Kişisel Veri İşleme Envanteri Nasıl Hazırlanır? KVKK Rehberi
Bir işletmede müşteri bilgileri CRM sisteminde, çalışan kayıtları insan kaynakları yazılımında, sözleşmeler dosya sunucusunda ve ziyaretçi bilgileri farklı bir uygulamada tutuluyor olabilir.
Ancak bu verilerin hangi amaçla işlendiği, kimlerin erişebildiği, başka şirketlerle paylaşılıp paylaşılmadığı ve ne kadar süre saklandığı her zaman net olmayabilir.
KVKK uyumluluk çalışmalarında karşılaşılan temel sorunlardan biri, kişisel verilerin kurum içerisinde nasıl işlendiğinin yeterince görünür olmamasıdır.
Kişisel veri işleme envanteri, kurumun kişisel veri işleme faaliyetlerini sistematik biçimde değerlendirmesine yardımcı olan önemli bir çalışmadır.
Peki kişisel veri işleme envanteri nasıl hazırlanır? Hangi bilgiler yer almalıdır ve VERBİS kaydıyla arasındaki fark nedir?
Kişisel veri işleme envanteri nedir?
Kişisel veri işleme envanteri, veri sorumlusunun iş süreçleri kapsamında gerçekleştirdiği kişisel veri işleme faaliyetlerini ayrıntılı biçimde ortaya koyan kayıt yapısıdır.
Veri Sorumluları Sicili Hakkında Yönetmelik'te envanterin; veri işleme amaçları, hukuki sebepler, veri kategorileri, ilgili kişi grupları, alıcı grupları, saklama süreleri, yurt dışına aktarım ve güvenlik tedbirleri gibi bilgileri içerecek şekilde hazırlanması tanımlanmıştır.
Bu envanter yalnızca bir Excel dosyasından ibaret değildir.
Asıl amaç, kişisel verilerin kurum içindeki yaşam döngüsünü ve ilgili sorumlulukları anlaşılır şekilde ortaya koymaktır.
Kişisel veri envanteri neden önemlidir?
İşletmeler büyüdükçe yeni yazılımlar, çalışanlar, hizmet sağlayıcılar ve veri işleme süreçleri ortaya çıkabilir.
Örneğin bir şirket Microsoft 365 kullanmaya başlayabilir, CRM sistemini değiştirebilir veya insan kaynakları süreçlerini farklı bir bulut uygulamasına taşıyabilir.
Bu değişiklikler veri akışlarını ve erişim yetkilerini etkileyebilir.
Güncel bir kişisel veri işleme envanteri aşağıdaki konuların değerlendirilmesine yardımcı olur:
- Hangi kişisel verilerin işlendiği
- Verilerin hangi süreçlerde kullanıldığı
- İşleme amaçları ve hukuki sebepleri
- Verilerin hangi sistemlerde bulunduğu
- Hangi kişi veya kurumlara aktarıldığı
- Saklama ve imha gereksinimleri
- Uygulanan teknik ve idari güvenlik önlemleri
Envanterin güncel tutulması, kişisel veri koruma uygulamalarının gerçek iş süreçleriyle uyumlu olmasını destekler.
Kişisel veri işleme envanteri hazırlamak kimler için zorunlu?
Veri Sorumluları Sicili Hakkında Yönetmelik, Sicile kayıtla yükümlü veri sorumlularının kişisel veri işleme envanteri hazırlamakla yükümlü olduğunu düzenler.
Ancak her veri sorumlusu için VERBİS kayıt yükümlülüğünün aynı şekilde bulunduğu varsayılmamalıdır.
Kanuni hükümler ve Kişisel Verileri Koruma Kurulu kararlarına göre belirli istisnalar söz konusu olabilir.
VERBİS kayıt yükümlülüğünden istisna olmak, kişisel verilerin hukuka uygun işlenmesi ve güvenliğinin sağlanmasına ilişkin diğer yükümlülüklerin ortadan kalktığı anlamına gelmez.
Bu nedenle işletmenin hukuki statüsü ve uygulanabilir yükümlülükleri ayrıca değerlendirilmelidir.
Kişisel veri işleme envanteri nasıl hazırlanır?
1. İş süreçlerini belirleyin
İlk adım, kurum içerisinde kişisel veri işlenen süreçlerin tespit edilmesidir.
