Envanter, KVKK uyumunun temel belgesidir. Aydınlatma metni ondan çıkar, VERBİS beyanı ondan doldurulur, saklama politikası ona dayanır. Envanter yoksa geri kalan her şey tahmindir.
İyi haber: envanter hazırlamak hukuk bilgisi değil, kendi işinizi tanımayı gerektirir.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir.
Kısa cevap: envanter neye benzer?
Süreç bazlı bir tablodur. Her satır bir iş sürecidir:
| Süreç | Veri kategorileri | İlgili kişi grubu | Amaç | Hukuki sebep | Saklama süresi | Aktarım |
|---|---|---|---|---|---|---|
| Müşteri faturalama | Kimlik, iletişim, finans | Müşteriler | Sözleşmenin ifası, faturalandırma | Sözleşme + hukuki yükümlülük | 10 yıl | Mali müşavir |
| Web formu | Kimlik, iletişim | Potansiyel müşteriler | Teklif sunma | Meşru menfaat | 2 yıl | — |
| İş başvurusu | Kimlik, iletişim, özgeçmiş | Adaylar | İşe alım | Açık rıza | 1 yıl | — |
| Özlük dosyası | Kimlik, özlük, sağlık raporu | Çalışanlar | İş sözleşmesi, mevzuat | Hukuki yükümlülük | 10 yıl | SGK, mali müşavir |
| Kamera kaydı | Görsel kayıt | Ziyaretçi, çalışan | Güvenlik | Meşru menfaat | 30-60 gün | — |
Süreçleri nasıl çıkarırsınız? (3 pratik yöntem)
1. Kanal turu
Veri size hangi kapılardan giriyor? Web formu, e-posta, telefon, WhatsApp, kâğıt form, kartvizit, kamera, kapı giriş sistemi, e-ticaret paneli. Her kapı en az bir süreçtir.
2. Yazılım turu
Kullandığınız sistemleri listeleyin: muhasebe programı, CRM, e-posta servisi, bulut depolama, İK yazılımı, kargo entegrasyonu, ödeme kuruluşu. Her sistemde kimin verisi var?
3. İnsan turu
Kimlerin verisini tutuyorsunuz? Müşteriler, potansiyel müşteriler, çalışanlar, adaylar, tedarikçiler, ziyaretçiler, aboneler. Her grup için "elimde ne var?" diye sorun.
Üç turu birleştirdiğinizde tipik bir KOBİ'de 8-15 süreç çıkar.
Sütunları doğru doldurma
Veri kategorileri: Somut yazın. "Müşteri bilgileri" değil; "ad, soyad, telefon, adres, vergi no".
Hukuki sebep: Her satır için tek tek düşünün. Faturalama = yasal yükümlülük. Bülten = açık rıza. Kamera = meşru menfaat. Yanlış eşleme en sık denetim bulgusudur (rıza rehberi).
Saklama süresi: Keyfî olamaz. Mevzuat süresi varsa (ticari defterler, özlük dosyası, vergi kayıtları) onu yazın; yoksa amacın gerektirdiği makul süreyi gerekçesiyle belirleyin.
Aktarım: Muhasebeci, bulut, kargo, ödeme kuruluşu, kamu kurumları. Yurt dışı sunucu kullanıyorsanız bunu ayrıca işaretleyin.
Sektöre göre tipik süreç listesi
"8-15 süreç" soyut kalıyorsa, başlangıç listesini sektörünüzden alın. Aşağıdakiler tipik KOBİ yapılarında neredeyse her zaman çıkan süreçlerdir:
E-ticaret / perakende: üyelik, sipariş ve faturalama, ödeme (ödeme kuruluşu aktarımı), kargo aktarımı, iade-değişim, müşteri destek kayıtları, bülten aboneliği, site çerezleri, ürün yorumları, terk edilmiş sepet hatırlatması.
Klinik / sağlık kuruluşu: randevu, hasta kabul, tıbbi kayıt (özel nitelikli), laboratuvar/görüntüleme aktarımı, SGK/özel sigorta bildirimi, reçete, hasta memnuniyet araması, bekleme alanı kamerası (sağlık kuruluşları için KVKK).
Otel / konaklama: rezervasyon, kimlik bildirim (mevzuat gereği kolluk aktarımı), konaklama kaydı, ödeme, misafir memnuniyet anketi, kamera, kayıp eşya kaydı, misafir Wi-Fi log kaydı (oteller için KVKK).
Restoran / kafe: rezervasyon, online sipariş platformu entegrasyonu, sadakat programı, personel özlük, kamera, tedarikçi iletişim kayıtları.
Üretim / sanayi: özlük dosyaları, iş sağlığı ve güvenliği kayıtları (sağlık raporu = özel nitelikli), ziyaretçi kaydı, giriş-çıkış sistemi, tedarikçi ve bayi verileri, araç takip sistemi.
Serbest meslek / danışmanlık: müşteri dosyası, sözleşme ve fatura, e-posta yazışma arşivi, teklif formu, bulut depolama (çoğu zaman yurt dışı aktarım), muhasebe aktarımı.
Hangi sektörde olursanız olun bu dördü her zaman vardır ve en çok unutulanlardır: çalışan özlük dosyası, iş başvurusu/CV havuzu, güvenlik kamerası, e-posta/bulut hizmeti üzerinden yurt dışı aktarım.
Envanteri olmayan şirkete ne oluyor? Kararlardan bakış
Envanter kendi başına ceza konusu değil; ama envanteri olmayan şirket, ihlal anında ne kaybettiğini bilmiyor. Yayımlanmış Kurul kararlarından derlediğimiz 313 kararın 75'i veri ihlali bildirimi kaynaklı ve en ağır cezalar bu kalemden çıkıyor:
| Karar | Tarih | Konu | Ceza |
|---|---|---|---|
| 2024/1385 | 08.08.2024 | Bir e-ticaret platformunun veri ihlali bildirimi | 3.250.000 TL |
| 2021/1324 | 23.12.2021 | Yemek Sepeti veri ihlali bildirimi | 1.900.000 TL |
| 2024/1523 | 10.09.2024 | Konaklama işletmesinin veri ihlali bildirimi | 500.000 TL |
İhlal bildiriminde Kurum size şunları sorar: hangi veri kategorileri etkilendi, kaç ilgili kişi, hangi sistemde, ne kadar süredir tutuluyordu, kimlere aktarılmıştı. Bunların hepsi envanterin sütunlarıdır. Envanteriniz varsa 72 saat içinde cevaplarsınız; yoksa ihlalin boyutunu tespit etmeye çalışırken süre dolar — ve gecikme, cezayı ağırlaştıran bir unsur olarak değerlendirilir.
Kısacası envanter, denetim için değil, kötü gün için tutulur.
Süreç çıkarma anketi: 12 soru
Ekibinize (veya kendinize) bu 12 soruyu sorun; her "evet" en az bir envanter satırıdır:
Web sitenizde form var mı (iletişim, teklif, üyelik, bülten)?
Online satış yapıyor musunuz?
Kredi kartı / havale bilgisi işliyor musunuz?
Kargo veya kurye ile müşteri adresi paylaşıyor musunuz?
Çalışanınız var mı (özlük dosyası, bordro, SGK)?
İş ilanı verip CV topluyor musunuz?
İşyerinde kamera var mı? Ses de kaydediyor mu?
Giriş-çıkış için kart, parmak izi veya yüz tanıma kullanıyor musunuz?
WhatsApp veya sosyal medya üzerinden müşteriyle yazışıyor musunuz?
Muhasebeciniz/mali müşavirinize veri gönderiyor musunuz?
Google Workspace, Microsoft 365, Dropbox gibi yurt dışı merkezli bir servis kullanıyor musunuz?
Müşteriye pazarlama e-postası, SMS veya arama yapıyor musunuz?
ve 8. sorularda "evet" varsa özel nitelikli veri veya biyometrik veri işliyor olabilirsiniz — bu, VERBİS yükümlülüğünüzü de değiştirebilir (eşikler). 11. soruda "evet" ise envanterinizde yurt dışına aktarım sütunu boş kalamaz (yurt dışına veri aktarımı).
Envanter hazır: şimdi ne olacak?
Envanter üç belgeyi doğrudan besler:
- Aydınlatma metni — envanterin halka açık özeti (nasıl)
- VERBİS beyanı — sistem tam da bu sütunları ister (nasıl)
- Saklama ve imha politikası — süre sütunundan üretilir
Sık yapılan hatalar
- İç süreçleri unutmak: Çalışan verileri, kamera, giriş-çıkış kayıtları da envanterde olmalı.
- "Bir kere yaptık" yaklaşımı: Yeni bir araç eklediğinizde envanter değişir. Yılda en az bir gözden geçirme yapın.
- Excel'i doldurup kimseye göstermemek: Envanter, ilgili ekiplerin bildiği canlı bir belge olmalı.
- Süreleri "süresiz" yazmak: Süresiz saklama, KVKK'nın temel ilkelerine aykırıdır.
Sık sorulan sorular
Envanter zorunlu mu?
Kayıt yükümlüsü veri sorumluları için envanter hazırlama yükümlülüğü ilgili mevzuatta düzenlenmiştir. Yükümlü olmasanız bile, diğer belgeleri doğru üretebilmek için pratikte gereklidir.
Excel yeterli mi?
Küçük ölçekte evet. Süreç sayısı ve ekip büyüdükçe versiyon takibi ve güncelleme hatırlatmaları için bir araç işinizi kolaylaştırır.
Kaç süreç normaldir?
Tipik bir KOBİ'de 8-15. Çok az çıktıysa muhtemelen iç süreçleri atladınız.
Envanteri kim hazırlamalı?
Süreçleri gerçekten bilen kişi — genelde işletme sahibi veya idari işler sorumlusu. Hukukçu bunu doğrular, ama içeriği siz bilirsiniz.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Kurul kararı 2024/1385 — karar özeti
- Kurul kararı 2021/1324 — karar özeti
- Kurul kararı 2024/1523 — karar özeti
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Hızlandırın: KVKK Otomat sektörünüze göre tipik süreçleri önerir; siz işaretlersiniz, envanter tablosu ve ondan türeyen belgeler otomatik üretilir. Genel çerçeve: KVKK Uyum Rehberi. Envanteri işletmenize göre doldurmak 20-40 saat tutuyor; bu saatiniz yoksa biz dolduralım.
