Kişisel verilerin işlenmesinde genel ilkeler, bir verinin hangi gerekçeyle işlendiğinden farklı olarak, işleme sürecinin nasıl yürütüldüğünü kontrol etmeye yardımcı olur. Bu yazıda ilkeleri, veri envanteri hazırlayan ekibin günlük iş akışlarında kullanabileceği yap ve yapma kontrolleriyle ele alıyoruz.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Hukuka ve dürüstlük kuralına uygunluk nedir?
6698 sayılı Kanun’un m.4 düzenlemesi, kişisel verilerin işlenmesinde genel ilkeleri belirler; hukuka ve dürüstlük kurallarına uygun hareket etmek bu ilkelerden biridir. İşletme açısından bu, verinin yalnızca bir formda toplanmasıyla yetinmemek; kişiye ne yapıldığını anlaşılır biçimde açıklamak, veriyi açıklanan iş akışı içinde kullanmak ve kişiyi yanıltıcı uygulamalardan kaçınmak anlamına gelir. İşleme şartının bulunup bulunmadığı ise ayrı bir değerlendirmedir. Genel ilke denetimi, seçilen şartın süreç boyunca dürüst ve tutarlı uygulanıp uygulanmadığını da sorgular.
Yap: Formda hangi bilgilerin neden istendiğini, ilgili birimin bunları nasıl kullanacağını ve süreçte kimlerin erişebileceğini sade bir dille açıklayın. Müşteriden teslimat için adres alıyorsanız, adresin siparişin gönderilmesiyle ilgili kullanımını açıkça belirtin. Çalışan verileri için de yalnızca insan kaynaklarının anlayacağı iç kısaltmalarla yetinmeyin; ilgili kişiye sunulan açıklamanın anlaşılır olmasını sağlayın.
Yapma: Bilgiyi bir amaçla aldığınız hâlde, sonradan başka bir kullanım için sessizce sisteme eklemeyin. Örneğin, destek talebinin çözümü için alınan iletişim bilgisini, kişiye bu kullanım hakkında bilgi vermeden tanıtım listesine taşımak dürüstlük bakımından sorunlu bir uygulama oluşturabilir. “Sistemde zaten var” düşüncesi, yeni kullanımı kendiliğinden açıklamaz.
Sık hata: “Formda bu alanı her zaman soruyoruz.” Bu cümle, alanın gerekli veya kişiye açıklanmış olduğunu göstermez. Envanter çalışmasında her alanın iş akışındaki gerçek kullanımını, ilgili kişiye yapılan açıklamayla karşılaştırın. Bir alanın amacı ya da kullanımı değişmişse, sadece formu güncellemekle kalmayın; envanterdeki süreç bilgisini ve erişim düzenini de gözden geçirin.
Envanter hazırlayan ekip, her işleme faaliyeti için “Kişi bu süreci öğrendiğinde anlatımımız ile fiilî uygulama örtüşüyor mu?” sorusunu kayda alabilir. Kontrol için kişisel veri envanteri hazırlama rehberinden yararlanabilir; farklı iş birimlerinden gelen cevapları tek bir süreç tanımı altında birleştirebilir. Açıklamaların ve fiilî kullanımın tutarlı olması, bu ilkenin işletme içinde izlenmesini kolaylaştırır.
Doğruluk nasıl sağlanır?
6698 sayılı Kanun’un m.4 düzenlemesinde kişisel verilerin doğru ve gerektiğinde güncel olması ilkesi yer alır. “Gerektiğinde” ifadesi, her verinin sürekli yenilenmesi gerektiği anlamına gelmez. Önemli olan, verinin kullanım amacının güncel ve doğru bilgi gerektirip gerektirmediğini belirlemektir. Fatura veya teslimat sürecinde kullanılacak iletişim bilgilerinin yanlış olması, işin aksamasına ve kişinin yanlış yönlendirilmesine neden olabilir. Geçmiş bir talebin kaydı ise belirli bir kullanım amacı bakımından geçmişteki hâliyle anlam taşıyabilir.