Örneğin:
- İnsan kaynakları
- İşe alım
- Bordro ve özlük işlemleri
- Müşteri ilişkileri
- Satış ve pazarlama
- Muhasebe
- Teknik destek
- Ziyaretçi yönetimi
- Kamera kayıtları
- İnternet sitesi ve iletişim formları
Bu süreçlerin her birinde farklı veri kategorileri ve işleme amaçları bulunabilir.
Veri envanteri yalnızca BT departmanının katılımıyla hazırlanırsa, diğer birimlerdeki önemli faaliyetler gözden kaçabilir.
2. Kişisel veri kategorilerini belirleyin
Her süreçte hangi kişisel verilerin işlendiği tespit edilmelidir.
Örneğin:
Kimlik bilgileri: Ad, soyadı ve ilgili diğer kimlik verileri.
İletişim bilgileri: E-posta adresi, telefon ve adres bilgileri.
Özlük bilgileri: Çalışanlara ilişkin görev, çalışma ve özlük kayıtları.
Finansal bilgiler: İlgili ödeme ve hesap bilgileri.
İşlem güvenliği bilgileri: Uygun bağlamda kullanıcı hesapları, erişim ve işlem kayıtları.
Özel nitelikli kişisel veriler: Kanunda ayrı koruma rejimine tabi tutulan veri kategorileri.
Her verinin hangi kategoriye girdiği, işleme faaliyetinin niteliğine göre değerlendirilmelidir.
3. İlgili kişi gruplarını tanımlayın
Kişisel verilerin hangi kişi gruplarına ait olduğu belirlenmelidir.
Örneğin çalışanlar, çalışan adayları, müşteriler, müşteri yetkilileri, ziyaretçiler veya hizmet sağlayıcılarla ilişkili kişiler söz konusu olabilir.
Bu ayrım, veri işleme amaçlarının ve aydınlatma yükümlülüğünün doğru planlanmasına yardımcı olur.
4. Veri işleme amaçlarını belirleyin
Bir kişisel verinin hangi amaçla işlendiği açık şekilde tanımlanmalıdır.
Örneğin müşteri iletişim bilgileri sözleşme süreçlerinin yürütülmesi veya destek taleplerinin karşılanması için kullanılabilir.
Ancak aynı verinin farklı bir pazarlama faaliyeti için kullanılması ayrı hukuki değerlendirme gerektirebilir.
Bu nedenle birbirinden farklı amaçlar tek bir belirsiz açıklama altında toplanmamalıdır.
5. Hukuki sebepleri belirleyin
6698 sayılı Kanun'da kişisel verilerin işlenmesine ilişkin çeşitli hukuki şartlar düzenlenmiştir.
Açık rıza bu şartlardan biridir; ancak her kişisel veri işleme faaliyetinde mutlaka açık rızaya dayanılması gerektiği düşünülmemelidir.
Örneğin kanuni yükümlülükler, sözleşmenin kurulması veya ifası ve diğer uygulanabilir işleme şartları gündeme gelebilir.
Özel nitelikli kişisel veriler için ayrıca Kanun'un ilgili hükümleri değerlendirilmelidir.
Envanterde yer alan hukuki sebebin gerçek veri işleme süreciyle tutarlı olması gerekir.
6. Veri aktarımı ve alıcı gruplarını belirleyin
Verilerin kurum dışındaki hangi kişi veya kuruluşlarla paylaşıldığı incelenmelidir.
Örneğin:
- Muhasebe ve bordro hizmet sağlayıcıları
- Bulut yazılım sağlayıcıları
- Kargo ve lojistik firmaları
- İş ortakları
- Yetkili kamu kurumları
- Dış kaynak BT hizmet sağlayıcıları
Veri paylaşımının kendiliğinden hukuka uygun olduğu varsayılmamalıdır.
Yurt dışına veri aktarımı söz konusuysa ayrıca KVKK'nin 9. maddesi ve güncel aktarım düzenlemeleri değerlendirilmelidir.
7. Saklama sürelerini ve güvenlik tedbirlerini tanımlayın
Kişisel verilerin hangi süreyle saklanacağı, veri işleme amacı ve uygulanabilir hukuki gereklilikler üzerinden belirlenmelidir.
Her veri türünün aynı süre boyunca saklanması gerektiği varsayılmamalıdır.
