KVKK Uyumuna Nereden Başlanır? Veri Envanteri, VERBİS Kararı ve En Sık Yapılan Hatalar
KVKK uyum çalışması çoğu zaman "metinleri yazalım" diye başlar. Oysa doğru sıra rol, VERBİS kararı ve veri envanteri. Yükümlülük haritasını, VERBİS karar akışını ve en sık yapılan hataları anlatıyoruz.
Önce rolünüzü (veri sorumlusu mu, veri işleyen mi) ve VERBİS yükümlülüğünüzü belirleyin, sonra veri envanterini çıkarın, en son aydınlatma ve rıza metinlerini yazın. Hangi veriyi, nerede, kim için, ne kadar süreyle tuttuğunuzu bilmeden yazılan her metin tahmindir. Açık rıza her işleme için gerekli değildir; yanlış kullanımı hem gereksiz hem riskli olabilir.
KVKK çalışmasına metin yazarak başlayan firmalar, genellikle birkaç ay sonra aynı yere geri dönüyor: "Bu metin hangi veri için, hangi hukuki sebebe dayanıyor?" Cevabı veri envanterinde. 6698 sayılı Kanun 2024'te değiştirildi (özel nitelikli veri ve yurt dışına aktarım hükümleri); süre, eşik ve idari para cezası tutarları ise Kurul kararları ve yeniden değerleme ile güncelleniyor. Bu yüzden rakamları burada değil, güncel kaynakta kontrol edin.
1. Rolünüzü belirleyin: veri sorumlusu mu, veri işleyen mi?
| Rol | Tanım | Örnek | Temel sorumluluk |
|---|---|---|---|
| Veri sorumlusu | Verinin işlenme amacını ve vasıtalarını belirleyen | Müşterilerinin ve çalışanlarının verisini işleyen firma | Aydınlatma, hukuki sebep, güvenlik, başvuru, VERBİS (gerekiyorsa) |
| Veri işleyen | Veri sorumlusu adına, onun talimatıyla işleyen | Bordro hizmeti, bulut sağlayıcı, çağrı merkezi | Talimat dışında kullanmamak, güvenlik, sözleşme |
Aynı firma bir faaliyette veri sorumlusu, bir diğerinde veri işleyen olabilir. Rolü faaliyet bazında belirleyin.
2. VERBİS kararını yazılı hale getirin
| Soru | Evet ise | Hayır ise |
|---|---|---|
| Kuruluşunuz kamu kurumu veya yurt dışı veri sorumlusu mu? | Kayıt yükümlülüğünü yönetmelikten ve Kurul kararlarından teyit edin | Sonraki soruya geçin |
| Yıllık çalışan sayısı ve yıllık mali bilanço toplamı Kurul'un belirlediği eşikleri aşıyor mu? | VERBİS'e kayıt yükümlülüğünüz vardır; süreyi teyit edin | Sonraki soruya geçin |
| Ana faaliyet konusu özel nitelikli kişisel verinin işlenmesi mi? | Eşiklerin altında olsanız da kayıt yükümlülüğünüz olabilir; teyit edin | Kayıt istisnası kapsamında olabilirsiniz; karar gerekçesini yazın |
Eşik değerleri Kurul kararlarıyla zaman içinde güncellendiği için güncel eşikleri teyit edip kararınızı gerekçesiyle kaydedin. VERBİS kaydınız olmasa bile Kanun'un diğer yükümlülükleri geçerlidir.
3. Yükümlülük haritası
| Yükümlülük | Kısaca |
|---|---|
| Aydınlatma | Veri sahibini işlenme amacı, aktarım, hukuki sebep ve hakları hakkında bilgilendirme |
| Hukuki sebep / açık rıza | Her işleme faaliyeti için kanunda sayılan bir şart; açık rıza yalnızca gerektiğinde |
| Veri envanteri / ROPA | Hangi veri, hangi amaç, hangi süre, kime aktarım |
| Veri güvenliği | Teknik ve idari tedbirler |
| Veri sahibi hakları | Başvuruya cevap verme süresi ve süreci |
| İhlal bildirimi | İhlalin Kurul'a ve ilgililere bildirilmesi |
| Aktarım | Yurt içi ve yurt dışı aktarım şartları, işleyenlerle sözleşmeler |
| Saklama ve imha | Süre bitince silme, yok etme veya anonimleştirme |
Altı adımda ilerleyin
- Rolünüzü her faaliyet için belirleyin.
- VERBİS karar akışını yürütün; sonucu ve dayanağını yazın.
- Veri envanterini çıkarın.
- Aydınlatma ve rıza metinlerini kanal bazında hazırlayın.
