E-imza ve onay süreçlerinde KVKK: hangi veri, ne kadar süre?

Bir belgeyi elektronik ortamda imzalatmak, kâğıtla imzalatmaktan daha fazla kişisel veri üretir. Kâğıtta yalnızca ad ve imza vardır. Elektronik süreçte buna telefon numarası, e-posta adresi, IP adresi, cihaz bilgisi, imza sertifikası ve bazen kimlik kartı verisi eklenir. Bu verilerin bir kısmı ispat için zorunludur, bir kısmı değildir. KVKK'ya uyum, ikisini ayırmakla başlar.

Süreçte hangi kişisel veriler işlenir?

Tipik bir onay ya da imza akışında şu veri grupları ortaya çıkar:

Belgenin içeriği de çoğu zaman kişisel veri içerir: bir iş sözleşmesindeki ücret, bir bordrodaki icra kesintisi, bir sigorta formundaki sağlık bilgisi. Bunlar imza sürecinin değil, belgenin kendi verileridir ve belgeyi hazırlayan kurumun sorumluluğundadır. Bordro örneği için e-bordro yazımıza bakabilirsiniz.

Veri sorumlusu kim, veri işleyen kim?

Belgeyi hazırlayan ve alıcıya gönderen kurum, işleme amacını ve vasıtalarını belirlediği için veri sorumlusudur. İmza platformu ise kurum adına, kurumun talimatıyla veri işlediği için kural olarak veri işleyendir. Bu ayrım önemlidir: aydınlatma yükümlülüğü, saklama süresinin belirlenmesi ve ilgili kişi başvurularına cevap verme veri sorumlusunun işidir. Veri işleyen ise verileri talimat dışında kullanmamak ve güvenliğini sağlamakla yükümlüdür. İki taraf arasındaki ilişki bir veri işleme sözleşmesiyle yazıya dökülmelidir.

Hangi hukuki dayanakla işleniyor?

KVKK'nın 5. maddesinin ikinci fıkrası açık rıza dışındaki işleme şartlarını sayar. İmza ve onay süreçlerinde en sık kullanılanlar şunlardır:

• Sözleşmenin kurulması veya ifası (c bendi). Alıcının sözleşmeyi imzalayabilmesi için adı, iletişim bilgisi ve imza verisi işlenir.
• Hukuki yükümlülük (ç bendi). İş Kanunu'nun ücret hesap pusulası vermeyi zorunlu tutması gibi, kurumun kanundan doğan yükümlülükleri.
• Bir hakkın tesisi, kullanılması veya korunması (e bendi). İşlem güvenliği kayıtları ve delil paketi, ileride bir uyuşmazlıkta hakkı ispatlamak için tutulur. Bu kayıtların neden gerekli olduğunu SMS onayının delil değeri yazısında anlattık.
• Meşru menfaat (f bendi). Dolandırıcılığı önlemeye yönelik bazı güvenlik kontrolleri, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.

Açık rıza bu süreçlerde nadiren doğru dayanaktır. Rıza her zaman geri alınabilir; geri alındığında delil kaydını silmek zorunda kalmak, ispat amacını boşa çıkarır. Rızayı, başka bir dayanağın gerçekten bulunmadığı durumlara saklayın.

Alıcıya aydınlatma nasıl yapılır?

KVKK'nın 10. maddesi, veri toplanırken ilgili kişinin bilgilendirilmesini ister: veri sorumlusunun kimliği, işleme amacı, aktarılan taraflar, toplama yöntemi ve hukuki sebebi ve ilgili kişinin hakları. Onay ve imza akışında bunun pratik yolu, alıcının belgeyi açtığı ekranda kurumun aydınlatma metnine kısa ve görünür bir bağlantı vermektir. Aydınlatma metnini onay kutusunun içine gömmek ya da "okudum, kabul ediyorum" ile açık rızayı birbirine karıştırmak sık yapılan hatalardır.

Ne kadar süre saklanır?

KVKK'nın 4. maddesi verilerin ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanmasını ister. 7. madde de işleme sebebi ortadan kalktığında verinin silinmesini, yok edilmesini ya da anonim hale getirilmesini zorunlu tutar.

Onay ve imza süreçlerinde saklama süresini belge türü belirler. Bir iş sözleşmesi ve onun delil kaydı yıllarca saklanır; bir etkinlik katılım formu ise kısa süre sonra silinebilir. Bunu her belge için ayrı ayrı düşünmek yerine belge türü ya da şablon düzeyinde bir saklama politikası tanımlamak en sağlıklı yoldur. Süre dolduğunda silme işleminin kendisinin de kayıt altına alınması, denetimde ne zaman neyin silindiğini göstermenizi sağlar.

Veri en aza indirme

KVKK'nın 4. maddesindeki "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesi, imza süreçlerinde somut tasarım kararlarına dönüşür:

• Kimlik numarası yalnızca mobil imzada sertifika eşleştirmesi için istenir, belgeye basılmaz.
• Kimlik kartı çipinden doğrulama için gereken en az veri okunur, biyometrik veri işlenmez.
• Doğrulama sayfasında belgenin içeriği değil, yalnızca doğrulama sonucu gösterilir.
• İşlem kayıtları delil paketinde tutulur, ayrıca dağınık dosyalara kopyalanmaz.

Yurt dışı aktarım

Platformun sunucuları yurt dışındaysa alıcı verileri yurt dışına aktarılmış olur. 2024'te değişen KVKK'nın 9. maddesine göre yeterlilik kararı bulunmayan ülkelere aktarım için standart sözleşme gibi uygun güvencelerden biri gerekir ve standart sözleşme imzalandıktan sonra belirli süre içinde Kurum'a bildirilir. Platform seçerken verinin hangi ülkede tutulduğunu, aktarımın hangi güvenceye dayandığını ve alt işleyenlerin kimler olduğunu sorun.

Güvenlik tedbirleri

KVKK'nın 12. maddesi veri sorumlusuna, verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri alma yükümlülüğü yükler. İmza süreçlerinde bu; kurumlar arası veri ayrımı, aktarımda ve depolamada şifreleme, rol bazlı yetki, değiştirilemez erişim kaydı ve kişiye özel bağlantılar demektir.

yepp'te KVKK nasıl kurgulandı?

yepp, kurumlar adına veri işleyen olarak çalışır. Saklama süresini kurum, şablon ya da işlem düzeyinde siz belirlersiniz; süre dolduğunda silme kendiliğinden yapılır ve silme kaydı tutulur. Mobil imzada kimlik numarası belgeye basılmaz, kimlik çipinden yalnızca doğrulama için gereken veri okunur. Her işlemin kaydı zaman damgalı bir delil paketinde toplanır. Barındırma, yurt dışı aktarım ve alt işleyenler hakkında ayrıntı güvenlik sayfamızda.