Teknik ve idari güvenlik tedbirleri de envanterde açıklanmalıdır.
Örneğin erişim yetkileri, şifreleme, yedekleme, loglama, veri silme yöntemleri ve çalışan farkındalık süreçleri değerlendirilebilir.
Kişisel veri envanteri örneği
Aşağıdaki tablo, envanter mantığını göstermek amacıyla hazırlanmış sadeleştirilmiş bir örnektir.
| İş süreci | Veri kategorisi | İlgili kişi grubu | İşleme amacı | |---|---|---|---| | İşe alım | Kimlik ve iletişim | Çalışan adayı | Başvuru değerlendirmesi | | Teknik destek | İletişim ve işlem güvenliği | Müşteri yetkilisi | Destek talebinin yönetimi | | Ziyaretçi yönetimi | Kimlik ve ziyaret kaydı | Ziyaretçi | Ziyaret sürecinin yönetimi | | Müşteri ilişkileri | Kimlik ve iletişim | Müşteri | Müşteri ilişkisinin yönetimi |
Bu örnekte hukuki sebep, alıcı grubu, saklama süresi, yurt dışına aktarım ve güvenlik tedbirleri gibi zorunlu değerlendirme başlıkları gösterilmemiştir.
Gerçek bir kişisel veri işleme envanteri, yalnızca bu dört sütunla tamamlanmış sayılmaz.
Kişisel Verileri Koruma Kurumunun resmî envanter hazırlama rehberi esas alınmalıdır.
Kişisel veri envanteri ile VERBİS arasındaki fark nedir?
Bu iki kavram sıklıkla karıştırılır.
Kişisel veri işleme envanteri, veri sorumlusunun iş süreçlerindeki kişisel veri işleme faaliyetlerini ayrıntılı olarak açıklayan kayıttır.
VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Sicile kayıtla yükümlü veri sorumlularının belirli bilgileri Kuruma iletmesi amacıyla kullanılır.
VERBİS bildirimi, kişisel veri işleme envanterinde yer alan bilgiler esas alınarak hazırlanır.
Bu nedenle yalnızca VERBİS ekranlarını doldurmak, kurumun bütün kişisel veri işleme süreçlerini ayrıntılı şekilde değerlendirdiği anlamına gelmez.
Excel ile kişisel veri envanteri hazırlanabilir mi?
Envanter çalışması için Excel veya başka uygun kayıt araçları kullanılabilir.
Ancak kullanılan araçtan daha önemli olan, kayıtların doğru, eksiksiz ve güncel olmasıdır.
Örneğin kurumun farklı departmanlarının aynı tabloyu kontrolsüz değiştirmesi veri bütünlüğü sorunlarına yol açabilir.
Bu nedenle envanterin sorumlusu, güncelleme süreci ve erişim yetkileri tanımlanmalıdır.
Büyük ve karmaşık yapılarda süreç yönetimi için özel yazılım çözümleri de değerlendirilebilir.
BT altyapısı kişisel veri envanterine nasıl dahil edilir?
Kişisel veri işleme envanteri hukuki ve organizasyonel bir çalışma olmakla birlikte BT altyapısı açısından da önemli bilgiler içerir.
Örneğin bir işletmede:
- Active Directory üzerinde kullanıcı hesapları tutulabilir.
- Microsoft 365 üzerinde çalışan e-postaları bulunabilir.
- CRM ve ERP sistemlerinde müşteri kayıtları işlenebilir.
- Dosya sunucularında sözleşmeler saklanabilir.
- Firewall ve güvenlik ürünleri erişim kayıtları üretebilir.
- Bulut uygulamalarında kişisel veri içeren kayıtlar tutulabilir.
- Yedekleme sistemlerinde geçmiş veri kopyaları bulunabilir.
Bu sistemlerin her birinde hangi kişisel verilerin bulunduğunun ve erişimlerin nasıl yönetildiğinin anlaşılması önemlidir.
Ancak kişisel veri envanteri yalnızca sunucu veya yazılım listesi değildir.
Teknik sistemler, veri işleme faaliyetleri ve iş süreçleriyle ilişkilendirilmelidir.
Envanter ne zaman güncellenmeli?
Envanterin yalnızca ilk hazırlama aşamasında oluşturulması yeterli değildir.