Yap: İş akışında doğruluğun önemli olduğu alanları belirleyin. Müşteri adresi değiştiğinde hangi birimin güncelleme yapacağını, değişikliğin hangi sisteme yansıyacağını ve eski bilginin nasıl ele alınacağını tanımlayın. Çalışan iletişim bilgilerinde de değişikliği kimin bildireceği ve güncellemenin hangi kayıtlara aktarılacağı belli olsun. Bilgi kaynağını ve düzeltme sürecini envantere eklemek, hata çıktığında sorumluluğun izini sürmeyi kolaylaştırır.
Yapma: Bir kaydın varlığını, onun doğru ve güncel olduğunun kanıtı saymayın. Aynı kişinin farklı sistemlerde farklı adreslerle yer alması, kayıtların birbiriyle karşılaştırılmadığını gösterebilir. Benzer biçimde, bir çalışanın eski görev bilgisinin uygulamalarda kalması, bu bilgi kullanılarak yanlış erişim veya bildirim işlemleri yapılmasına yol açabilir.
Sık hata: “Kişi bildirmediyse eski bilgiyi değiştiremeyiz.” Bu yaklaşım, işletmenin elindeki kayıtlar arasında açıkça görülebilen tutarsızlıkları görmezden gelmeye neden olabilir. Her farklılığı tahminle düzeltmek de uygun değildir. Düzeltme için yetkili kaynağı, doğrulama yöntemini ve değişikliğin hangi kayıtları etkileyeceğini belirleyin; emin olunmayan durumda sorumlu birime aktarın.
Pratik kontrol olarak envanterde veri alanı, kullanım amacı, kaynağı, güncelleme sorumlusu ve hata fark edildiğinde izlenecek adımlar birlikte gösterilebilir. Bir alan artık kullanılmıyorsa, sadece güncelleme sıklığını değil, bu alanın tutulmaya devam edilmesinin gerekip gerekmediğini de sorgulayın. İlgili kişinin hakları hakkında bilgi için KVKK kontrol listesini inceleyebilirsiniz; kayıt düzeltme sürecinin işletme içindeki iş bölümünü de ayrıca belirleyin.
Amaç nasıl belirlenir?
6698 sayılı Kanun’un m.4 düzenlemesi, kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesini öngörür. Amaç, “iş süreçlerini yürütmek” veya “hizmet kalitesini artırmak” gibi her faaliyete uyarlanabilecek geniş bir ifade olmamalıdır. Envanterde amaç, verinin hangi somut iş adımında ve ne için kullanılacağını anlaşılır biçimde göstermelidir. Böylece aynı veri alanının farklı ekiplerde, farklı kullanımlarla dolaşıp dolaşmadığı görülebilir.
Yap: Amaç cümlesini, işlemi yapan ekibin ve envanteri inceleyen kişinin aynı şekilde anlayabileceği biçimde kurun. Örneğin, “müşteri işlemleri” yerine “siparişin hazırlanması ve teslimat durumunun müşteriye bildirilmesi” gibi iş akışını anlatan bir ifade kullanın. Ardından bu amaca hangi veri alanlarının, hangi uygulamalarda ve hangi birimler tarafından ihtiyaç duyduğunu kontrol edin. Amaç ile veri kullanımı arasındaki bağı kuramıyorsanız, süreç tanımını netleştirmeden envanteri tamamlanmış saymayın.
Yapma: Birden fazla, birbiriyle ilgisiz kullanımı tek bir geniş amaç cümlesinin içine gizlemeyin. Sipariş teslimatı ile tanıtım mesajı gönderimini aynı genel başlık altında toplamak, her kullanımın ayrı ayrı değerlendirilmesini zorlaştırır. Yeni bir kullanım ortaya çıktığında, ilk amaç ifadesinin bunu otomatik olarak kapsadığını varsaymayın. Kullanım biçimini ve kişiye sunulan açıklamayı yeniden gözden geçirin.
Sık hata: “Bu veriyi müşteri ilişkileri için kullanıyoruz.” Bu ifade, hangi işlemin yapıldığını ve hangi veriye neden ihtiyaç duyulduğunu anlatmaz. Çağrı kaydının destek talebini incelemek için mi, hizmet kalitesini değerlendirmek için mi tutulduğu; erişim kayıtlarının güvenlik kontrolünde nasıl kullanıldığı ayrı ayrı görünür olmalıdır. Amaç cümlesi, iş akışının yerine geçmemeli; iş akışını kısa ve anlaşılır biçimde tarif etmelidir.
