KVKK uyum çalışmasına başlamadan önce doğru belgeleri toplamak, danışmanlık süresini kısaltır ve eksik beyana dayalı riskleri azaltır. Bu kontrol listesi; insan kaynaklarından satışa, bilgi işlemden satın almaya kadar kişisel verinin geçtiği süreçleri görünür hâle getirmenize yardım eder.
Kısa cevap: İlk aşamada ne hazırlamalısınız?
- Organizasyon şeması, süreç ve sistem listesi
- Çalışan, müşteri, tedarikçi ve ziyaretçi verilerinin toplandığı belgeler
- Mevcut aydınlatma metinleri, açık rıza metinleri ve sözleşmeler
- Yetki matrisi, saklama süreleri, imha kayıtları ve güvenlik tedbirleri
- Varsa VERBİS kaydı, ilgili kişi başvuruları ve veri ihlali kayıtları
Bu çalışma yalnızca evrak toplamak değildir. Amaç, işletmede hangi kişisel verinin hangi hukuki sebeple, ne kadar süreyle ve kimlerle paylaşılmak üzere işlendiğini kanıtlanabilir biçimde ortaya koymaktır. Kurumun Kişisel Veri İşleme Envanteri Hazırlama Rehberi de envanteri, iş süreçleriyle ilişkili veri işleme faaliyetlerinin ayrıntılı kaydı olarak ele alır.
KVKK uyum belgesi neden tek bir şablon değildir?
Her işletmenin çalışan sayısı, müşteri kanalları, kullandığı yazılımlar, veri aktarımı ve risk profili farklıdır. Bu nedenle internette bulunan tek tip bir “KVKK dosyası” işletmenizin gerçek faaliyetlerini yansıtmayabilir. Örneğin e-ticaret şirketinde çerezler, ödeme altyapısı ve kargo paylaşımı öne çıkarken; üretim işletmesinde çalışan özlük dosyaları, kamera kayıtları, servis ve iş güvenliği süreçleri daha belirgin olabilir.
Sağlıklı başlangıç için önce KVKK danışmanlığı hizmetinin kapsamı belirlenir; ardından mevcut durum analizi, veri envanteri, metinler, teknik-idari tedbirler ve uygulama takibi aynı sistem içinde ele alınır.
KVKK uyum çalışması için 8 başlıkta belge listesi
1. Şirket ve organizasyon bilgileri
- Güncel organizasyon şeması ve görev tanımları
- Şube, tesis, depo ve uzaktan çalışma noktaları
- Kullanılan yazılımlar, bulut servisleri ve fiziksel arşivler
- Kişisel veri işleyen birimler ve süreç sorumluları
Bu bilgiler, veri akışının yalnızca merkez ofiste değil tüm lokasyon ve sistemlerde incelenmesini sağlar. Süreç sahipleri belirlenmeden hazırlanan envanterler kısa sürede güncelliğini kaybedebilir.
2. Veri toplama kanalları ve formlar
- İş başvuru, çalışan özlük ve bordro formları
- Müşteri teklif, sözleşme, üyelik ve iletişim formları
- Tedarikçi, ziyaretçi, kamera ve araç takip kayıtları
- Web sitesi formları, çerezler, çağrı merkezi ve sosyal medya mesajları
Formların yalnızca boş örneklerini değil, hangi sistemde saklandığını ve kimlerin eriştiğini de listeleyin. İnsan kaynakları süreçlerindeki temas noktalarını anlamak için insan kaynakları danışmanlığı yaklaşımımızı da inceleyebilirsiniz.
3. Aydınlatma ve açık rıza metinleri
Çalışan, çalışan adayı, müşteri, tedarikçi ve ziyaretçiler için kullanılan aydınlatma metinlerini toplayın. KVKK Kurumu, aydınlatmanın kişisel verilerin elde edildiği sırada yapılmasını vurgular. Açık rıza ise her işlem için otomatik veya tek hukuki sebep değildir; süreç bazında hukuki sebep analizi yapılmalıdır. Mevcut metinlerinizin yapısını karşılaştırmak için KVKK politikası hazırlama rehberine bakabilirsiniz.
4. Sözleşmeler ve veri aktarım kayıtları
- Personel, müşteri ve tedarikçi sözleşmeleri
- Gizlilik taahhütnameleri ve veri işleyen hükümleri
- Bulut, yazılım, muhasebe, kargo ve çağrı merkezi hizmet sözleşmeleri
- Yurt içi ve yurt dışı veri aktarımı yapılan alıcı grupları
Sözleşme listesini gerçek veri akışıyla karşılaştırın. Belgede hiç görünmeyen bir bulut servisi veya fiilen yapılmayan bir aktarım beyanı, uyum dosyasının güvenilirliğini zayıflatır.
5. Saklama, imha ve arşiv kayıtları
Belge türlerine göre saklama sürelerini, sürelerin dayanağını, periyodik imha takvimini ve daha önce yapılan silme/yok etme işlemlerini hazırlayın. Kişisel veriler işleme amacı ortadan kalktığında süresiz saklanmamalıdır. Kurumun silme, yok etme ve anonim hâle getirme rehberleri süreç tasarımında temel referanstır.
6. Bilgi güvenliği ve erişim belgeleri
- Kullanıcı ve rol bazlı yetki matrisi
- Yedekleme, loglama, antivirüs ve güvenlik duvarı kayıtları
- Parola, uzaktan erişim, cihaz ve e-posta politikaları
- Güvenlik testi, risk analizi ve olay müdahale prosedürleri
KVKK Kanunu’nun 12. maddesi kapsamında veri sorumlusu; hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için uygun teknik ve idari tedbirleri almakla yükümlüdür. Tedbirlerin işletmenin büyüklüğü kadar verinin niteliği ve riskiyle de uyumlu olması gerekir.
7. VERBİS ve kişisel veri işleme envanteri
Varsa mevcut VERBİS kaydınızı, irtibat kişisi bilgilerini, kategori bildirimlerini ve envanteri hazırlayın. Kayıt yükümlülüğü bulunup bulunmadığı ayrıca değerlendirilmelidir; istisna kapsamında olmak diğer KVKK yükümlülüklerini kendiliğinden ortadan kaldırmaz. Konunun genel çerçevesi için KVKK ve VERBİS uyum rehberimizi okuyabilirsiniz.
8. Başvuru, şikâyet, ihlal ve eğitim kayıtları
- İlgili kişi başvuruları ve verilen yanıtlar
- Veri ihlali kayıtları ve alınan düzeltici faaliyetler
- Çalışan eğitim katılım listeleri ve farkındalık kayıtları
- İç denetim bulguları ve aksiyon takip listeleri
Belge toplama süreci nasıl yönetilir?
- Proje sorumlusunu belirleyin: Yönetim desteği ve bölüm temsilcileri olmadan veri akışı eksik kalır.
- Belgeleri merkezi klasörde toplayın: Sürüm, tarih, sahibi ve kullanım alanını kaydedin.
- Birim görüşmeleri yapın: Yazılı prosedür ile fiilî uygulama arasındaki farkları tespit edin.
- Envanterle eşleştirin: Amaç, hukuki sebep, veri kategorisi, alıcı, saklama süresi ve tedbirleri süreç bazında bağlayın.
- Eksik ve riskli alanları önceliklendirin: Kritik düzeltmeleri sorumlusu ve hedef tarihiyle takip edin.
| Belge grubu | Kontrol sorusu | Sorumlu birim |
|---|---|---|
| Veri toplama | Hangi veri, nereden ve neden alınıyor? | İK, satış, operasyon |
| Aktarım | Kimlerle ve hangi dayanakla paylaşılıyor? | Hukuk, satın alma, BT |
| Saklama | Ne kadar süre tutuluyor, nasıl imha ediliyor? | Arşiv, BT, süreç sahibi |
| Güvenlik | Kim erişiyor, hangi tedbirler uygulanıyor? | BT, bilgi güvenliği |
KVKK dosyanızı şirketinize özel hazırlayın
UG Danışmanlık; mevcut durum analizi, veri envanteri, aydınlatma ve politika metinleri, VERBİS değerlendirmesi ile teknik-idari tedbirlerin takibini tek bir uyum planında ele alır. Hazır şablon yerine gerçek süreçlerinize dayanan bir yol haritası için KVKK ön değerlendirme görüşmesi talep edin.
Sık sorulan sorular
Her şirketin VERBİS’e kaydolması gerekir mi?
Hayır. Kurul kararlarında belirlenen istisnalar bulunabilir. Ancak kayıt istisnası, aydınlatma, veri güvenliği ve diğer KVKK yükümlülüklerinin tamamından muafiyet anlamına gelmez.
Kişisel veri işleme envanteri hangi formatta olmalıdır?
Mevzuatta tek bir dosya biçimi zorunlu tutulmaz. Envanterin güncel, erişilebilir ve veri işleme faaliyetlerini gerekli ayrıntıyla açıklayacak yapıda olması önemlidir.
İnternetten indirilen KVKK metinleri yeterli olur mu?
Genellikle hayır. Metinler şirketin gerçek veri akışı, amacı, hukuki sebebi, aktarımı ve saklama uygulamasıyla uyumlu değilse eksik veya yanıltıcı olabilir.
KVKK uyum dosyası ne sıklıkla güncellenmelidir?
Yeni yazılım, süreç, tedarikçi, veri kategorisi veya mevzuat değişikliğinde güncelleme yapılmalıdır. Ayrıca periyodik kontrol takvimi oluşturarak fiilî uygulamanın belgelerle uyumu doğrulanmalıdır.
Not: Bu içerik genel bilgilendirme amaçlıdır; somut işletme yapısı ve hukuki durum için şirket özelinde değerlendirme gerekir.