Ci hanno proposto un pacchetto di consulenza KVKK: cosa dovrebbe includere e l'avvocato da solo non basta?

Di solito il progetto si articola in tre fasi. Prima si parla con i reparti marketing, contabilità e vendite per capire quali dati vengono conservati. Nel secondo passaggio si verifica la base giuridica di questi dati e si redigono i testi legali. Nel terzo passaggio interviene un esperto IT che controlla la crittografia e i permessi di accesso al database in cui risiedono i dati.

Due anni fa abbiamo pagato 60.000 TL per una consulenza a pacchetto completo. La cosa che ci è servita di più è stata la tabella del registro dei trattamenti. È solo grazie a quella se ci siamo accorti che i dati dei clienti erano rimasti dimenticati per 7 anni in un vecchio file Excel e li abbiamo cancellati. Senza quella tabella, i testi scritti dall'avvocato restano solo teoria.

Chi dice che l'avvocato da solo basta si ritrova a dover scrivere memorie difensive all'Autorità non appena il database finisce online. Leggetevi i bollettini delle sanzioni del Kişisel Verileri Koruma Kurulu: le multe non arrivano per una parola sbagliata nell'informativa, ma per porte aperte e accessi non autorizzati.

il vostro avvocato è stato onestissimo tanto di cappello. in giro è pieno di gente che scarica template da internet e ci mette sopra il timbro dello studio legale... dire di essere a posto con il kvkk senza aver controllato l'infrastruttura tecnica significa solo prendersi in giro.

Il numero annuo dei vostri dipendenti è inferiore a 50, ma il totale del bilancio d'esercizio o la vostra attività principale rientrano nei criteri per l'obbligo di iscrizione al registro VERBİS? Inoltre, trattate categorie particolari di dati personali nei vostri sistemi, come dati sanitari o biometrici? Questi dettagli determinano direttamente l'urgenza della consulenza.

Invece di spendere 80 mila TL fatevi dare dalla società di consulenza solo l'audit tecnico e il modello per il registro dei trattamenti. Compilatelo in 2 settimane insieme al vostro avvocato. Poi fate sistemare le falle tecniche emerse dal vostro attuale fornitore di server. Ve la cavate con la metà della spesa.

Nei primi anni ci eravamo limitati a far scrivere i testi a un avvocato. Quando un cliente ha chiesto la cancellazione dei suoi dati nessuno è riuscito a capire su quali server e backup si trovassero. Il legale diceva "cancellateli", ma il team tecnico non sapeva dove fossero. Quel giorno abbiamo capito che senza un registro dei trattamenti non si va da nessuna parte.

L'articolo 12 della legge Kişisel Verilerin Korunması Kanunu impone al titolare del trattamento l'obbligo di adottare le misure tecniche e amministrative relative alla sicurezza dei dati. Sebbene i testi legali coprano le misure amministrative, la verifica delle misure tecniche deve essere necessariamente svolta da professionisti esperti di infrastrutture informatiche.

Grazie mille, proverò oggi.

Non lo sapevo.

Salvato.

Sono della stessa opinione. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Buon lavoro.

Hai fatto bene ad aprire questo thread. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Un backup non testato non è un backup. Se avete domande, scrivete, rispondo per quanto possibile.

Ho vissuto la stessa cosa.

Nel nostro caso è andata così. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Spero che le sia utile.

Sono una piccola impresa, vi parlo dal mio punto di vista. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Buon lavoro.

Questo thread è archiviato.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Chiunque abbia fretta su cos'è la consulenza kvkk si blocca nello stesso punto.