Envanterde amaçları belirlerken ilgili birimden örnek bir işlem isteyin: veri hangi noktada oluşuyor, kim kullanıyor, işlem ne zaman tamamlanmış sayılıyor? Bu sorular, genel ifadeleri somutlaştırır ve gereksiz alanları fark etmeyi sağlar. İlgili araç ve şablonlara bakarak envanter yapısını düzenleyebilir, her işlem için amaç ve kullanım adımlarını ayrı kaydedebilirsiniz. Amaç değişirse, değişikliğin diğer iş akışlarına etkisini de not edin.
Veri minimizasyonu nasıl yapılır?
6698 sayılı Kanun’un m.4 düzenlemesindeki ilgili, sınırlı ve ölçülü olma ilkesi, işleme faaliyeti için gerekli olmayan verilerin toplanmamasını ve kullanımın ihtiyaçla uyumlu kalmasını gerektirir. Veri minimizasyonu, tüm alanları azaltmak için gelişigüzel karar vermek değildir. Önce işin hangi adımında hangi bilginin gerçekten kullanıldığını anlamak, ardından fazladan kalan alanları tespit etmektir. Bir formun geçmişten beri kullanılıyor olması, içindeki bütün alanların bugünkü işleyiş için gerekli olduğunu göstermez.
Yap: Her alan için “Bu bilgi hangi adımı tamamlıyor?” ve “Aynı iş, bu bilgi olmadan yürütülebilir mi?” sorularını sorun. Örneğin, bir teslimat için gerekli iletişim bilgileriyle, işletmenin o işlemde kullanmadığı ek kişisel bilgileri birbirinden ayırın. Alanı isteyen birimden kullanım örneği alın; sistemdeki zorunlu işaretinin teknik bir ayar mı yoksa gerçek bir ihtiyaç mı olduğunu kontrol edin. Gerekli olmayan bir alanı belirlediğinizde formu, uygulamayı ve varsa kopyalanan kayıtları birlikte gözden geçirin.
Yapma: “İleride lazım olabilir” diye her bilgiyi toplamaya devam etmeyin. Belirsiz bir olasılık, alanın bugünkü iş akışında neden bulunduğunu açıklamaz. Bir başka hata da aynı bilgiyi birden fazla forma yazdırmak veya aynı kayıt üzerinde tekrar tekrar istemektir. Tekrarlı toplama, hem kişinin gereksiz bilgi vermesine hem de işletmede çelişkili kayıtların oluşmasına zemin hazırlayabilir.
Sık hata: “Alan zorunlu, kaldıramayız.” Zorunluluk teknik ayardan kaynaklanıyorsa, önce uygulama ayarının değiştirilip değiştirilemeyeceğini sorun. Alanın gerçekten gerekli olduğu söyleniyorsa, bunu hangi işlem adımının gerektirdiğini ve kullanılmadığında neyin aksayacağını açıklamasını isteyin. Böylece teknik kısıt ile iş ihtiyacı birbirine karıştırılmaz.
Envanterde veri alanlarını amaç ve kullanım yeriyle eşleştirin; gerekçesi açıklanamayan alanları inceleme listesine alın. Silme veya değiştirme kararı, ilgili iş birimi ve süreç sorumlularıyla birlikte değerlendirilmelidir. Çalışan ekranlarında yalnızca belirli bir görev için gerekli bilgilerin görünmesini sağlamak da kapsamı kontrol etmeye yardımcı olabilir. Ölçülülük yalnızca ilk toplama anıyla sınırlı değildir: birimlerin eriştiği alanlar, dış hizmet sağlayıcıya iletilen kayıtlar ve raporlara eklenen ayrıntılar da aynı gözle ele alınmalıdır.
Saklama süresi nasıl sınırlandırılır?
