KVKK uyumu denince akla ilk gelen genellikle aydınlatma metinleri ve çerez bildirimleridir. Oysa bu metinlerin doğru yazılabilmesi için önce kurumun kendi veri akışını tanıması gerekir. Hangi departman hangi kişisel veriyi topluyor, nerede saklıyor, kiminle paylaşıyor ve ne zaman siliyor? Bu soruların cevaplarının toplandığı belgeye kişisel veri envanteri denir. Bu rehberde envanterin nasıl hazırlanacağını, uygulamada sık karşılaştığımız tuzaklarla birlikte anlatıyoruz. Hukuki değerlendirme gerektiren noktalarda hukuk danışmanınızla birlikte hareket etmenizi öneririz.
Envanter neden bu kadar önemli?
Envanter; aydınlatma metinlerinin, saklama ve imha politikasının, VERBİS bildiriminin (kayıt yükümlülüğü varsa), veri işleyen sözleşmelerinin ve teknik tedbirlerin ortak kaynağıdır. Envanterde yer almayan bir veri akışı için doğru bir aydınlatma yapılamaz, saklama süresi uygulanamaz ve bir ihlal anında etki değerlendirmesi sağlıklı yapılamaz. Kısacası envanter, uyum yapısının temelidir.
Envanterde hangi alanlar olmalı?
Her kayıt bir iş sürecine karşılık gelir ve genellikle şu bilgileri içerir:
- Departman ve süreç adı: Örneğin “İnsan kaynakları – işe alım”.
- Veri konusu kişi grubu: Çalışan adayı, müşteri, ziyaretçi, tedarikçi yetkilisi.
- Veri kategorileri: Kimlik, iletişim, mesleki deneyim, finans, görsel kayıt, konum gibi.
- Özel nitelikli veri olup olmadığı: Sağlık, biyometrik veri gibi kategoriler ayrıca işaretlenir.
- İşleme amacı: Verinin neden işlendiği, açık ve belirli şekilde.
- Hukuki sebep: Sözleşmenin ifası, kanuni yükümlülük, meşru menfaat veya açık rıza gibi.
- Saklama süresi: Verinin ne kadar süre tutulacağı ve dayanağı.
- Alıcılar ve aktarımlar: Yurt içi ve yurt dışı aktarımlar, tedarikçiler, kamu kurumları.
- Kullanılan sistemler: Verinin bulunduğu yazılım, bulut hizmeti, dosya klasörü veya fiziksel arşiv.
- Alınan tedbirler: Erişim yetkileri, şifreleme, kayıt tutma gibi.
1. Adım: Kapsamı ve ekibi belirleyin
Envanter tek bir kişinin masasında hazırlanamaz. Her departmandan süreçleri iyi bilen bir temsilci, BT’den sistemleri tanıyan bir kişi ve hukuk tarafından bir sorumlu belirleyin. Kapsama tüm lokasyonları, grup şirketlerini ve dış kaynak kullanılan süreçleri dahil edin. Çalışmayı bir yönetici sahiplenmezse departmanlar görüşmeleri sürekli erteler.
2. Adım: Süreç listesini çıkarın
Önce departman bazında bir süreç listesi oluşturun. Örneğin insan kaynaklarında işe alım, özlük dosyası, bordro, eğitim, performans; satışta teklif, sözleşme, müşteri hizmetleri; pazarlamada e-bülten, kampanya, etkinlik kaydı; idari işlerde ziyaretçi kaydı ve güvenlik kamerası. Her süreç envanterde ayrı bir kayıt olacaktır.
3. Adım: Departman görüşmelerini yapın
Görüşmelerde hukuki terimlerle değil, günlük iş diliyle soru sormak daha doğru cevap getirir. “Hangi hukuki sebebe dayanıyorsunuz?” yerine şu soruları sorun:
- Bu iş için kimden hangi bilgileri alıyorsunuz, form mu, e-posta mı, telefon mu?
- Bu bilgileri nereye kaydediyorsunuz, kimler görebiliyor?
- Bu bilgileri başka bir firmayla veya kurumla paylaşıyor musunuz?
- İş bittikten sonra bu bilgiler ne oluyor, ne zaman siliniyor?
- Bilgisayarınızda, telefonunuzda veya kâğıt ortamda ayrıca tuttuğunuz listeler var mı?
Son soru özellikle önemlidir: resmi sistemlerin dışında tutulan tablolar ve mesajlaşma grupları, envanterin en sık atlanan kısmıdır.
4. Adım: Sistemlerle doğrulayın
Görüşmelerde anlatılanlar her zaman gerçeği tam yansıtmaz. BT ekibiyle birlikte dosya sunucularındaki klasör yapısını, bulut depolama paylaşımlarını, CRM ve ERP alanlarını, web formlarının nereye kayıt düştüğünü ve e-posta kurallarını inceleyin. Bu aşamada çoğu kurum, unutulmuş eski bir web formunun hâlâ veri topladığını ya da herkese açık bir paylaşım bağlantısının yıllardır aktif olduğunu fark eder. Teknik doğrulamanın nasıl yapıldığını KVKK uyum danışmanlığı sayfamızda ayrıntılı anlattık.
