Kişisel Veri Envanteri Nasıl Hazırlanır?

Kişisel veri envanteri, bir veri sorumlusunun iş süreçlerinde işlediği tüm kişisel verileri işleme amaçları, hukuki sebepleri, veri kategorileri, aktarım yapılan alıcı grupları ve saklama süreleriyle ilişkilendirerek tek bir dokümanda topladığı çalışmadır. Hazırlık süreci bir ekip kurmakla başlar, kurumun tüm iş süreçlerinde işlenen verilerin tespitiyle devam eder ve hukuki dayanakların, saklama sürelerinin, veri aktarımlarının ve güvenlik tedbirlerinin kayıt altına alınmasıyla tamamlanır. Veri Sorumluları Sicili’ne (VERBİS) kayıtla yükümlü kurumlar için bu doküman bir tercih değil kanuni bir zorunluluktur.

Kişisel Veri Envanteri Nedir?

Veri Sorumluları Sicili Hakkında Yönetmelik’in 4. maddesinin (h) bendine göre kişisel veri envanteri, veri sorumlularının iş süreçlerine bağlı olarak yürüttükleri kişisel veri işleme faaliyetlerini, işleme amaçları, hukuki sebep, veri kategorisi, alıcı grubu ve veri sahibi kişi grubuyla ilişkilendirerek detaylandırdıkları bir rapordur.^[1] Doküman ayrıca verilerin azami saklama süresini, yurt dışına aktarım öngörülüp öngörülmediğini ve alınan teknik-idari tedbirleri de içerir.

Bu haliyle envanter, bir kurumun kişisel veri işleme faaliyetlerinin fotoğrafını çeken bir iç denetim aracı olarak da işlev görür. Şirketin hangi veriyi, hangi amaçla, ne kadar süre tuttuğunu gösteren temel referans belgesi konumundadır.

Kişisel Veri Envanteri Hazırlama Zorunluluğu Var Mıdır?

Evet. VERBİS’e kayıt yükümlülüğü bulunan tüm veri sorumluları için envanter hazırlamak kanuni bir zorunluluktur. Bu zorunluluk üç ayrı düzenlemeden kaynaklanır: Veri Sorumluları Sicili Hakkında Yönetmelik’in 5/1-ç maddesi sicile açıklanacak bilgilerin envantere dayanmasını şart koşar, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 5. maddesi saklama ve imha politikasının envantere uygun hazırlanmasını arar,^[2] ise sicile kayıt yükümlülüğünün temelini oluşturur.

Önemli: Envanter hazırlama yükümlülüğü VERBİS kayıt yükümlülüğüne bağlıdır; sicile kayıtlı her veri sorumlusu bu belgeyi tutmak zorundadır.

Noterler, avukatlar, siyasi partiler, gümrük müşavirleri ve arabulucular gibi VERBİS kaydından muaf tutulan veri sorumluları bu envanteri hazırlama yükümlülüğünden de muaftır. Buna karşın 50’den fazla çalışanı olan ya da yıllık mali bilançosu belirli bir eşiği aşan kurumların büyük çoğunluğu bu kapsama girer.

Kişisel Veri Envanteri Nasıl Hazırlanır?

Envanter hazırlığı belirli aşamalardan geçen bir çalışmadır ve genellikle şu adımlarla ilerler:

• Hukuk, bilgi işlem, insan kaynakları ve pazarlama gibi birimlerden temsilcilerin yer aldığı bir çalışma ekibi kurulur. Süreç mevzuat uyarınca atanan irtibat kişisi veya veri sorumlusu temsilcisi tarafından yürütülür.
• Kurumun tüm birimlerindeki iş süreçleri tek tek çıkarılarak hangi kişisel verilerin toplandığı tespit edilir ve bu veriler genel nitelikli mi yoksa özel nitelikli mi olduğuna göre ayrıştırılır.
• İşlenen her veri için ^[3] ve ^[4]‘da sayılan hukuki sebeplerden hangisine dayanıldığı belirlenir. Hukuki dayanağı bulunmayan veriler işlenmemeli, derhal imha edilmelidir.
• Her veri kategorisi için azami saklama süresi ve sürenin sonunda uygulanacak imha yöntemi (silme, yok etme, anonimleştirme) kararlaştırılır.
• Verilerin yurt içinde ve yurt dışında hangi alıcı gruplarına aktarıldığı ile alınan teknik ve idari tedbirler kayıt altına alınır.

