KVKK Uyumlu Kurumsal Mesajlaşma Nasıl Sağlanır? Kurumlar İçin Yol Haritası
KVKK uyumlu kurumsal mesajlaşma; kişisel verilerin belirli amaçlarla, yalnızca yetkili kullanıcılar tarafından, güvenli ve denetlenebilir iletişim kanalları üzerinden işlenmesini gerektirir. Bu yapının kurulması için güvenli bir mesajlaşma platformunun yanında veri envanteri, rol bazlı yetkilendirme, güçlü kimlik doğrulama, kayıt yönetimi, saklama politikaları ve çalışan farkındalığı birlikte ele alınmalıdır. Bir platformun belirli güvenlik özellikleri sunması, kurumu tek başına KVKK uyumlu hâle getirmez.
Kurum içindeki yazışmalar sırasında çalışan bilgileri, müşteri kayıtları, sözleşmeler, finansal belgeler, toplantı notları, görsel ve ses kayıtları gibi farklı veri türleri paylaşılabilir. Bu nedenle VimeSpace gibi kurumsal iletişim platformları değerlendirilirken yalnızca mesajlaşma ve video konferans özelliklerine bakılmamalıdır. Merkezi kullanıcı yönetimi, yetkilendirme, çok faktörlü kimlik doğrulama, denetim kayıtları ve kurumun altyapısına uygun kurulum seçenekleri de değerlendirmeye dâhil edilmelidir.
Benzer bir yaklaşım, çalışanların eğitim kayıtlarının ve kurumun bilgi birikiminin yönetildiği VimeLXP gibi kurumsal öğrenme ortamları için de gereklidir. VimeLXP’deki Vime AI Asistan; çalışanın kişisel bilgisini ve notlarını taşıyan VimeNotes ile kurumun eğitim içeriklerini, kurumsal videolarını ve wiki bilgisini kapsayan VimeGPT bileşenlerinden oluşur. Buradaki kişiselleştirilmiş öğrenme yolu, dışarıdan genel içerik öneren bir algoritma değildir; çalışanın kendi notları ile kurumun kendi bilgi birikimine dayanır. Bu yapıdaki kişisel ve kurumsal bilgilere erişimin de kontrollü biçimde yönetilmesi gerekir.
Kurumsal Mesajlaşma KVKK Açısından Neden Önemlidir?
Kurumsal mesajlaşma sistemleri, günlük iş akışının önemli bir bölümünü taşır. Çalışanlar bu sistemlerde yalnızca kısa mesajlar paylaşmaz; özlük belgeleri, müşteri bilgileri, teklif dosyaları, ödeme kayıtları, sağlık raporları, toplantı görüntüleri ve proje dokümanları da iletebilir.
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgiler kişisel veri kapsamında değerlendirilebilir. Bu nedenle kurumsal bir yazışmada geçen isim, telefon numarası veya e-posta adresinin yanı sıra kişiyle ilişkilendirilebilen ses, görüntü, çalışma kaydı ve değerlendirme bilgileri de koruma gerektirebilir.
Kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, aynı zamanda verilerin güvenli biçimde muhafaza edilmesini sağlamak veri sorumlusunun yükümlülükleri arasındadır. Kişisel Verileri Koruma Kurumu, kişisel veri güvenliği için teknik ve idari tedbirlerin bir bütün olarak ele alınması gerektiğini belirtmektedir.
Bu nedenle kurumsal mesajlaşma altyapısı yalnızca iletişim kolaylığı sağlayan operasyonel bir araç olarak görülmemelidir. Platform, kişisel verilerin kimler tarafından görüntülendiğini, nasıl paylaşıldığını, nerede saklandığını ve gerektiğinde nasıl silineceğini etkileyen veri işleme ortamlarından biridir.
Mesajlaşma Süreçlerindeki Veriler Nasıl Belirlenmelidir?
KVKK uyumunu destekleyen bir iletişim yapısının ilk adımı, mesajlaşma ortamında hangi verilerin işlendiğini belirlemektir. Kurumlar yalnızca gönderilen dosyaları değil, platformun oluşturduğu diğer kayıtları da değerlendirmelidir.
Bu kapsamda incelenebilecek başlıca veri alanları şunlardır:
Kullanıcı profilleri ve iletişim bilgileri
Bireysel ve grup mesajları
Paylaşılan belgeler ve görseller
Sesli ve görüntülü toplantı kayıtları
Ekran paylaşımları ve toplantı notları
Oturum, erişim ve işlem kayıtları
Kullanıcıların görev ve yetki bilgileri
Cihaz ve bağlantı bilgileri
Her veri türü için işleme amacı, erişim yetkisi, saklama süresi ve güvenlik ihtiyacı belirlenmelidir. Örneğin bir proje ekibinin çalışma dosyasıyla insan kaynaklarına ait sağlık belgesinin aynı erişim kurallarıyla korunması uygun olmayabilir.
