ISO 27701 Nedir? KVKK ile İlişkisi

ISO/IEC 27701, kişisel verilerin korunması için bir gizlilik bilgi yönetim sistemi (PIMS – Privacy Information Management System) kurmaya yönelik uluslararası standarttır. Bilgi güvenliği yönetim sistemi standardı ISO 27001'in kişisel veri boyutunu tamamlar: ISO 27001 bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korurken, ISO 27701 kişisel verinin hangi amaçla, hangi hukuki dayanakla ve nasıl işlendiğini yönetilebilir hale getirir.

Kişisel veri işleyen her kurum, Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK), Avrupa ile iş yapıyorsa Genel Veri Koruma Tüzüğü'ne (GDPR) uymak zorundadır. ISO 27701 bu yükümlülüklerin tek tek kontrol listeleriyle değil, düzenli işleyen bir yönetim sistemiyle takip edilmesini sağlar.

ISO 27701 Ne İşe Yarar?

• Kişisel veri envanterini düzenli tutar: Hangi verinin nerede, hangi amaçla ve ne kadar süre tutulduğu belgelenir.
• Rolleri netleştirir: Kurumun veri sorumlusu mu, veri işleyen mi, yoksa her ikisi mi olduğu tanımlanır; her rolün yükümlülükleri ayrı ayrı ele alınır.
• İlgili kişi haklarını yönetir: Bilgi talepleri, silme ve düzeltme başvuruları gibi süreçler tanımlı bir akışa bağlanır.
• Tedarikçi ve aktarım risklerini kontrol eder: Veriyi işleyen dış hizmet sağlayıcılar ve yurt dışı aktarımlar sistematik olarak değerlendirilir.
• Denetlenebilirlik sağlar: Uygunluk, iç denetimlerle ve gerektiğinde bağımsız belgelendirmeyle gösterilebilir.

ISO 27701 ile ISO 27001 Arasındaki İlişki

ISO 27701 kurumların çoğunda ISO 27001'in üzerine kurulur. Mevcut bilgi güvenliği yönetim sistemindeki risk değerlendirmesi, politika yapısı, iç denetim ve yönetimin gözden geçirmesi süreçleri kişisel veri gereksinimleriyle genişletilir. Bu sayede iki ayrı sistem kurmak yerine tek, entegre bir yönetim sistemi işletilir.

ISO 27001'i henüz kurmamış kurumlar için doğru sıra genellikle önce bilgi güvenliği altyapısının oluşturulması, ardından gizlilik boyutunun eklenmesidir.

ISO 27701, KVKK Uyumunun Yerine Geçer mi?

Hayır. ISO 27701 bir yönetim sistemi standardıdır; KVKK ise yasal bir yükümlülüktür. Bir kurumun ISO 27701 belgesine sahip olması, KVKK'ya uygun olduğu anlamına gelmez. Ancak standart; aydınlatma, açık rıza, veri güvenliği tedbirleri, saklama ve imha gibi KVKK başlıklarının kim tarafından, hangi sıklıkla ve nasıl takip edildiğini düzene sokar. Bu da denetimlerde ve olası ihlal durumlarında kurumun elini güçlendirir.

ISO 27701 Kurulumu Nasıl Yapılır?

1. Kapsamın belirlenmesi: Hangi süreçlerin ve sistemlerin dahil olacağı netleştirilir.
2. Veri envanteri ve rol analizi: Kişisel veri akışları çıkarılır, veri sorumlusu ve veri işleyen rolleri belirlenir.
3. Risk değerlendirmesi: Mahremiyet riskleri mevcut bilgi güvenliği riskleriyle birlikte değerlendirilir.
4. Politika ve süreçlerin güncellenmesi: Kişisel veriye özel kontroller mevcut yönetim sistemine eklenir.
5. Farkındalık eğitimleri: Kişisel veriyle çalışan personel bilgilendirilir.
6. İç denetim ve gözden geçirme: Sistem denetlenir, eksikler kapatılır, gerekirse belgelendirme sürecine geçilir.

Ekibiniz İçin Sonraki Adım

Akadem Danışmanlık'ın ISO 27001 eğitimi, bilgi güvenliği yönetim sistemiyle birlikte ISO 27701 gizlilik gereksinimlerini de kurumunuzun yapısına göre ele alır. Uygulamayı derinleştirmek isteyen ekipler için ISO 27001 Practitioner eğitimi, tüm çalışanlar için ise siber güvenlik farkındalığı eğitimi planlanabilir.