Örneğin aşağıdaki durumlarda gözden geçirilmesi yararlı olabilir:
- Yeni bir yazılım devreye alındığında
- CRM veya ERP sistemi değiştirildiğinde
- Yeni kişisel veri kategorileri işlenmeye başlandığında
- Yurt dışındaki bir bulut hizmeti kullanılmaya başlandığında
- Yeni tedarikçiyle veri paylaşımı oluştuğunda
- Saklama politikası değiştiğinde
- Yeni bir veri toplama formu veya iş süreci oluşturulduğunda
Bu değişiklikler veri işleme faaliyetlerini etkileyebilir.
Kişisel veri envanteri hazırlarken yapılan hatalar
Sadece BT sistemlerini listelemek: İş süreçleri ve hukuki amaçların eksik bırakılması.
Bütün faaliyetlere aynı hukuki sebebi yazmak: İşleme faaliyetleri arasındaki farklılıkların göz ardı edilmesi.
Saklama sürelerini belirsiz bırakmak: Verilerin hangi koşullarda imha edileceğinin tanımlanmaması.
Tedarikçi ve bulut hizmetlerini unutmak: Veri aktarımının eksik değerlendirilmesi.
Envanteri güncellememek: Yeni yazılım ve süreç değişikliklerinin kayıtlara yansıtılmaması.
Ayrıntılı yazı: KVKK Denetimlerinde Yapılan 7 Hata
ISO 27001 envanter çalışmasına katkı sağlar mı?
ISO/IEC 27001 kapsamında bilgi güvenliği riskleri, bilgi varlıkları ve erişim kontrolleri gibi başlıklar değerlendirilir.
Bu çalışmalar kişisel verilerin korunmasına yönelik teknik güvenlik değerlendirmelerini destekleyebilir.
Ancak ISO 27001 kapsamındaki bilgi varlığı envanteri ile KVKK kapsamındaki kişisel veri işleme envanteri aynı belge değildir.
Birbirleriyle ilişkili şekilde yönetilebilirler fakat her iki yaklaşımın ayrı gereksinimleri dikkate alınmalıdır.
İlgili rehber: KVKK ve ISO 27001 Birlikte Nasıl Yürütülür?
RelGen Teknoloji ile kişisel veri güvenliği altyapısı
RelGen Teknoloji, işletmelerin mevcut BT sistemlerini ve veri işleme süreçlerinin teknik boyutunu değerlendirerek KVKK kapsamındaki veri güvenliği ihtiyaçlarının belirlenmesine yardımcı olur.
Sunucu ve ağ güvenliği, kullanıcı yetkileri, erişim kayıtları, yedekleme, bulut sistemleri, güvenlik açıkları ve veri saklama altyapısı birlikte ele alınabilir.
Amacımız, kurumun teknik sistemlerinde bulunan kişisel verilerin korunmasına yönelik uygulanabilir iyileştirme alanlarını ortaya koymaktır.
Envanterin hukuki kapsamı ve veri işleme şartları ise ilgili hukuk uzmanlarıyla birlikte değerlendirilmelidir.
Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.
Sık sorulan sorular
Kişisel veri işleme envanteri ile VERBİS aynı mı?
Hayır. Envanter, veri işleme faaliyetlerinin ayrıntılı kaydıdır. VERBİS ise Sicile kayıtla yükümlü veri sorumlularının belirli bilgileri iletmesi için kullanılan sistemdir.
Her işletme kişisel veri işleme envanteri hazırlamak zorunda mı?
Sicile kayıtla yükümlü veri sorumluları için Yönetmelik'te açık envanter hazırlama yükümlülüğü bulunur. Diğer kurumların uygulanabilir hukuki yükümlülükleri ayrıca değerlendirilmelidir.
Kişisel veri envanteri Excel'de hazırlanabilir mi?
Uygun bir tablo kullanılabilir. Ancak kayıtların gerçek süreçleri yansıtması, gerekli bilgileri içermesi ve güncel tutulması önemlidir.
Kişisel veri envanteri yalnızca BT departmanının sorumluluğunda mı?
Hayır. Veri işleyen iş birimleri, hukuk ve BT ekipleri gibi farklı paydaşların birlikte çalışması gerekir.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık niteliğinde değildir. Güncel mevzuat ve kurumun somut yükümlülükleri ayrıca değerlendirilmelidir.
Resmî kaynaklar: