Kişisel Veri Envanteri Nasıl Hazırlanır?

Kişisel veri işleme envanteri, veri sorumlusunun iş süreçlerine bağlı olarak yürüttüğü tüm veri işleme faaliyetlerinin tek bir tabloda eşleştirilmesiyle hazırlanır. Her satırda bir işleme faaliyeti; işleme amacı, hukuki sebep, veri kategorisi, veri konusu kişi grubu, aktarılan alıcı veya alıcı grupları, yabancı ülkeye aktarım durumu, azami saklama süresi ve alınan güvenlik tedbirleri kolonlarıyla ilişkilendirilir. Uygulamada süreç, faaliyetlerin tespitiyle başlar, verinin kaynağından imhasına kadar akışının çıkarılmasıyla devam eder ve her alanın mevzuata uygun doldurulmasıyla tamamlanır.

Envanterin tanımı Veri Sorumluları Sicili Hakkında Yönetmelik'in 4. maddesinde yer alır. Buna göre envanter, veri sorumlularının kişisel veri işleme faaliyetlerini işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları; verilerin işlendikleri amaç için gerekli azami muhafaza süresini, yabancı ülkelere aktarımı öngörülen verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayan detaylı belgedir. Aynı Yönetmelik'in 5. maddesi, Sicile kayıtla yükümlü veri sorumlularının envanter hazırlamasını açık bir yükümlülük olarak düzenler. Yönetmelik 1 Ocak 2018'de yürürlüğe girmiş, envanterin tanımı ise 28 Nisan 2019 tarihli değişiklikle bugünkü haline kavuşmuştur.

Envanter hazırlama yükümlülüğü, VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğü olan veri sorumlularını bağlar. Kurul kararıyla belirlenen istisna kriterine göre, yıllık çalışan sayısı 50'den az olan, yıllık mali bilanço toplamı belirlenen eşiğin altında kalan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları Sicile kayıttan muaf tutulmuştur. Bilanço eşiği, Kurul'un 2023 tarihli kararıyla 100 milyon TL'ye yükseltilmiştir. Eşikler ve istisna kriterleri Kurul kararlarıyla değiştiğinden, kayıt yükümlülüğünüzü değerlendirirken kvkk.gov.tr üzerindeki güncel duyuruyu esas almanız gerekir. Kayıt yükümlülüğü kapsamında olmasanız dahi, aydınlatma ve saklama-imha süreçleri için envanter benzeri bir haritalama pratikte gereklidir.

İlk adım, kurum içindeki tüm iş süreçlerinin belirlenmesidir. İnsan kaynakları, muhasebe ve finans, pazarlama, satış, bilgi işlem, müşteri ilişkileri, güvenlik ve tedarik gibi departmanların yürüttüğü faaliyetler tek tek listelenir. Örneğin insan kaynaklarında işe alım, bordro, özlük dosyası, izin takibi ve kamera kaydı ayrı faaliyetler olarak ele alınabilir. Her sürecin hangi verileri hangi amaçla topladığını doğru tespit etmek için ilgili departman çalışanlarıyla görüşmek, kullanılan yazılım ve formları incelemek işleme faaliyetlerinin atlanmadan çıkarılmasını sağlar.

İkinci adımda her faaliyet için veri konusu kişi grubu ve veri kategorileri tanımlanır. Veri konusu kişi grubu, verisi işlenen kişilerin sınıfıdır: çalışan, çalışan adayı, müşteri, potansiyel müşteri, tedarikçi yetkilisi, ziyaretçi gibi. Veri kategorisi ise işlenen bilginin türüdür: kimlik, iletişim, özlük, finans, hukuki işlem, görsel-işitsel kayıt, sağlık gibi. Sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbiri, biyometrik ve genetik veri, din ve mezhep, kılık-kıyafet, dernek-vakıf-sendika üyeliği ile felsefi ve siyasi görüş gibi özel nitelikli kişisel verilerin ayrıca işaretlenmesi kritiktir; bu veriler için 6698 sayılı Kanun daha sıkı işleme şartları ve ek güvenlik tedbirleri öngörür.

