Arşiv taşımada KVKK: kişisel veri içeren evrak güvenle nasıl taşınır?

Bir personel dosyası rafta dururken kurumun kilitli arşiv odasındadır. Taşınma günü ise koridorda, asansörde, kamyon kasasında ve belki bir gece depoda bekler. Arşiv taşımada KVKK'nın asıl sorusu, evrakın bu ara duraklarda kimin gözetiminde olduğudur; cevabı da kurumun taşımadan önce yazıya döktüğü önlemlerdir. Taşıma firması bu önlemleri uygular, neyin yeterli olduğuna ise kurum karar verir.

Kolilerin nasıl numaralanacağı, eski ve yeni rafların nasıl eşleştirileceği gibi yöntem soruları arşiv taşımacılığı sayfamızda anlatılıyor. Burada konuya yalnız veri güvenliği tarafından bakıyoruz: kim sorumlu, hangi belge imzalanmalı ve taşıma sırasında hangi boşluklar risk yaratır.

Arşiv taşıması neden bir veri güvenliği işidir?

6698 sayılı Kişisel Verilerin Korunması Kanunu yalnız bilgisayardaki kayıtları kapsamaz. Bir veri kayıt sisteminin parçası olan kâğıt dosyalar da, yani isme ya da numaraya göre düzenlenmiş personel özlük dosyaları, müşteri sözleşmeleri, hasta kayıtları ve bordrolar da kanunun konusudur. Kanunun "işleme" tanımı verinin depolanmasını ve muhafaza edilmesini de kapsar; evrakın taşınma süresince korunması bu yükümlülüğün dışında kalmaz.

İhlal çoğu zaman bir siber saldırıyla değil, sıradan bir ihmalle olur. Taşınmada sık görülen riskler şunlardır:

• Kapağı açık kalmış bir koli, koridorda saatlerce bekler.
• Etikette "Personel dosyaları" yazdığı için koli herkesin dikkatini çeker.
• Araç, şoför molaya çıktığında kilitsiz kalır.
• Eski ofiste unutulan bir dolap, binanın yeni kiracısına kalır.
• Yeni ofiste koliler sayılmadığı için eksik olan haftalar sonra fark edilir.

Bu maddelerin hiçbiri pahalı bir önlem gerektirmez. Gerektirdiği şey, kimin neyi yapacağının önceden yazılmasıdır.

Veri sorumlusu kim, taşıyıcının rolü ne?

KVKK'da iki rol öne çıkar. Kanunun tanımıyla veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ya da tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Arşivini taşıtan şirket, hastane ya da kamu kurumu bu evraktaki verilerin veri sorumlusudur ve taşınma bu sıfatı değiştirmez. Kanunun veri güvenliğini düzenleyen 12. maddesi, veri sorumlusundan verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almasını ister. Aynı madde, veriler veri sorumlusu adına başka bir kişi tarafından işleniyorsa bu tedbirlerden ikisinin birlikte sorumlu olduğunu söyler. Veri işleyen de öğrendiği kişisel verileri başkasına açıklayamaz.

Taşıma firmasının bu tabloda veri işleyen sayılıp sayılmayacağı işin kapsamına göre değişebilir. Yalnız kapalı ve mühürlü kolileri bir binadan diğerine götüren bir taşıyıcı ile arşivi aylarca kendi deposunda saklayan bir hizmet sağlayıcı aynı konumda değildir. Bu nitelendirmeyi kurumunuzun hukuk birimi ya da KVKK danışmanı yapmalıdır. Pratik sonuç ise değişmez: önlemleri kurum belirler, taşıyıcıya yazılı olarak verir ve teslimde uygulandığını kontrol eder.

Gizlilik taahhüdü ve personel listesi

Taşıma sözleşmesine ya da ayrı bir protokole gizlilik hükümleri eklemek, kurumun aldığı idari tedbirin belgesidir. Böyle bir metinde genellikle şu maddeler bulunur:

• Taşıma personelinin evrakın içeriğine bakmayacağı, kopyalamayacağı ve fotoğraflamayacağı.
• İşte görev alacak personelin isim listesinin önceden verileceği ve listede olmayan kişinin çalışmayacağı.
• İşin alt yükleniciye ya da günlük işçiye devredilmeyeceği.
• Koli açılması, kaybolması ya da mühür bozulması gibi bir durumun derhal kuruma bildirileceği.
• Ara depolama varsa deponun yeri, erişim kuralları ve süresi.

