KVKK belge seti, her işletmenin aynı belgeleri kopyalayıp kullanacağı sabit bir paket değildir; işletmenin hangi kişisel verileri, hangi amaçlarla ve hangi kanallardan işlediği belirleyicidir. Bu rehber, metin şablonu üretmek yerine temel belge ve kayıtları öncelik sırasıyla tanımanıza ve ihtiyaçlarınızı çıkarmanıza yardımcı olur.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Hangi belgeler temel seti oluşturur?
Belge envanterine başlarken işletmenizdeki veri akışını düşünün: Kimden hangi bilgi alınıyor, hangi amaçla kullanılıyor, kimler erişiyor ve ne zaman siliniyor? Bu sorulara cevap vermeden belge adı seçmek, kullanılmayan bir şablonu klasöre eklemekle sonuçlanabilir. 6698 sayılı Kanun’un m.3 hükmü, kişisel veriler ve ilgili diğer kavramların tanımlarını içerir; işletme içindeki süreçleri ortak bir dille tanımlamak için önce bu kavramları doğru anlamlandırmak gerekir.
Küçük işletmelerde öncelik sırası genellikle şu belge ve kayıtları değerlendirmekle başlar:
- Aydınlatma metinleri: Müşteri, çalışan, iş başvurusu yapan kişi veya internet sitesi ziyaretçisi gibi farklı gruplara ve süreçlere göre ihtiyaç belirlenir. 6698 sayılı Kanun’un m.10 hükmü, veri sorumlusunun aydınlatma yükümlülüğünü düzenler.
- Kişisel veri işleme envanteri: Veri kategorilerini, ilgili kişi gruplarını, amaçları, alıcıları, saklama düzenini ve süreçleri görünür kılar.
- Açık rıza kayıtları: Yalnızca ilgili işleme faaliyeti için açık rızanın gerekli olduğu durumlarda değerlendirilir; her veri alımında istenen genel bir onay değildir.
- Saklama ve imha düzeni: İşletmenin verileri hangi gerekçeyle tuttuğunu, saklama süresi sona erdiğinde nasıl hareket ettiğini belirginleştirir. 6698 sayılı Kanun’un m.7 hükmü, kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi konusunu düzenler.
- İlgili kişi başvuru süreci ve başvuru formu: Gelen taleplerin kaydedilmesini, doğru kişiye yöneltilmesini ve yanıt sürecinin izlenmesini kolaylaştırır. 6698 sayılı Kanun’un m.13 hükmü, veri sorumlusuna başvuru hakkını düzenler.
- Tedarikçi ve veri aktarımı kayıtları: Hangi hizmet sağlayıcının hangi veriye, hangi amaçla ve hangi erişim düzeyinde ulaştığını gösterir.
- Erişim ve güvenlik kayıtları: Yetkilendirme, gizlilik taahhüdü, olay bildirimi ve alınan güvenlik tedbirleri gibi işletmenin gerçekten uyguladığı düzenlemeleri izlemeye yarar. 6698 sayılı Kanun’un m.12 hükmü, veri güvenliğine ilişkin yükümlülükleri düzenler.
- VERBİS değerlendirme kaydı: Sicile kayıt yükümlülüğünün işletme açısından değerlendirilmesini ve bu değerlendirmede kullanılan bilgileri saklamaya yarar. 6698 sayılı Kanun’un m.16 hükmü, Veri Sorumluları Sicili konusunu düzenler.
Bu liste, her işletmenin her belgeyi aynı kapsamda hazırlaması gerektiği anlamına gelmez. Örneğin çalışanı bulunmayan bir işletmenin insan kaynakları süreçlerine ilişkin kayıt ihtiyacı farklıdır; internet üzerinden sipariş alan bir işletmenin müşteri, ödeme ve kargo akışları ise ayrı değerlendirme gerektirir. Başlangıç için KVKK Uyum Rehberi: KOBİ'ler İçin Adım Adım (2026) ile iş akışlarını gözden geçirebilir, ardından ilgili araç ve şablonları süreçlerinize göre inceleyebilirsiniz. Belgeleri hazırlarken metinlerin gerçek uygulamayla uyumlu olup olmadığını kontrol edin; kullanılmayan bir süreci belgelemek, fiilî işleyişi açıklamaz.
