KVKK uyumlu sigorta yazılımı nasıl geliştirilir? Teknik ve süreç rehberi

KVKK uyumlu sigorta yazılımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) ilkelerini veri modeline, yetki yapısına, loglara ve veri yaşam döngüsüne gömülü olarak uygulayan yazılım demektir. Sigorta şirketleri; kimlik, iletişim, finansal bilgi, araç ve konut bilgisi gibi kişisel verilerin yanında sağlık verisi gibi özel nitelikli kişisel verileri de yoğun biçimde işler. Bu nedenle KVKK sigorta yazılımları için yalnızca bir hukuk konusu değil, doğrudan bir mimari gereksinimdir.

Bu rehberde KVKK ilkelerinin yazılımdaki karşılıklarını, sağlık verisine özgü önlemleri, saklama ve imha kurgusunu, ilgili kişi başvurularının teknik altyapısını ve adım adım uygulama yolunu ele alıyoruz. Metin teknik bir rehberdir; hukuki değerlendirmenin şirketin hukuk ve uyum birimleriyle birlikte yapılması gerekir.

KVKK sigorta yazılımlarını neden doğrudan etkiler?

KVKK, kişisel verinin işlenmesinin her aşamasını kapsar ve sigorta yazılımları bu aşamaların neredeyse tamamını yürütür. Teklif formunda verinin toplanması, poliçede saklanması, hasarda kullanılması, reasürörle paylaşılması ve raporlamada analiz edilmesi birer veri işleme faaliyetidir.

Sigortacılığa özgü risk alanları şunlardır:

• Sağlık verisi: Sağlık ve hayat sigortalarında beyan formları, provizyon ve tedavi bilgileri; trafik ve kaskoda yaralanmalı hasar dosyaları.
• Üçüncü kişi verisi: Hasar dosyalarında karşı taraf sürücü, tanık veya mağdurlara ait bilgiler.
• Çok taraflı paylaşım: Acente, broker, eksper, anlaşmalı servis, hastane, reasürör ve SBM gibi kurumlarla veri alışverişi.
• Uzun saklama süreleri: Sigorta ve ticaret mevzuatının gerektirdiği saklama yükümlülükleri ile KVKK'nın "gerektiği kadar saklama" ilkesinin birlikte yönetilmesi.
• Yurt dışı aktarım: Yurt dışındaki reasürörler, bulut hizmetleri veya grup şirketleriyle yapılan veri paylaşımları. 2024 yılında KVKK'da yapılan değişikliklerle yurt dışına aktarım rejimi ve özel nitelikli verilerin işlenme şartları güncellendiği için mevcut akışların yeni kurallara göre gözden geçirilmesi gerekir.

KVKK ilkeleri yazılımda nasıl karşılık bulur?

KVKK'nın genel ilkeleri; hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ile gerektiği kadar saklamadır. Her ilkenin yazılımda somut bir tasarım karşılığı vardır.

Bu yaklaşımın adı tasarımda gizlilik (privacy by design) ve varsayılan olarak gizliliktir (privacy by default): yeni bir özellik tasarlanırken hangi kişisel verinin, hangi amaçla, kimin tarafından ve ne kadar süre işleneceği kod yazılmadan önce belirlenir.

Özel nitelikli kişisel veriler için hangi ek önlemler gerekir?

Sağlık verisi gibi özel nitelikli kişisel veriler, genel kişisel verilere göre daha sıkı işleme şartlarına ve Kişisel Verileri Koruma Kurulu'nun belirlediği ek güvenlik önlemlerine tabidir. Sigorta yazılımında bu veriler, mimari olarak diğer verilerden ayrışacak şekilde ele alınmalıdır.

