Veri gizliliği ve veri kalitesi: önce neyi düzeltmeli

Veri gizliliği yasaları genellikle hukuki bir konu olarak ele alınır: politikalar, onay metinleri, sözleşmeler. Ancak gerekliliklerinin çoğu, ancak şirket hangi kişisel verilere sahip olduğunu, bunların nerede saklandığını ve doğru olup olmadığını biliyorsa karşılanabilir. Bu bir veri kalitesi meselesidir.

Bu yazıda gizlilik yasalarının günlük veri sorunlarıyla nerede kesiştiğini ve önce neyin düzene sokulması gerektiğini gösteriyoruz. Ana örnek olarak AB'nin Genel Veri Koruma Tüzüğü'nü (GDPR) kullanıyoruz, çünkü dünyadaki pek çok başka yasa benzer fikirleri izler. Kesin kurallar ve süreler ülkeden ülkeye farklılık gösterir. Bu genel bir değerlendirmedir, hukuki tavsiye değildir: Kendi durumunuz için bir avukata danışın.

Kısaca GDPR

• Kapsam. AB'deki kuruluşlara uygulanır ve AB'deki kişilere mal veya hizmet sunan başka yerlerdeki şirketleri de kapsayabilir. Dolayısıyla o ülkede ofisiniz olmasa bile bir yasa sizin için geçerli olabilir.
• Zaman çizelgesi. 25 Mayıs 2018'den beri uygulanmaktadır.
• Yaptırımlar. En yüksek para cezaları 20 milyon EUR'ya veya dünya çapındaki yıllık cironun %4'üne (hangisi daha yüksekse) ulaşır.

Gizlilik yasası veri kalitesiyle nerede kesişir

Hatalı veriler düzeltilmelidir

Kişisel veriler doğru ve güncel tutulmalıdır; kişiler hataların düzeltilmesini talep edebilir. Aynı müşterinin CRM'de, sadakat sisteminde ve faturalama sisteminde bulunduğu bir şirket için bu basit bir düzenleme değildir. Tek bir müşteri kaydı olmadan düzeltme bir sisteme ulaşır, eski değer ise diğerlerinde yaşamaya devam eder.

Kişilerden gelen taleplerin bir süresi vardır

Kişiler verilerine erişim, bunların düzeltilmesi veya silinmesi talebinde bulunabilir. GDPR kapsamında şirketin yanıt vermek için genellikle bir ayı vardır; bu süre uzatılabilir. Yanıt verebilmek için bir kişiye ait tüm kayıtları bulmanız gerekir. Mükerrer kayıtlar, bir adın farklı yazımları ve farklı formatlardaki telefon numaraları bu aramayı güvenilmez kılar.

Bir ihlal az zaman bırakır

GDPR kapsamında, kişiler için risk oluşturan bir ihlal, öğrenildiği andan itibaren 72 saat içinde denetim makamına bildirilmelidir. Bu süre içinde hangi verilerin ve kimin verilerinin etkilendiğini anlamanız gerekir. Verilerinin envanteri olmayan bir şirket bu süreyi yalnızca bu soruyu yanıtlamaya çalışarak geçirir.

Verilerin nasıl işlendiğini bilmeniz gerekir

Şirketlerin genellikle işleme faaliyetlerinin kaydını tutması ve yüksek riskli işlemelerin risklerini değerlendirmesi gerekir. Bunu veri soyağacı olmadan, yani verilerin nereden gelip nereye gittiğine dair net bir resim olmadan dürüstçe yapmak zordur. Kimsenin belgelemediği raporlar ve dışa aktarımlar her zamanki kör noktalardır.

Onay izlenebilir olmalıdır

İşleme onaya dayanıyorsa şirket bu onayın verildiğini gösterebilmelidir. Pazarlama tipik bir örnektir. Onay durumu bir sistemde tutuluyor ve e-posta listesi başka bir sistemden dışa aktarılıyorsa, farkında olmadan onayını geri çekmiş kişilerle iletişime geçebilirsiniz.

Önce neyi düzeltmeli

1. Kişisel verilerin envanterini çıkarın

Kişisel verilerin nerede saklandığını listeleyin: temel sistemler, tablolar, dışa aktarımlar, yedekler ve harici hizmetler. Hangi alanların, neden ve ne kadar süreyle tutulduğunu kaydedin. Bu, neredeyse diğer her şeyin temelidir.

2. Sahipleri atayın

Her kişisel veri setinin iş tarafında sorumlu bir veri sahibine ve onunla günlük olarak ilgilenen bir veri kâhyasına ihtiyacı vardır. Bunlar olmadan bir düzeltme veya silme talebinin gidebileceği kimse olmaz. İki rolün nasıl farklılaştığına göz atın.

3. Müşteri ana kaydını düzene sokun

Müşteri verileri için hangi sistemin doğruluk kaynağı olduğuna ve mükerrer kayıtların nasıl tespit edilip birleştirileceğine karar verin. Bu klasik bir MDM görevidir ve faydası uyumun çok ötesine geçer: Raporlar ve pazarlama da daha doğru hale gelir.

4. Kilit alanlar için kalite kuralları belirleyin

Telefon numaraları, kimlik numaraları, e-posta adresleri, onay durumu ve tarihler net formatlara ve otomatik kontrollere ihtiyaç duyar. Bir kişiyi tanımlamak için kullanılan alanlarla başlayın. Bir veri kalitesi denetimi sorunların nerede olduğunu gösterir.

5. Veri akışlarını belgeleyin

Kişisel verilerin sistemler arasında nasıl hareket ettiğini ve hangi raporların ve dışa aktarımların bu verileri içerdiğini tanımlayın. Varlığından haberdar olmadığınız kopyalar düzeltilemez veya silinemez.

6. Prosedürleri prova edin

Bir test kişisi alın ve onun tüm verilerini bulmayı, düzeltmeyi ve bir yanıt hazırlamayı deneyin. Bir ihlal tatbikatı da yapın. Prova, riskler henüz düşükken sürecin nerede aksadığını hızla gösterir.

Özet

Hukuki belgeler bir şirketin ne yapmayı taahhüt ettiğini açıklar. Bunu gerçekten yapıp yapamayacağını ise veri kalitesi belirler. Envanter, net sahipler, tek bir müşteri kaydı ve otomatik kontroller; talepleri, düzeltmeleri ve ihlal müdahalesini her ülkede çok daha kolay hale getirir ve aynı çalışma raporlamayı da iyileştirir.

Bu çalışmanın veri tarafında yardımcı olabiliriz: Veri Güvenliği ve Veri Kalitesi hizmetlerimize göz atın. Yükümlülüklerinizin hukuki değerlendirmesi avukatlarınızda kalır.

Kaynaklar

• General Data Protection Regulation (EU) 2016/679, EUR-Lex