Soylu Nakliyat'ta arşiv taşımasında görev alacak personel önceden bellidir ve kurum isterse liste paylaşılır. Ekibin tamamı kadrolu çalışanlardan oluşur; taşeron ya da günlük işçi çalışmaz. Kurumun ek güvenlik talepleri keşifte konuşulur ve sözleşmeye yazılır. Kendi standart gizlilik metniniz varsa onu da keşif aşamasında iletin; maddelerin sahada nasıl uygulanacağını birlikte gözden geçiririz. Arşiv daha geniş bir şirket taşımacılığı projesinin parçasıysa aynı maddeler genel sözleşmeye eklenir.

Mühürlü koli, numaralı envanter ve teslim tutanağı

Veri güvenliği açısından arşiv taşımasının omurgası üç belgedir. Aşağıdaki tablo her birinin neyi kanıtladığını ve kimin hazırladığını gösterir:

Birkaç ayrıntı fark yaratır. Koli etiketine içerik değil numara yazın: "İK 14-B" bir taşıyıcı için yeterlidir, "Maaş bordroları" ise gereksiz bilgi verir. İçerik listesi ayrı bir belgede, kurumun elinde kalsın. Özel nitelikli veri içeren dosyalar, örneğin sağlık raporu ya da adli sicil kaydı bulunan özlük dosyaları, ayrı renkte etiketlenip yükleme sırasında araçta ayrı bir bölümde tutulabilir. Hasta dosyalarının arşivin büyük kısmını oluşturduğu bir muayenehanede bu ayrım taşınmanın tamamını belirler; ruhsat ve cihaz süreciyle birlikte planı muayenehane taşıma yazımızda anlattık.

Kişisel veri içeren evrakı kurumun belirlediği personelin gözetiminde koliler, kolileri bantla kapatıp mühürleriz; kilitli dolaplar kapalı hâlde taşınır. Ekip belgelerin içeriğiyle ilgilenmez, yalnız koli ve raf numarasıyla çalışır.

Taşıma sırasında araç ve depo güvenliği

Evrakın binadan çıktığı an ile yeni rafına dizildiği an arasındaki süre, en az kontrol edilen aralıktır. Bu aralığı daraltmak için:

1. Yükleme ve boşaltmayı aynı gün bitirin. Kolilerin araçta gece beklemesi gerekiyorsa bunu plana yazın; aracın nerede ve kimin sorumluluğunda bekleyeceğini netleştirin.
2. Kapalı kasalı araç kullanın. Brandalı ya da açık kasalı araç arşiv için uygun değildir.
3. Aktarma yapılmasın. Kolilerin bir araçtan diğerine aktarılması hem kayıp hem karışma riski taşır. Kendi araçlarımızla, aktarmasız çalışırız.
4. Bina içindeki bekleme noktasını belirleyin. Kolilerin lobide ya da otoparkta gözetimsiz kalmaması için kurum personelinden biri yükleme noktasında bulunsun.

Arşivin bir bölümü yeni ofise sığmıyorsa ya da yeni rafların montajı bitmediyse depolama gündeme gelir. Bu durumda arşiv kameralı ve alarmlı depolarımızda koli numarası listesiyle saklanabilir; kurum belirli bir koli numarasını isteyerek arşivin bir bölümünü geri getirtebilir. Depoya giren her koli listedeki numarasıyla kayda alınır ve aynı listeyle geri verilir.

Arşivle birlikte giden diskler, USB bellekler ve CD'ler

Eski arşiv dolaplarından çoğu zaman yalnız kâğıt çıkmaz. Çekmecelerde yedek diskler, eski bilgisayarlardan sökülmüş sabit diskler, USB bellekler, CD ve DVD'ler, güvenlik kamerası kayıt cihazları bulunur. Bunlar kâğıt dosyadan daha küçük ama içerdiği veri bakımından çok daha büyüktür.

Bu ortamları arşiv kolilerine karıştırmayın. Kolilemeden önce kurumun IT birimi bir tur atıp veri taşıyan her ortamı ayırsın, listelesin ve kilitli bir kutuya koysun. Bu kutunun kurum personelinin kontrolünde taşınması en doğrusudur. Kullanılmayacak olanlar için verinin güvenli biçimde silinmesi ya da ortamın imhası, taşınmadan önce kurum prosedürüne göre yapılmalıdır.