- Başvuru, ihlal, aktarım ve imha süreçlerini kurun.
- Güvenlik tedbirlerini kontrol edin ve hazırlık skorunu izleyin.
Dört sektörde ilk risk
Aşağıdaki tablo kurgusal bir ilk bakıştır.
| Sektör | Öne çıkan veri | İlk risk | İlk adım |
|---|---|---|---|
| E-ticaret / perakende | Müşteri, sipariş, ödeme, çerez | Çerez ve pazarlama izni | Açık rıza ve çerez metnini ayırmak |
| Sağlık | Sağlık verisi (özel nitelikli), hasta kaydı | Erişim yetkilendirmesi | Rol bazlı erişim ve işleme şartının gerekçesi |
| Üretim (İK ağırlıklı) | Çalışan özlük, kamera, bordro | Kamera ve parmak izi uygulaması | Kamera aydınlatması ve saklama süresi |
| Eğitim / danışmanlık | Katılımcı, aday, sertifika | Yurt dışı bulut kullanımı | Aktarım şartlarını belirlemek |
Denetimde veya incelemede neye bakılır?
- Hangi verileri hangi hukuki sebeple işliyorsunuz? (veri envanteri, hukuki sebep sütunu)
- VERBİS yükümlülüğünü nasıl belirlediniz? (karar kaydı, eşik teyidi)
- Çalışanlar aydınlatıldı mı? (aydınlatma metni, imzalı teslim, duyuru)
- Veri güvenliği tedbirleri yazılı mı, uygulanıyor mu?
- İhlal olursa ne yapacaksınız? (müdahale planı, tatbikat kaydı)
En sık yapılan hatalar
- Her işleme için açık rıza almak; hukuki sebep kanunda başka bir şart olabilir.
- Aydınlatma metnini internetten alıp kuruluşa göre uyarlamamak.
- VERBİS yükümlülüğünü araştırmadan kararlaştırmak.
- Veri envanterini tek seferde çıkarıp güncellememek.
- İşleyenle (bulut, bordro, çağrı merkezi) sözleşme yapmamak.
Doğru başlangıç envanterdir: hangi veriyi, nerede, kim için, ne kadar süreyle tuttuğunuzu bilmeden yazdığınız her metin tahmindir. Açık rıza en çok yanlış anlaşılan araçtır. İş sözleşmesi, kanundaki yükümlülük veya meşru menfaat gibi başka şartlar varsa açık rıza almak hem gereksiz hem riskli olabilir, çünkü rıza geri alınabilir ve işlemenizi durdurmanız gerekir.
Sık sorulan sorular
KVKK çalışmasına nereden başlamalıyım?
Önce rolünüzü (veri sorumlusu veya veri işleyen) ve VERBİS yükümlülüğünüzü belirleyin, ardından veri envanterini çıkarın. Aydınlatma ve rıza metinlerini envantere dayanarak yazmak, tahmine dayalı metinlerden kaçınmanızı sağlar.
Her işleme için açık rıza almak zorunda mıyım?
Hayır. Her işleme faaliyeti için kanunda sayılan hukuki şartlardan biri aranır; açık rıza yalnızca bu şartlardan biri olarak gerektiğinde kullanılır. Başka bir şart varken açık rıza almak gereksiz ve riskli olabilir.
VERBİS kaydı herkes için zorunlu mu?
Hayır. Yıllık çalışan sayısı ve mali bilanço toplamı için Kurul'un belirlediği eşikler vardır ve bunlar zaman içinde güncellenmiştir. Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar için ayrıca kural vardır. Güncel eşikleri kvkk.gov.tr'den teyit edin.
Envanterden metinlere, sırayla ilerleyin
Karar rehberi ve VERBİS karar akışı, veri envanteri ve ROPA doldurma kılavuzu, aydınlatma ve açık rıza şablonları, prosedürler ve Excel hazırlık skoru tek pakette. Her belgede doldurulmuş örnek ve danışman görüşü var.
KVKK Uyum ve Denetim Hazırlık Seti (Gelişmiş) →Kaynaklar
- Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu: rehberler ve Kurul kararları
Bu yazı bilgilendirme amaçlıdır; hukuki görüş, akredite doğrulama veya resmi karar yerine geçmez. Sektör tablosu kurgusaldır. Bu yazıda eşik ve tutar verilmemiştir; güncel değerleri Kurum duyurularından alın. Tarihleri, eşikleri ve hükümleri güncel resmi kaynaktan teyit edin. İlgili: ISO 27701 Nedir? KVKK Uyumu İçin PIMS Rehberi