KVKK ve e-posta: kişisel verileri e-postayla paylaşırken dikkat edilmesi gerekenler
Müşteri listeleri, kimlik fotokopileri ve özlük dosyaları e-postayla gönderilir mi? Kişisel Verilerin Korunması Kanunu açısından e-posta kullanımında temel ilkeler.
E-posta, şirketlerin kişisel veriyi en sık işlediği ve paylaştığı kanaldır: müşteri bilgileri, özgeçmişler, faturalar, kimlik fotokopileri... 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verilerin güvenliğini sağlamak için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirin" alınmasını ister.
Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez. Kurumunuza özel değerlendirme için bir hukukçuya başvurun.
Temel ilkeler
Gereklilik ve ölçülülük
Yalnızca amaç için gerekli olan veriyi gönderin. Bir faturayı düzeltmek için müşterinin kimlik numarasının tamamına gerçekten ihtiyaç var mı?
Doğru alıcı
En sık yaşanan ihlal türlerinden biri, iletinin yanlış kişiye gönderilmesidir.
- Otomatik tamamlamanın önerdiği adresi göndermeden önce kontrol edin.
- Toplu gönderimlerde alıcıları Bcc alanına yazın; Kime/Cc alanında birbirlerinin adreslerini görmesinler.
Özel nitelikli veriler
Sağlık bilgileri, biyometrik veriler, sabıka kaydı gibi özel nitelikli kişisel veriler için daha sıkı önlemler gerekir. Bu tür verileri düz e-posta eki olarak göndermek yerine şifreli dosya veya güvenli paylaşım yöntemlerini tercih edin.
Teknik önlemler
- Şifreli bağlantı: E-posta istemcilerinizde IMAP ve SMTP için SSL/TLS kullanın (port rehberi).
- Erişim kontrolü: Her çalışanın yalnızca kendi posta kutusuna erişmesi, ortak kutularda parola paylaşılmaması.
- Kayıt tutma: Kimin hangi hesaba ne zaman eriştiğinin izlenebilmesi. COREMAIL işlem kayıtları bu amaçla kullanılabilir.
- Saklama süresi: Gereğinden uzun süre saklanan e-postalar risktir. Kurumsal saklama politikası belirleyin ve arşivleme düzeni kurun.
Çalışan ayrılışları
Ayrılan bir çalışanın posta kutusunda müşterilere ait kişisel veriler bulunur. Erişimin derhal kapatılması ve kutunun kontrollü şekilde devredilmesi gerekir (çalışan ayrılış rehberi).
Aydınlatma
Web sitenizdeki iletişim formları ve e-posta ile topladığınız veriler için bir aydınlatma metni yayınlamanız gerekir. COREMAIL'in iletişim formu, gönderim öncesinde aydınlatma metninin okunduğunu onaylatır.