Üçüncü adım, her işleme faaliyeti için işleme amacının ve hukuki sebebin belirlenmesidir. Amaç somut ve gerçek olmalıdır; "iş süreçlerinin yürütülmesi" gibi genel ifadeler yerine "bordro hazırlanması", "iş sözleşmesinin ifası", "yasal saklama yükümlülüğünün yerine getirilmesi" gibi ayrıştırılmış amaçlar yazılır. Hukuki sebep, Kanun'un 5. maddesindeki işleme şartlarından biriyle eşleştirilir: kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi-kullanılması-korunması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat ve son çare olarak açık rıza. Amacı açık rıza dışındaki bir şarta dayandırabiliyorsanız açık rızaya başvurmamak, hem uyum hem de operasyonel esneklik açısından tercih edilir.

Dördüncü adımda aktarımlar haritalanır. Kişisel verilerin aktarıldığı alıcı veya alıcı grupları yazılır: yetkili kamu kurumları, gerçek kişiler, iş ortakları, tedarikçiler, hizmet sağlayıcılar gibi. Verinin fiziksel veya elektronik olarak nereye gittiği belirlenmelidir; bulut hizmeti, e-posta sağlayıcısı veya dış muhasebe firması gibi hizmet sağlayıcılar sıklıkla gözden kaçar. Yurt dışına aktarım varsa ayrıca işaretlenir; yurt dışı aktarımlar 6698 sayılı Kanun'un 9. maddesindeki şartlara tabidir ve envanterde bu faaliyetlerin açıkça görünür olması gerekir. Kanun'un yurt dışı aktarım rejimi 2024 yılında (7499 sayılı Kanun) önemli ölçüde değiştirildiğinden, standart sözleşme ve diğer aktarım mekanizmalarını uygularken güncel düzenlemeyi teyit edin.

Beşinci adım saklama sürelerinin belirlenmesidir. Her veri kategorisi ve faaliyet için azami muhafaza süresi, mevzuatta öngörülen süre veya işleme amacı için gerekli olan süre esas alınarak yazılır. Örneğin özlük dosyalarında iş ilişkisinin sona ermesinden sonra devam eden zamanaşımı ve yasal saklama süreleri; muhasebe kayıtlarında ise ilgili vergi ve ticaret mevzuatındaki süreler dikkate alınır. Süre dolduğunda verinin silinmesi, yok edilmesi veya anonim hale getirilmesi gerekir; bu nedenle envanterdeki saklama süreleri, kişisel veri saklama ve imha politikasıyla birebir tutarlı olmalıdır.

Altıncı adımda Kanun'un 12. maddesi kapsamında alınan idari ve teknik tedbirler her faaliyet bazında kaydedilir. İdari tedbirler arasında erişim yetkilendirme prosedürleri, gizlilik taahhütnameleri, kişisel veri işleyen çalışanlara verilen eğitimler ve veri işleyenlerle imzalanan sözleşmeler; teknik tedbirler arasında yetki matrisi, log kayıtları, şifreleme, güvenlik duvarı, sızma testleri ve yedekleme yer alır. Kurul'un yayımladığı Kişisel Veri Güvenliği Rehberi bu tedbirler için referans alınabilir. Özel nitelikli veri işlenen faaliyetlerde tedbir seviyesi belirgin biçimde yükseltilmelidir.

Envanter bir kez hazırlanıp bırakılan statik bir belge değildir. Yeni bir yazılım, yeni bir hizmet sağlayıcı, yeni bir işe alım kanalı veya yeni bir aktarım eklendiğinde envanter güncellenmelidir. Envanter aynı zamanda VERBİS bildiriminin, aydınlatma metinlerinin, açık rıza kapsamının ve ilgili kişi başvurularının cevaplanmasının temel dayanağıdır; bu belgelerin tutarlılığı doğrudan envanterin doğruluğuna bağlıdır. Pratik bir yöntem, envanteri departman bazlı hazırlamak, sürecin sahibini ve son güncelleme tarihini her satırda tutmak ve yılda en az bir kez tüm envanteri gözden geçirmektir.

İşletmenizin VERBİS kayıt yükümlülüğü kapsamında olup olmadığını, mevcut envanterinizin eksik alanlarını ve öncelikli aksiyonları görmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunar. Süreçlerinizi hızlıca gözden geçirip nereden başlamanız gerektiğini birlikte netleştirebiliriz.

Randevu Al