Bir koli kaybolursa ya da mühür bozulursa

Önlemler bunun için alınır, ama bir aksaklık olursa ne yapılacağı da önceden bilinmelidir. Teslim sayımında bir koli eksikse ya da mührü bozuk bir koli çıkarsa:

• Durum tutanağa yazılır, iki tarafın yetkilisi imzalar.
• Taşıma ekibi kolinin son görüldüğü yeri, yükleme listesini ve araç içindeki yerleşimi kurumla birlikte gözden geçirir.
• Kurum, kolideki verilerin niteliğini içerik listesinden tespit eder.

KVKK'nın 12. maddesi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirmesini ister. Kurul, kendisine yapılacak bildirim için bu süreyi kararlarında ihlalin öğrenilmesinden itibaren 72 saat olarak yorumluyor. Bir kolinin kaybolması ya da açılması bu kapsama girip girmez, değerlendirmesi kurumun hukuk birimine aittir. Önemli olan, olayın taşıma günü fark edilmesi ve kayda geçmesidir; haftalar sonra fark edilen bir eksik hem araştırmayı hem bildirimi zorlaştırır. Numaralı envanter ve teslimde yapılan sayım tam olarak bunun için vardır.

Yeni ofiste arşivin kabulü ve imha edilecek evrak

Teslimde yapılacak iş basittir ama atlanmamalıdır: kurum yetkilisiyle birlikte koli sayımı yapılır, mühürler kontrol edilir ve sonuç tutanağa yazılır. Mührü bozulmuş bir koli varsa açılmadan ayrılır ve kurum yetkilisinin önünde incelenir. Sayım bitmeden taşıma ekibinin sahadan ayrılmaması gerekir.

İmha edilecek evrak ise taşınmamalıdır. Saklama süresi dolmuş belgeler, kurumun saklama ve imha politikasına göre taşınmadan önce ayrılır ve imha edilir. Takvim imhaya yetişmiyorsa bu koliler ayrı renkle işaretlenip yeni arşive karışmayacak şekilde ayrı tutulur. "Sonra bakarız" diye taşınan imhalık evrak yeni ofiste yıllarca yer kaplar ve gereksiz bir risk olarak orada kalır.

Saklama süreleri belge türüne göre değişir; bunları hukuk biriminiz ve mali müşavirinizle belirleyin. Genel ofis taşımasının diğer adımları için ofis taşıma planı yazımıza, sunucu ve veri içeren donanım için sunucu taşıma kontrol listemize bakabilirsiniz.

Taşımadan önce kurum içinde netleşecekler

Arşiv taşımasına kurum tarafında şu sırayla hazırlanmak, veri güvenliği açısından boşluk bırakmaz:

1. Arşivden sorumlu bir yetkili atayın; sayım ve teslim onayı bu kişiyle yapılsın.
2. İmhalık evrakı ayırın, taşınacak hacmi buna göre çıkarın.
3. Gizlilik maddelerini sözleşmeye ya da ek protokole yazdırın.
4. Personel listesini isteyin ve güvenlik biriminize iletin.
5. Etiket sistemini içerik bilgisi vermeyecek şekilde kurun.
6. Mühür ve tutanak biçimini belirleyin.
7. Depolama gerekiyorsa yerini, süresini ve erişim kuralını yazılı alın.
8. Teslimde sayıma ve mühür kontrolüne katılacak kişiyi belirleyin.

Hizmet verdiğimiz kurumlar arasında bakanlıklar, bankalar ve üniversiteler de var; listenin tamamı referanslar sayfamızda. Kendi müşterilerimizin verilerini nasıl işlediğimizi ise KVKK aydınlatma metnimizde açıkladık. Arşivinizin hacmini ve gizlilik ihtiyacını yerinde görmemiz için ücretsiz keşif isteyebilirsiniz; 444 37 43'ü arayın ya da info@soylunakliyat.com adresine kurumunuzun gizlilik şartlarıyla birlikte yazın.

Bu rehber genel bilgilendirme amaçlıdır. Taşınmanıza özel süre, araç ve ekip planı ile kesin fiyat, ücretsiz yerinde ya da görüntülü keşiften sonra yazılı sözleşmeye işlenir. Bilgi için 444 37 43 numarasını 7/24 arayabilirsiniz.