Veri envanteri hazırlanırken kurum içinde gerçekte kullanılan iletişim kanalları da dikkate alınmalıdır. Resmî platformun yanında kişisel mesajlaşma hesapları, özel e-posta adresleri, haricî dosya aktarım araçları veya çalışanların kendi cihazlarında oluşturduğu kayıtlar bulunabilir. Görünmeyen veri akışları belirlenmeden hazırlanan politikalar, günlük çalışma düzenini tam olarak kapsamayabilir.
Erişim ve Kimlik Yönetimi Nasıl Yapılandırılmalıdır?
Kurumsal mesajlaşma ortamındaki her kullanıcı, yalnızca görevi için ihtiyaç duyduğu alanlara erişebilmelidir. Bu yaklaşım, gereksiz veri erişimini sınırlandırır ve olası bir hesap ihlalinin etkisini azaltır.
Rol bazlı yetkilendirme kapsamında departman, proje, görev ve sorumluluk seviyelerine göre farklı erişim alanları oluşturulabilir. İnsan kaynakları yazışmaları, finans belgeleri, yönetim görüşmeleri ve özel nitelikli kişisel veri içerebilecek kanallar genel çalışma gruplarından ayrılmalıdır.
Kullanıcı yaşam döngüsü de merkezi biçimde yönetilmelidir. Yeni çalışan için gerekli hesaplar tanımlanmalı, görev değişikliğinde erişimler güncellenmeli ve işten ayrılma durumunda hesaplar gecikmeden kapatılmalıdır. Yalnızca kullanıcı hesabını devre dışı bırakmakla yetinilmemeli; aktif oturumlar, kayıtlı cihazlar ve haricî paylaşımlar da kontrol edilmelidir.
LDAP, Active Directory ve tek oturum açma gibi kurumsal kimlik yönetimi yapıları, kullanıcı hesaplarının merkezi olarak yönetilmesine yardımcı olabilir. Bununla birlikte merkezi oturum açma, tek başına güçlü kimlik doğrulama anlamına gelmez.
Özellikle yönetici hesaplarında, uzaktan erişimde ve hassas verilere ulaşan kullanıcılarda çok faktörlü kimlik doğrulama kullanılmalıdır. Kişisel Verileri Koruma Kurumu da aynı kullanıcı bilgilerinin farklı sistemlerde tekrar edilmesi ve iki kademeli doğrulamanın kullanılmaması gibi eksikliklerin veri ihlallerine zemin hazırlayabildiğine dikkat çekmektedir.
Veri Saklama, Silme ve Kayıt Yönetimi Nasıl Planlanmalıdır?
Kurumsal mesajların süresiz olarak saklanması her zaman doğru yaklaşım değildir. Saklama süresi; verinin işlenme amacı, ilgili mevzuat, sözleşmesel yükümlülükler ve kurumun iş süreçleri dikkate alınarak belirlenmelidir.
Kurumlar mesaj, dosya ve toplantı kayıtları için ayrı saklama kuralları oluşturabilir. Günlük operasyonel bir mesajla hukuki veya mali yükümlülük doğuran bir belgenin aynı süreyle saklanması gerekmeyebilir. Saklama süresi sona erdiğinde verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi için uygulanabilir süreçler bulunmalıdır.
Yedekler de bu planın dışında bırakılmamalıdır. Ana sistemden silinen bir dosyanın yedeklerde belirsiz süreyle tutulması, kurumun saklama politikasını işlevsiz hâle getirebilir. Yedekleme sıklığı, geri yükleme yetkileri, koruma süreleri ve güvenli imha yöntemleri birlikte belirlenmelidir.
Denetim kayıtları ise sistemde gerçekleştirilen işlemlerin incelenebilmesini sağlar. Kullanıcının ne zaman giriş yaptığı, hangi yönetim işlemlerini gerçekleştirdiği veya hangi erişim değişikliklerinin uygulandığı gibi bilgiler olay araştırmalarına katkı sağlayabilir. Ancak kayıtların tutulması da başlı başına bir veri işleme faaliyetidir. Bu nedenle kayıtların kapsamı, erişim yetkisi ve saklama süresi açıkça tanımlanmalıdır.
Teknik ve İdari Tedbirler Birlikte Nasıl Uygulanmalıdır?
KVKK uyumunu yalnızca teknik özelliklere indirgemek önemli bir eksikliktir. Şifreleme, çok faktörlü kimlik doğrulama ve kayıt yönetimi gibi teknik kontroller; politikalar, görev tanımları, eğitimler ve denetim süreçleriyle desteklenmelidir.
Kurumların uygulayabileceği temel adımlar şunlardır:
Mesajlaşma ortamındaki kişisel verileri ve riskleri belirlemek
Onaylı iletişim kanallarını açık biçimde tanımlamak
Kullanıcı erişimlerini görev ve ihtiyaçla sınırlandırmak
Güçlü parola ve çok faktörlü doğrulama uygulamak
Hassas içeriklerin paylaşımı için özel kurallar oluşturmak
Mesaj, dosya ve toplantı kayıtlarının saklama sürelerini belirlemek
Kullanıcı ve yönetim işlemlerini düzenli olarak denetlemek
Veri ihlali ve hesap ele geçirilmesi senaryoları için müdahale planı hazırlamak
Çalışanlara periyodik bilgi güvenliği eğitimi vermek
Politika ve yetkileri düzenli aralıklarla gözden geçirmek
Çalışan eğitimlerinde yalnızca mevzuat kavramlarına yer verilmemelidir. Yanlış kişiye dosya gönderme, geniş katılımlı gruplarda hassas belge paylaşma, doğrulama kodunu başka biriyle paylaşma veya iş yazışmalarını kişisel hesaplara aktarma gibi günlük örnekler üzerinden ilerlenmelidir.
