ISO 27701 Kişisel Veri / Gizlilik Bilgi Yönetim Sistemi

ISO 27701 – Kişisel Veri / Gizlilik Bilgi Yönetim Sistemi (PIMS)

ISO 27701 Nedir?

ISO/IEC 27701, kuruluşların kişisel verileri koruma, gizlilik risklerini yönetme ve veri işleme süreçlerini güvenli hale getirme amacıyla geliştirilmiş uluslararası bir standarttır.
Bu standart, ISO/IEC 27001 (Bilgi Güvenliği Yönetim Sistemi) ve ISO/IEC 27002 (Bilgi Güvenliği Kontrolleri) üzerine inşa edilmiştir.
Resmî adıyla “ISO/IEC 27701:2019 – Security techniques – Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management – Requirements and guidelines” olarak geçer.

Yani ISO 27701, ISO 27001’in bir uzantısıdır ve kişisel verilerin korunmasına yönelik özel gereklilikleri içerir.
Bu nedenle genellikle “Gizlilik Bilgi Yönetim Sistemi (Privacy Information Management System – PIMS)” olarak anılır.

Amacı

ISO 27701’in temel amacı, kuruluşların kişisel verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumalarını sağlamaktır.
Ayrıca kişisel verilerin yasalara (örneğin KVKK – Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu veya AB’de GDPR – General Data Protection Regulation) uygun olarak işlenmesini güvence altına alır.

Bu standart, veri sorumluları ve veri işleyenler için:

• Kişisel veri koruma süreçlerini tanımlama,

• Gizlilik risklerini yönetme,

• Uyum ve denetim gerekliliklerini karşılama
  imkânı sağlar.

ISO 27701 Neden Önemlidir?

Günümüzde kişisel veriler, dijital dünyada en hassas bilgiler arasında yer alır.
Siber saldırılar, veri sızıntıları, yetkisiz erişimler veya yanlış veri işleme uygulamaları hem bireyler hem de kurumlar için ciddi sonuçlar doğurabilir.

ISO 27701, bu tür riskleri azaltmak için sistematik bir yönetim modeli sunar.
Kuruluşlar bu standardı uygulayarak:

• Kişisel veri koruma yükümlülüklerini yerine getirir,

• KVKK ve GDPR gibi yasal düzenlemelere uyum sağlar,

• Müşteri ve paydaş güvenini artırır,

• Veri gizliliği kültürünü kurumsallaştırır,

• Uluslararası rekabette avantaj elde eder.

ISO 27701 ve ISO 27001 Arasındaki İlişki

ISO 27701, bağımsız bir standart değildir; ISO 27001 ve ISO 27002 standartlarına bir eklenti (extension) olarak tasarlanmıştır.
Yani bir kuruluşun ISO 27701 belgesi alabilmesi için önce ISO 27001 standardını uygulamış olması gerekir.

ISO 27001, bilgi güvenliğini genel anlamda yönetirken;
ISO 27701, kişisel verilerin korunması ve gizlilik yönetimini ek olarak düzenler.

Kısaca:

• ISO 27001 = Bilgi Güvenliği Yönetimi

• ISO 27701 = Bilgi Güvenliği + Kişisel Veri Gizliliği Yönetimi

ISO 27701’in Kapsamı

Standart, iki tür kuruluşu kapsar:

1. Veri Sorumluları (Data Controllers): Kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen kuruluşlar.

2. Veri İşleyenler (Data Processors): Veri sorumlusu adına kişisel verileri işleyen kuruluşlar.

Her iki taraf için de farklı gereklilikler tanımlanmıştır.
Örneğin; veri sorumluları politikalar, risk analizleri ve şeffaflık ilkeleri oluşturmakla yükümlüyken, veri işleyenler güvenlik tedbirlerini uygulamak ve veri ihlali bildirim süreçlerini yönetmekle yükümlüdür.

ISO 27701’in Temel İlkeleri

1. Yasal Uyumluluk: Kişisel verilerin yerel ve uluslararası gizlilik yasalarına uygun olarak işlenmesi.

2. Şeffaflık: Kişisel verilerin nasıl toplandığı, işlendiği, saklandığı ve paylaşıldığının açıkça belirtilmesi.

3. Veri Minimizasyonu: Sadece gerekli kişisel verilerin toplanması ve işlenmesi.

4. Doğruluk: Kişisel verilerin güncel, doğru ve eksiksiz tutulması.

5. Saklama Sınırlaması: Verilerin sadece gerekli süre boyunca saklanması.

6. Bütünlük ve Gizlilik: Kişisel verilerin güvenliğini sağlamak için uygun teknik ve organizasyonel önlemlerin alınması.

7. Hesap Verebilirlik: Kuruluşun tüm gizlilik yönetimi faaliyetlerinden sorumlu olması.

ISO 27701 Uygulama Adımları

1. ISO 27001 ve ISO 27002’nin gerekliliklerinin uygulanması.

2. Kuruluşun kişisel veri işleme faaliyetlerinin belirlenmesi.

3. Gizlilik risklerinin tanımlanması ve değerlendirilmesi.

4. Gizlilik politikası ve prosedürlerinin hazırlanması.

5. Veri sahiplerinin haklarını (erişim, silme, düzeltme vb.) koruma mekanizmalarının oluşturulması.

6. Kişisel veri koruma farkındalık eğitimlerinin verilmesi.

7. İç denetimlerin yapılması ve yönetimin gözden geçirmesi.

8. Sürekli iyileştirme faaliyetlerinin yürütülmesi.

ISO 27701 Belgesinin Faydaları

• KVKK ve GDPR gibi yasal düzenlemelere uyum sağlar.

• Kurumsal itibar ve müşteri güvenini güçlendirir.

• Veri gizliliği risklerini azaltır.

• Bilgi güvenliği yönetim sistemini genişletir.

• Denetimlerde uyum kanıtı olarak kullanılabilir.

• Uluslararası alanda geçerlilik ve rekabet avantajı sağlar.

ISO 27701 Belgelendirme Süreci

1. Mevcut durum analizi (gap analizi) yapılır.

2. ISO 27001 sistemi varsa, 27701 gereklilikleri eklenir.

3. Gizlilik yönetimi dokümantasyonu hazırlanır.

4. Eğitimler ve farkındalık çalışmaları gerçekleştirilir.

5. Uygulama ve iç denetim yapılır.

6. Belgelendirme kuruluşu tarafından dış denetim gerçekleştirilir.

7. Denetim başarıyla tamamlanırsa ISO 27701 sertifikası alınır.