Makale Detayları

Şirketiniz için KVKK uyum süreci karmaşık mı geliyor? KOBİ’lere özel hazırladığımız bu rehberle veri envanteri, VERBİS kaydı ve diğer tüm adımları kolayca öğrenin.

Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de bireylerin kişisel verilerini koruma altına alan ve işletmelere ciddi sorumluluklar yükleyen bir yasadır. Artık sadece büyük şirketler değil, KOBİ’ler de bu düzenlemelere uymak zorunda. Çünkü KVKK, yalnızca yasal bir zorunluluk değil, müşteri güveni ve kurumsal itibarın temelidir.

Bu rehberde, karmaşık hukuki terimlere girmeden, şirketlerin KVKK uyum sürecini adım adım nasıl yönetebileceğini, hangi belgeleri hazırlaması gerektiğini ve nereden başlaması gerektiğini öğreneceksiniz.

KVKK Uyum Sürecinin Temel Taşları Nelerdir?

KVKK uyum süreci, birkaç temel adımdan oluşur.
Bu adımların amacı, verilerin toplanmasından imhasına kadar olan tüm süreci yasal zemine oturtmaktır.

Kısaca özetlemek gerekirse:

• Veri sorumlusu belirlenir,
• Kişisel veri envanteri hazırlanır,
• Aydınlatma ve açık rıza metinleri oluşturulur,
• VERBİS kaydı yapılır,
• İdari ve teknik tedbirler alınır,
• İlgili kişi başvuru süreçleri düzenlenir.

Şimdi her bir adımı, sade ve uygulanabilir şekilde inceleyelim.

Adım 1: Veri Sorumlusunu Belirleyin ve Farkındalık Yaratın

Her KVKK süreci, bir sorumluluk zinciriyle başlar. Öncelikle, şirket içinde KVKK’dan sorumlu olacak kişiyi (veya ekibi) belirleyin. Bu kişi genellikle veri sorumlusu olarak adlandırılır ve kişisel verilerin işlenmesinden sorumludur. Ayrıca, tüm çalışanlarınızın bu konuda farkındalığını artırmak çok önemlidir.

• KVKK farkındalık eğitimleri düzenleyin.
• Veri paylaşımı, e-posta güvenliği ve müşteri bilgileri gibi konularda kısa bilgilendirme oturumları yapın.

Bu sayede sadece yasal uyum değil, kurumsal veri bilinci de oluşur.

Adım 2: Kişisel Veri Envanteri (Veri Haritası) Oluşturun

Veri Envanteri Nedir ve Neden Hayatidir?

Kişisel veri envanteri, işletmenizin elindeki kişisel verilerin haritasıdır.
Hangi verileri topladığınızı, nerede sakladığınızı, kimlerle paylaştığınızı ve ne kadar süreyle tuttuğunuzu gösterir.

Örneğin:

• İK departmanı: Çalışan özlük dosyaları, kimlik ve maaş bilgileri
• Pazarlama: E-posta abonelikleri, kampanya katılımcı verileri
• Satış: Müşteri iletişim bilgileri, fatura verileri

Bu listeyi görmek, hem riskleri hem de gereksiz veri işleme faaliyetlerini fark etmenizi sağlar.

Veri Envanteri Nasıl Hazırlanır?

İlk adımda karmaşık yazılımlara gerek yok.
Bir Excel tablosu açarak bile başlayabilirsiniz.

• Hangi departman hangi veriyi topluyor?
• Bu veriler ne amaçla işleniyor?
• Kimlerle paylaşılıyor (örneğin muhasebe firması, kargo şirketi)?
• Saklama süresi ne kadar?

Bu sorulara yanıt vererek kendi kişisel veri envanterinizi oluşturabilirsiniz.

Adım 3: Hukuki Metinlerinizi Hazırlayın

KVKK uyum süreci sadece teknik önlem değil, aynı zamanda doğru belge yönetimi gerektirir.

Aydınlatma Metni

Kişisel veri toplarken (örneğin iş başvurusu, müşteri formu, web sitesi) kişileri bilgilendirmek zorundasınız.
Bu metinde, verilerin hangi amaçla toplandığı, kimlerle paylaşıldığı ve hakların neler olduğu açıkça belirtilmelidir.

Açık Rıza Metni

Bazı durumlarda verileri işlemek için kişiden açık rıza alınması gerekir.
Örneğin:

• Pazarlama e-postası göndermek
• Kampanya mesajı paylaşmak
• Görsel veya video kullanımı

Bu metin, “açık, özgür iradeye dayalı ve bilgilendirilmiş” bir onay içermelidir.

