Kişisel veri, hassas veri, ticari sır ve kimlik bilgileri istem…

Doğrudan cevap

Koruma, verinin yalnız ilk girildiği ekranda değil bütün yolculuğunda uygulanır: istem, yüklenen dosya, bilgi seçimi kaynağı, vektör kaydı, kısa veya uzun süreli hafıza, araç girdisi, araç çıktısı, olay kaydı, önbellek ve dış sağlayıcı. Her aşamada amaç, hukukî dayanak veya yetki, gerekli en az veri, erişebilecek roller, saklama süresi, dışa aktarım, eğitimde yeniden kullanım ve silme yolu ayrı kaydedilir. Sırlar mümkünse isteme yazılmaz; güvenli sır yönetimi ve kontrollü başvuru kullanılır.

Sade dille

Evinizin anahtarını düşünün. Anahtarı bir kez güvenilir bir kişiye vermeniz, onun fotoğrafını bütün defterlere yapıştırmanız gerektiği anlamına gelmez. Bilgi de ne kadar çok yere kopyalanırsa kontrolü, güncellenmesi ve silinmesi o kadar zorlaşır.

Neden önemli?

Gereksiz kopyalar veri sızıntısı, yetkisiz yeniden kullanım, yanlış kişiye bağlama ve silme taleplerinin eksik uygulanması riskini büyütür. Bir model cevabı doğru olsa bile o cevaba gereksiz gizli veri kullanılarak ulaşılmış olabilir.

Karıştırma

Kişisel veri, belirli veya belirlenebilir kişiyle ilgili bilgidir; somut hukukî kapsam yargı alanına göre değerlendirilir.
Hassas veya özel nitelikli veri, daha yüksek zarar ve koruma ihtiyacı taşıyan veri sınıflarını ifade eder.
Ticari sır ve erişim anahtarı kişisel veri olmak zorunda değildir; yine de sıkı korunmalıdır.
Bilgi seçimi için erişim, eğitimde yeniden kullanım izni anlamına gelmez.
Olay kaydı tutma, önbellekleme, hafızada tutma ve dışa aktarma ayrı işleme faaliyetleridir.

Ne yapmalısın?

İstemden araç çıktısına kadar bütün veri yollarını ve kopyaları envantere alın.
Her veri alanı için amaç, sahip, yetkili roller, saklama süresi ve silme yolunu belirleyin.
Gereksiz alanları toplamadan önce çıkarın; mümkünse maskeleme, redaksiyon veya takma ad kullanın.
Parola, API anahtarı ve benzeri sırları isteme gömmek yerine güvenli sır yöneticisinden işlem anında sağlayın.
Bilgi seçimi, hafıza, araç ve olay kaydı erişimlerini en az yetki ve ayrıntılı kayıtla sınırlandırın.
Dış sağlayıcıya giden verinin saklama, eğitim kullanımı, aktarım ve silme koşullarını doğrulayın.
Silme veya kısıtlama talebini yalnız ana kayıtta değil türetilmiş kopya ve bağlı sonraki sistemlerde de test edin.

Nasıl denetlersin?

Hangi veri hangi amaçla, hangi sisteme ve hangi sağlayıcıya gidiyor?
Gerekli olmayan kişisel, hassas veya gizli alanlar istemde bulunuyor mu?
Bilgi seçimi, hafıza, vektör kaydı, olay kaydı ve önbellek ayrı ayrı envantere alınmış mı?
Erişim ve sırlar görev için gereken en düşük yetkiyle sınırlandırılmış mı?
Veri eğitim veya ürün iyileştirme için yeniden kullanılıyorsa bunun dayanağı ve sınırı kayıtlı mı?
Saklama süresi dolduğunda bütün ilgili kopyaların silindiği doğrulanabiliyor mu?
İhlal veya yanlış açıklama hâlinde olay ve bildirim süreci tanımlı mı?

Sınır

Bu kayıt hukukî uygunluk görüşü değildir. Kişisel ve hassas veri tanımları, geçerli hukukî dayanak, aktarım, saklama, bildirim ve kişi hakları yargı alanına ve somut kullanıma göre değişir; riskli uygulamalar yetkili gizlilik ve hukuk uzmanı tarafından incelenmelidir.