Uygulamada öne çıkan önlemler:

• Ayrı depolama veya ayrı şifreleme anahtarı: Sağlık belgeleri ve tanı bilgileri, genel poliçe verisinden ayrı bir alanda ve ayrı anahtarla şifrelenmiş olarak tutulmalıdır.
• Dar yetki: Sağlık verisine yalnızca underwriting, sağlık hasar ve provizyon gibi görevi gereği ihtiyaç duyan roller erişmeli; çağrı merkezi ekranlarında bu alanlar varsayılan olarak gizli olmalıdır.
• Erişim gerekçesi: Hassas bir kayda erişirken kullanıcıdan gerekçe istenmesi ve bu gerekçenin loglanması.
• Güçlü kimlik doğrulama: Özel nitelikli veriye erişen kullanıcılar ve uzaktan erişim için çok faktörlü kimlik doğrulama.
• Aktarım güvenliği: Hastane, eksper ve reasürör gibi taraflarla paylaşımın şifreli kanallardan yapılması, e-posta ekiyle sağlık belgesi gönderilmemesi.

Sağlık verisinin hangi hukuki sebebe dayanarak işleneceği ve açık rızanın hangi durumlarda gerektiği, güncel mevzuata göre hukuk birimiyle netleştirilmelidir. Yazılımın görevi, bu kararı uygulanabilir ve kanıtlanabilir hâle getirmektir: hangi kayıt için hangi hukuki sebebin veya rızanın geçerli olduğu sistemde izlenebilmelidir.

Veri maskeleme, şifreleme ve loglama nasıl kurgulanır?

Teknik güvenlik önlemleri üç temel sorunun cevabıdır: veriyi kim görebilir, veri çalınırsa okunabilir mi ve kim neye ne zaman erişti?

Maskeleme ve rol bazlı erişim

Kimlik numarası, telefon, IBAN ve sağlık bilgisi gibi alanlar, kullanıcının rolüne göre tamamen, kısmen veya hiç maskelenmeden gösterilmelidir. Maskeleme yalnızca ekranda değil, raporlarda, dışa aktarılan dosyalarda ve servis yanıtlarında da uygulanmalıdır. Servisler, istemcinin ihtiyaç duyduğundan fazla alan döndürmemelidir.

Şifreleme

Veriler hem aktarım sırasında hem de depolamada şifrelenmelidir. Kritik alanlar için veritabanı düzeyindeki şifrelemenin ötesinde alan bazlı şifreleme düşünülmelidir. Anahtarların uygulama sunucusunda değil, anahtar yönetim sisteminde tutulması gerekir.

Loglama

Kişisel veriye yapılan erişim, değişiklik, dışa aktarma ve silme işlemleri; kullanıcı, zaman, işlem ve kayıt bilgisiyle değiştirilemez biçimde loglanmalıdır. Sık yapılan bir hata, uygulama loglarına kişisel verinin düz metin olarak yazılmasıdır. Hata ayıklama logları da maskeleme kurallarına tabi olmalıdır. Bu önlemler, şirketin genel güvenlik mimarisinin bir parçasıdır; ayrıntıları sigortacılıkta siber güvenlik rehberimizde bulabilirsiniz.

Saklama ve imha süreci yazılıma nasıl uygulanır?

Saklama ve imha, KVKK uyumunun yazılımda en çok ihmal edilen boyutudur. Sigorta sistemlerinde veriler genellikle "her ihtimale karşı" süresiz saklanır; bu yaklaşım hem mevzuata aykırıdır hem de ihlal durumunda etkiyi büyütür.

Uygulanabilir bir kurgu şu adımlardan oluşur:

1. Veri envanterini çıkarın: Hangi sistemde, hangi tabloda, hangi kişisel veri kategorisinin tutulduğunu listeleyin.
2. Saklama sürelerini belirleyin: Her veri kategorisi için mevzuattan kaynaklanan saklama süresini ve süre başlangıç olayını (poliçe bitişi, hasar kapanışı, teklifin reddi gibi) hukuk birimiyle tanımlayın.
3. Kuralları sisteme işleyin: Saklama süresi motoru, her kaydın imha tarihini başlangıç olayına göre hesaplasın.
4. İmha yöntemini seçin: Silme, yok etme veya anonimleştirme seçeneklerinden hangisinin uygulanacağını belirleyin. Analitik amaçla kullanılacak veriler için geri döndürülemez anonimleştirme tercih edilebilir.
5. Bağımlılıkları yönetin: Ana kayıt silinirken yedeklerde, veri ambarında, belge arşivinde ve entegre sistemlerdeki kopyaları da kapsayın.
6. Periyodik çalıştırın ve raporlayın: İmha işlemlerini, mevzuatta öngörülen periyotlarla çalıştırın ve yapılan imhaların kaydını tutun.
7. Yasal saklama istisnalarını yönetin: Devam eden dava veya soruşturma gibi durumlarda kaydın imhasını durduran bir işaretleme mekanizması kurun.

