Mersin Üniversitesi Bilgi İşlem Araştırma ve Uygulama Merkezi Yönetmeliği, üniversitenin bilişim altyapısını yöneten birimin görev ve yetkilerini tanımlar. Bu birim, kurum ağını, e-posta sistemini, öğrenci bilgi sistemini ve akademik veri tabanlarını işlettiği için, üniversite genelindeki veri koruma ve internet mevzuatı yükümlülüklerinin fiilen üzerinde toplandığı yerdir.
Teknik Birim, Hukuki Sorumluluk
Bilgi işlem merkezleri çoğu zaman yalnızca teknik destek birimi olarak görülür. Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından veri sorumlusu üniversite tüzel kişiliğidir ve teknik tedbirlerin alınması yükümlülüğü doğrudan bu merkezin işleyişiyle karşılanır. Yetkisiz erişim, log tutulmaması veya yedekleme eksikliği gibi durumlar idari yaptırım riskini doğurur.
Veri İhlali Yaşandığında İzlenecek Sıra
- Olayın kapsamını ve etkilenen veri kategorilerini tespit edin; sistem kayıtlarını değiştirmeden koruyun.
- Kurum içi ihlal müdahale prosedürünü işletin ve yazılı tutanak düzenleyin.
- Kanun kapsamında Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğünün doğup doğmadığını değerlendirin ve gecikmeksizin hareket edin.
- İlgili kişilere yapılacak bildirimin içeriğini ve yöntemini belirleyin.
- Alınan düzeltici tedbirleri tarihleriyle kayıt altına alın.
5651 Sayılı Kanun Kapsamındaki Konum
Üniversite, öğrenci ve personeline internet erişimi sağladığı ölçüde 5651 sayılı Kanun çerçevesinde trafik bilgisinin tutulması ve saklanmasına ilişkin yükümlülüklerle karşılaşır. Bu kayıtların bütünlüğünün korunması, adli bir talep geldiğinde kurumun konumunu doğrudan etkiler. Kayıtların eksikliği yalnızca teknik bir aksaklık değil, idari sorumluluk doğuran bir durumdur.
Yetki Yönetiminde Sık Yapılan Hatalar
- Görevden ayrılan personelin sistem yetkilerinin zamanında kapatılmaması
- Ortak kullanılan yönetici hesapları nedeniyle işlem sahibinin belirlenememesi
- Test ortamında gerçek kişisel verilerin kullanılması
- Dış yazılım tedarikçileriyle veri işleyen sözleşmesi yapılmaması
- Yedeklerin erişim kontrolü olmadan saklanması
Kurum İçi Belgelendirme
Bilgi işlem merkezinin aldığı her teknik tedbirin yazılı politikaya bağlanması, denetim ve şikâyet aşamasında en güçlü savunma aracıdır. Erişim yetki matrisi, log saklama politikası ve olay müdahale planı güncel tutulmalıdır.
Bu metin genel bilgilendirme amacı taşır. Veri ihlali gibi süreye bağlı yükümlülük doğuran olaylarda hızlı hareket etmek gerektiğinden, olayın hemen ardından hukuki değerlendirme alınması önemlidir.