KVKK Uyum Süreci Nasıl Yürütülür?

KVKK uyum süreci, işletmenin hangi kişisel veriyi neden işlediğini belirlemesi, hukuki şartları incelemesi ve gerekli uygulamaları hayata geçirmesiyle yürütülür. Çalışma; işleme amaçlarını, aydınlatmayı, veri güvenliğini, saklamayı ve ilgili kişi taleplerini birlikte kapsar. Hazırlanan metinlerin işletmede gerçekten yapılan işlemi karşılaması gerekir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.4, m.5, m.6, m.10, m.12, m.13).

Başlangıçta yapılabilecek en yararlı iş, faaliyetleri bilen kişileri bir araya getirip mevcut durumu çıkarmaktır. Ardından her eksik için işi yürütecek birim, hazırlanacak çıktı ve uygulamada kontrol edilecek kayıt belirlenebilir. Bu yazıdaki görev dağılımı ve çalışma sırası önerilen bir uygulama düzenidir; her işletme için zorunlu bir kurul veya değişmez proje takvimi değildir.

Kanunun kapsamı, veri işleyenlerin rolleri ve ilgili kişilerin hakları KVKK nedir ana rehberinde açıklanır; bu yazı işletmedeki uygulama sırasına odaklanır.

1. KVKK Uyum Sürecine Nereden Başlanır?

KVKK uyum sürecine, işletmenin veri işlediği faaliyetler ve bu faaliyetlerdeki rolü belirlenerek başlanır. İşleme amaçlarını ve araçlarını belirleyen veri sorumlusu ile onun verdiği yetkiye dayanarak adına işlem yapan veri işleyen ayrılmalıdır. Bir hizmet sözleşmesindeki etiket, fiilen yürütülen işi inceleme ihtiyacını kaldırmaz (KVKK m.3/1-ğ, m.3/1-ı).

İlk görüşmede yalnız mevcut belgelerin listesi istenmemelidir. İşe başvuru nasıl alınıyor, müşteri bilgisi hangi ekrana giriliyor, dosyaya kim erişiyor ve kayıt işletme dışına nasıl çıkıyor? Bu sorular faaliyetleri görünür kılar. Bilgisayardaki kayıtlar yanında, bir veri kayıt sisteminin parçası olan kâğıt dosyalar da değerlendirmeye alınır (KVKK m.3/1-e, m.3/1-h).

İnceleme sonunda kanuni şartı bulunmayan veya amacı aşan bir veri kullanımı görülürse yalnız metni değiştirmek yeterli olmaz. İşlemenin kendisi, amacı ve toplanan veri birlikte değerlendirilmelidir. Örneğin bütün formlardaki alanların zorunlu yapılması yerine her alanın ilgili iş için gerekli olup olmadığı sorulur (KVKK m.4/2-c, m.4/2-ç, m.5, m.6).

VERBİS kayıt durumu da başlangıçta incelenir. Ancak kayıt istisnası, Kanunun kapsam istisnaları saklı kalmak üzere diğer yükümlülükleri kaldırmaz. İşletmenin yalnız “kayıt gerekmiyor” cevabıyla çalışmayı kapatması doğru olmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-f).

2. KVKK Uyum Sürecinde Görev Dağılımı Nasıl Yapılır?

KVKK uyum sürecinde görev dağılımı, hem faaliyeti bilen hem değişikliği uygulayabilecek kişilerin katılımını sağlamalıdır. Türkiye’de yerleşik tüzel kişinin yetkili organı yükümlülüklerle ilgili kişileri görevlendirebilir; bu görevlendirme tüzel kişinin sorumluluğunu kaldırmaz. İrtibat kişisi de bu sıfatıyla veri sorumlusunu temsile yetkili değildir (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1, m.11/4).

Aşağıdaki tablo, çalışma takibi için kullanılabilecek bir örnektir. Birim adları işletmenin yapısına göre değiştirilebilir. “Kontrol kanıtı” sütunundaki kayıtlar, her işletmede aynı adla tutulması zorunlu belgeler olarak sunulmamaktadır.

