Agent Hukuku
Ücretsiz kitaplar
Akademi · Seviye 4 — İleri Konular
Ders 4.1

Kayıt ve denetim izi

MB Slaytlı ders · ~7 dk · Mert Can Boyar

Seviye 4, olgun yönetişimin ileri katmanını kuruyor — ve temeli kayıttır. Bu derste “ne oldu, neden oldu, kimin adına oldu” üçlüsünü, onay kayıtlarının değerini ve kayıtların kendisinin neden KVKK'ya tabi olduğunu öğreneceksiniz.

Ders 4.1 · İleri Konular01 / 08

Kayıt ve denetim izi

Hesap verebilirlik = hatırlayabilirlik.

Slayt02 / 08

Vaka: “verilerime kim baktı?”

Bir m.11 talebi geldi: “son bir yılda verilerime kim erişti, YZ işledi mi, aktarıldı mı?” Kayıtlar 30 gün geriye gidiyordu ve kimin verisine dokunulduğunu göstermiyordu. “Cevap verecek bilgimiz yok değil — cevap verecek kaydımız yok.”

Slayt03 / 08

Neyi kaydetmeli: üçlü soru

  • Ne oldu? Hangi araç, hangi veri, hangi sonuç.
  • Neden oldu? Hangi görev, kural, girdi — karar zinciri.
  • Kimin adına oldu? Hangi ajan (kendi kimliğiyle), kimin işlemi, hangi yetkiyle.
Slayt04 / 08

Beş dakika testi

“Bu ajan, dün 14:00–15:00 arasında kimlerin verisine dokundu?”

Bu soruya beş dakikada cevap veremiyorsanız, kayıtlarınız var ama kaydınız yok.

Slayt05 / 08

Onay ve retler: altın kayıtlar

Her onaya düşen işlem için: kim onayladı/reddetti, ne zaman, hangi gerekçeyle. Bu, insan gözetiminin hem var hem anlamlı olduğunun tek inandırıcı kanıtıdır (reddedilen işlem = karar değiştiren gözetim).

Slayt06 / 08

Kayıtların kendisi de kişisel veridir

“Destek-1, 14:32'de Ayşe Yılmaz'ın kaydını okudu” satırı, Ayşe Yılmaz hakkında bir veridir. Yani kayıtlarınızın da bir erişim politikası, saklama süresi ve maskelemesi olmalı.

Slayt07 / 08

Ne kadar saklamalı?

Her kayıt türü için: amaç + makul ömür + mevzuat. Süre dolunca silme otomatik, kayıt deposu mümkünse yalnızca ekle (append-only) ve değiştirilemez olmalı.

Slayt08 / 08

Özet

Kayıt, geçmişe dönük sigortadır; primi bugün ödenir.

Denetim günü inanılan şey, hatırladığınız değil kaydettiğinizdir.

1 / 8

Hesap verebilirlik = hatırlayabilirlik

İyi kayıt düzeninin ölçüsü tektir: bir olaydan altı ay sonra üç soruya dakikasıyla cevap verebilmek — ne oldu, neden oldu, kimin adına oldu. “Giriş yapıldı, sorgu çalıştı” düzeyi yetmez; kimin verisine dokunulduğu görünmüyorsa m.11 talebine cevap yoktur. Ajanın kendi kimliği (Ders 2.3) burada meyvesini verir: çok aracılı yapılarda hangi kararın hangi aracıya ait olduğu sonradan tespit edilemeyebilir — bu yüzden anında kaydedilir.

Unutmayın
Onay ve ret kayıtları, kayıt düzeninizin en değerli parçasıdır: insan gözetiminin hem var olduğunu hem anlamlı olduğunu birlikte kanıtlar. Denetimde “insan gözetimi vardı” cümlesinin tek inandırıcı dayanağı, gerekçesiyle kaydedilmiş retlerdir.

Kayıtların kendisi de kişisel veridir

Erişim kayıtlarınız kişisel veri doludur; yani onların da bir erişim politikası, saklama süresi ve maskelemesi olmalı. İyi tasarımda log satırı “MÜŞTERİ-4521'in kaydı okundu” der; gerçek kimlik, çok daha dar erişimli ayrı bir kasada durur. Saklama için her kayıt türüne amaç + makul ömür + mevzuat sorusunu sorun; süre dolunca silme otomatik olsun. Ve kayıt deposu mümkünse “yalnızca ekle” çalışsın — kanıtları koruyamayan sistem hiçbir şeyi kanıtlayamaz.

Dikkat
“Her şeyi sonsuza kadar kaydedelim” refleksi, veri minimizasyonunun kayıt katmanındaki ihlalidir. Kayıt düzeni de m.4'e tabidir: amaçla bağlantılı, sınırlı, ölçülü — ve süreli. Ayrıca kayıtlara yazma yetkisini ajanlardan ayırın.
Bu derste öğrendikleriniz
  • Üçlü soru: ne oldu / neden oldu / kimin adına oldu.
  • “Beş dakika testi” ile kayıt düzeninizi sınayın.
  • Onay/ret kayıtları insan gözetiminin kanıtıdır.
  • Kayıtlara kayıt muamelesi yapın: politika, süre, maskeleme.
← Önceki: Kurumun YZ rehberleri Sonraki ders: İzleme ve sapma →