İşletmenizde KVKK Veri Envanteri Nasıl Hazırlanır?

KVKK uyumluluğu denince akla ilk gelen genellikle aydınlatma metinleri veya açık rıza formları gelir. Ancak tüm bu sürecin gerçek temeli, çok daha basit ama bir o kadar kritik bir adımla başlar: veri envanteri. Envanter olmadan yapılan her KVKK adımı eksik kalır; çünkü işletmenizde hangi verilerin toplandığını, nerede saklandığını ve kimle paylaşıldığını bilmiyorsanız, bunları korumak da mümkün olmaz. Bu rehberde, teknik detaylara boğulmadan, gerçekten uygulanabilir adımlarla veri envanterini nasıl hazırlayacağınızı anlatacağız.

Veri Envanteri Nedir ve Neden Bu Kadar Önemli?

Veri envanteri, işletmenizin hangi kişisel verileri (ad, telefon, e-posta, adres, fotoğraf gibi) hangi amaçla topladığını, nerede sakladığını, kiminle paylaştığını ve ne kadar süre tuttuğunu gösteren bir haritadır. Bunu, işletmenizin tüm veri hareketlerinin bir fotoğrafı olarak düşünebilirsiniz.

Örneğin bir kafe işletiyorsanız; müşteri sadakat programı için telefon numarası, online sipariş için adres, personel bordroları için TC kimlik numarası, güvenlik kameraları için görüntü kaydı gibi pek çok farklı veri topluyorsunuz demektir. Envanter, tüm bu verileri tek bir listede düzenli şekilde görmenizi sağlar.

Neden zorunlu? KVKK mevzuatına göre, VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı yapmak zorunda olan işletmeler aynı zamanda veri işleme envanteri hazırlamakla da yükümlüdür. Ancak zorunluluk bir yana, envanter olmadan hangi verileri koruyacağınızı, hangi süreçlerde düzenleme yapmanız gerektiğini bilemezsiniz.

Adım 1: Veri Toplayan Tüm Süreçlerinizi Listeleyin

İlk adım, işletmenizde kişisel veri topladığınız tüm süreçleri belirlemektir. Bunun için departman departman, faaliyet faaliyet düşünün. Örneklerle somutlaştıralım:

• İnsan Kaynakları: İş başvuruları, personel özlük dosyaları, bordro işlemleri, izin talepleri, performans değerlendirmeleri
• Satış ve Pazarlama: Müşteri kayıt formları, e-posta bülteni abonelikleri, promosyon katılımları, sadakat programları
• Muhasebe: Fatura bilgileri, banka hesap bilgileri, ödeme kayıtları
• Güvenlik: Giriş-çıkış kayıtları, güvenlik kamerası görüntüleri, ziyaretçi defterleri
• Web Sitesi/E-Ticaret: İletişim formları, çerez kayıtları, sipariş bilgileri, kullanıcı hesapları

Küçük bir diş kliniği için bile bu liste oldukça uzun olabilir: hasta kayıt formları, randevu sistemi, tedavi geçmişi, röntgen görüntüleri, sigorta bilgileri, SMS hatırlatmaları, web sitesi iletişim formu gibi pek çok farklı noktada veri toplanır.

Adım 2: Her Süreçte Hangi Verilerin Toplandığını Belirleyin

Her süreç için, somut olarak hangi bilgileri topladığınızı yazın. Genel kategorilerle değil, spesifik veri alanlarıyla düşünün:

• Kimlik bilgileri: Ad, soyad, TC kimlik numarası, doğum tarihi, fotoğraf
• İletişim bilgileri: Cep telefonu, e-posta, ev/iş adresi
• Finansal bilgiler: Banka hesap numarası, maaş bilgisi, kredi kartı bilgisi (son 4 hane bile olsa)
• Lokasyon bilgisi: GPS koordinatları, IP adresi
• Görsel/işitsel kayıt: Fotoğraf, kamera görüntüsü, ses kaydı
• Özel nitelikli veriler: Sağlık bilgisi, biyometrik veri (parmak izi), din/mezhep, etnik köken (bunlar ekstra hassas kategoridedir)

Örneğin bir güzellik salonunda 'müşteri randevu kaydı' sürecinde şu veriler toplanıyor olabilir: ad-soyad, telefon, e-posta, daha önce yapılmış işlemler, cilt tipi (sağlık bilgisi kategorisine girebilir), fotoğraf (öncesi-sonrası karşılaştırma için).

Adım 3: Verilerin Nerede Saklandığını Tespit Edin

Topladığınız her veriyi nerede tuttuğunuzu belirleyin. Bu, hem fiziksel hem de dijital ortamları kapsar:

• Fiziksel: Kağıt dosyalar, dolap arşivleri, ziyaretçi defterleri
• Dijital - Yerel: Ofis bilgisayarları, sunucular, harici diskler, USB bellekler
• Dijital - Bulut: Google Drive, Dropbox, OneDrive gibi bulut depolama; Gmail, Outlook gibi e-posta sistemleri
• Yazılımlar: Muhasebe programı, CRM (müşteri ilişkileri yönetimi) yazılımı, insan kaynakları yazılımı, randevu sistemi
• Üçüncü taraflar: Muhasebe ofisi, çağrı merkezi hizmeti, e-posta pazarlama platformu gibi hizmet aldığınız firmalar

Dikkat: Çalışanlarınızın kendi şahsi Google Drive hesaplarında veya WhatsApp gruplarında tuttuğu müşteri listeleri de envantere dahil edilmelidir. Bu tür 'gölge veri' alanları genellikle gözden kaçar ama büyük risk taşır.

