Kişisel Veri Envanteri Nedir, Nasıl Hazırlanır?

Kişisel veri envanteri, işletmenin hangi kişisel veriyi hangi süreçte, hangi amaç ve hukuki sebeple işlediğini gösteren belgedir. Veri kategorileri, kişi ve alıcı grupları, azami muhafaza süreleri, yurt dışına aktarımı öngörülen veriler ve güvenlik tedbirleri birbiriyle ilişkilendirilir. Hazırlığa boş bir tabloyu doldurarak değil, işletmenin gerçek iş süreçlerini çıkararak başlanır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).

Sicile kayıtla yükümlü veri sorumluları envanter hazırlamakla yükümlüdür. VERBİS’e açıklanacak bilgiler bu envantere dayanır. Buna karşılık envanterin hazırlanması, bütün veri işleme faaliyetlerinin hukuka uygun olduğu sonucunu tek başına doğurmaz; her faaliyetin amacı ve işleme şartı ayrıca incelenir (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-ç; 6698 sayılı Kişisel Verilerin Korunması Kanunu m.4, m.5, m.6).

1. Kişisel Veri Envanteri Nedir, Bir İsim Listesinden Farkı Nedir?

Kişisel veri envanteri, kişilere ait bütün kayıtların bir araya getirildiği müşteri veya çalışan listesi değildir. İş süreçlerine bağlı kişisel veri işleme faaliyetlerini açıklar. Envanterin bir satırında, örneğin sipariş teslimi için müşterinin hangi bilgilerinin neden kullanıldığı ve kimlerle paylaşıldığı gösterilir (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).

Bu nedenle “müşteri verileri işlenir” ifadesi tek başına yeterli bir açıklama oluşturmaz. Müşteri hangi kişi grubunu anlatır; ad ve soyad kimlik verisine, teslimat adresi ve telefon numarası iletişim verisine ilişkin ayrıntılardır. Siparişin teslimi ise işleme amacıdır. Bu alanlar birbirinin yerine yazılmamalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.4/1-m, m.4/1-n).

Aynı veri türü farklı faaliyetlerde farklı amaçlarla kullanılabilir. Telefon numarasının teslimat için kullanılmasıyla başka bir iletişim faaliyeti için kullanılması ayrı incelenir. Bir faaliyet için bulunan hukuki sebep, aynı bilgiyi içeren bütün faaliyetleri kendiliğinden hukuka uygun hâle getirmez (KVKK m.4/2-c, m.4/2-ç, m.5).

2. Kişisel Veri Envanteri Kimler İçin Zorunludur?

Kişisel veri işleme envanteri hazırlama yükümlülüğü, Sicile kayıtla yükümlü veri sorumluları için düzenlenmiştir. Sicile sunulacak bilgiler envantere dayalı hazırlanır. Bu nedenle önce işletmenin VERBİS kayıt yükümlülüğü değerlendirilmelidir; bütün işletmelerin aynı kayıt durumunda olduğu varsayılmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-ç; KVKK m.16).

Kayıt istisnası ile diğer KVKK yükümlülükleri ayrıdır. Kanunun kapsam istisnaları saklı kalmak üzere, kayıtla yükümlü tutulmamak aydınlatma ve veri güvenliği gibi diğer yükümlülükleri kaldırmaz. Kayıt istisnasındaki bir işletmenin de hangi verileri işlediğini belirlemesi bu yükümlülükleri yerine getirmesine yardımcı olabilir; bu pratik ihtiyaç herkes için aynı envanter zorunluluğu varmış gibi anlatılmamalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-f; KVKK m.10, m.12).

Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir. Envanter hazırlığının bir çalışana veya dışarıdan destek veren kişiye bırakılması, tüzel kişinin sorumluluğunu ortadan kaldırmaz. Veri sorumlusu ile veri işleyen rollerinin belirlenmesi de hazırlığın parçasıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1; KVKK m.3). Rol ayrımı veri sorumlusu ve veri işleyen yazısında açıklanmıştır.

3. Kişisel Veri Envanterinde Hangi Alanlar Bulunur?

Kişisel veri envanterinde veri türlerini sıralamakla yetinilmez; işleme faaliyetinin amacı, hukuki sebebi ve diğer alanlarla ilişkisi gösterilir. Yönetmelikteki tanım, aşağıdaki bilgileri birlikte ele alır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).