Yapı­la­cak iş	Katı­la­bi­le­cek birim	Hazır­la­na­cak çıktı	Uygu­la­mada kontrol edi­le­bi­le­cek kanıt
Faa­li­yet­leri belir­leme	İK, satış, muha­sebe, bilgi işlem	Süreç listesi ve gere­ki­yorsa envan­ter	Kul­la­nı­lan form ve sis­tem­le­rin lis­teyle kar­şı­laş­tı­rıl­ması
Amaç ve işleme şartını ince­leme	Süreci yürüten birim ve hukuk	Faa­li­yete bağlı değer­len­dirme	Top­la­nan alan­la­rın amaç ve daya­nakla eşleş­mesi
Aydın­lat­mayı uygu­lama	İK, müşteri iliş­ki­leri, web sorum­lusu	Faa­li­yete uygun aydın­latma metni	Metnin veri toplama kana­lında nasıl sunul­duğu
Eri­şim­leri düzen­leme	Bilgi işlem ve birim yöne­ti­cisi	Yetki düzeni ve düzel­ti­le­cek eri­şim­ler	Etkin hesap­lar ve görev­le­rin kar­şı­laş­tı­rıl­ması
Sak­la­mayı düzen­leme	Arşiv, bilgi işlem, ilgili birim	Süre değer­len­dir­mesi ve gere­ki­yorsa poli­tika	Süresi ve gerek­çesi gözden geçi­ril­miş kayıt örnek­leri
Teda­rik­çiyi ince­leme	Satın alma, hukuk, bilgi işlem	Rol, erişim ve aktarım değer­len­dir­mesi	Hizmet ayar­ları, söz­leşme ve gerçek veri akışı
Talep­leri ve olay­ları kar­şı­lama	Baş­vu­ruyu alan birim, hukuk, bilgi işlem	İç yön­len­dirme ve takip düzeni	Örnek baş­vu­ru­nun veya var­sa­yım­sal olayın izle­diği yol

Bir koordinatör işlerin takibini sağlayabilir. Bunun yanında her satırda değişikliği yapacak kişinin de belirlenmesi yararlıdır: web formunu değiştirecek kişiyle aydınlatma metnini inceleyen kişi farklı olabilir. Görevin yalnız bir dosya adıyla tanımlanması, uygulama adımının sahipsiz kalmasına yol açabilir.

3. KVKK Uyum Sürecinde Envanter ve İşleme Şartları Nasıl İncelenir?

KVKK uyum sürecinde envanter, veri türlerini faaliyet, amaç, hukuki sebep, kişi ve alıcı gruplarıyla ilişkilendirir. Sicile kayıtla yükümlü veri sorumluları envanter hazırlamakla yükümlüdür; Sicile açıklanacak bilgiler de buna dayanır. Envanter hazırlama yöntemi, kişisel veri envanteri rehberinde örnekle açıklanmıştır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.5/1-ç).

Uyum çalışmasında bu tablonun her satırı için şu ayrım yapılmalıdır: amaç, verinin hangi iş için kullanıldığını; hukuki sebep ise hangi işleme şartının gerçekleştiğini açıklar. “Şirket faaliyeti” gibi genel bir ifade ikisinin yerine birden geçmez. Olağan kişisel veriler için açık rıza dışındaki şartların kendi koşulları incelenir (KVKK m.4/2-c, m.5).

Örneğin sözleşme gerekçesi kullanılacaksa, işleme sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmalı ve sözleşmenin taraflarına ait verilerin işlenmesi gerekli olmalıdır. İşletmeyle herhangi bir sözleşme bulunması, bütün kişisel veri kullanımlarını aynı dayanağa bağlamaz (KVKK m.5/2-c).

Sağlık veya biyometrik veri gibi özel nitelikli veriler ayrı belirlenir ve bunlara ilişkin işleme şartları incelenir. Olağan veri için bulunan gerekçe özel nitelikli veriye otomatik olarak taşınmaz. Değerlendirmede yürürlükteki özel düzenleme ve gerekli önlemler birlikte dikkate alınır (KVKK m.6/1, m.6/3, m.6/4).

Parmak izi veya yüz tanıma kullanımı değerlendiriliyorsa veri türü, şablon, güvenlik ve saklama soruları biyometrik veri rehberi üzerinden ayrıca incelenebilir.

4. KVKK Uyum Sürecinde Aydınlatma ve Açık Rıza Nasıl Düzenlenir?

KVKK uyum sürecinde aydınlatma, kişisel verinin elde edilmesi sırasında ilgili kişiye gerekli bilgilerin verilmesini karşılamalıdır. Veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanır. Metnin hazırlanması yanında veri toplama noktasında sunulma biçimi de incelenir (KVKK m.10).

Web başvuru formu, iş başvurusu veya ziyaretçi kaydı farklı faaliyetler olabilir. Hangi kanalda hangi bilginin toplandığı belirlenmeden tek bir metni her yere koymak, o faaliyete ilişkin açıklamanın eksik kalmasına neden olabilir. Aydınlatma yükümlülüğü çalışmasında metin ile gerçek faaliyet birlikte karşılaştırılır (KVKK m.10/1-b, m.10/1-c, m.10/1-ç).

Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Aydınlatma metninin varlığı tek başına bu irade açıklamasını oluşturmaz. Her faaliyet için önce işleme şartı belirlenmeli; açık rızaya dayanılacaksa kapsamı ayrıca değerlendirilmelidir (KVKK m.3/1-a, m.5, m.6).

Uygulama kontrolünde, örneğin formun hangi alanları istediği ile metinde anlatılan amaç karşılaştırılabilir. Metinde yer almayan yeni bir kullanım varsa yalnız metne bir cümle eklemekle yetinilmez; kullanımın hukuki şartı da incelenir. Açık rızanın koşulları bu nedenle belge hazırlığından ayrı bir değerlendirme gerektirir (KVKK m.4, m.5, m.6).

5. KVKK Uyum Sürecinde VERBİS ve Saklama Düzeni Nasıl Kurulur?

KVKK uyum sürecinde VERBİS, kayıtla yükümlü veri sorumlularının Sicil işlemlerini yürüttüğü sistemdir. Sicile kayıt, diğer KVKK yükümlülüklerini ortadan kaldırmaz. Kayıt bilgilerinin eksiksiz, doğru, güncel ve hukuka uygun olmasından veri sorumlusu sorumludur; VERBİS yükümlülüğü işletmenin durumu üzerinden incelenir (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.5/1-g; KVKK m.16).

Saklama düzeninde her kayda aynı yıl sayısı yazılmamalıdır. Verinin kategorisi, işleme amacı, mevzuattaki süreler ve saklamanın hukuki gerekçesi incelenir. Envanter ile Sicile bildirilen süreler ve uygulanacak saklama düzeni birlikte kontrol edilir (KVKK m.4/2-d; Veri Sorumluları Sicili Hakkında Yönetmelik m.9/4, m.9/5).

Sicile kayıtla yükümlü veri sorumluları, envantere uygun saklama ve imha politikası hazırlar. Politika hazırlamak, verilerin gerçekten uygun biçimde saklandığı veya imha edildiği anlamına gelmez. Politika hazırlama yükümlülüğü bulunmayan veri sorumlularının da saklama ve imhaya ilişkin yükümlülükleri devam eder (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5).

Pratik kontrolde bir kayıt grubunun neden hâlâ tutulduğu sorulabilir. İşlemeyi gerektiren sebepler ortadan kalkmışsa, diğer kanun hükümleri de gözetilerek silme, yok etme veya anonim hâle getirme değerlendirilir. “İleride gerekebilir” açıklaması yerine devam eden somut saklama gerekçesi belirlenmelidir (KVKK m.7).

Silme, yok etme ve anonimleştirme yöntemleri ile işlem sürelerinin ayrımı, kişisel verilerin imhası rehberinde açıklanmıştır.

6. KVKK Uyum Sürecinde Veri Güvenliği Nasıl Uygulanır?

KVKK uyum sürecinde veri güvenliği, hukuka aykırı işleme ve erişimin önlenmesi ile verilerin muhafazası için gerekli teknik ve idari tedbirlerin uygulanmasını kapsar. Tedbirlerin uygun güvenlik düzeyini sağlaması gerekir; çalışma yalnız bir yazılım satın alınmasına indirgenmez (KVKK m.12/1).

Görevle bağlantılı erişim yetkileri, kullanılan hesaplar, fiziksel dosyalara ulaşım ve dış hizmet erişimleri birlikte incelenebilir. Örneğin varsayımsal bir işletmede görev değişikliği yapılmışsa eski göreve bağlı erişimin devam edip etmediği kontrol edilebilir. Bu örnek, her kuruluş için tek bir teknik ayar önermez; mevcut veri ve faaliyet bakımından gerekli tedbirin uygulanıp uygulanmadığını sorgular (KVKK m.12/1).

Personelin ne yapacağını bilmesi de uygulama bakımından önem taşır. Şüpheli bir erişimi hangi birime ileteceği veya kişisel veri içeren bir dosyayı hangi kanaldan paylaşacağı açıklaştırılabilir. Veri sorumluları ve veri işleyenler, öğrendikleri verileri Kanuna aykırı açıklayamaz veya işleme amacı dışında kullanamaz; yükümlülük görevden ayrılma sonrasında da sürer (KVKK m.12/4).

6.1. Çalışan Farkındalığı Uygulamada Nasıl Kontrol Edilir?

