GDPR ve veritabanı erişimi

GDPR, veri sorumlularının ve veri işleyenlerin kişisel verilerle ne yapması gerektiğini düzenler. Belirli bir aracı şart koşmaz ve hiçbir araç onu sizin yerinize karşılayamaz. Bir aracın yapabildiği, bir teknik tedbirin çalıştığına dair kanıt üretmektir: bir veritabanındaki kişisel verilere kimin eriştiği, kimin onayladığı ve kendilerine ne gösterildiği. QueryProxy, veritabanı erişimi için bu kanıtı üretmeye yardım eder.

Bu sayfa hukuki ya da denetim tavsiyesi değildir. GDPR’nin sizden ne istediğine veri koruma görevliniz ya da hukuk danışmanınız karar verir.

Hangi GDPR hükümleri veritabanı erişimiyle ilgilidir?

Regulation (EU) 2016/679 içindeki üç hüküm (metin 2026-10-13 tarihinde, madde madde yayınlayan gdpr-info.eu yansısından okundu):

• Madde 32, işleme güvenliği. Veri sorumlusu ve veri işleyen, riske uygun bir güvenlik düzeyi sağlamak için uygun teknik ve idari tedbirleri uygulamalıdır; bunlar arasında, uygun olduğunda, takma adlandırma ve şifreleme, süregelen gizlilik, bütünlük, erişilebilirlik ve dayanıklılığı sağlama yeteneği ve tedbirlerin etkinliğini düzenli olarak test etme ve değerlendirme süreci bulunur.
• Madde 25, tasarım ve varsayılan olarak veri koruma. Varsayılan olarak, işlemenin her belirli amacı için yalnızca gerekli kişisel veriler işlenmelidir.
• Madde 5, ilkeler. Kişisel veriler yeterli, ilgili ve gerekli olanla sınırlı olmalı (5(1)(c)) ve uygun güvenlikle işlenmelidir (5(1)(f)). 5(2) uyarınca veri sorumlusu, ilkelere uyduğunu gösterebilmelidir.

Belirli bir tedbirin uygun olup olmadığı riskinize ve bağlamınıza bağlıdır. Bu değerlendirme sizindir.

QueryProxy hangi kanıtı üretebilir?

QueryProxy bu hükümler için kanıt üretmeye yardım eder. Hiçbirini tek başına karşılamaz.

Dinamik veri maskeleme sayfası maskelemenin nasıl çalıştığını, onay akışı sayfası ise bir talebin bir veritabanına nasıl ulaştığını anlatır.

Kuruluşunuza ne kalır?

• Hukuka uygunluk sebebi, amaçla sınırlılık, şeffaflık ve rıza.
• İlgili kişi talepleri: erişim, düzeltme, silme ve diğerleri.
• İhlal tespiti ve bildirimi. Denetim kaydı verilere kimin eriştiğini belirlemenize yardım edebilir (bkz. denetim kaydı neyi içermeli), ama süreci siz yürütürsünüz.
• Kişisel verilerin saklanması ve silinmesi. Dokümantasyon denetim kaydı için bir saklama süresi belirtmez, sonuç dosyaları ise ayarlanan süreyi izler. Denetim girdilerinin SQL’i, talep sahiplerini ve istemci IP’lerini kaydettiğini, bunların kendilerinin de kişisel veri olabileceğini unutmayın.
• Uluslararası aktarımlar, veri işleyen sözleşmeleri ve işleme kayıtları.
• Veri koruma etki değerlendirmeleri.
• Sunucunun ve QueryProxy’nin kendi veritabanının güvenliği.

Sınırlar neler?

