ISO 27001 bir yönetim sistemi standardı, KVKK ve GDPR ise yasal düzenlemelerdir. Biri “bilgiyi nasıl korursunuz?” sorusuna, diğerleri “kişisel veriyi hangi şartlarla işleyebilirsiniz?” sorusuna odaklanır. Ancak uygulamada büyük ölçüde örtüşürler ve doğru kurgulandığında tek bir sistemle birlikte yönetilebilirler.
Ortak Noktalar
- Envanter: ISO 27001’in varlık envanteri ile KVKK’nın kişisel veri envanteri birbirini besler. Nasıl hazırlanacağını varlık envanteri yazımızda anlattık.
- Risk temelli yaklaşım: ISO 27001 risk değerlendirmesi, KVKK ve GDPR’ın beklediği “uygun güvenlik seviyesi”ni belirlemenin yöntemidir.
- Teknik ve idari tedbirler: Erişim yetkilendirme, loglama, şifreleme, yedekleme, tedarikçi yönetimi ve çalışan farkındalığı her üç çerçevede de beklenir.
- Olay ve ihlal yönetimi: ISO 27001’in olay yönetimi süreci, KVKK ve GDPR’daki 72 saatlik ihlal bildirim yükümlülüğünü karşılamanın altyapısıdır.
- Tedarikçi ilişkileri: Veri işleyenlerle yapılan sözleşmeler hem ISO 27001’in tedarikçi kontrolleri hem de veri koruma mevzuatı açısından önemlidir.
ISO 27001’in Tek Başına Karşılamadıkları
- Her veri işleme faaliyeti için doğru hukuki sebebin belirlenmesi
- Aydınlatma metinleri ve açık rıza süreçleri
- İlgili kişi başvurularının yasal sürelerde yanıtlanması
- VERBİS kaydı (KVKK) ve gerekli hallerde veri koruma görevlisi atanması (GDPR)
- Yurt dışına aktarım şartları ve bildirimleri
KVKK ve GDPR Arasındaki Başlıca Farklar
- Sicil: KVKK’da VERBİS’e kayıt yükümlülüğü vardır; GDPR’da merkezi bir sicil yoktur, bunun yerine işleme faaliyetleri kaydı tutulur.
- Veri koruma görevlisi: GDPR belirli durumlarda DPO atanmasını zorunlu kılar; KVKK’da bu yükümlülük bulunmaz, irtibat kişisi atanır.
- Yaptırımlar: GDPR’da cezalar 20 milyon avroya veya küresel yıllık cironun %4’üne kadar çıkabilir; KVKK’da ise her yıl yeniden değerlenen idari para cezaları uygulanır.
Tek Sistemle Üç Uyum
En verimli yaklaşım, ISO 27001 bilgi güvenliği yönetim sistemini kurarken kişisel veri süreçlerini de aynı yapıya entegre etmektir. Gizlilik tarafını belgelendirmek isteyenler için ISO 27701 bu entegrasyonun standart karşılığıdır. Bu yaklaşımla tek bir risk analizi, tek bir iç tetkik ve tek bir yönetimin gözden geçirmesiyle üç alanda birden uyum yönetilebilir. Hizmetlerimizin ayrıntıları için KVKK danışmanlığı ve GDPR danışmanlığı sayfalarımıza göz atabilirsiniz.
ISO 27001 danışmanlığı kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
KVKK Nedir? Kapsamı ve Şirketlerin Yükümlülükleri
KVKK nedir, kimleri kapsar? 6698 sayılı Kanun’un temel kavramları, veri işleme şartları ve şirketlerin yerine getirmesi gereken yükümlülükler.
ISO 27001 Varlık Envanteri Nasıl Hazırlanır?
ISO 27001 varlık envanteri nedir, nasıl hazırlanır? Varlık türleri, varlık sahipliği, gizlilik-bütünlük-erişilebilirlik değerlendirmesi ve örnek tablo.
ISO 27001 Belgesi Nasıl Alınır? Süreç ve Süre
ISO 27001 sertifikası nasıl alınır? Kapsam, risk analizi, Uygulanabilirlik Bildirgesi, iç tetkik ve iki aşamalı belgelendirme denetimiyle adım adım süreç.Sıkça Sorulan Sorular
ISO 27001 belgesi KVKK uyumunu garanti eder mi?
Hayır. ISO 27001 veri güvenliği tedbirlerinin çok güçlü bir kanıtıdır ancak aydınlatma, hukuki sebep, ilgili kişi başvuruları ve VERBİS gibi hukuki yükümlülükleri tek başına karşılamaz.
GDPR kimleri kapsar?
AB’de yerleşik kuruluşların yanı sıra, AB’deki kişilere mal veya hizmet sunan ya da onların davranışlarını izleyen AB dışındaki kuruluşlar da GDPR kapsamına girebilir.
ISO 27701 nedir?
ISO/IEC 27701, kişisel verilerin yönetimine yönelik bir gizlilik bilgi yönetim sistemi standardıdır. 2025 sürümüyle bağımsız olarak belgelendirilebilir hale gelmiştir ve KVKK–GDPR uyumunu sistematik hale getirmek için kullanılır.