Çalışan farkındalığı çalışması, kişinin kendi görevinde karşılaşacağı veri kullanımını ve izleyeceği yolu açıklığa kavuşturabilir. Bir sunumun paylaşılmış olmasıyla, çalışanın doğru paylaşım kanalını veya şüpheli bir durumda başvuracağı birimi bilmesi ayrı ayrı kontrol edilebilir. Bu çalışma, veri güvenliği tedbirlerini ve kurum içi denetimi destekleyen bir uygulama önerisidir (KVKK m.12/1, m.12/3).

Aşağıdaki durumlar varsayımsaldır. Birim adları ve kayıt biçimi işletmenin yapısına uyarlanabilir; tablo mevzuatta belirlenmiş zorunlu bir eğitim programı değildir.

Rol ve örnek durum	Çalışanla birlikte dene­ne­bi­le­cek davranış	Kontrolde görü­le­bi­le­cek kayıt
Yeni başlayan destek çalışanı, müşteri dosyasını başka birime iletecek.	Dosyanın tamamı yerine hangi bilginin gerekli olduğunu ve kurumun belirlediği paylaşım kanalını bulur.	Kul­la­nı­la­cak kanal, eri­şe­bi­le­cek görevler ve açıklığa kavuş­tu­rul­ması gereken nokta.
Satış çalışanının görevi değişti, eski müşteri klasörüne erişimi sürüyor.	Eski erişimi kullanmaya devam etmek yerine görev deği­şik­li­ğini yetkiyi düzenleyen birime iletir; bilgi işlem erişimi kar­şı­laş­tı­rır.	Görev değişikliği, gözden geçirilen yetki ve düzeltmenin kontrolü.
Eğitim örneği hazır­la­nır­ken gerçek müş­te­ri­le­rin mesajları kullanılmak isteniyor.	Aynı konunun kurgusal kayıtlarla anlatılıp anla­tı­la­ma­ya­ca­ğını değer­len­di­rir; gerçek veriyi eğitim dosyasına ken­di­li­ğin­den kopyalamaz.	Kullanılan örneğin kurgusal olduğu ve pay­la­şı­la­cak dosyada gerçek kişisel veri kalıp kal­ma­dı­ğı­nın kontrolü.

Örneğin ilk satır denendiğinde çalışan paylaşım kanalını bulamıyorsa, yalnız katılım kaydını tamamlamak sorunu çözmez. Sorumlu birim kanalı açıklaştırıp çalışana yeniden gösterebilir. Takip kaydında konu, görevi yürüten kişi veya birim, görülen eksik, yapılan düzeltme ve kontrol tarihi birlikte yer alabilir. Kayıt, ihtiyaç duyulandan fazla çalışan veya müşteri verisi toplayan yeni bir listeye dönüştürülmemelidir (KVKK m.4/2-ç, m.12).

Yeni bir araç veya görev değişikliği olduğunda, önceki açıklamanın o işi hâlâ karşılayıp karşılamadığı gözden geçirilebilir. Burada sabit ders saati, başarı puanı veya sertifika şartı önerilmiyor; kontrolün amacı çalışanın gerçek faaliyetindeki belirsizliği ve uygulanmamış tedbiri bulmaktır. Şüpheli olayların kurum içinde nasıl yönlendirileceği ise aşağıdaki başvuru ve veri ihlali bölümünde ele alınır.

Alınacak tedbir, henüz uygulanmamışsa tamamlanmış gibi kaydedilmemelidir. Açığın kim tarafından giderileceği ve düzeltmenin nasıl kontrol edileceği ayrıca izlenebilir. Kanun, kurum içinde gerekli denetimlerin yapılmasını veya yaptırılmasını da ister (KVKK m.12/3).

7. KVKK Uyum Sürecinde Tedarikçiler ve Yurt Dışı Hizmetler Nasıl İncelenir?

KVKK uyum sürecinde tedarikçi incelemesi, hizmetin adı yanında gerçek veri akışını kapsamalıdır. Sağlayıcının hangi verilere eriştiği, veriyi hangi amaçla kullandığı ve işletme adına işlem yapıp yapmadığı belirlenir. Veri sorumlusu ve veri işleyen ayrımı sözleşmenin ve güvenlik değerlendirmesinin temelidir (KVKK m.3, m.12/2).

Veri sorumlusu adına başka bir kişi tarafından işleme yapılıyorsa, gerekli güvenlik tedbirlerinin alınması bakımından müşterek sorumluluk bulunur. Bu nedenle dışarıdan hizmet alınması, veri güvenliği incelemesini gereksiz kılmaz. Sözleşmedeki görevler ile fiilen verilen erişimler birlikte karşılaştırılabilir (KVKK m.12/2).