İpucu: Envanter hazırlığına en çok kişisel veri işleyen insan kaynakları veya pazarlama biriminden başlamak süreci hızlandırır.

Bu aşamaların tamamlanmasının ardından toplanan bilgiler Excel, Word gibi manuel yöntemlerle ya da KVKNET, E-KVK gibi özel yazılımlarla dokümante edilir. Envanter donuk bir belge değildir, kurumun iş süreçlerinde veya hukuki şartlarda değişiklik olduğunda güncellenmesi gerekir.

Aşağıdaki örnek tablo, bir kişisel veri envanterinde veri kategorisinin işleme amacı, hukuki sebep ve saklama süresiyle nasıl ilişkilendirildiğini göstermektedir:

Envanter Hazırlığının 5 Adımı

Kişisel Veri İşleme Faaliyetleri Nasıl Tespit Edilir?

Faaliyetlerin tespiti önce kurumun organizasyonel yapısının çıkarılmasıyla başlar. İnsan kaynakları, bilgi işlem, hukuk ve pazarlama gibi her birimin iş süreçleri ayrı ayrı listelenir ve bu süreçlerde kullanılan bilgi, belge ve veri kümeleri incelenerek içerdikleri kişisel veriler tespit edilir.

Tespit sırasında verinin sadece toplanması değil, kaydedilmesi, depolanması, değiştirilmesi, aktarılması ve silinmesi gibi tüm yaşam döngüsü aşamaları da göz önünde bulundurulur. Aynı verinin farklı birimlerde farklı amaçlarla, farklı hukuki sebeplerle veya farklı saklama süreleriyle işlenebileceği ihtimali de ayrıca değerlendirilmelidir.

Veri Kategorileri Nasıl Sınıflandırılır?

Tespit edilen veriler kimlik, iletişim, sağlık ve finans gibi temel kategorilere ayrılır ve özel nitelikli kişisel veriler bu sınıflandırmada ayrıca işaretlenir. VERBİS’te bilgiler sadece üst başlıklar halinde tutulurken, kurumun kendi envanterinde bu kategorilerin alt kırılımlarına kadar inilmesi gerekir.

Envanter ile VERBİS Farkı

Kişisel Veri Envanteri İle VERBİS Arasındaki Fark Nedir?

Envanter ile VERBİS birbirini tamamlayan ama nitelik bakımından farklı iki araçtır. VERBİS’e girilecek tüm bilgiler envantere dayalı olarak hazırlanır. Sağlıklı bir VERBİS kaydı için önce envanterin var olması gerekir.

VERBİS sistemine sadece kategorik üst başlıklar girilirken envanterde alt kırılımlara kadar detaylı bilgi tutulur. VERBİS kanun gereği kamuya açık tutulurken, envanter veri sorumlusunun kendi iç kullanımında kalan gizli bir belgedir ve yalnızca Kişisel Verileri Koruma Kurumu talep ettiğinde ibraz edilir.

Kişisel Veri Envanteri Hazırlanırken Yapılan Hatalar Nelerdir?

Uygulamada en sık karşılaşılan hata, aynı verinin (örneğin ad-soyad) kurum içinde birden fazla süreçte işlenmesine rağmen bu tekrarların ve süreç farklarının gözden kaçırılmasıdır. Farklı birimlerin aynı veriyi farklı saklama süreleriyle veya farklı aktarım şartlarıyla işlediği fark edilmezse envanter gerçeği yansıtmaz hale gelir.