Alan	Cevap­la­na­cak soru
Süreç veya faaliyet	Veri hangi işin yürütülmesi sırasında işleniyor?
Veri kategorisi ve ayrıntısı	Kimlik veya iletişim gibi hangi kategori ve bu kategoride hangi veri işleniyor?
Veri konusu kişi grubu	Çalışan, müşteri, aday veya ziyaretçi gibi hangi grubun verisi söz konusu?
İşleme amacı	Veri hangi somut iş için gerekli?
Hukuki sebep	İşleme, Kanundaki hangi şartın hangi koşullarına dayanıyor?
Alıcı veya alıcı grubu	Veri işletme dışında kime ya da hangi gruba aktarılıyor?
Azami muhafaza süresi	Veri ne kadar tutulacak ve bu süre hangi gerekçeye dayanıyor?
Yurt dışına aktarım	Hangi verilerin yabancı ülkelere aktarımı öngörülüyor?
Teknik ve idari tedbirler	Bu faaliyet ve veri için hangi koruma tedbirleri uygulanıyor?

İşletme, takibi kolaylaştırmak için sorumlu birim, kayıt ortamı, gözden geçiren kişi veya değişiklik tarihi gibi ek alanlar kullanabilir. Kurumun Mart 2025 tarihli Kişisel Veri İşleme Envanteri Hazırlama Rehberi de asgari içeriğin faaliyetlere uygun ek bilgilerle ayrıntılandırılmasını önerir. Bu rehber kanun veya yönetmelik değildir; bağlayıcı içerik ve yükümlülükler mevzuata dayanır.

Envanterin diğer yükümlülüklerle birlikte hangi sırada ele alınacağı ve görevlerin nasıl paylaşılacağı, KVKK uyum süreci rehberinde açıklanmıştır.

4. Kişisel Veri Envanteri Nasıl Hazırlanır?

Kişisel veri envanteri, veri sorumlusunun iş süreçleri incelenerek ve bilgiyi elinde tutan birimlerden doğrulanarak hazırlanır. Aşağıdaki sıra, Yönetmelikteki envanter tanımını ve Kurumun hazırlama rehberindeki süreç yaklaşımını izler. Her aşamada amaç, tabloya işletmede gerçekten yapılan işlemi yazmaktır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.5/1-ç).

1. İlgili birimleri ve hazırlık sorumlularını belirleyin. İnsan kaynakları, muhasebe, satış ve bilgi işlem gibi birimlerden süreç bilgisi alınır. Kurum rehberi farklı birimlerin katılımını önerir; görevlendirme veri sorumlusunun sorumluluğunu kaldırmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1).
2. İş süreçlerini faaliyetlere ayırın. “İnsan kaynakları” tek başına faaliyet açıklaması değildir. Aday başvurusu alma, ücret işlemleri veya özlük kaydı gibi işler ayrı ele alınır. İş süreçleriyle veri işleme faaliyetleri ilişkilendirilir (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).
3. İşlenen verileri ve kişi gruplarını çıkarın. Elektronik sistemler yanında kâğıt dosyalar ve diğer kayıt ortamları incelenir. İlgili veri türleri, kategorileri ve verisi işlenen gruplar belirlenir (KVKK m.3; Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).
4. Amaç ile hukuki sebebi ayrı yazın. İşin neden yapıldığı açıklanır; ardından işlemenin Kanunun hangi şartına uyduğu belirlenir. Bütün satırlara otomatik olarak açık rıza yazılmaz (KVKK m.4, m.5, m.6).
5. Aktarımları ve kullanılan hizmetleri inceleyin. Verinin hangi alıcı gruplarına gittiği ve yurt dışına aktarımı öngörülen veriler belirlenir. İşleme şartı ile aktarım koşulları birlikte değerlendirilir (KVKK m.8, m.9; Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).
6. Saklama süresini ve tedbirleri belirleyin. Süreler veri kategorisi ve amaçla ilişkilendirilir. Uygulanan güvenlik tedbirleri yazılır; yalnız ileride alınması planlanan tedbir, uygulanıyormuş gibi gösterilmez (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.9/4; KVKK m.12).
7. Sonucu faaliyetler ve diğer belgelerle karşılaştırın. Envanter, Sicile bildirilen bilgiler ve ilgili kişilere verilen açıklamalar birlikte kontrol edilir. Kopyalanmış bir şablon yerine gerçek işleme düzeni esas alınır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-ç, m.5/1-d, m.5/1-e).

Hazırlığa yardımcı olmak için Kurumun Kişisel Veri İşleme Envanteri Hazırlama Rehberi incelenebilir. Rehberdeki örnekler, işletmenin kendi faaliyetleri yerine geçen hazır bir uygunluk belgesi olarak kullanılmamalıdır.

