​

Kişisel verilerin güvenliğinin sağlanması için öncelikle veri sorumlusu tarafından işlenen tüm kişisel verilerin neler olduğunun, bu verilerin korunmasına ilişkin ortaya çıkabilecek risklerin gerçekleşme olasılığının ve gerçekleşmesi durumunda yol açacağı kayıpların doğru bir şekilde belirlenerek buna uygun tedbirlerin alınması gerekmektedir.

 

​

 

• Kişisel verilerin özel nitelikli kişisel veri olup olmadığı,

• Mahiyeti gereği hangi derecede gizlilik seviyesi gerektirdiği,

• Güvenlik ihlali halinde ilgili kişi bakımından ortaya çıkabilecek zararın niteliği ve niceliği dikkate alınmalıdır.

• Bu risklerin tanımlanması ve önceliğinin belirlenmesinden sonra; söz konusu risklerin azaltılması ya da ortadan kaldırılmasına yönelik kontrol ve çözüm alternatifleri; maliyet, uygulanabilirlik ve yararlılık ilkeleri doğrultusunda değerlendirilmeli, gerekli teknik ve idari tedbirler planlanarak uygulamaya konulmalıdır.

 

Risk analizi çalışmasında;

• Kişisel verilerin sınıflandırılması, kategorilerinin belirlenmesi,

• Veri konusu kişi gruplarının tespiti,

• Veri hacminin tespiti,

• Veri işleme süreçlerinin belirlenmesi,

• Görev tanımları ve Yetki / Sorumluluk matrisi,

• Kişisel verilerin aktarım süreçlerinin tespiti, (alıcı grupları ve yurtiçi/yurtdışı aktarım)

• Kişisel verilerin muhafaza edilme yöntemlerinin tespiti,

• Bilgi Güvenliği, Kişisel Veri ve Siber olay ihlal kontrol sistemlerinin yeterliğinin tespiti,

• Veri koruma için gereken teknik korumanın hangi seviyede olduğunun belirlenmesi,

• Güvenlik ihlali halinde ilgili kişi bakımından ortaya çıkabilecek zararın niteliği ve niceliği dikkate alınmalıdır.

 

Risk analizi ile kişisel verilere yönelik risklerin tanımlanması ve önceliğinin belirlenmesinden sonra; söz konusu risklerin azaltılması ya da ortadan kaldırılmasına yönelik kontrol ve çözüm alternatifleri; maliyet, uygulanabilirlik ve yararlılık ilkeleri doğrultusunda değerlendirilmeli, gerekli teknik ve idari tedbirler planlanarak uygulamaya konulmalıdır. Bu tedbirler, her zaman yüksek maliyet gerektirmemekte olup, söz konusu tedbirlerin masrafsız ya da düşük maliyetli olarak alınması veya halihazırda sistemlerde mevcut olması da mümkündür.