Olası bir veri ihlali durumunda kimin bilgilendirileceği, etkilenen hesapların nasıl kapatılacağı, kayıtların kim tarafından inceleneceği ve olayın nasıl belgeleneceği önceden belirlenmelidir. Güvenlik süreci, ihlal meydana geldikten sonra oluşturulan geçici kararlarla yönetilmemelidir.
Kurumlar İçin Uygulanabilir Yol Haritası
İlk aşamada BT, bilgi güvenliği, insan kaynakları ve ilgili iş birimleri ortak bir çalışma yürütmelidir. Mevcut iletişim kanalları, kullanıcı grupları, veri türleri ve güvenlik açıkları belirlenmelidir.
İkinci aşamada kurumun teknik ve operasyonel ihtiyaçlarını karşılayacak merkezi iletişim altyapısı seçilmelidir. Platformun kullanıcı yönetimi, yetkilendirme, MFA, denetim kaydı, kurumsal dizin entegrasyonları ve kurulum modeli değerlendirilmelidir. Verinin nerede tutulduğu ve kurumun altyapı üzerindeki kontrol düzeyi de karar sürecine dâhil edilmelidir.
Üçüncü aşamada pilot uygulama yapılmalıdır. Belirli bir ekip üzerinden erişim kuralları, kullanıcı deneyimi, cihaz kaybı, hesap kurtarma, dosya paylaşımı ve oturum yönetimi test edilebilir. Pilot aşamada ortaya çıkan ihtiyaçlara göre politikalar güncellenmelidir.
Son aşamada sistem tüm ilgili kullanıcılara açılmalı, düzenli erişim kontrolleri ve farkındalık eğitimleri başlatılmalıdır. Uyum çalışması tek seferlik bir proje olarak görülmemelidir. Yeni ekipler, değişen görevler, güncellenen teknolojiler ve farklı çalışma modelleri nedeniyle yapı periyodik olarak yeniden değerlendirilmelidir.
VimeSpace; merkezi kullanıcı yönetimi, MFA, Audit Log, yetkilendirme, LDAP, Active Directory ve SSO entegrasyonları ile farklı kurulum seçenekleri üzerinden kurumların güvenli iletişim süreçlerini planlamasına katkı sağlayabilir. Bu özellikler tek başına KVKK uyumu anlamına gelmez; kurumun kendi veri işleme amaçları, politikaları ve idari tedbirleriyle birlikte yapılandırılmalıdır. Kurumunuzun iletişim ihtiyaçlarına uygun yapıyı değerlendirmek için Vimesoft ekibiyle iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
KVKK Kurumsal Mesajlaşmaları Kapsar mı?
Kurumsal yazışmalarda kimliği belirli veya belirlenebilir gerçek kişilerle ilişkilendirilen bilgiler bulunuyorsa bu veriler KVKK kapsamında değerlendirilebilir. Mesajlar, paylaşılan dosyalar, ses ve görüntü kayıtları da içeriklerine göre kişisel veri barındırabilir.
Güvenli Bir Mesajlaşma Platformu Kullanmak KVKK Uyumu İçin Yeterli midir?
Hayır. Güvenli bir platform teknik tedbirleri destekler ancak uyum için işleme amacı, erişim yetkileri, saklama süreleri, çalışan eğitimi ve kurum içi politikalar da belirlenmelidir.
Kurumsal Mesajlar Ne Kadar Süre Saklanmalıdır?
Tüm kurumlar için geçerli tek bir süre bulunmaz. Süre; işleme amacı, hukuki yükümlülükler, sözleşmeler ve kurumun saklama politikası dikkate alınarak belirlenmelidir. Gereklilik ortadan kalktığında uygun silme, yok etme veya anonimleştirme süreçleri uygulanmalıdır.
Çalışanların Tüm Mesajlarına Yöneticiler Erişebilir mi?
Erişim yetkileri amaçla bağlantılı, ölçülü ve görev gereklilikleriyle sınırlı olmalıdır. Yöneticilik sıfatı, tüm yazışmalara sınırsız erişim verilmesi için tek başına yeterli kabul edilmemelidir. Yetkiler kurumun politikaları ve ilgili yükümlülükler doğrultusunda tanımlanmalıdır.
MFA Kullanılması KVKK Uyumunu Sağlar mı?
MFA, hesap güvenliğini güçlendiren önemli bir teknik tedbirdir ancak tek başına KVKK uyumu sağlamaz. Yetkilendirme, kayıt yönetimi, veri saklama, çalışan eğitimi ve diğer teknik idari önlemlerle birlikte uygulanmalıdır.
