VERİATLAS · HUKUKİ UYUM & DANIŞMANLIK
KVKK Uyum Süreci
KVKK uyumu, birkaç metnin yayımlanmasıyla değil; kişisel verinin ilk toplandığı andan silindiği ana kadar alınan kararların hukuken gerekçelendirilebilmesiyle sağlanır. VeriAtlas, kurumunuzun veri işleme modelini görünür kılan, öncelikleri belirleyen ve uygulanabilir bir uyum mimarisi kurmaya odaklanır.
KVKK uyumu bir belge projesi değil, kurumsal yönetim meselesidir
Bir müşterinin iletişim bilgisinin satış ekibine ulaşması, çalışan adayının özgeçmişinin saklanması, güvenlik kamerası görüntülerinin izlenmesi veya bulut tabanlı bir yazılımın kullanılması aynı soruyu doğurur: Bu veri hangi amaçla, hangi hukuki sebebe dayanılarak, kimlerin erişimiyle ve ne kadar süre işleniyor? Yanıtı yalnızca gizlilik politikasında aramak yeterli değildir; fiilî süreç, sözleşmeler, yazılım ayarları ve çalışan davranışlarıyla tutarlı olmalıdır.
6698 sayılı Kişisel Verilerin Korunması Kanunu; veri işlemenin genel ilkelerini, işleme şartlarını, aydınlatma yükümlülüğünü, veri güvenliğini ve ilgili kişilerin haklarını farklı maddelerde düzenler. Bu yükümlülükler birbirinin yerine geçmez. Örneğin bir aydınlatma metni hazırlamak, hukuka aykırı bir işleme faaliyetini meşru hâle getirmez; açık rıza almak da her durumda gerekli veya uygun değildir.
VeriAtlas’ın yaklaşımı, önce verinin kurumdaki gerçek yolculuğunu anlamak, ardından hukuki dayanakları ve riskleri eşleştirmek üzerine kuruludur. Amaç, hazır şablonları çoğaltmak değil; insan kaynakları, pazarlama, satın alma, bilgi teknolojileri ve yönetim birimlerinin birlikte işletebileceği bir düzen tasarlamaktır.
Hedeflenen sonuç: Hangi işlemin neden yapıldığını açıklayabilen, kritik risklerini önceliklendiren, sorumluları belli ve değişen iş modellerine uyarlanabilir bir veri koruma sistemi.
Hizmet kapsamı ve çalışma başlıkları
Uyum çalışmasının aşağıdaki on bileşeni farklı hukuki sorulara yanıt verir. Her bileşen kendi yöntemine, kontrol noktalarına ve teslim edilebilir çıktılara sahiptir.
01. Mevcut durum ve risk analizi
Uyum projesi, şirketin mevcut belgelerinin sayılmasıyla değil, belgeler ile gerçek uygulama arasındaki farkın tespitiyle başlar. Örneğin saklama politikasında iki yıl yazmasına rağmen aday özgeçmişlerinin e-posta kutularında süresiz tutulması, kâğıt üzerinde görünmeyen bir risktir.
İncelemede birim görüşmeleri, örnek işlem kayıtları, kullanılan uygulamalar, yetki matrisleri, sözleşmeler ve mevcut aydınlatma kanalları birlikte değerlendirilir. Riskler; veri kategorisinin hassasiyeti, işlenen kişi sayısı, erişim alanı, aktarım biçimi ve olası sonuçlar bakımından ayrıştırılır. Her eksiklik aynı öncelikte değildir: yetkisiz erişime açık sağlık verisi ile biçimsel bir doküman tutarsızlığı aynı risk seviyesinde ele alınmamalıdır.
Somut çıktı: bulgu ve dayanak listesi, önem derecesine göre risk matrisi, hızlı müdahale gerektiren hususlar ve sorumlu birimlere dağıtılmış aksiyon planı. Bu analiz, sonraki tüm çalışmaların başlangıç verisini oluşturur.