6698 sayılı Kanun’un m.4 düzenlemesi, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini öngörür. İşletme, her kayıt için gelişigüzel bir tarih belirlemek yerine saklamanın hangi iş ihtiyacına veya uygulanabilir yükümlülüğe dayandığını araştırmalıdır. Amaç tamamlandığında kaydın hâlâ tutulmasının gerekip gerekmediği ayrıca değerlendirilir. Saklama süresi, “sistemde yer var” veya “belki yeniden kullanırız” gibi gerekçelerle sınırsız hâle gelmemelidir.
Yap: Her kayıt grubu için saklama gerekçesini, sürenin nasıl belirlendiğini, sorumlu birimi ve gözden geçirme adımını kaydedin. Örneğin, tamamlanan bir destek talebinin kaydı ile açık talebe ait güncel iletişim bilgileri aynı işleve sahip olmayabilir. Sürecin tamamlandığı noktayı tanımlayın ve bu kayıtların hangi değerlendirme aşamasından geçeceğini belirleyin. Sistem yedekleri veya farklı birimlerde oluşturulan kopyalar varsa, saklama süreci bunların durumunu da kapsamalıdır.
Yapma: Bir kaydı yalnızca silmesi kolay olmadığı için veya ileride fayda sağlayabileceği düşüncesiyle saklamaya devam etmeyin. “Ne kadar süre tutulacağını bilmiyoruz, o yüzden şimdilik dursun” yaklaşımı, düzenli gözden geçirme yapılmadığında kalıcı uygulamaya dönüşebilir. Süreyi belirlerken farklı kayıt türlerini tek bir uzun saklama yaklaşımında birleştirmek de her kayıt için ihtiyaç değerlendirmesini görünmez kılar.
Sık hata: “Sistem kendisi saklıyor, bizim yapabileceğimiz bir şey yok.” Uygulamanın varsayılan ayarı, işletmenin saklama ihtiyacını açıklamaz. Sistem sağlayıcısının hangi saklama veya silme seçeneklerini sunduğunu öğrenin; ayar değiştirilemiyorsa risk ve çözüm seçeneklerini ilgili sorumlularla değerlendirin. Operasyon ekibinin elindeki kopyalar ile uygulamadaki ana kayıt aynı süreçte ele alınmalıdır.
Envanterde saklama gerekçesi belirsiz alanları işaretleyin ve bunları ilgili iş birimine yöneltin. Saklama süreci, silme, yok etme veya anonim hâle getirme işlemlerinin işletme içinde nasıl takip edildiğini de içermelidir; 6698 sayılı Kanun’un m.7 konusu bu işlemlerdir. Bu başlıkta belirli bir süre önerisi yerine, işletmenin geçerli ihtiyaçlarını ve yükümlülüklerini inceleyin. Süreç değiştiğinde saklama gerekçesini yeniden değerlendirin ve alınan kararın kim tarafından ne zaman gözden geçirileceğini kayda geçirin.
İlkeler nasıl belgelenir?
Genel ilkeler, yalnızca politika metninde yer alan ifadeler olarak kalmamalı; işlem bazında kontrol edilebilir olmalıdır. 6698 sayılı Kanun’un m.4 düzenlemesindeki ilkeler bakımından envanter, işletmenin veriyi nasıl kullandığını ve bu kullanımın iş ihtiyacıyla nasıl eşleştiğini görünür kılabilir. Belgeleme, her satıra uzun açıklamalar eklemek demek değildir. Önemli olan, iş akışını anlayan bir kişinin verinin amacını, kapsamını, doğruluk ihtiyacını ve saklama düzenini izleyebilmesidir.
Yap: Her işleme faaliyeti için sorumlu birim, amaç, veri kategorisi, kullanılan uygulama, erişen ekipler, güncelleme ihtiyacı ve saklama gerekçesi gibi bilgileri tutarlı bir yapıda kaydedin. Bu alanlar tek başına yeterli olmayabilir; işletmenin süreçlerine göre ek açıklama gerekebilir. Örneğin, müşteri kaydında bir adres alanının teslimat için kullanıldığı ve değişikliklerin hangi ekip tarafından güncellendiği belirtilirse, doğruluk ve minimizasyon kontrolleri birlikte yürütülebilir. Belirsiz veya henüz doğrulanmamış bilgileri kesinmiş gibi yazmayın; teyit bekleyen soruları ayrıca gösterin.
