Kişisel veri envanteri nedir?
Kişisel veri envanteri; veri sorumlusunun iş süreçlerine bağlı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini, bu faaliyetlerin amaçlarını ve hukuki sebeplerini, veri kategorilerini, aktarılan alıcı gruplarını, ilgili kişi gruplarını, azami saklama sürelerini, yurt dışına aktarımları ve alınan güvenlik tedbirlerini ayrıntılı biçimde gösteren bir çalışmadır.
Envanter, Veri Sorumluları Sicili Hakkında Yönetmelik ile tanımlanmış ve VERBİS’e kayıt yükümlüsü olan veri sorumluları için kayıt bilgilerinin temelini oluşturur. Ancak envanterin değeri yalnızca VERBİS ile sınırlı değildir: kayıt yükümlülüğü olmayan bir kuruluş da hangi verileri işlediğini bilmeden aydınlatma metni hazırlayamaz, saklama süresi belirleyemez ve doğru güvenlik tedbirlerini seçemez. Bu nedenle envanter, her ölçekte KVKK uyumunun başlangıç noktasıdır.
Envanterde hangi bilgiler yer almalı?
Envanter genellikle bir tablo olarak tutulur ve her satır bir iş sürecindeki veri işleme faaliyetini temsil eder. Tipik sütunlar şunlardır:
- Birim ve süreç: örneğin İnsan Kaynakları – işe alım, Satış – teklif hazırlama, İdari İşler – ziyaretçi kaydı.
- İlgili kişi grubu: çalışan adayı, çalışan, müşteri, potansiyel müşteri, ziyaretçi, tedarikçi yetkilisi.
- Veri kategorileri: kimlik, iletişim, özlük, finans, görsel ve işitsel kayıtlar, sağlık bilgileri gibi; özel nitelikli verilerin ayrıca işaretlenmesi önemlidir.
- İşleme amacı: verinin hangi meşru amaç için işlendiği; amaçların genel değil, sürece özgü olması gerekir.
- Hukuki sebep: KVKK’da sayılan işleme şartlarından hangisine dayanıldığı.
- Verinin kaynağı ve toplama yöntemi: doğrudan ilgili kişiden mi, üçüncü taraftan mı; formla mı, e-postayla mı, kamerayla mı.
- Saklama ortamı: fiziksel arşiv, yazılım, ortak klasör, bulut hizmeti.
- Alıcı grupları: verilerin aktarıldığı kamu kurumları, iş ortakları, hizmet sağlayıcılar; yurt dışına aktarım olup olmadığı.
- Saklama süresi: yasal saklama yükümlülükleri ve işleme amacı dikkate alınarak belirlenen azami süre.
- Güvenlik tedbirleri: erişim yetkilendirmesi, şifreleme, kilitli dolap gibi teknik ve idari tedbirler.
Envanter nasıl hazırlanır?
Birim ve süreç listesini çıkarın
Organizasyon şemasından yola çıkarak her birimin ana iş süreçlerini listeleyin. Destek süreçlerini (bilgi işlem, güvenlik, idari işler) unutmayın.
Birim görüşmeleri yapın
Her birimden süreci gerçekten yürüten kişilerle görüşün. Kullandıkları form, yazılım, tablo ve klasörleri birlikte inceleyin; “hangi bilgiyi neden istiyorsunuz?” sorusunu her alan için sorun.
Verileri sınıflandırın
Toplanan bilgileri veri kategorilerine ayırın ve özel nitelikli verileri belirleyin.
Amaç ve hukuki sebebi eşleştirin
Her faaliyet için amacı yazın ve dayandığı işleme şartını belirleyin. Hukuki dayanağı bulunamayan veya amaç için gerekli olmayan veriler, toplanmaktan vazgeçilecek veriler listesine alınır.
Aktarımları ve saklama sürelerini belirleyin
Verilerin kimlere aktarıldığını, yurt dışında barındırılan hizmetler dahil, tespit edin; mevzuattaki saklama yükümlülüklerini dikkate alarak süreleri belirleyin.
Tedbirleri kaydedin ve eksikleri listeleyin
Her faaliyet için mevcut güvenlik tedbirlerini yazın; eksik görülen tedbirleri bir aksiyon planına dönüştürün.
Onaylayın ve güncel tutun
Envanteri birim sorumlularına onaylatın; yeni bir süreç, yazılım veya tedarikçi devreye girdiğinde güncelleme yapılmasını bir kural hâline getirin.
VERBİS nedir ve kimler kaydolmalı?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), Kişisel Verileri Koruma Kurumu tarafından tutulan ve veri sorumlularının kayıt yükümlülüklerini yerine getirdikleri çevrim içi sistemdir. KVKK, kişisel veri işleyen gerçek ve tüzel kişilerin işlemeye başlamadan önce Sicil’e kaydolmasını öngörür; ancak Kanun, Kişisel Verileri Koruma Kurulu’na belirli objektif kriterlere göre muafiyet getirme yetkisi de tanır.
