KVKK Uyum Yol Haritası: Envanterden Denetime

Bu rehber, kişisel verilerin korunması mevzuatına uyumu bir kerelik proje değil, işleyen bir sistem olarak kurmak isteyen kurumlar için hazırlandı. Adımların sırası sabittir; kapsam kurumun büyüklüğüne ve işlediği veriye göre değişir. Hukuki değerlendirme hukuk danışmanınızla birlikte yapılır; bu rehber teknik ve yönetsel tarafı anlatır.

1. Sahiplik ve Ekip

Uyumun bir sahibi olmalıdır: yönetimden bir sorumlu, hukuk, bilgi teknolojileri, insan kaynakları ve iş birimlerinden birer temsilci. Bu ekip envanteri doğrular, politikaları onaylar ve ihlal anında toplanır.

2. Kişisel Veri Envanteri

Her birim, işlediği kişisel verileri listeler: veri kategorisi (kimlik, iletişim, finans, sağlık), ilgili kişi grubu, işleme amacı, hukuki dayanak, saklama süresi, aktarılan taraflar ve verinin bulunduğu sistem. Envanter, veri sorumluları sicil kaydının, saklama ve imha politikasının ve başvuru yanıtlarının kaynağıdır.

Çıktı: Envanter tablosu ve sistem eşlemesi; veri işleme haritası.

3. Hukuki Dayanak ve Metinler

Her işleme faaliyeti için dayanak (sözleşme, kanuni yükümlülük, meşru menfaat, açık rıza) belirlenir; açık rıza yalnızca başka dayanak yoksa kullanılır. Aydınlatma metinleri kanal bazında (web, mobil, çağrı merkezi, çalışan) hazırlanır; rıza metinleri ayrı, anlaşılır ve geri alınabilir olur.

4. Sicil Kaydı

Kayıt yükümlülüğü, çalışan sayısı ve mali bilanço eşiklerine ya da işlenen verinin niteliğine bağlıdır; yükümlülük hukuk danışmanıyla değerlendirilir. Kayıt envanterden türetilir ve envanter değiştikçe güncellenir.

5. Politikalar

Asgari set: kişisel veri saklama ve imha, bilgi güvenliği, erişim, veri ihlali müdahale, tedarikçi ve veri aktarım, çalışan gizlilik politikaları. Politikalar kısa, uygulanabilir ve sorumlusu belli olmalıdır; raftaki uzun politika denetimde değil, uygulamada değer taşır.

Çıktı: Yönetim onaylı politika seti; yayın ve eğitim kaydı.

6. Teknik Tedbirler

Rol tabanlı erişim ve çok adımlı doğrulama, aktarımda ve depolamada şifreleme, erişim ve değişiklik günlükleri, test ortamlarında maskeleme, saklama süresi dolan kayıtların otomatik silinmesi ya da anonimleştirilmesi, yedeklerde silme kuralları, uç nokta şifreleme. Her tedbir için uygulanan sistem ve kanıt (ekran görüntüsü, yapılandırma, rapor) saklanır.

7. Tedarikçiler ve Aktarımlar

Veri işleyen tedarikçilerle (barındırma, e-posta, CRM, bordro) sözleşmelere veri koruma hükümleri eklenir; yurt dışına aktarım varsa Kurul'un öngördüğü yöntemler uygulanır. Tedarikçi listesi envanterin parçasıdır.

8. İlgili Kişi Başvuruları

Başvuru kanalı (form, e-posta, posta) ilan edilir; başvurular kayıt altına alınır ve mevzuattaki süre içinde yanıtlanır. Yanıt için envanter ve sistem eşlemesi kullanılır: ilgili kişinin verisi hangi sistemlerde, nasıl silinir ya da düzeltilir?

9. Veri İhlali Planı

İhlal fark edildiğinde yapılacaklar yazılı olmalıdır: olayın sınırlandırılması, etkilenen veri ve kişilerin tespiti, Kurul'a bildirim (öğrenildikten itibaren 72 saat içinde), ilgili kişilere bildirim, kök neden analizi. Yılda en az bir tatbikat yapılır.

Çıktı: İhlal müdahale planı, bildirim şablonları, tatbikat raporu.

10. Eğitim ve Süreklilik

Çalışanlar işe girişte ve yılda bir eğitilir; yeni projeler envantere eklenir, gerektiğinde veri koruma etki değerlendirmesi yapılır; Kurul kararları ve mevzuat değişiklikleri izlenir; yıllık iç denetimle bulgular kapatılır.

Kontrol Listesi

• Uyum ekibi ve yönetim sorumlusu belirlendi.
• Envanter tamamlandı; sistem eşlemesi ve saklama süreleri var.
• Her işleme için hukuki dayanak belirlendi; metinler kanal bazında yayınlandı.
• Sicil kaydı yükümlülüğü değerlendirildi; kayıt güncel.
• Politika seti onaylı ve çalışanlara duyuruldu.
• Teknik tedbirler uygulandı; kanıtlar toplandı.
• Tedarikçi sözleşmelerinde veri koruma hükümleri var.
• Başvuru kanalı ilan edildi; yanıt süreci işliyor.
• İhlal planı yazılı; tatbikat yapıldı.
• Yıllık eğitim ve iç denetim takvimde.