Yapma: Envanteri yalnızca bir kez hazırlanıp kapatılan dosya gibi görmeyin. Yeni bir uygulama, değişen form, farklı birim erişimi veya yeni kullanım amacı ortaya çıktığında mevcut kayıtların hâlâ doğru olup olmadığını kontrol edin. Bir başka hata, işletmenin kullandığı terimlerle envanterdeki genel tanımların uyuşmamasıdır. “Müşteri işlemleri” gibi geniş bir başlık, ekiplerin hangi veriyi hangi adımda kullandığını göstermiyorsa inceleme için yeterli değildir.
Sık hata: “Envanter tamam, çünkü bütün birimler tabloyu doldurdu.” Doldurulmuş alanlar, bilgilerin birbiriyle tutarlı olduğu anlamına gelmez. Aynı veri bir ekipte güncel tutuluyor, başka bir ekipte eski kayıtlarla kullanılıyor olabilir. Envanter sorumlusu, çelişkili cevapları ilgili birimlerle doğrulamalı; eksik açıklamaları takip etmeli ve değişikliklerin kim tarafından onaylandığını kaydetmelidir.
Belgelemenin pratik amacı, işletmenin hangi noktaları bildiğini ve hangilerinin araştırılması gerektiğini ayırmaktır. Bu nedenle kayıtların sade ve güncel tutulması, uzun ama iş akışına bağlanmayan açıklamalardan daha kullanışlıdır. KVKK uyum kontrol listesini ve sihirbazdaki ilgili araçları kullanarak kontrol adımlarını düzenleyebilirsiniz. Araçlar ücretsizdir; kayıt ve kart bilgisi istenmez. Kullanılan çalışma biçimini işletmenin süreçlerine göre uyarlayın ve hukuki değerlendirme gereken konularda avukatınıza veya hukukçunuza danışın.
İhlal nasıl düzeltilir?
Bir ilkenin karşılanmadığını fark ettiğinizde, önce sorunu ve etkilenen iş akışını somutlaştırın. Örneğin, kullanılmayan bir alanın formda toplanması, eski iletişim bilgisinin işlemde kullanılması veya tamamlanan bir sürece ait kayıtların gerekçesiz biçimde tutulması farklı düzeltme adımları gerektirir. 6698 sayılı Kanun’un m.4 konusu olan genel ilkeler, verinin işleniş biçimine ilişkin kontrol sağlar; düzeltme de yalnızca tabloya not düşmekle kalmamalı, fiilî uygulamayı ele almalıdır.
Yap: Sorunun nerede başladığını, hangi sistem veya ekipte görüldüğünü ve hâlen devam edip etmediğini belirleyin. Ardından ilgili iş birimiyle düzeltme adımını, sorumlu kişiyi ve tamamlanma kontrolünü kararlaştırın. Gereksiz alan formdan çıkarılacaksa, bunun uygulamada ve varsa kopya formlarda da kaldırıldığını doğrulayın. Bilgi yanlışsa, hangi kaynağın doğrulanabilir olduğunu ve düzeltmenin hangi sistemlere yansıtılacağını belirleyin. Saklama gerekçesi yoksa, kayıtların nasıl ele alınacağına ilişkin işletme içi süreci izleyin.
Yapma: Sorunu yalnızca envanterde “düzeltildi” olarak işaretleyip uygulamanın değiştiğini varsaymayın. Aynı formun eski sürümleri, birimlerin kendi dosyaları veya otomatik aktarımlar kontrol edilmemişse sorun devam edebilir. Düzeltme sırasında kaydın bağlamını anlamadan toplu silme veya değiştirme işlemi de yapmayın; işletmenin başka yükümlülüklerini ve işleyişini etkileyebilecek adımlar için ilgili sorumlularla değerlendirme yürütün.