İlgili kişi başvuruları için hangi altyapı gerekir?

KVKK, ilgili kişilere verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme ve aktarıldığı üçüncü kişileri öğrenme gibi haklar tanır; veri sorumlusu bu başvuruları kanunda öngörülen süre içinde, en geç otuz gün içinde sonuçlandırmalıdır. Bu sürenin tutturulabilmesi, verinin sistemler arasında hızla bulunabilmesine bağlıdır.

Gereken yazılım yetenekleri:

• Bir kişiye ait verilerin bütün sistemlerde tek sorguyla bulunabilmesi için ortak müşteri kimliği.
• Başvuru kaydı, kimlik doğrulama ve süre takibi yapan bir iş akışı.
• Kişiye ait verilerin anlaşılır biçimde dışa aktarılması.
• Düzeltme ve silme taleplerinin yasal saklama yükümlülükleriyle çakışıp çakışmadığını kontrol eden kurallar.
• Verinin aktarıldığı tarafların (reasürör, eksper, servis) kayıtlı olması.

Test ve geliştirme ortamlarında KVKK nasıl korunur?

Test ve geliştirme ortamlarında gerçek kişisel veri kullanılmamalıdır. Üretim verisinin kopyası test ortamına alınacaksa, veri önce geri döndürülemez biçimde maskelenmeli veya anonimleştirilmelidir.

Pratikte iki yol izlenir: üretim verisinden tutarlılığı korunarak maskelenmiş veri seti üretmek ya da kurallara uygun sentetik veri oluşturmak. Maskeleme sırasında kimlik numarası, plaka ve poliçe numarası gibi alanların sistemler arası ilişkisi korunmalıdır; aksi hâlde entegrasyon testleri anlamını yitirir. Dış kaynaklı yazılım ekiplerinin üretim verisine erişimi, sözleşme ve teknik kontrollerle sınırlandırılmalıdır. Test verisi stratejisini sigorta yazılımlarında test otomasyonu yazımızda ayrıca ele alıyoruz.

KVKK uyumu için yazılım kontrol listesi

• Her kişisel veri alanı için işleme amacı ve hukuki sebep tanımlı mı?
• Özel nitelikli veriler ayrı şifreleme ve dar yetkiyle korunuyor mu?
• Açık rıza kayıtları metin sürümü, tarih ve kanalla saklanıyor mu?
• Ekranlarda, raporlarda ve servis yanıtlarında rol bazlı maskeleme var mı?
• Kişisel veriye erişim ve dışa aktarım değiştirilemez biçimde loglanıyor mu?
• Uygulama loglarında düz metin kişisel veri bulunmadığı test edildi mi?
• Saklama süresi motoru ve periyodik imha çalışıyor mu?
• Test ortamlarında maskelenmiş veya sentetik veri mi kullanılıyor?
• Yurt dışı aktarımlar güncel mevzuata göre gözden geçirildi mi?
• Veri ihlali durumunda tespit, değerlendirme ve bildirim süreci tanımlı mı?

KVKK, sigorta sektörüne özgü mevzuatla birlikte uygulanır; genel çerçeve için sigorta yazılımında mevzuat uyumu ve bilgi güvenliği yönetim sistemi için ISO 27001 rehberlerimize bakabilirsiniz. ProdayTech olarak sigorta projelerinde kişisel veri gereksinimlerini iş analizi aşamasında, her ekran ve servis için ayrı ayrı ele alıyoruz. Mevcut sistemleriniz için teknik bir değerlendirme ihtiyacınız varsa bizimle iletişime geçebilirsiniz.