5. Kişisel Veri Envanteri Örneği Nasıl Okunur?

Kişisel veri envanteri örneği, bir faaliyetin alanlara nasıl ayrılacağını göstermelidir. Aşağıdaki varsayımsal sipariş teslimi örneği, kişisel veri içermez ve tamamlanmış bir işletme envanteri değildir. Gerçek alıcılar, saklama süreleri ve teknik tedbirler işletmenin faaliyetine göre doğrulanmalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.5/1-e).

Envanter alanı	Varsayımsal faaliyet için açıklama
Süreç ve faaliyet	Satış sürecinde siparişin müşteriye teslim edilmesi
Kişi grubu	Satış söz­leş­me­si­nin tarafı olan müşteri
Veri ve kategori	Ad ve soyad: kimlik; teslimat adresi ve iletişim numarası: iletişim
İşleme amacı	Siparişin teslim edileceği kişinin ve teslimat yerinin belir­len­mesi
Hukuki sebep	Sözleşmenin ifasıyla doğrudan ilgili ve sözleşmenin tarafına ait verilerin işlenmesi gerekli ise KVKK m.5/2-c; gereklilik veri bazında kontrol edilir
Alıcı grubu	Teslimatı yapan hizmet sağ­la­yı­cı­sına aktarılacak veriler ayrıca belirlenir; yurt içi aktarım koşulları KVKK m.8 kapsamında incelenir
Saklama süresi	Teslimat süreci, devam eden saklama gerekçeleri ve uygu­la­na­bi­lir mevzuat birlikte incelenir; bu örnek sabit bir yıl önermez
Yurt dışına aktarım	Kullanılan sistem ve hizmetlerde yabancı ülkelere aktarımı öngörülen veriler belirlenir; varsa KVKK m.9 şartları incelenir
Tedbirler	Sipariş kayıtlarına erişen görevler ve uygulanan koruma tedbirleri gerçekteki durumuyla kaydedilir

Bu örnekte “siparişi teslim etmek” amaçtır; “sözleşmenin ifası için gerekli olma” ise koşulları gerçekleşirse hukuki sebeptir. Yalnız iki alana da “ticari faaliyet” yazılması bu ayrımı açıklamaz. Sözleşmeyle ilgisi bulunmayan veya teslimat için gerekli olmayan bir veriye aynı dayanak otomatik olarak uygulanamaz (KVKK m.4/2-ç, m.5/2-c).

Aynı müşterinin telefon numarası farklı bir amaçla kullanılacaksa yeni faaliyetin amacı ve işleme şartı ayrıca incelenir. Envanterde verinin yalnız adı değil, hangi faaliyet içinde hangi gerekçeyle kullanıldığı önemlidir (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h; KVKK m.5).

6. Kişisel Veri Envanterinde Hukuki Sebep Nasıl Belirlenir?

Kişisel veri envanterinde hukuki sebep, işleme amacının başka sözcüklerle tekrarı değildir. Amaç işlemin neden yapıldığını, hukuki sebep ise bu işlemenin hangi kanuni şarta dayandığını açıklar. Olağan kişisel verilerde Kanunun 5. maddesi, özel nitelikli verilerde 6. maddesi ayrı incelenir (KVKK m.5, m.6).

Örneğin sözleşmeyle bağlantı tek başına yeterli değildir: m.5/2-c, sözleşmenin kurulması veya ifasıyla doğrudan ilgiyi ve taraflara ait verinin işlenmesinin gerekli olmasını arar. “Meşru menfaat” yazılacaksa da ilgili kişinin temel hak ve özgürlüklerine zarar vermeme ve işlemenin zorunlu olması koşulları değerlendirilmelidir (KVKK m.5/2-c, m.5/2-f).

Sağlık, biyometrik veri veya sendika üyeliği gibi özel nitelikli kişisel veriler varsa bunlar ayrıca belirlenir. Olağan veriler için seçilen bir dayanağı bütün özel nitelikli verilere kopyalamak doğru olmaz. İşleme şartı ve gerekli önlemler ayrı ele alınır (KVKK m.6).

Açık rıza da bütün envanter satırlarının varsayılan cevabı olarak kullanılmamalıdır. Her faaliyette hangi işleme şartının gerçekten bulunduğu belirlenir. İşleme şartlarının tamamı ortadan kalkmışsa verinin tutulmasına devam edilip edilemeyeceği ayrıca değerlendirilir (KVKK m.5, m.6, m.7).

7. Kişisel Veri Envanterinde Saklama Süresi ve Tedbirler Nasıl Yazılır?

Kişisel veri envanterinde saklama süresi, veri kategorisi ve işleme amacıyla ilişkilendirilerek belirlenir. Mevzuattaki süreler, hukuki ilişkinin devamı, saklama yükümlülüğü, meşru menfaatin geçerli olduğu süre ve hakkın ileri sürülmesine ilişkin zamanaşımı gibi ölçütler incelenir. İşletmedeki bütün kayıtlara aynı süreyi yazmak bu incelemenin yerine geçmez (Veri Sorumluları Sicili Hakkında Yönetmelik m.9/4).

Envanter, azami süreler ile saklama ve imha politikasının uyumlu hazırlanmasına temel olur. Sicile kayıtla yükümlü veri sorumluları, envantere uygun saklama ve imha politikası hazırlamakla yükümlüdür. Politika, sürelerin izlenmesi ve uygulanmasıyla birlikte ele alınır (Veri Sorumluları Sicili Hakkında Yönetmelik m.9/5; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5/1).

Güvenlik alanında ise veri işleme faaliyetine uygun teknik ve idari tedbirler gösterilir. Erişim yetkilerinin sınırlandırılması, kayıt ortamının korunması veya personelin görevlerinin belirlenmesi gibi tedbirler faaliyetle ilişkilendirilebilir. Kanun, hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli tedbirlerin alınmasını ister; her olay için tek bir teknik ürün saymaz (KVKK m.12/1).

8. Kişisel Veri Envanteri ile VERBİS ve Aydınlatma Metni Nasıl Eşleştirilir?

Kişisel veri envanteri, VERBİS’e açıklanacak bilgilerin dayanağıdır; VERBİS’in kendisi değildir. Envanter iş süreçlerine bağlı ayrıntıyı taşırken Sicile bilgi girişi Yönetmelikteki başlıklara göre yapılır. Envanterdeki bilgilerin Sicile aktarılırken anlamı ve faaliyetle ilişkisi korunmalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.5/1-ç, m.9).

Envanterde ve Sicilde yer alan bilgiler, ilgili kişiye verilen açıklamalarla da birlikte kontrol edilir. Yönetmelik, aydınlatma ve ilgili kişi başvurularının yanıtlanmasında envantere dayalı olarak Sicile sunulan bilgilerin esas alınmasını düzenler. Bu nedenle KVKK aydınlatma metnindeki amaç ve alıcı grupları ile envanterdeki gerçek faaliyet farklılaşmamalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-d).

Birbirinden kopyalanmış belgeler de tek başına yeterli değildir. Örneğin bütün metinlerde aktarım yapılmadığı yazıyor ama faaliyette bir hizmet sağlayıcısına veri gidiyorsa önce fiilî durum ve aktarım koşulları incelenmelidir. Beyanların doğru ve güncel olması yükümlülüğü, yalnız belgelerin kendi aralarında aynı ifadeleri taşımasından daha kapsamlıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e; KVKK m.8, m.9).

9. Kişisel Veri Envanteri Ne Zaman Güncellenir?

Kişisel veri envanterinin güncelliği, işleme faaliyetinin değişip değişmediğiyle birlikte kontrol edilir. Yeni bir hizmet sağlayıcısı kullanılması, yeni bir amaçla veri toplanması veya saklama düzeninin değişmesi, ilgili alanların yeniden incelenmesini gerektirebilir. Sicile sunulan bilgilerin eksiksiz, doğru ve güncel olmasından veri sorumlusu sorumludur (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e).

Hazırlık ve takip için şu sorular kullanılabilir: Yeni süreçte hangi veriler işleniyor? Eski alıcı grubu hâlâ doğru mu? Yurt dışına aktarımı öngörülen veriler değişti mi? Bildirilen tedbirler uygulanıyor mu? Saklama amacı ve süre gerekçesi devam ediyor mu? Bu sorular, Yönetmelikteki alanları güncel faaliyetle karşılaştırmaya yardımcı olur (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h).

Envanter kontrolü ile sicil değişikliği bildiriminin süresi karıştırılmamalıdır. Kanun, sicil bilgilerindeki değişikliklerin derhâl bildirilmesini ister; Yönetmelik değişiklikten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirimi düzenler. Bu süre, envanterin yalnız yılda bir güncellenebileceği anlamına gelmez (KVKK m.16/4; Veri Sorumluları Sicili Hakkında Yönetmelik m.13).