Sık hata: “Bir dahaki gözden geçirmede bakarız.” Sorun sürüyorsa, bu yaklaşım yanlış veya gereksiz işlemenin devam etmesine neden olabilir. Öncelik, mevcut kullanımı durdurmak ya da düzeltmek için gereken adımları belirlemektir. İşin hemen değiştirilemediği durumlarda, riskin kim tarafından değerlendirileceği ve geçici kontrolün nasıl uygulanacağı açıkça kaydedilmelidir.
Düzeltme kaydında tespit, neden, alınan önlem ve son kontrol sonucu birlikte yer alabilir. Aynı hata farklı süreçlerde görülebiliyorsa, sadece tek bir kaydı düzeltmekle yetinmeyin; form tasarımı, sistem ayarı veya görev dağılımı gibi ortak nedeni araştırın. Dışarıdan hukuki değerlendirme gerektiren bir konu varsa avukatınıza veya hukukçunuza danışın. İşletme içindeki kontrolü sürdürmek için sorunun tekrar edip etmediğini ve belirlenen adımların gerçekten uygulandığını belirli aralıklarla gözden geçirin.
İşleme şartı ile genel ilke denetimi nasıl ayrılır?
Bir işleme şartını değerlendirmek ile genel ilke denetimi yapmak aynı soru değildir. 6698 sayılı Kanun’un m.5 konusu kişisel verilerin işlenme şartlarıdır; m.4 ise kişisel verilerin işlenmesinde genel ilkeleri düzenler. Burada amaç, kapsam, süreç ve sonuç bakımından bir karşılaştırma kurmaktır. Bu karşılaştırma, herhangi bir işleme şartının otomatik olarak bütün süreç sorunlarını çözdüğü anlamına gelmez; iki inceleme farklı noktaları görünür kılar ve birlikte ele alınabilir.
| Bakış noktası | İşleme şartı değerlendirmesi | Genel ilke denetimi |
|---|---|---|
| Amaç | İşlemenin dayanağının hangi amaçla ilişkili olduğu incelenir. | Amacın belirli, açık ve meşru biçimde tanımlanıp tanımlanmadığına bakılır. |
| Kapsam | İşleme şartının söz konusu faaliyet için değerlendirilmesi gerekir. | Kullanılan veri miktarı ve erişim, amaçla ilgili, sınırlı ve ölçülü mü diye incelenir. |
| Süreç | İşlemenin hangi koşul altında yürütüldüğü değerlendirilir. | Bilginin doğru tutulması, dürüst kullanılması ve saklamanın ihtiyaçla sınırlanması kontrol edilir. |
| Sonuç | İşleme şartı yönünden faaliyetin nasıl değerlendirileceği ele alınır. | Sürecin gereksiz, yanıltıcı, hatalı veya ihtiyaç sona erdikten sonra devam eden yönleri belirlenir. |
Yap: Envanterde işleme şartına ilişkin değerlendirmeyi, genel ilke kontrollerinden ayrı ama birbiriyle bağlantılı şekilde tutun. Örneğin, bir müşteri işlemi için belirli bir şartın değerlendirilmiş olması; formdaki her alanın gerekli olduğunu, verinin her birimde kullanılabileceğini veya kaydın süresiz saklanabileceğini göstermez. Amaç cümlesini, kullanılan veri alanlarını ve saklama yaklaşımını ayrıca inceleyin.
Yapma: “İşleme şartını bulduk, başka kontrol gerekmiyor” diye düşünmeyin. Bu yaklaşım, verinin nasıl toplandığına ve süreç içinde nasıl kullanıldığına ilişkin sorunları gözden kaçırabilir. Tersine, genel ilkelere uygun bir süreç tasarlamak da işleme şartı değerlendirmesini kendiliğinden tamamlamaz. Bir kontrolün sonucunu diğerinin yerine koymayın.
Sık hata: Her iki değerlendirmeyi tek bir “uygun” kutusuyla kapatmak. Bu ifade, hangi sorunun sorulduğunu ve hangi kanıta dayanıldığını göstermez. Envanterde her değerlendirme için ayrı açıklama tutun; gerektiğinde sorumlu birimi ve açık konuları ekleyin. KVKK ceza riski hesaplayıcısına bakarken de genel ilke denetimini belirli bir sonucun veya hukuki görüşün yerine koymayın. Bu araç, sürecin ayrıca değerlendirilmesi ihtiyacını ortadan kaldırmaz.
