sunan sağlayıcıdan belgenin kapsamını ve geçerlilik tarihini görün.
Veri ihlali olursa süreç nasıl işler?
Veri ihlalinde bildirim yükümlülüğü veri sorumlusundadır; OSGB bu konumdaysa yükümlülük ondadır. KVKK'nın 12. maddesinin beşinci fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde, veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir. Veri sorumlusu bunu ancak sağlayıcı ona zamanında haber verirse yapabilir.
Bu yüzden sözleşmede sağlayıcının ihlali OSGB'ye ne kadar sürede bildireceği yazmalıdır. Bildirimde hangi verilerin, kaç kişinin ve hangi firmaların etkilendiği bilgisi bulunmalıdır. OSGB tarafında da ihlal durumunda kimin karar vereceği önceden belirlenmelidir.
KVKK'nın 12. maddesinin ikinci fıkrası, verinin başkası tarafından işlendiği durumda güvenlik tedbirlerinden veri sorumlusunu veri işleyenle birlikte müştereken sorumlu tutar. OSGB veri sorumlusu konumundaysa sağlayıcı seçimi onun kendi sorumluluğunun da parçasıdır. Satın alma sırasında sorulacak diğer başlıklar seçim rehberinde, sözleşmeye ve veri teslimine dair sorular sık sorulan sorular sayfasında cevaplanıyor. Belgelerin dijital dosyada nasıl düzenlendiği ise kâğıtsız OSGB sayfasında anlatılıyor.
Sık sorulan sorular
Bulut yazılım KVKK'ya aykırı mı?
Değildir. KVKK verinin bulutta tutulmasını yasaklamaz; veri sorumlusundan uygun güvenlik düzeyini sağlamasını ister. Bulutta bu tedbirler sağlayıcıyla birlikte alınır ve sözleşmeyle güvenceye bağlanır.
Sunucunun yurt dışında olması sorun mu?
Kendi başına yasak değildir, ama KVKK'nın 9. maddesindeki yurt dışına aktarım şartlarını devreye sokar. Sağlayıcıya sunucunun yerini ve aktarım için hangi şarta dayandığını yazılı sorun. Değerlendirmeyi hukuk danışmanınızla yapın.
Sağlayıcının çalışanları verilerimizi görebilir mi?
Destek ve bakım için sınırlı erişim gerekebilir. Bu erişimin kimlere, hangi durumda ve hangi kayıtla verildiğini sorun. Sağlayıcının çalışanlarının gizlilik yükümlülüğü altında olduğunu da sözleşmede görün.
Uzman kendi telefonuna müşteri verisi indirebilir mi?
Mobil uygulama kullanılıyorsa telefonda bir miktar veri bulunur. Telefon kaybolduğunda hesabın nasıl kapatılacağını ve cihazda neyin kaldığını sağlayıcıya sorun. Ayrıca uzmanların raporları kişisel e-posta ya da mesajlaşma uygulamasıyla paylaşmamasını kurala bağlayın.
Belgeleri ne kadar süre saklamak gerekir?
Saklama süresi belge türüne göre değişir ve bu sayfanın konusu değildir. Hangi belgenin ne kadar tutulacağı FirstİSG'nin İSG dokümantasyonu rehberinde anlatılıyor. Yazılımda ise sürenin dolduğu kaydın nasıl silindiğini sorun.
FirstİSG'de sağlık kayıtlarını kim görür?
Firma dosyasındaki sağlık raporlarının sonucu, hekim yetkisi olmayan ekip kullanıcılarına gösterilmez. Sonucu, hesabında işyeri hekimi olarak tanımlanan kullanıcılar görür. Verinin tutulduğu altyapı ve sözleşme yükümlülükleri için teklif aşamasında yazılı bilgi isteyin.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, Madde 3, 6, 9 ve 12
- İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği, Madde 13, birinci fıkra (e) bendi, kişisel sağlık dosyalarında gizlilik
- FirstİSG İSG dokümantasyonu rehberi