Bir diğer yaygın sorun, pazarlama gibi faaliyetler için alınan açık rızanın hizmet sözleşmesinin ön şartı haline getirilmesidir. Bu tür paket (battaniye) rıza uygulamaları ile bir hizmet için toplanan verilerin ilgili kişinin ayrı onayı olmadan başka bir ürünün pazarlamasında kullanılması (cross-use) hukuka aykırıdır. Saklama sürelerinin işleme amacıyla orantısız şekilde uzun tutulması da envanteri hatalı kılan başka bir unsurdur.

Uyarı: Battaniye rıza ile toplanan verilerin ilgili kişinin ayrı onayı olmadan başka bir ürünün pazarlamasında kullanılması hukuka aykırıdır.

Kişisel Veri Envanteri Ne Sıklıkla Güncellenmelidir?

Envanter, hazırlandıktan sonra rafa kaldırılan durağan bir belge değildir. Kurumun organizasyon yapısında, iş süreçlerinde veya mevzuatta bir değişiklik meydana geldiği anda güncellenmesi gerekir.

Yeni bir pazarlama kampanyası başlatıldığında veya bir departmanın veri kullanım amacında değişiklik olduğunda bu durumun anlık olarak envantere yansıtılması beklenir. Herhangi bir değişiklik olmasa dahi sistemin sağlıklı işlediğini kontrol etmek için envanterin periyodik aralıklarla gözden geçirilmesi tavsiye edilir.

Kişisel Veri Envanteri Hazırlanmamasının Sonuçları Nelerdir?

VERBİS’e kayıtla yükümlü olup envanter hazırlamayan veya eksik hazırlayan veri sorumluları, sicile kayıt ve bildirim yükümlülüğünü yerine getiremediği için Kişisel Verileri Koruma Kurulu tarafından ağır idari para cezalarıyla karşılaşabilir. Bu tutarlar her yıl yeniden değerleme oranına göre güncellenir ve milyonlarca liraya ulaşabilir.

Envanterin yokluğunda kurum hangi veriyi nerede, hangi ortamda sakladığını bilemez hale gelir. İşleme amacı ortadan kalkan veya saklama süresi dolan verilerin tespit edilememesi, bu verilerin zamanında imha edilememesine ve kanuna aykırı veri işlemenin sürmesine yol açar. Envanter hazırlığı ve VERBİS kaydı zorunluluğu ve şartları genellikle birlikte ele alınması gereken iki başlıktır.

Kişisel Veri Envanteri Hazırlarken Profesyonel Destek Gerekli Midir?

Envanter hazırlığı karmaşık hukuki ve teknik analizler gerektirdiğinden sürecin bir KVKK avukatı veya danışmanlık ekibiyle yürütülmesi hataları azaltır. Profesyonel destek özellikle hangi verinin ^[5] ve ^[6]‘daki hangi hukuki sebebe dayandığının doğru tespit edilmesi, dışarıdan hizmet alınan üçüncü tarafların denetim süreçlerinin kurgulanması ve olası ihlallerde doğacak müşterek sorumluluk risklerinin yönetilmesi bakımından önem taşır.

Bu konuda daha fazla bilgi almak isteyenler Kişisel Verilerin Korunması Kanunu (KVKK) eğitimi içeriğimize veya genel çerçeve için KVKK Nedir? Cezalar ve Tüm Detaylar yazımıza göz atabilir. 6698 sayılı Kanun’un tam metnine 6698 sayılı Kişisel Verilerin Korunması Kanunu bağlantısından, VERBİS sicil işlemlerine ilişkin güncel bilgilere ise Kişisel Verileri Koruma Kurumu resmi sitesinden ulaşılabilir.

Kişisel Veri Envanteri Hakkında Sıkça Sorulan Sorular

Kişisel veri envanteri hazırlığına ilişkin uygulamada en çok sorulan sorular aşağıda yanıtlanmıştır.

Av. Haşim Elmas

Kırıkkale Üniversitesi Hukuk Fakültesi mezunudur. İstanbul Sabahattin Zaim Üniversitesi’nde Özel Hukuk Tezli Yüksek Lisans eğitimine devam etmektedir. Arabuluculuk, Uzlaştırmacılık ve Ceza alanlarında uzmanlık sertifikalarına sahiptir. Başta İş, T...

Tüm yazıları