• Maskeleme kural tabanlıdır. Hiçbir kuralla eşleşmeyen değer saklandığı gibi döner ve geniş yetkili bir veritabanı kullanıcısı yine geniş okuyabilir. Kuralları gerçek sütunlarınıza göre gözden geçirin.
• Denetim kaydı QueryProxy üzerinden yapılan talepleri kapsar; veritabanına giden diğer yolları kapsamaz.
• “Düzenlenemez” ifadesi uygulama için geçerlidir; uygulamanın veritabanına doğrudan erişimi olan biri için değil.
• Madde 32’nin andığı takma adlandırma, sorgu çıktısını maskelemekten daha geniş bir uygulamadır. hash stratejisi deterministik bir SHA-256 öneki döndürür (bkz. maskeleme referansı); bunun sizin için takma adlandırma sayılıp sayılmadığı hukuki bir sorudur.

Ne zaman ihtiyacınız yok?

GDPR işlemenize uygulanmıyorsa (Madde 3 coğrafi kapsamı belirler: veri sorumlusunun ya da veri işleyenin nerede yerleşik olduğuna ve AB’deki kişilere mal ya da hizmet sunup sunmadığınıza ya da onları izleyip izlemediğinize bağlıdır) bu sayfanın size söyleyeceği az şey vardır. İnsanların sorguladığı veritabanları kişisel veri tutmuyorsa yine söyleyeceği azdır. Veritabanını tek kişi yönetiyor ve başka kimse ulaşmıyorsa onaylayacak ikinci bir kişi yoktur. Analistler yalnızca önceden toplulaştırılmış, anonimleştirilmiş çıktılarla çalışıyorsa ham veriye erişim hiç sorun olmayabilir. Yalnızca kimin bağlanabileceğini kısıtlamanız gerekiyorsa veritabanı rolleri yeterli olabilir; bkz. veritabanı erişim denetimi nedir.

İlgili okumalar: KVKK, SOC 2, PCI DSS ve ISO 27001.

Sık sorulanlar

QueryProxy GDPR'ye uymamızı sağlar mı?

Hayır. GDPR; hukuka uygunluk sebebi, şeffaflık, ilgili kişi hakları, güvenlik ve daha fazlası hakkında veri sorumlularına ve veri işleyenlere yükümlülükler getirir. QueryProxy, veritabanı erişimi için işleme güvenliğinin bir kısmına dair kanıt üretmeye yardım eder. Geri kalanını kapsamaz.

QueryProxy hangi GDPR maddeleriyle ilgilidir?

İşleme güvenliğine ilişkin Madde 32, tasarım ve varsayılan olarak veri korumaya ilişkin Madde 25 ve Madde 5; özellikle veri minimizasyonu, bütünlük ve gizlilik ile 5(2)'deki hesap verebilirlik ilkesi. İşlemenizin bunları karşılayıp karşılamadığını siz ve danışmanlarınız değerlendirirsiniz.

Maskeleme veri minimizasyonuyla nasıl ilişkilidir?

Madde 5(1)(c), yeterli, ilgili ve gerekli olanla sınırlı kişisel veri ister. Maskeleme, bir kişinin ne gördüğünü ve bir sonuçta nelerin saklandığını sınırlar; iş ham değerlere ihtiyaç duymadığında minimizasyonu destekler. Yalnızca kurallarınızın eşleştiğini maskeler.

QueryProxy ilgili kişi taleplerini karşılar mı?

Hayır. Erişim ya da silme talepleri için kişisel verileri aramaz, dışa aktarmaz ya da silmez. Hangi ifadeyi kimin hangi veritabanına karşı çalıştırdığını kaydeder; bu, verilere kimin dokunduğunu göstermenize yardım edebilir, ama talep süreci sizindir.

QueryProxy kişisel verilerimizin veri işleyeni midir?

QueryProxy kendi sunucunuzda barındırılır, yani kendi altyapınızda çalıştırırsınız. Belirli bir düzenin veri işleyen içerip içermediği kurulumunuza ve sözleşmelerinize bağlıdır; bu sayfa bunu söyleyemez. Bu soruyu veri koruma görevlinize ya da hukuk danışmanınıza götürün.