Kurul bu yetkiye dayanarak çeşitli kararlarla kayıt yükümlülüğünden muafiyet kriterleri belirlemiştir. Bu kriterler genel olarak; veri sorumlusunun yıllık çalışan sayısı ve yıllık mali bilanço toplamı gibi ölçek göstergelerine, ana faaliyet konusunun özel nitelikli kişisel veri işlemeyi içerip içermediğine ve belirli meslek veya kurum türlerine dayanır. Örneğin bazı meslek mensupları ve belirli kuruluş türleri için ayrı muafiyetler öngörülmüştür; yurt dışında yerleşik veri sorumluları ise genellikle kayıt yükümlüsü kabul edilir.
Eşik değerler ve muafiyet kapsamı zaman içinde Kurul kararlarıyla değiştirilebildiği için burada kesin rakam vermiyoruz. Kayıt yükümlülüğünüzü değerlendirirken Kişisel Verileri Koruma Kurumu’nun yayımladığı güncel Kurul kararlarını ve VERBİS duyurularını mutlaka kontrol edin. Muaf olduğunuz sonucuna varırsanız bu değerlendirmeyi gerekçeleriyle birlikte kayıt altına almanız, ileride doğabilecek sorulara karşı faydalı olur.
Muafiyet, diğer yükümlülükleri ortadan kaldırmaz
VERBİS kayıt muafiyeti yalnızca Sicil’e kayıt yükümlülüğüyle ilgilidir. Muaf olan veri sorumluları da aydınlatma, veri güvenliği, hukuki dayanak, saklama ve imha ile ilgili kişi başvurularını yanıtlama gibi KVKK’daki diğer tüm yükümlülüklere uymak zorundadır.
VERBİS kaydında dikkat edilmesi gerekenler
- Kayıt için veri sorumlusu adına bir irtibat kişisi belirlenmesi gerekir; irtibat kişisinin rolü ve iletişim bilgileri güncel tutulmalıdır.
- Sicil’e girilen bilgiler envanterle tutarlı olmalıdır; envanterden bağımsız, tahmini bilgilerle kayıt yapılmamalıdır.
- Yurt dışına aktarım, bulut hizmetleri ve yurt dışı merkezli yazılımlar nedeniyle de gerçekleşebilir; bu durumlar kayıtta gözden kaçırılmamalıdır.
- Envanterde yapılan değişiklikler, Kurul’un öngördüğü süre içinde VERBİS’e de yansıtılmalıdır; güncelleme takibi için bir sorumlu belirleyin.
- Kayıt yükümlülüğü, daha önce muaf olan bir kuruluş için çalışan sayısı veya mali büyüklük arttığında doğabilir; bu kriterleri her yıl gözden geçirin.
Envanter ile saklama ve imha politikası arasındaki bağ
Envanterde her veri kategorisi için belirlenen saklama süreleri, kişisel veri saklama ve imha politikasının temelini oluşturur. Politika, sürelerin dolmasıyla birlikte verilerin hangi yöntemle silineceğini, yok edileceğini veya anonim hâle getirileceğini ve periyodik imha işlemlerinin hangi aralıklarla yapılacağını tanımlar. Envanter güncel değilse, politika da kâğıt üzerinde kalır. Diğer KVKK politikaları için politika ve prosedürler sayfamıza göz atabilirsiniz.
HENA olarak birim görüşmeleriyle kişisel veri envanterinizi hazırlıyor, VERBİS kayıt yükümlülüğünüzün değerlendirilmesinde ve kayıt sürecinde destek veriyoruz. Ayrıntılar için KVKK uyum danışmanlığı sayfamızı inceleyebilir, teklif talebinizi iletebilirsiniz.
Sıkça sorulan sorular
VERBİS’e kayıt yükümlülüğü olmayanlar da envanter hazırlamalı mı?
Kanunen VERBİS bağlamında tanımlanan envanter yükümlülüğü kayıt yükümlüleri içindir; ancak muaf kuruluşların da aydınlatma, saklama süreleri ve güvenlik tedbirlerini doğru belirleyebilmesi için işledikleri verileri bilmesi gerekir. Bu nedenle sade bir envanter hazırlanması önerilir.
VERBİS muafiyet kriterleri nereden kontrol edilir?
Muafiyet kriterleri Kişisel Verileri Koruma Kurulu kararlarıyla belirlenir ve değişebilir. Güncel kararlar ile duyurular Kişisel Verileri Koruma Kurumu’nun resmi internet sitesinden takip edilmelidir.
Envanter ne sıklıkla güncellenmelidir?
Yeni bir süreç, yazılım, tedarikçi veya veri kategorisi devreye girdiğinde güncellenmelidir. Bunun yanında yılda en az bir kez tüm birimlerle genel bir gözden geçirme yapılması iyi bir uygulamadır.