Örnek bir envanter kaydı
Temsili bir örnek olarak “İnsan kaynakları – işe alım” sürecini düşünelim. Kişi grubu çalışan adayları; veri kategorileri kimlik, iletişim, eğitim ve mesleki deneyim bilgileri; amaç uygun adayın seçilmesi ve iletişim kurulması; sistemler kariyer sayfası formu, insan kaynakları e-posta kutusu ve aday takip tablosu; alıcılar kullanılıyorsa işe alım platformu; saklama süresi kurumun belirlediği ve politikada gerekçelendirdiği bir süre; tedbirler ise e-posta kutusuna yalnızca İK ekibinin erişmesi ve tablonun şifreli bir alanda tutulması olabilir. Hukuki sebep ve saklama süresinin belirlenmesi hukuk danışmanınızla birlikte yapılmalıdır.
Sık yapılan hatalar
- Envanteri bir şablondan kopyalayıp kurumun gerçek süreçlerine uyarlamamak,
- Kâğıt arşivleri, yedekleri ve kişisel cihazlardaki listeleri kapsam dışı bırakmak,
- Her süreç için hukuki sebep olarak otomatik olarak açık rızayı yazmak,
- Saklama süresini “süresiz” bırakmak veya hiç doldurmamak,
- Bulut hizmetlerini yurt dışı aktarım açısından değerlendirmemek,
- Envanteri hazırlayıp bir daha güncellememek.
Envanterden sonra gelen adımlar
Envanter tamamlandığında elinizde kurumun veri haritası olur; bu harita birkaç önemli işi mümkün kılar. Birincisi, aydınlatma metinlerinin süreç bazında doğru yazılmasıdır: kariyer sayfasındaki aday ile e-bülten abonesine aynı metni göstermek yerine her biri kendi amacına göre bilgilendirilir. İkincisi, saklama ve imha politikasının hazırlanmasıdır; envanterdeki saklama süreleri politikaya, politika da periyodik imha takvimine dönüşür. Üçüncüsü, teknik tedbirlerin önceliklendirilmesidir: özel nitelikli veri veya yoğun müşteri verisi içeren sistemler, erişim kısıtlaması, şifreleme ve kayıt tutma açısından ilk sırada ele alınır. Dördüncüsü, veri işleyen tedarikçilerin listesinin çıkmasıdır; bu liste sözleşme eklerinin tamamlanması için kullanılır. Son olarak envanter, bir ihlal anında hangi kişi gruplarının ve veri kategorilerinin etkilendiğini hızla görmenizi sağlayarak müdahale planının da temelini oluşturur.
Envanteri hangi araçla tutmalı?
Küçük kurumlar için iyi tasarlanmış ve erişimi sınırlandırılmış bir tablo başlangıç için yeterli olabilir. Süreç sayısı arttıkça değişiklik geçmişi tutan, sorumlu atayabilen ve hatırlatma gönderebilen bir kayıt aracına geçmek işleri kolaylaştırır. Hangi araç seçilirse seçilsin, envanterin kendisinin de kişisel veri ve iş sırrı içerebileceğini unutmayın; erişimi yalnızca ilgili kişilere açın.
Envanteri canlı tutmak
Yeni bir yazılım satın alındığında, yeni bir kampanya formu açıldığında ya da bir tedarikçi değiştiğinde envanter de güncellenmelidir. Bunun en pratik yolu, satın alma ve proje başlatma süreçlerine kısa bir “kişisel veri kontrol sorusu” eklemektir. Yılda en az bir kez tüm kayıtların departmanlarla gözden geçirilmesi de iyi bir uygulamadır. Envanter güncel kaldığında saklama ve imha politikasını uygulamak, aydınlatma metinlerini güncellemek ve bir ihlal anında hangi verilerin etkilendiğini hızlıca görmek mümkün olur.
Envanterinizi teknik tedbirlerle birlikte ele almak isterseniz KVKK ve GDPR uyum danışmanlığı hizmetimizi inceleyebilir, bilgi güvenliği yönetim sistemi kurmayı düşünüyorsanız ISO 27001 danışmanlığı sayfamıza göz atabilirsiniz.
Sık sorulan sorular
Kişisel veri envanteri ile VERBİS kaydı aynı şey mi?
Hayır. Envanter, kurumun tüm kişisel veri işleme faaliyetlerini ayrıntılı gösteren iç kayıttır. VERBİS ise kayıt yükümlülüğü bulunan veri sorumlularının belirli bilgileri bildirdiği sicil sistemidir. Kayıt gerekiyorsa bildirilecek bilgiler envanterden hazırlanır.
Envanteri kim hazırlamalı?
Departman temsilcileri, BT ve hukuk sorumlusundan oluşan bir ekip birlikte hazırlamalıdır. Süreçleri en iyi departmanlar, sistemleri BT, hukuki sebep ve saklama sürelerini hukuk tarafı bilir.
Envanter ne sıklıkla güncellenmeli?
Yeni sistem, süreç veya tedarikçi devreye girdiğinde anında, ayrıca yılda en az bir kez tüm kayıtların gözden geçirilmesi önerilir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