02. Veri haritası anlama çalışması
Bir işletmede kişisel verinin nerede bulunduğunu bilmek, hangi verinin neden işlendiğini bilmekle aynı şey değildir. Veri haritası çalışması; insan kaynakları sistemi, CRM, e-posta arşivleri, kamera kayıtları, çağrı merkezi, fiziksel dosyalar ve hizmet sağlayıcı platformları gibi veri temas noktalarını belirler.
Çalışmada verinin kaynağı, kayıt ortamı, erişen kişiler ve sistemler arası bağlantılar tespit edilir. Örneğin bir müşteri talebi web formundan CRM’e, oradan dış kaynak çağrı merkezine ve raporlama platformuna aktarılıyor olabilir. Bu zincirin tek bir departman tarafından bütünüyle görülmemesi, envanterin eksik hazırlanmasına yol açar.
Somut çıktı: sistem ve veri kaynağı kataloğu, departman bazlı veri temas haritası, kritik veri depoları ve inceleme gerektiren görünmeyen veri alanları. Bu çalışma, bir sonraki aşamadaki ayrıntılı veri akış modellemesinin temelidir.
03. Veri işleme süreçlerinin ve veri akışlarının haritalandırılması
Veri haritası verinin nerede olduğunu, veri akışı ise hangi olay sonucunda nereye gittiğini gösterir. Bir çalışan işe alındığında kimlik bilgilerinin bordro sistemine aktarılması, yemek kartı sağlayıcısıyla paylaşılması ve işten ayrılış sonrasında arşivlenmesi ayrı işlem adımlarıdır.
Her akışta toplama kanalı, işleme amacı, veri sorumlusu/veri işleyen rolleri, alıcı grupları, yurt içi ve yurt dışı aktarımlar, saklama noktaları ve silme tetikleyicileri belirlenir. Özellikle otomatik entegrasyonlar, ortak kullanılan grup şirketi sistemleri ve alt yükleniciler görünür kılınır.
Somut çıktı: süreç bazlı akış diyagramları, aktarım noktaları listesi ve hukuki inceleme gerektiren işlem adımları. Böylece aydınlatma, envanter, sözleşme ve güvenlik çalışmaları birbirinden kopuk ilerlemez.
04. Hukuki işleme şartlarının belirlenmesi
Her veri işleme faaliyeti için önce amaç ve veri kategorisi netleştirilir; ardından KVKK’nın 5. maddesindeki işleme şartları değerlendirilir. Açık rıza, diğer hukuki şartların otomatik alternatifi değildir. Bir sözleşmenin kurulması veya ifası için zorunlu olan işlem ile pazarlama amaçlı profil oluşturma aynı hukuki zemine oturtulamaz.
Sağlık, biyometrik veya genetik veri gibi özel nitelikli veriler bakımından 6. maddenin ayrı rejimi dikkate alınır. Hukuki şart seçimi yapılırken amaçla sınırlılık, veri minimizasyonu ve ölçülülük ilkeleri de kontrol edilir. Bir işleme şartının mevcut olması, gereğinden fazla veri toplamayı meşru kılmaz.
Somut çıktı: süreç ve amaç bazlı hukuki sebep matrisi, gerekçelendirme notları, açık rıza gerektiren noktalar ve durdurulması ya da yeniden tasarlanması önerilen işlemler. Tartışmalı işlemler için somut olaya özgü hukuki inceleme yapılır.
05. Aydınlatma ve açık rıza metinlerinin hazırlanması
Aydınlatma yükümlülüğü KVKK’nın 10. maddesinden doğar; açık rıza ise belirli işlemler için başvurulabilen ayrı bir hukuki dayanaktır. Bir metinde ikisini birbirine karıştırmak, ilgili kişinin ne hakkında bilgilendirildiğini ve neye özgür iradesiyle onay verdiğini belirsizleştirebilir.
Çalışan, iş başvurusu yapan aday, müşteri, ziyaretçi ve web sitesi kullanıcısı için farklı temas anları değerlendirilir. Aydınlatmanın hangi kanalda, hangi anda ve hangi anlaşılabilir dilde sunulacağı; rızanın gerekiyorsa hangi işlem için ayrı alınacağı ve nasıl geri çekilebileceği tasarlanır. Önceden işaretlenmiş kutular veya hizmeti gereksiz yere rızaya bağlayan akışlar ayrıca incelenir.