Gizlilik ve Çerez Politikaları

Web sitesi olan her şirket için zorunludur.
Bu metinler, site ziyaretçilerinin verilerinin nasıl işlendiğini ve hangi çerezlerin kullanıldığını anlatır.
KVKK’ya uyumlu bir çerez politikası kullanıcı güvenini artırır.

Adım 4: VERBİS Kaydınızı Tamamlayın

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), KVKK kapsamında oluşturulmuş resmi bir kayıt sistemidir.
Veri sorumluları, topladıkları verileri ve işleme faaliyetlerini bu sisteme beyan eder.

Kayıt zorunluluğu olan şirketler:

1. Yıllık Çalışan Sayısı 50’den Fazla Olan Şirketler

• Tam zamanlı çalışan sayısı 50 veya daha fazlaysa,
• Mali bilanço dikkate alınmaksızın VERBİS kaydı zorunludur.

2. Yıllık Mali Bilançosu 100 Milyon TL ve Üzeri Olan Şirketler

• Eğer çalışan sayısı 50’den az olsa bile,
• Şirketin mali bilançosu yıllık 100 milyon TL’yi aşıyorsa,
• VERBİS’e kayıt olmak zorunludur.

3. Ana Faaliyeti Özel Nitelikli Kişisel Veri İşlemek Olanlar

• Sağlık kuruluşları (hastaneler, diş klinikleri, muayenehaneler),
• Psikolojik danışmanlık merkezleri,
• Özel eğitim kurumları (rehabilitasyon, özel ders merkezleri),
• Dernekler, vakıflar ve sendikalar (üyelik bilgileri saklayanlar),
• Hukuk büroları (ceza ve kişisel veri içeren dosyalar işleyenler),

Bu şirketler, çalışan ve bilanço koşullarına bakılmaksızın VERBİS kaydı yapmakla yükümlüdür.

Kimler VERBİS Kayıt Zorunluluğundan Muaf?

Kişisel Verileri Koruma Kurulu, bazı durumlarda VERBİS yükümlülüğünden muafiyet tanımıştır:

• Serbest meslek erbapları (avukat, mali müşavir), sadece tek başına çalışanlar,
• Yıllık çalışan sayısı 50’den az ve mali bilançosu 100 milyon TL’nin altında olan şirketler (ve özel nitelikli veri işlemiyorsa),
• Veri işlemeyen işletmeler (sadece isim-soyisim gibi basit bilgilerle sınırlı kalan işler),
• Sadece şirket içi çalışan bilgilerini işleyen küçük işletmeler (bordro gibi temel süreçlerle sınırlı kalanlar),

Muafiyet için resmi bir bildirim yapılmasına gerek yoktur, ancak denetimlerde açıklanabilir olması gerekir.

Bu kriterleri sağlıyorsanız VERBİS kaydınızı tamamlamanız gerekir.
Kayıt işlemleri KVKK Kurumu’nun https://verbis.kvkk.gov.tr adresinden yapılabilir.

Adım 5: İdari ve Teknik Tedbirleri Alın

İdari Tedbirler

• Çalışanlarla gizlilik taahhütnameleri imzalayın.
• Erişim yetkilerini görev tanımlarına göre sınırlandırın.
• Periyodik farkındalık eğitimleri düzenleyin.
• Verilerin basılı formlarda taşınması gibi durumlarda fiziksel güvenliği sağlayın.

Teknik Tedbirler

• Güçlü şifreleme yöntemleri kullanın.
• Sunucularınızı ve veritabanlarınızı düzenli olarak sızma testine tabi tutun.
• Yedekleme ve loglama sistemleri kurun.
• Güvenli e-posta ve ağ bağlantısı altyapısı oluşturun.

Bu adımlar, hem veri güvenliği sağlar hem de olası KVKK cezalarından korur.

Adım 6: İlgili Kişi Başvuru Süreçlerinizi Oluşturun

KVKK’ya göre, herkes kendi verileriyle ilgili olarak:

• Bilgi talep edebilir,
• Verilerinin düzeltilmesini veya silinmesini isteyebilir.

Bu talepler “ilgili kişi başvurusu” olarak adlandırılır.
Şirketlerin bu başvurulara en geç 30 gün içinde yanıt vermesi zorunludur.
Bu yüzden, başvuru formları ve e-posta adresleri (örneğin kvkk[at]domain.com) önceden hazırlanmalıdır.

KVKK Uyum Süreci Sürekli Bir Yolculuktur

KVKK uyum süreci bir kez tamamlanıp bırakılacak bir görev değildir. Yasal değişiklikler, yeni çalışanlar veya yeni dijital sistemler oldukça süreç güncellenmelidir.

Bu adımları takip etmek, şirketinizi sadece KVKK cezalarından korumaz, aynı zamanda müşterilerinizin size olan güvenini de güçlendirir.

Unutmayın: Kişisel veriye saygı, markanıza duyulan saygıdır.