KVKK uyumu, tek bir metin hazırlamakla değil, veri işleme faaliyetlerinin envanterinin çıkarılması ve her faaliyetin 6698 sayılı Kanun’un 5. ve 6. maddelerindeki bir hukuki sebeple eşleştirilmesiyle sağlanır. Envanter, aydınlatma metninden Veri Sorumluları Siciline kayda, saklama sürelerinden aktarım analizine kadar bütün adımların dayanağını oluşturur. Envanteri bulunmayan bir uyum çalışması, denetimde doğrulanabilir nitelikte olmaz.
Veri envanteri, kurumun hangi kişisel veriyi hangi amaçla, hangi hukuki sebeple, hangi süreyle ve kimlerle paylaşarak işlediğini gösteren temel belgedir. Uyum çalışmasının diğer bütün çıktıları bu belgeden türetilir.
Envanterde her faaliyet için veri kategorisi, ilgili kişi grubu, işleme amacı, hukuki sebep, saklama süresi, alıcı grupları, yurt içi ve yurt dışı aktarım durumu ile alınan teknik ve idari tedbirler gösterilir.
Çalışan, müşteri, tedarikçi, ziyaretçi ve aday gibi ilgili kişi gruplarının ayrı ayrı ele alınması gerekir. Aynı verinin farklı süreçlerde farklı hukuki sebeplerle işlenmesi mümkündür; bu nedenle envanter veri bazında değil, faaliyet bazında kurgulanmalıdır.
6698 sayılı Kanun m.5/1, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini kural olarak belirler. İkinci fıkra ise açık rıza aranmaksızın işlemeye imkân veren yedi şartı sayar.
Bu şartlar; kanunlarda açıkça öngörülmesi, fiilî imkânsızlık nedeniyle rızasını açıklayamayacak kişinin hayatı veya beden bütünlüğünün korunması, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi veya korunması ile veri sorumlusunun meşru menfaatidir.
Açık rıza, uygulamada sıklıkla ilk seçenek olarak kullanılır; oysa diğer şartlardan biri varsa açık rızaya başvurulmamalıdır. Rızaya dayanılan işlemede rızanın geri alınması hâlinde faaliyetin durdurulması gerekeceğinden, hatalı eşleştirme operasyonel risk doğurur.
Envanter tamamlandıktan sonra ilgili kişi gruplarına özgü aydınlatma metinleri hazırlanır. Metinlerde veri sorumlusunun kimliği, işleme amaçları, hukuki sebepler, aktarım alıcıları ve Kanun m.11’deki haklar yer alır.
Kişisel Veri Saklama ve İmha Politikası, saklama sürelerinin dayanağını ve süre dolduğunda uygulanacak silme, yok etme veya anonim hâle getirme yöntemini gösterir. Periyodik imha süreleri politikada belirtilir ve kayıt altına alınır.
Ayrıca ilgili kişi başvurularının nasıl karşılanacağını gösteren bir prosedür ile veri ihlali müdahale planı hazırlanmalıdır. Bu belgelerin varlığı kadar, fiilen uygulandığının kayıtlarla gösterilebilmesi de önem taşır.
6698 sayılı Kanun m.12/1, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ile muhafazalarını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorunda olduğunu düzenler.
İdari tedbirler kapsamında yetki matrisinin oluşturulması, gizlilik taahhütnamelerinin imzalatılması, düzenli farkındalık eğitimi verilmesi ve tedarikçi sözleşmelerine veri koruma hükümleri eklenmesi beklenir.
Teknik tedbirler bakımından erişim kayıtlarının tutulması, yetkilendirmenin görev gereğiyle sınırlanması, yedekleme, şifreleme, güncel yama yönetimi ve sızma testleri öne çıkar. Kanun m.12/3, veri sorumlusunun kendi kurumunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorunda olduğunu ayrıca belirtir.
Veri Sorumluları Siciline kayıt yükümlülüğü, Kurul tarafından belirlenen ölçütlere göre doğar. Sicile yapılacak bildirimin içeriği doğrudan envanterden beslenir; bu nedenle envanterin güncel tutulması bildirimin doğruluğunu da belirler.
Uyum bir kerelik bir proje değildir. Yeni bir yazılımın devreye alınması, yeni bir tedarikçiyle çalışılması ya da yeni bir kampanya başlatılması hâlinde envanterin ve ilgili metinlerin güncellenmesi gerekir.
Yükümlülüklere aykırılık hâlinde Kanun m.18 uyarınca idari para cezası uygulanır. Aynı maddenin 2024 değişikliğiyle eklenen üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.
İlk adım süreç haritalamasıdır. İnsan kaynakları, satış, muhasebe, bilgi işlem ve güvenlik birimleriyle görüşülerek veri akışları çıkarılır. Bu aşama atlandığında envanter eksik kalır.
İkinci adım hukuki sebep eşleştirmesi ve gereksiz veri toplamanın durdurulmasıdır. Amaçla bağlantılı olmayan alanların formlardan çıkarılması, hem riski hem de maliyeti azaltır.
Üçüncü adım belgelendirme ve eğitimdir. Metinler hazırlandıktan sonra çalışanların süreçleri fiilen uygulaması sağlanmalı, uygulamanın kayıtları dönemsel olarak gözden geçirilmelidir.
Sicile kayıtla yükümlü veri sorumluları bakımından envanter hazırlanması gerekir. Yükümlülük dışında kalan kurumlar için de envanter, m.12 kapsamındaki tedbirlerin ve hesap verebilirliğin temelini oluşturur.
Hayır. 6698 sayılı Kanun m.5/2’deki şartlardan biri varsa açık rıza aranmaz. Diğer bir hukuki sebep mevcutken rızaya dayanılması, rızanın geri alınması hâlinde faaliyetin durdurulması riskini doğurur.
Süre, işleme amacının gerektirdiği süre ile mevzuatta öngörülen zorunlu saklama süreleri dikkate alınarak belirlenir. Süre dolduğunda veriler silinir, yok edilir veya anonim hâle getirilir.
Yeni bir yazılım, tedarikçi, ürün veya kampanya devreye alındığında güncellenmelidir. Ayrıca dönemsel gözden geçirme yapılması, envanter ile fiilî uygulamanın uyumunu korur.
6698 sayılı Kanun m.18 uyarınca idari para cezası uygulanır. Aynı maddenin üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.
Uyum süreçleri, veri ihlalleri ve içerik uyuşmazlıklarında değerlendirme için bize ulaşın.