Somut çıktı: ilgili kişi gruplarına göre metin seti, kanal bazlı sunum önerileri, rıza kayıt ve geri alma mekanizması gereksinimleri ile uygulama kontrol listesi.
06. Politika ve prosedürlerin oluşturulması
Politika kurumun hangi ilkelere bağlı kalacağını açıklar; prosedür ise bir olay gerçekleştiğinde kimin, hangi sırayla, hangi kayıtla hareket edeceğini gösterir. Örneğin saklama ve imha politikası ile silme talebinin bilgi işlem ekibine iletilmesini düzenleyen operasyon prosedürü aynı belge değildir.
İlgili kişi başvurularının alınması ve cevaplanması, saklama-imha, erişim yetkileri, yeni tedarikçi değerlendirmesi, veri ihlali eskalasyonu ve çalışanların veri koruma sorumlulukları gibi alanlarda süreç sahipleri belirlenir. Belgelerin kurumun fiilen kullanmadığı onay mekanizmaları öngörmemesine dikkat edilir.
Somut çıktı: kuruma uyarlanmış politika ve prosedürler, rol ve sorumluluk tablosu, karar/olay kayıt şablonları ve revizyon takvimi. Belgelerin çalışanlara duyurulması ve uygulanması ayrıca planlanır.
07. İdari ve teknik tedbirlerin belirlenmesi
KVKK’nın 12. maddesi kapsamında veri güvenliği, yalnızca antivirüs veya güvenlik duvarı kurulmasından ibaret değildir. İşten ayrılan çalışanın erişiminin kapatılması, yetkilerin görevle sınırlanması, yedeklerin korunması ve tedarikçilerin güvenlik yükümlülükleri de aynı çerçevenin parçalarıdır.
İdari tedbirler arasında yetki ve görev tanımları, gizlilik taahhütleri, eğitim, tedarikçi kontrolleri ve olay müdahale süreçleri; teknik tedbirler arasında çok faktörlü kimlik doğrulama, kayıt izleme, şifreleme, erişim kontrolü, yama yönetimi ve yedekleme gibi seçenekler risk esaslı değerlendirilir. Her teknolojinin her kuruma zorunlu olduğu varsayılmaz.
Somut çıktı: risklerle eşleştirilmiş kontrol listesi, önceliklendirilmiş iyileştirme planı ve kontrolün nasıl doğrulanacağına ilişkin ölçütler. Teknik uygulama, yetkili bilgi güvenliği ekipleriyle koordineli yürütülür.
08. Yurt dışına aktarım süreçlerinin düzenlenmesi
Yurt dışına aktarım yalnızca başka ülkedeki bir şirkete e-posta gönderilmesi değildir. Bulut hizmetleri, grup şirketlerinin ortak insan kaynakları sistemleri, uzaktan destek erişimi ve uluslararası analitik araçları da aktarım değerlendirmesi gerektirebilir. Önce verinin fiilen nerede işlendiği ve hangi tarafların erişebildiği tespit edilir.
2024 yılında değişen KVKK’nın 9. maddesi çerçevesinde yeterlilik kararı, uygun güvenceler ve kanunda öngörülen istisnai aktarım halleri birbirinden ayrılır. Standart sözleşme gibi mekanizmaların seçimi, taraf rolleri ve uygulanabilir bildirim yükümlülükleri somut aktarım senaryosuna göre incelenir. Yurt dışına aktarımın sırf açık rıza metni eklenerek çözüleceği varsayılmaz.
Somut çıktı: aktarım envanteri, ülke/alıcı ve hizmet bazlı hukuki mekanizma analizi, gerekli sözleşme ve süreç düzenlemelerine ilişkin aksiyon listesi. Güncel Kurul kararları ve ikincil düzenlemeler uygulama öncesinde ayrıca kontrol edilir.
