KVKK ve RPA: robotlar kişisel veriyi nasıl işlemeli
Yazılım robotları çoğu zaman kişisel veriye dokunur: faturadaki ad soyad, tedarikçi yetkilisinin e-postası, bir listedeki çalışan bilgisi. Robotun bunları bir insandan daha hızlı ve daha çok işlemesi, KVKK açısından soruları da büyütür. Bu yazıda bir otomasyon projesinde baştan cevaplanması gereken soruları iş diliyle topladık. Hukuki görüş değildir; kendi durumunuzu hukuk danışmanınızla birlikte değerlendirin.
Robot da bir işleme aracıdır
KVKK açısından veriyi işleyenin bir insan mı yoksa bir program mı olduğu sorumluluğu değiştirmez. Veri sorumlusu yine şirkettir. Robot, şirketin veriyi işlerken kullandığı bir araçtır ve aynı genel ilkelere tabidir: hukuka ve dürüstlük kurallarına uygunluk, doğru ve güncel olma, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma, gerektiği kadar saklama.
Pratikte bu şu demektir: robot işin gerektirdiğinden fazla veriye erişmemeli, işi bitince veriyi gereksiz yere kopyalamamalı ve yaptığı her şey sonradan gösterilebilir olmalı.
Veri nerede işleniyor
İlk soru budur. Robot şirketin kendi bilgisayarında ve sunucusunda çalışıyorsa veri, zaten bulunduğu yerde kalır. Bulut tabanlı bir otomasyon platformu ya da yapay zekâ servisi kullanılıyorsa veri şirket dışına, bazen yurt dışına çıkar. Yurt dışına aktarım KVKK'da ayrı şartlara bağlıdır ve hukuk ekibinin değerlendirmesini gerektirir.
Bizim varsayılan tercihimiz verinin şirketten çıkmamasıdır: robotlar şirketin kendi bilgisayarlarında çalışır, yönetim panelleri yalnızca şirket içi ağdan açılır. Bulut gerektiren bir adım varsa, örneğin bir yapay zekâ servisi, bunu açıkça yazar, seçenekleri ve kişisel verinin önceden ayıklanıp ayıklanamayacağını birlikte değerlendiririz.
Kimin yetkisiyle
Robota geniş yetkili ayrı bir kullanıcı açmak hem güvenlik hem KVKK açısından kötü bir fikirdir. Robot, işi bugün yapan kişinin yetkisiyle çalışmalıdır; o kişinin göremediği veriyi robot da görmemelidir. Böylece erişim kontrolü, şirketin zaten uyguladığı yetki düzeniyle aynı kalır ve ayrıca denetlenmesi gereken yeni bir kapı açılmaz.
Şifreler
Robotun SAP'ye ya da bir portala girmek için kullandığı şifre en hassas veridir. Şifre, robotun çalıştığı bilgisayarda şifreli saklanmalı ve hiçbir kayıtta, raporda ya da e-postada görünmemelidir. Şifreyi düz metin olarak bir dosyada ya da betiğin içinde tutmak sık rastlanan ve kolayca önlenebilen bir hatadır.
Kayıt defteri: hem güvence hem risk
Robotun her adımı kaydetmesi denetim için çok değerlidir: kim adına, ne zaman, hangi kayıt, hangi sonuç. Ama kayıt defterinin kendisi de kişisel veri içerebilir. Bu yüzden kayıtlarda yalnızca gerekli bilgi tutulmalıdır; örneğin fatura numarası ve tutar yeterliyse kişinin adı ve adresi kayda girmemelidir.
Kayıtların ne kadar saklanacağı, kimin erişebileceği ve süre dolunca nasıl silineceği baştan belirlenmelidir. Robotun ürettiği Excel raporları ve e-postalar da bu kapsamdadır.
Paylaşım kuralları
Robotlar bilgi dağıtır: rapor gönderir, ekibe mesaj atar, özet hazırlar. Burada en sık risk, yanlış kişiye ya da yanlış gruba veri gitmesidir. İyi bir tasarımda kimin neyi göreceği baştan tanımlanır ve test edilir.
Bir projede ekibe her sabah ve akşam Teams ve e-posta ile giden planlarda, mesaj doğru gruba gittiği kontrol edilmeden gönderilmiyor ve gitmeden önce önizlenebiliyor. Hangi bilginin mesaja girip hangisinin girmeyeceği kuralı otomatik testlerle korunuyor. Bu tür kurallar küçük görünür ama veri sızıntısının en yaygın kaynağını kapatır.
Tedarikçinin erişimi
Otomasyonu kuran firma, kurulum ve bakım sırasında sistemlerinize ve verinize erişebilir. Bu erişimin kapsamı, süresi ve kayıt altına alınması sözleşmede yazılı olmalıdır. Tedarikçi veri işleyen konumundaysa gerekli sözleşme hükümleri ve güvenlik taahhütleri de hukuk ekibinizle birlikte netleştirilmelidir.
Test sırasında gerçek kişisel veri yerine mümkün olduğunca maskelenmiş veri ya da test sistemindeki veri kullanılmalıdır.
Başlamadan önce kontrol listesi
Bir otomasyon projesine başlamadan önce hukuk ve BT ekibinizle birlikte şu soruları cevaplayın:
- Robot hangi kişisel verilere erişiyor ve bu iş için hepsi gerekli mi?
- Veri şirket dışına ya da yurt dışına çıkıyor mu?
- Robot kimin yetkisiyle çalışıyor; o kişinin yetkisinden fazlası var mı?
- Şifreler nerede, nasıl saklanıyor; kayıtlarda görünüyor mu?
- Kayıt defteri ve raporlarda hangi kişisel veriler var, ne kadar saklanıyor?
- Rapor ve mesajlar kime gidiyor; yanlış alıcı riski nasıl önleniyor?
- Tedarikçinin erişimi sözleşmede tanımlı mı?
- Aydınlatma metni ve kişisel veri envanteri bu işlemeyi kapsıyor mu?
Sık sorulanlar
RPA kullanmak için yeni bir açık rıza almak gerekir mi?
Bu, işlenen verinin türüne ve işlemenin hukuki sebebine bağlıdır. Robotun kullanılması tek başına yeni bir işleme amacı yaratmaz; mevcut işleme zaten bir hukuki sebebe dayanıyorsa robot aynı işi aynı amaçla yapıyordur. Yine de değerlendirmeyi hukuk danışmanınızla yapın.
Bulut tabanlı RPA KVKK'ya aykırı mı?
Tek başına aykırı değildir. Verinin nerede işlendiği, yurt dışına çıkıp çıkmadığı ve sözleşme koşulları değerlendirilmelidir. Şirket içinde çalışan bir robot bu soruların çoğunu baştan ortadan kaldırır.
Yapay zekâ adımı eklenirse ne değişir?
Yapay zekâ servislerinin çoğu bulutta çalıştığı için veri yeri sorusu yeniden gündeme gelir. Şirket içinde çalışan modeller, veri işleme sözleşmesi olan kurumsal servisler ya da kişisel verinin gönderilmeden önce ayıklanması gibi seçenekler değerlendirilmelidir.