GDPR GDPR

GDPR, kişisel bilgilerle ilgili bir Avrupa yasasıdır. Kişisel bilgi, yaşayan bir kişiyi gösteren her şeydir. Bir ad, bir e-posta adresi, bir telefon numarası, bir fotoğraf, geçmiş siparişlerin listesi. Yasa sizden üç şey ister. Bu bilgiyi açık bir sebeple tutun, koruyun ve kişi istediğinde ona verin ya da silin.

Herkesin aklında kalan kısım 72 saattir. Kişisel bilgi kaybolur ya da çalınırsa ve bu birine zarar verebilecekse, veri koruma kurumuna bildirmek için üç gününüz vardır. Üç gün, durumu fark ettiğiniz andan başlar; ne olduğunu tam anladığınız andan değil. Kişiler için risk büyükse onlara da haber verirsiniz. Süre bilerek kısadır. Bu yüzden bu bildirimi şirketinizde kimin yapacağına bugün karar vermek, dolapta duran herhangi bir prosedür dosyasından daha önemlidir.

Avrupa'da olmanız gerekmez. Yasa şirketi değil kişiyi izler. Almanya'ya sipariş gönderen Kahire'deki bir dükkân kapsamdadır. İngiliz hastaları olan Dubai'deki bir klinik de, Fransa'daki ailelere kurs satan bir okul da öyle. Yalnızca kendi ülkenizdeki müşterilere hizmet ediyor ve Avrupa'yı hedeflemiyorsanız kapsam dışındasınız. Bir Avrupalının siteye rastgele girebiliyor olması tek başına yetmez.

Kendi ülkenizin de artık büyük ihtimalle kendi yasası var ve birbirlerine benziyorlar. Mısır'ın 2020 tarihli 151 sayılı yasası rıza, özen ve adı belli bir sorumlu ister. Suudi Arabistan ve Birleşik Arap Emirlikleri'nin kendi sürümleri var, Türkiye'nin ise 2016'dan beri. Sözcükler değişir. İstenen alışkanlıklar aynıdır. Daha az toplayın, daha kısa saklayın, düzgün kilitleyin ve kimin görebildiğini söyleyebilin.

Uygulamada bu, hukuktan çok bir kurma meselesidir. Linkysoft bir web uygulamasına başlarken, işin gerçekten hangi alanlara ihtiyacı olduğunu sorarız; çünkü hiç toplamadığınız bir alan sızamaz. Bir müşteriyi her tablodan, her rapordan ve her yedekten eksiksiz silmek, sonradan eklemesi en acılı parçadır. Linkysoft bunu ve 72 saat kuralını sonda hazırlanan evraklara değil, siber güvenlik planına koyar.