09. Veri işleyenlerle yapılan sözleşmelerin düzenlenmesi
Bir bordro hizmeti sağlayıcısı, çağrı merkezi veya bulut altyapısı şirketiyle yapılan ticari sözleşme, kişisel veri işleme ilişkisini her zaman yeterince düzenlemez. İlk mesele, tarafların somut işlemde veri sorumlusu mu yoksa veri işleyen mi olduğunun belirlenmesidir; bu roller sözleşmede kullanılan unvandan tek başına çıkarılamaz.
Sözleşmelerde işleme talimatlarının kapsamı, gizlilik, erişim sınırları, alt hizmet sağlayıcı kullanımı, güvenlik önlemleri, ihlal bildirim iş birliği, denetim/kanıt sunma ve hizmet sona erdiğinde verinin iadesi veya silinmesi gibi başlıklar incelenir. Yurt dışı aktarım varsa ayrı hukuki mekanizma değerlendirmesi yapılır.
Somut çıktı: tedarikçi rol analizi, veri koruma sözleşmesi veya ek protokol taslakları, sözleşme müzakere kontrol listesi ve kritik tedarikçi risklerinin takibi için öneriler.
10. Kişisel veri envanterinin hazırlanması
Kişisel veri işleme envanteri, yalnızca veri kategorilerinin sıralandığı bir Excel tablosu değildir. İş süreçlerine bağlı olarak işleme amacı, hukuki sebep, ilgili kişi grubu, veri kategorisi, alıcı grubu, saklama süresi, yurt dışına aktarım ve güvenlik tedbirleri arasında tutarlı bir kayıt kurulmasını gerektirir.
Envanter, departmanların gerçek işlem bilgileriyle hazırlanır; örneğin aday verileri ile çalışan özlük verileri aynı saklama ve erişim kurallarına tabi kabul edilmez. VERBİS’e yapılacak bildirimlerin dayanağı bakımından da envanterin güncel olması önem taşır. Bununla birlikte VERBİS’e kayıt yükümlülüğü ile veri koruma yükümlülükleri aynı şey değildir; kayıt istisnası bulunan kurumların da diğer kanuni yükümlülükleri devam edebilir.
Somut çıktı: süreç bazlı kişisel veri işleme envanteri, eksik bilgi ve karar noktaları listesi, güncelleme sorumluları ve VERBİS bilgilerinin tutarlılığı için kontrol zemini.
Kuruma özel değerlendirme ve yol haritası
İlk aşamada kurumun veri işleme faaliyetleri ve dijital ekosistemi görünür hâle getirilir. Departman görüşmeleri, mevcut dokümanlar ve örnek işlem akışları kullanılarak varsayımlar ile fiilî uygulama arasındaki farklar tespit edilir.
İkinci aşamada her işleme faaliyeti hukuki sebep, aydınlatma, saklama, aktarım ve güvenlik açısından incelenir. Kritik bulgular etkilerine ve düzeltme güçlüklerine göre sıralanır; yapılacak işlerin sahibi ve doğrulama yöntemi belirlenir.
Son aşamada metinler, sözleşmeler, envanter ve prosedürler birbirini destekleyen bir sisteme dönüştürülür. Değişen yazılım, tedarikçi veya iş modeli için hangi kontrollerin yeniden yapılacağı tanımlanır. VERBİS kaydı ve eğitim gibi tamamlayıcı hizmetler ihtiyaç ve yükümlülüklere göre ayrıca ele alınır.
Uygulama sürecinde dikkat edilmesi gerekenler
İşleme faaliyetini görünür kılın
Hangi veri nereden geliyor, hangi sisteme gidiyor, kim erişiyor? Kararlar gerçek akış üzerinden verilsin.
Hukuki dayanağı kanıtlayın
Her amaç için uygun işleme şartı, gerekli bilgilendirme ve aktarım mekanizması ayrı ayrı değerlendirilsin.
Süreci sürdürülebilir yapın
Yeni tedarikçi, ürün veya çalışan süreci başladığında güncelleme sorumlusu ve kontrol adımı belli olsun.
