6698 sayılı KVKK uyumuna nereden başlayacağınızı, hangi adımları hangi sırayla atacağınızı anlatan pratik bir rehber hazırladık. Bu rehber genel bilgi amaçlıdır, hukuki danışmanlık yerine geçmez.
Temel kavramlar
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Verinin işleme amaçlarını ve yöntemlerini belirleyen kişi veya kurum.
Veri sorumlusu adına veriyi işleyen taraf (ör. bulut, bordro, e-posta hizmeti sağlayıcısı).
Verisi işlenen gerçek kişi: müşteri, çalışan, ziyaretçi, aday vb.
Uyum yol haritası
Veri envanteri nasıl çıkarılır?
Uyumun temeli, hangi kişisel verinin hangi süreçte işlendiğini bilmektir. Süreç bazlı ilerleyin (insan kaynakları, satış, muhasebe, web sitesi, güvenlik kamerası vb.) ve her süreç için şunları kaydedin:
- İşlenen kişisel veri kategorileri (özel nitelikli veri var mı?)
- İşleme amacı ve hukuki sebebi
- Verinin kimlere ve nereye aktarıldığı (yurt dışı dahil)
- Saklama süresi ve imha yöntemi
- Verinin tutulduğu sistemler ve erişimi olan roller
Aydınlatma ve açık rıza
Aydınlatma yükümlülüğü, açık rıza gerekmese bile her zaman geçerlidir. Açık rıza ise tek hukuki sebep değildir; sözleşmenin ifası veya hukuki yükümlülük gibi başka sebeplerle işlenen veri için ayrıca rıza almak gerekmez. Rıza gerektiğinde bilgilendirilmiş, belirli bir konuya ilişkin ve özgür iradeyle verilmiş olmalıdır.
Pratik: Web sitesi formları, çerezler ve çalışan başvuru süreçleri çoğu kurumda ilk gözden geçirilmesi gereken yerlerdir.
Veri güvenliği tedbirleri
Erişim yetkilendirme, parola ve çok faktörlü doğrulama, şifreleme, loglama, yedekleme, zafiyet yönetimi.
Politika ve prosedürler, gizlilik taahhütleri, eğitim, tedarikçi ve işleyen sözleşmeleri, denetim.
İlgili kişi başvuruları ve ihlal yönetimi
İlgili kişilerin başvuruları kanunda öngörülen sürede, en geç 30 gün içinde yanıtlanmalıdır; bunun için başvuru kanalı ve iç süreç önceden tanımlı olmalıdır. Veri ihlali halinde ise Kurul kararları uyarınca ihlalin öğrenilmesinden itibaren en kısa sürede, en geç 72 saat içinde Kurula bildirim yapılması gerekir.
Not: VERBİS kayıt yükümlülüğü eşikleri ve süreler değişebilir; güncel Kurul kararlarını mutlaka kontrol edin.
Başlangıç kontrol listesi
- Veri envanteri çıkarıldı
- Aydınlatma metinleri güncel ve doğru kanallarda yayımlanıyor
- Saklama ve imha politikası hazır
- Erişim yetkileri gözden geçirildi
- İlgili kişi başvuru süreci tanımlı
- İhlal müdahale ve bildirim planı hazır
- Çalışanlara KVKK eğitimi verildi
- Veri işleyenlerle sözleşmeler gözden geçirildi
KVKK uyum sürecinizi birlikte planlayalım
Mevcut durumunuzu değerlendirip önceliklendirilmiş bir uyum planı oluşturalım.