Предложили пакет консалтинга по KVKK: что туда должно входить и разве юриста недостаточно?

İbrahim K***2 месяца назад·43 сообщения·4,7 тыс. просмотров#консультации по kvkk #защита данных #право #инфобезопасность

İbrahim K***УчастникУчастник сообщества

Дата регистрации: апр. 2023 г.
Сообщение: 204

2 месяца назад#1

У нас B2C интернет-магазин, штат 15 человек, в базе висят данные где-то 40 тысяч физлиц: ФИО, телефоны, адреса и история покупок. Штатный юрист обновляет типовые договоры на сайте, тексты для дистанционной торговли и согласия на обработку. Но тут пришла сторонняя консалтинговая контора и предложила проект «комплексного внедрения KVKK под ключ» за разовые 80.000 TL.

Спросил нашего юриста, тот честно ответил: «Юридические документы я сделаю, но техмеры, реестр персональных данных и кибербезопасность — это отдельная тема, техническую часть я в одиночку не потяну». Консалтеры же уверяют, что у них в штате есть и IT-юристы, и аудиторы безопасности, и они сделают вообще все от регистрации в VERBİS до настройки стандартов логирования.

Что реально входит в этот консалтинг по KVKK и какие документы должны остаться на руках по итогу? Что конкретно не может закрыть обычный юрист? Реально ли нужно платить обоим или можно решить вопрос с меньшими затратами?

Pınar K***УчастникУчастник сообщества

Дата регистрации: апр. 2023 г.
Сообщение: 95

2 месяца назадСамый полезный#2

Коротко: соответствие KVKK — это не просто бумажки и договоры составить, поэтому один штатный юрист техническую сторону обычно закрыть не в состоянии. Процесс комплаенса опирается на две составляющие: юридические документы и аудит IT-инфраструктуры вместе с логикой обработки данных.

При нормальном консалтинге по KVKK на выходе вы должны получить: 1) Реестр обработки персональных данных в разрезе отделов компании (что, откуда получаем и где храним); 2) Отчет о технических уязвимостях по официальному руководству по техмерам (состояние серверов, права доступа, бэкапы); 3) Корректное внесение сведений в реестр VERBİS, если подпадаете под критерии; 4) Политику хранения и уничтожения данных вместе с обязательствами о неразглашении для персонала.

Ваш юрист абсолютно прав по поводу техники. Юрист может идеально составить документы, но проверить, зашифрованы ли данные клиентов в базе, грамотно ли составлена матрица прав доступа и пишутся ли логи серверов в неизменяемом виде, он не сможет. А львиная доля штрафов прилетает не за опечатки в согласии, а за утечки из-за банальных дыр в безопасности.

Чтобы оптимизировать бюджет, поступите так: наймите консалтеров только на составление реестра данных (инвентаризацию) и технический аудит уязвимостей. А уже на базе их реестра пусть ваш штатный юрист перепишет пользовательские соглашения и политики. Так вы срежете ценник с 80.000 TL вдвое и заодно нагрузите своего специалиста понятной ему работой.

Emre G***УчастникУчастник сообщества

Дата регистрации: дек. 2022 г.
Сообщение: 198

2 месяца назад#3

Проект обычно идет в три этапа. Сначала опрашивают маркетинг, бухгалтерию и продажи, чтобы понять, какие вообще данные собираются. На втором этапе проверяют законные основания для хранения этих данных и готовят юридические тексты. На третьем подключается IT-специалист: проверяет шифрование баз данных и права доступа к ним.

Osman U***Участник

Должность: Секретарь
Отрасль: Оптовая торговля продуктами питания
Тип организации: кооператив
Дата регистрации: дек. 2024 г.
Сообщение: 312

2 месяца назад#4

Мы два года назад отдали 60.000 TL за полный пакет консалтинга. Больше всего пользы принесла таблица инвентаризации данных. Только благодаря ей обнаружили, что клиентские данные уже 7 лет пылятся в забытом файле Excel, и удалили их. Без такой инвентаризации все составленные юристом бумаги — просто филькина грамота.

Kemal U***ВетеранУчастник сообщества

Дата регистрации: нояб. 2025 г.
Сообщение: 1

2 месяца назад#5

Те, кто кричит «хватит и одного юриста», потом бегают строчить оправдательные письма в совет, когда их база данных утекает в сеть. Почитайте бюллетени штрафов Kişisel Verileri Koruma Kurulu: наказывают не за кривые формулировки в согласии на обработку, а за открытые порты и несанкционированный доступ.

Nuri U***ВетеранУчастник сообщества

Дата регистрации: февр. 2024 г.
Сообщение: 325

2 месяца назад#6

юрист поступил максимально честно респект ему. короче сейчас полно контор, которые скачивают шаблон из инета шлепают печать адвокатского бюро и стригут бабки. заявлять, что у вас все по kvkk без аудита техчасти — чистый самообман.

Havva M***Эксперт

Должность: Первичная бухгалтерия
Отрасль: Медиа и издательское дело
Тип организации: сеть магазинов
Дата регистрации: сент. 2022 г.
Сообщение: 197

2 месяца назад#7

Численность сотрудников у вас может быть и меньше 50 человек, но попадают ли годовой финансовый баланс или основной вид деятельности под критерии обязательной регистрации в реестре VERBİS? Хранятся ли у вас данные особой категории, например, медицинские или биометрические? От этих нюансов напрямую зависит срочность привлечения консультантов.

Gürkan A***Участник

Должность: Основатель студии
Отрасль: ПО
Тип организации: сеть магазинов
Дата регистрации: июль 2024 г.
Сообщение: 139

2 месяца назад#8

Вместо того чтобы отдавать 80 тыс. TL, возьмите у консалтинговой фирмы только тех аудит и шаблон инвентаризации. За пару недель заполните его со своим юристом. А выявленные тех уязвимости закройте силами своего хостинг-провайдера. Обойдется в два раза дешевле.

Perihan Ş***УчастникУчастник сообщества

Дата регистрации: апр. 2024 г.
Сообщение: 1

2 месяца назад#9

Мы в свое время тоже ограничились тем что юрист просто написал нам регламенты. А потом клиент потребовал удалить свои данные, и никто банально не смог найти, на каких серверах и в каких бэкапах они лежат. Юрист говорит «удаляйте», а айтишники не понимают где искать. Вот тогда и дошло что без реестра данных это просто не работает.

Barış B***Участник

Должность: Руководитель проектов
Отрасль: Косметика
Тип организации: региональный дилер
Дата регистрации: авг. 2024 г.
Сообщение: 77

2 месяца назад#10

Статья 12 закона Kişisel Verilerin Korunması Kanunu возлагает на оператора данных обязанность по принятию технических и административных мер безопасности. Юридическая документация относится к административным мерам, тогда как аудит технических мер в обязательном порядке должен проводиться профильными специалистами по IT-инфраструктуре.