VeriAtlas için başarılı bir uyum çalışmasının ölçüsü üretilen belge sayısı değil, kurumun sorulara tutarlı ve kanıtlanabilir cevap verebilmesidir. Örneğin bir silme talebinde hangi sistemlerin kontrol edileceği ve işlem sonucunun nasıl kayıt altına alınacağı önceden belirlenmiş olmalıdır.
Yönetim, hukuk, insan kaynakları ve bilgi teknolojileri ekipleri arasında sahipliği tanımlanmamış süreçler zamanla yeniden risk üretir. Bu nedenle öneriler, görev ataması ve izleme mekanizmasıyla birlikte tasarlanır.
KVKK uyum süreci hakkında sık sorulan sorular
VERBİS’e kayıtlı olmak KVKK’ya uyumlu olduğumuz anlamına gelir mi?
Hayır. VERBİS kaydı, yükümlü veri sorumluları için sicile ilişkin bir işlemdir. İşleme şartlarının hukuka uygunluğu, aydınlatma, veri güvenliği, saklama ve ilgili kişi başvurularının yönetimi ayrıca değerlendirilir.
Her veri işleme faaliyeti için açık rıza almamız gerekir mi?
Hayır. KVKK’nın 5. ve özel nitelikli veriler bakımından 6. maddesindeki şartlar somut faaliyet için incelenir. Açık rıza gerekli olduğunda özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmalıdır.
Uyum projesi yalnızca hukuk veya bilgi işlem ekibi tarafından yürütülebilir mi?
Bu ekiplerin rolü önemlidir; ancak veri işleme süreçleri insan kaynakları, satış, pazarlama, operasyon ve satın alma gibi birimlere yayılır. Gerçek uygulamanın anlaşılması için süreç sahiplerinin katılımı gerekir.
Yurt dışındaki bulut hizmetlerini kullanmak otomatik olarak yasak mıdır?
Hayır. Ancak somut hizmette kişisel veri aktarımı bulunup bulunmadığı ve varsa KVKK’nın 9. maddesindeki uygun aktarım mekanizmasının sağlanıp sağlanmadığı değerlendirilmelidir.
Uyum çalışmasının sonunda hangi çıktıları beklemeliyiz?
Kurumun ihtiyacına göre risk ve aksiyon raporu, veri işleme envanteri, hukuki sebep matrisi, aydınlatma/rıza metinleri, politika ve prosedürler, tedarikçi sözleşmesi düzenlemeleri ve kontrol planı hazırlanabilir. Kesin kapsam ön incelemede belirlenir.
Ücretsiz ihtiyaç analizi hukuki görüş yerine geçer mi?
Hayır. Dijital analiz, öncelikli ihtiyaçları görünür kılan bir başlangıç aracıdır. Somut hukuki değerlendirme için ilgili faaliyetler ve belgeler ayrıca incelenmelidir.
İlgili hizmetler
Bu hizmeti tamamlayan çalışma alanlarını inceleyebilir, ihtiyaçlarınıza göre birlikte planlayabilirsiniz.
Resmî kaynaklar
Güncel mevzuat ve Kurum açıklamalarının ilgili tarihte ayrıca doğrulanması gerekir.
VeriAtlas ile uyumunuzu ölçülebilir bir sürece dönüştürün
Önce kurumunuzun veri işleme yapısını ve öncelikli risklerini belirleyin. Ücretsiz dijital ihtiyaç analizi ilk adım olabilir; kapsamlı hukuki incelemenin yerini almaz.
Hukuki bilgilendirme: Bu sayfa genel bilgilendirme amaçlıdır; somut olaya özgü hukuki görüş, temsil taahhüdü veya kesin uyum tespiti değildir. Yayımlanmadan önce mevzuat, süreler, başvuru yolları ve güncel Kurul uygulamaları hukuk ekibince kontrol edilmelidir.
Alt Hizmetlerimizi Keşfedin
Her çalışma başlığının kapsamını, sürecini ve dikkat edilmesi gereken noktaları incelemek için ilgili sayfaya geçebilirsiniz.