Karşılaştırmayı düzenli kullanmak, ekibin “bu veriyi işleyebilir miyiz?” sorusuyla “bu veriyi bu şekilde işlememiz uygun mu?” sorusunu ayırmasına yardımcı olur. İşleme şartı ve genel ilke denetimi birbirini tamamlayan, fakat farklı kapsamda cevaplanan kontrollerdir. Şüpheli veya karmaşık bir konu varsa avukatınıza ya da hukukçunuza danışın.
Örnek hesap: uygulama seçiminin değerlendirilmesi
Bir KOBİ, destek taleplerini izlemek için bir uygulama seçiyor. Uygulama, talebi yanıtlamak için gerekli olabilecek bilgilerin yanında ek profil alanları ve geniş raporlama seçenekleri de sunuyor. Ekip, “Uygulama bunları hazır sunuyor” diyerek bütün alanları açmayı ve tüm çalışanlara erişim vermeyi düşünüyor. Bu senaryoda sayısal bir ceza tahmini yapmak yerine, seçimin genel ilkeler açısından nasıl incelenebileceğini değerlendirmek gerekir: hangi alanların destek talebine hizmet ettiği, amacın ne kadar açık tanımlandığı, kayıtların ne zaman gözden geçirileceği ve erişimin iş ihtiyacıyla uyumlu olup olmadığı sorulmalıdır.
İlk adım, uygulamada tutulacak verileri gerçek destek süreciyle karşılaştırmaktır. Bir alan talebin yanıtlanmasında kullanılmıyorsa, neden açıldığı açıklanmalıdır. İkinci adım, erişim düzenini incelemektir: her çalışanın tüm talepleri ve ek bilgileri görmesi gerçekten gerekli mi? Üçüncü adım, doğru ve güncel bilgi ihtiyacını değerlendirmektir. Yanlış bir iletişim bilgisi, yanıtın ulaşmamasına yol açabilir; buna karşılık geçmiş talebin içeriği, güncel bir iletişim bilgisi gibi ele alınmamalıdır. Son adımda, tamamlanan kayıtların hangi gerekçeyle tutulacağı ve ne zaman yeniden değerlendirileceği belirlenir. Böylece uygulama seçimi yalnızca özellik listesine göre değil, iş akışına göre değerlendirilir.
Yap: Uygulamayı seçmeden önce ekiplerden gerçek kullanım örneği isteyin. Talep nasıl açılıyor, kim yanıtlıyor, hangi alanlar zorunlu ve hangi kayıtlar başka bir sisteme aktarılıyor? Bu sorulara verilen cevapları envantere işleyin; henüz doğrulanmayan bilgileri açık konu olarak tutun.
Yapma: Bir uygulamanın alan veya rapor sunmasını, işletmenin bunları kullanması gerektiğinin kanıtı saymayın. “İleride lazım olur” gerekçesiyle tüm seçenekleri açmak, veri kapsamını ve erişimi gereksiz yere genişletebilir. Hesaplamada varsayımsal bir ceza tutarı üretmek de bu süreç kontrolünün yerine geçmez.
Senaryo: Bir kampanya formu gereksiz doğum tarihi ister; ekip amacı ve veri minimizasyonunu yeniden değerlendirir.
Uygulanabilir kalemler ve kanundaki bantlar:
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Bu örnekte kontrolün odağı, belirli bir sonuç veya tutar tahmin etmek değil; veri envanterindeki iş akışını uygulamanın gerçek ayarlarıyla karşılaştırmaktır. İşletmenin seçimi için hukuki değerlendirme gerekiyorsa avukatınıza veya hukukçunuza danışın. Süreç değiştikçe uygulama ayarlarını ve envanter açıklamalarını birlikte gözden geçirin.
Kurul kararlarında kişisel verilerin işlenmesinde genel ilkeler
Bu yazı için belirli bir Kurul kararı verilmediğinden, karar numarası veya karara özgü bir sonuç aktarılmıyor. Aşağıdaki kontroller, işletmelerin genel ilke denetimini süreçlerine yerleştirmesine yönelik pratik hatırlatmalardır.