Adım 4: Her Veriyi Neden Topladığınızı ve Hukuki Dayanağı Belirleyin

KVKK, kişisel veri işlemenin mutlaka bir amacı ve yasal dayanağı olmasını ister. Her veri için şu soruları sorun:

Amaç nedir? Bu veriyi ne için kullanıyorsunuz? Örneğin: personel bordrosu hazırlamak, fatura kesmek, randevu hatırlatması göndermek, pazarlama e-postası göndermek.

Hukuki dayanak nedir? KVKK'da sayılan şu gerekçelerden hangisine dayanıyorsunuz:

• Açık rıza: Kişi açıkça izin verdi (örneğin bülten için e-posta adresi)
• Sözleşmenin kurulması/ifası: Hizmeti verebilmek için şart (örneğin kargo gönderebilmek için adres)
• Yasal yükümlülük: Kanun gereği zorunlu (örneğin vergi mevzuatı gereği fatura bilgisi)
• Meşru menfaat: İşletmenizin haklı çıkarı (örneğin ofis güvenliği için kamera kaydı - ancak dikkatli kullanılmalı)

Bir butik giyim mağazası düşünelim: müşteri telefon numarasını 'yeni koleksiyon SMS'i göndermek' amacıyla topluyorsa hukuki dayanak 'açık rıza' olmalıdır. Ama aynı numarayı 'sipariş hazır olduğunda aramak' için topluyorsa hukuki dayanak 'sözleşmenin ifası' olabilir.

Adım 5: Saklama Sürelerini ve Kiminle Paylaştığınızı Yazın

Her veriyi ne kadar süre saklayacağınızı belirleyin. KVKK, verilerin amacı ortadan kalktığında silinmesini/yok edilmesini ister. Örneğin:

• İşe alınmayan adayların CV'si: 6 ay - 1 yıl (olası açık pozisyonlar için)
• Eski müşteri fatura kayıtları: Vergi mevzuatı gereği 10 yıl
• Güvenlik kamera kayıtları: Genellikle 30-90 gün (olay olmadıysa)
• Bülten abonesi e-postası: Abonelikten çıkana kadar

Ayrıca bu verileri kimlerle paylaştığınızı not edin: muhasebe firması, kargo şirketi, bulut hizmet sağlayıcısı, SMS gönderim platformu gibi. Bu 'veri aktarımları' envanterde mutlaka belirtilmelidir.

Adım 6: Aldığınız Güvenlik Önlemlerini Kaydedin

Her veri kategorisi için hangi güvenlik tedbirlerini aldığınızı belirtin. Bunlar teknik veya idari olabilir:

• Teknik: Şifreleme, şifreli giriş, yedekleme, antivirüs, güvenlik duvarı
• İdari: Sadece yetkili kişilerin erişimi, gizlilik sözleşmeleri, çalışan eğitimi, kilitli dolap

Örneğin personel özlük dosyaları için: kilitli dolap (fiziksel), yalnızca İK müdürü erişimi (idari), şifreli bilgisayar klasörü (teknik).

Adım 7: Envantere Bir Format Verin ve Düzenli Güncelleyin

Yukarıdaki bilgileri bir Excel tablosuna veya basit bir dokümana dökün. Sütunlar şu şekilde olabilir:

• Süreç/Faaliyet Adı
• Toplanan Kişisel Veri
• Veri Kategorisi (kimlik, iletişim vb.)
• İşleme Amacı
• Hukuki Dayanak
• Saklama Yeri
• Saklama Süresi
• Paylaşılan Üçüncü Taraflar
• Alınan Güvenlik Tedbirleri

Envanter bir kerelik değil, sürekli güncellenen bir belgedir. Yeni bir yazılım aldığınızda, yeni bir süreç başlattığınızda, eski bir veri kategorisini sildiğinizde envanteri güncelleyin. Yılda en az bir kez gözden geçirmeniz önerilir.

Pratik İpuçları ve Sık Yapılan Hatalar

Hata 1: Sadece müşteri verilerini düşünmek. Personel, tedarikçi, ziyaretçi verileri de envantere dahil edilmelidir.

Hata 2: Bilgi işlem/BT ekibini sürece dahil etmemek. Veritabanları, log kayıtları, yedeklemeler gibi teknik alanlar gözden kaçabilir.

Hata 3: Çok genel yazmak. 'Müşteri bilgileri' yerine 'ad, soyad, cep telefonu, e-posta, fatura adresi' gibi spesifik listeleyin.

İpucu: Her departman yöneticisiyle ayrı ayrı oturun ve o departmanın süreçlerini konuşun. İK müdürü, satış müdürü, IT sorumlusu hepsi farklı veri işler.

İpucu: Envanter hazırlamak ilk başta zaman alır ama bir kez doğru yapıldığında, hem VERBİS kaydı, hem aydınlatma metni, hem de diğer tüm KVKK dokümanlarının temelini oluşturur. Yani bu zamana değer.

KVKK uyumluluğu karmaşık görünebilir, ama her şey doğru bir veri envanteri ile başlar. Adım adım, hangi verileri topladığınızı, nerede sakladığınızı, ne için kullandığınızı belgelediğinizde, hem yasal yükümlülüğünüzü yerine getirmiş olursunuz hem de verilerinizi daha güvenli yönetirsiniz. Sprint Teknoloji olarak, işletmenizin KVKK uyumluluk sürecinde veri envanteri hazırlama, BT altyapınızı güvence altına alma ve gerekli teknik tedbirleri alma konularında profesyonel destek sağlıyoruz.