Yurt içi aktarım koşulları ayrıca incelenir. Yurt dışına aktarım varsa, işleme şartlarıyla birlikte aktarımın hangi hukuki yola dayandığı değerlendirilir. Yabancı bir ürün adından hareketle sonuç çıkarmak yerine verinin nerede tutulduğu, kimlerin erişebildiği ve hizmetin veri akışı açıklığa kavuşturulmalıdır (KVKK m.8, m.9).

Yeni yazılım veya hizmet alımından önce bu bilgilerin toplanması, sonradan fark edilen açıklıkların azalmasına yardımcı olabilir. İncelemede sağlayıcıdan gelen genel gizlilik metni kadar, işletmenin açtığı özellikler ve kullandığı hesap ayarları da dikkate alınabilir. Bu çalışma, gerekli hukuki şartların yerini tutan bir teknik uygunluk belgesi değildir (KVKK m.9, m.12).

8. KVKK Uyum Sürecinde Başvurular ve Veri İhlalleri İçin Nasıl Hazırlık Yapılır?

KVKK uyum sürecinde ilgili kişi başvurularını alacak ve ilgili birime yönlendirecek düzen kurulmalıdır. Veri sorumlusu talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Talep kabul edilmişse gereği yerine getirilir; reddedilecekse gerekçesi açıklanır (KVKK m.13/2, m.13/3).

Başvurunun hangi gün alındığı, hangi kayıtlara ilişkin olduğu ve cevabı kimin hazırlayacağı izlenebilir. Bir örnek başvuruyu kurum içinde yürütmek, iletinin yanlış birimde bekleyip beklemediğini görmeye yardımcı olur. Başvuru kanalı ve içerik ayrıntıları veri sorumlusuna başvuru rehberinde açıklanmıştır (KVKK m.13).

İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirir. Olayın fark edilmesi, kapsamının araştırılması ve bildirim hazırlığının kimin tarafından koordine edileceği önceden belirlenebilir; kurum içi proje takvimi bildirim yükümlülüğünü ertelemez (KVKK m.12/5).

Varsayımsal olay çalışmasında, kişisel veri içeren bir dosyanın yanlış alıcıya gönderildiği düşünülebilir. İlk bilgiyi alacak kişi, teknik incelemeyi yapacak birim ve hukuki değerlendirmeyi yürütecek kişi tanımlanır. Gerçek olayda izlenecek yol, eldeki veriler ve olayın niteliğiyle değerlendirilir; ayrıntı için veri ihlali bildirimi yazısına bakılabilir (KVKK m.12).

9. KVKK Uyum Sürecinin Uygulandığı Nasıl Kontrol Edilir?

KVKK uyum sürecinin uygulandığı, hazırlanan belgelerle gerçek işlemler karşılaştırılarak kontrol edilir. Kanun, veri sorumlusunun kendi kurum veya kuruluşunda gerekli denetimleri yapmasını veya yaptırmasını ister. Bir çalışmanın ilk teslimi, sonraki faaliyetleri inceleme ihtiyacını ortadan kaldırmaz (KVKK m.12/3).

Kontrol için örnek bir faaliyet seçilip baştan sona izlenebilir:

1. Hangi verilerin alındığı, faaliyet listesi ve ilgili envanter satırıyla karşılaştırılır.
2. Amaç, işleme şartı ve kullanılan formun istediği alanlar birlikte incelenir.
3. Aydınlatmanın o kanalda nasıl sunulduğu görülür.
4. Veriye erişen görevler, alıcılar ve kullanılan dış hizmetler kontrol edilir.
5. Saklama gerekçesi ve süre sonunda yapılacak işlem değerlendirilir.
6. Saptanan eksik için görevli ve düzeltmenin kontrol biçimi belirlenir.

Bu sıra bir iç kontrol önerisidir. İncelemenin hukuki ekseni; genel ilkeler, işleme şartları, aydınlatma, güvenlik ve saklama yükümlülükleridir (KVKK m.4, m.5, m.6, m.7, m.10, m.12).

Yeni bir amaç, sistem, tedarikçi veya veri toplama kanalı devreye girdiğinde ilgili değerlendirme ve belgeler yeniden gözden geçirilmelidir. Sicile verilmiş bilgiler değişmişse ayrıca bildirim yapılır. Böylece güncelleme, yalnız belge üzerindeki tarihi değiştirmek yerine gerçek faaliyet değişikliğini karşılar (KVKK m.12/3, m.16/4; Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e).