- Bir veri alanını envantere eklerken, hangi amaçla ve hangi iş adımında kullanıldığını açıklayın; gerekçesi bilinmeyen alanı tamamlanmış değerlendirme saymayın.
- Kayıtların doğru ve gerektiğinde güncel kalması için kaynağı, güncelleme sorumlusunu ve düzeltme adımını belirleyin; farklı sistemlerdeki kayıtların çelişip çelişmediğini kontrol edin.
- Saklama ve erişim yaklaşımını fiilî uygulamayla karşılaştırın; amaç veya ihtiyaç değiştiğinde envanter bilgisini, sistem ayarlarını ve birimlerin işleyişini birlikte gözden geçirin.
Bu maddeler bir Kurul kararından çıkarılmış sonuçlar değildir; yukarıdaki ilke denetimini uygulamaya dönüştüren işletme kontrolleridir. Bu ayrım, karar içeriği aktarılmayan bir yazıda belirli bir hukuki sonucun karara dayandırılmasını önler. Kendi iş akışınıza ilişkin değerlendirme yaparken veri sorumlusunun kim olduğunu ve sürecin kimler tarafından yürütüldüğünü netleştirin; eksik bilgileri varsayımla doldurmak yerine ilgili ekiplerden doğrulayın.
Envanter ekibi, kontrol sonuçlarını kısa ve izlenebilir biçimde kaydedebilir: incelenen süreç, fark edilen sorun, ilgili birim ve sonraki adım. Böyle bir kayıt, karar aktarımı bulunmasa bile iç takip için işe yarar; ancak kararın veya hukuki görüşün yerini tutmaz. İşletmenin somut durumuna ilişkin hukuki değerlendirme gerekiyorsa avukatınıza ya da hukukçunuza danışın. Kurul kararlarını ayrıca incelemek isteyen ekipler Kurul kararları indeksine göz atabilir; burada bir karar içeriği aktarılmadığı unutulmamalıdır.
Sık sorulan sorular
Genel ilkeler ile işleme şartı aynı şey midir?
Hayır. İşleme şartı, kişisel verilerin işlenme şartlarını; genel ilkeler ise işleme sürecinin nasıl yürütüleceğini değerlendirmeye yardımcı olur. Bir faaliyetin dayanağına ilişkin değerlendirme, veri miktarı, doğruluk, amaç veya saklama kontrollerinin yerine geçmez.
Bir işleme amacı envanterde nasıl yazılmalıdır?
Amaç, iş akışını ve verinin kullanımını anlaşılır biçimde göstermelidir. “İşleri yürütmek” gibi geniş bir ifade yerine, verinin hangi somut işlem adımında neden kullanıldığını yazın. Birden fazla farklı kullanım varsa bunları tek bir belirsiz başlıkta birleştirmeyin.
Veri minimizasyonu, formdaki bütün alanları kaldırmak mıdır?
Hayır. Önce her alanın hangi iş adımında kullanıldığını ve gerçekten gerekli olup olmadığını değerlendirin. Kullanılmayan veya gerekçesi açıklanamayan alanları incelemeye alın; gerçek iş ihtiyacını ve teknik ayarları ilgili birimle birlikte kontrol edin.
Kayıtların saklama süresi nasıl belirlenir?
Süreyi, kaydın işlenme amacı ve uygulanabilir yükümlülükler çerçevesinde değerlendirin. Her kayıt grubu için saklama gerekçesini, sorumlu birimi ve gözden geçirme adımını belirleyin; tahmine dayalı veya belirsiz bir süreyi otomatik olarak benimsemeyin. Somut hukuki değerlendirme için avukatınıza veya hukukçunuza danışın.
Envanterde ilkelere aykırı bir uygulama görülürse ne yapılır?
Sorunun nerede olduğunu, hangi verileri ve iş akışını etkilediğini belirleyin. Ardından ilgili birimle düzeltme adımlarını, sorumluyu ve son kontrolü kaydedin. Yalnızca envanterde not düşmekle kalmayın; form, sistem ve fiilî kullanımın da düzeltildiğini doğrulayın.
