Kişisel veri (PII)

Kişisel veri, bir gerçek kişiyi belirli veya belirlenebilir kılan her türlü bilgidir. Ad, kimlik numarası, iletişim bilgisi, özlük kaydı ve sağlık verisi bu kapsamdadır; sağlık verisi ayrıca özel nitelikli sayılır.

Bir asistana kişisel veri içeren dosya bağlandığında o veri indekslenir ve sorgu sonucunda kaynak olarak gösterilebilir hale gelir. Erişim kuralı yazarak korumaya çalışmak, dosyayı hiç bağlamamaktan daha kırılgan bir yaklaşımdır.

Bu yüzden en sağlam koruma kurulum aşamasındadır: kişisel veri içeren dosyalar hiçbir asistanın kapsamına alınmaz. Bağlanmamış bir dosya hiçbir sorguda kaynak olamaz.

Ana dosya temiz olsa bile ekleri olmayabilir. Prosedür dokümanlarının sonundaki örnek formlar gerçek isimler içerebilir; toplantı tutanaklarında katılımcı listeleri bulunur; sözleşme şablonlarına gerçek müşteri bilgisi doldurulmuş olabilir.

İkinci gözden kaçan yer taranmış evraktır. Görsel içerikli bir PDF metin çıkarımından geçtiğinde içindeki kimlik bilgisi de indekse girer; dosyanın görsel olması koruma sağlamaz.

Bu yüzden yükleme öncesi hızlı bir gözden geçirme, sonradan seçici silme uğraşından çok daha ucuzdur. Özellikle toplu yüklemede bu adım atlanmamalıdır.

Bir silme talebi geldiğinde verinin iki yerden çıkarılması gerekir: kaynak doküman deposundan ve vektör indeksinden. Yalnızca birini yapmak, veriyi erişilebilir bırakır.

Bu operasyonun test edilmesi gerekir. Dokümanı kapsamdan çıkardıktan sonra aynı içeriği sorgulayın; yanıt hâlâ geliyorsa indeksten çıkarma adımı çalışmıyor demektir.

Kişisel veriyi hiç indekslememek bu operasyonu gereksiz kılar ve en güvenli yaklaşımdır. Uyum değerlendirmesi için hukuk danışmanınıza başvurun; bu sayfa hukuki görüş içermez.

Hangi dosyaların kapsam dışında tutulduğu yazılı olarak kaydedilmelidir. Bu kayıt iki işe yarar: yeni dosya eklenirken aynı ölçüt uygulanır ve bir denetimde kararın gerekçesi gösterilebilir.

İkinci fayda ekip değişikliklerinde ortaya çıkar. Kurulumu yapan kişi ayrıldığında, hangi dosyanın neden dışarıda bırakıldığı bilgisi kaybolur ve bir sonraki kişi bilmeden o dosyayı ekleyebilir. Kısa bir kapsam notu, bu sessiz geri adımı önlemenin en ucuz yoludur.

Not bir paragraftan uzun olmak zorunda değildir: hangi klasörler dışarıda, hangi ölçütle ve kim karar verdi. Üç satır, birkaç yıl sonra tekrar sorulacak bir soruyu yanıtlar.