Aydınlatma hangi süreçlerde gerekir?
Aydınlatma ihtiyacını yalnızca internet sitesindeki bir metinle sınırlamayın. Kişisel veri topladığınız her temas noktasını ayrı ayrı düşünün: sipariş formu, telefonla rezervasyon, mağazada üyelik, iş başvurusu, çalışan dosyası, kamera sistemi, bülten kaydı veya destek talebi farklı veri akışları yaratabilir. 6698 sayılı Kanun’un m.10 hükmü, veri sorumlusunun aydınlatma yükümlülüğünü düzenler; işletmenin hangi bilgileri, hangi amaçla ve hangi süreçte kullandığını ilgili kişiye anlaşılır biçimde aktarması bu değerlendirmede önemlidir.
Somut bir örnek düşünelim: Küçük bir atölye hem mağazada müşteri kartı tutuyor hem de internet sitesinden sipariş alıyor. Mağazada iletişim bilgisi sözlü olarak alınırken, internet siparişinde teslimat adresi ve sipariş geçmişi de sisteme girilebilir. Tek bir metin iki temas noktasındaki bütün farkları açıklamıyorsa müşteri hangi işlemin ne için yapıldığını kolayca anlayamayabilir. Benzer şekilde çalışanlara sunulan açıklama, iş başvurusu yapan kişilere yönelik açıklamayla aynı süreçleri kapsamak zorunda değildir.
Sık rastlanan hata, aydınlatmayı açık rıza metniyle birleştirmek veya “okudum, kabul ediyorum” kutusunu her işlem için zorunlu hâle getirmektir. Aydınlatma, veri işleme hakkında bilgi verme işlevi taşır; açık rıza ise ayrı bir hukuki değerlendirme konusudur. Bir sürecin dayanağı açık rıza değilse, sırf belge setinde açık rıza formu bulunduğu için kişiden onay istemek doğru bir envanter yaklaşımı değildir. 6698 sayılı Kanun’un m.5 hükmü, kişisel verilerin işlenme şartlarını düzenler; her faaliyet için hangi şartın söz konusu olduğunu ayrıca değerlendirmek gerekir.
Pratik adım olarak işletmedeki veri toplama noktalarını bir listeye yazın ve her biri için şu sorulara cevap verin: İlgili kişi kim, veri nereden geliyor, hangi bilgi alınıyor, hangi amaçla kullanılıyor, hangi alıcıya aktarılıyor ve açıklama kişiye ne zaman sunuluyor? Sonra aynı amaçla yürüyen süreçleri gruplayın; farklı kişi grupları veya farklı amaçlar varsa bunları tek metinde belirsizleştirmeyin. Aydınlatma metinlerinin güncel işleyişi yansıtıp yansıtmadığını düzenli olarak kontrol edin. Yeni bir form, yeni bir hizmet sağlayıcı veya yeni bir pazarlama faaliyeti eklendiğinde mevcut açıklamaların yeterliliğini de gözden geçirin. Hazırlık sırasında KVKK kontrol listesini kullanarak eksik temas noktalarını belirleyebilirsiniz.
Açık rıza ne zaman ayrı tutulur?
Açık rıza her kişisel veri işleme faaliyeti için otomatik olarak istenen genel bir izin değildir. Önce işleme amacını ve uygulanabilecek hukuki şartları belirlemek, ardından açık rızanın gerçekten gerekli olup olmadığını değerlendirmek gerekir. 6698 sayılı Kanun’un m.5 hükmü, kişisel verilerin işlenme şartlarını düzenler; özel nitelikli kişisel veriler söz konusuysa 6698 sayılı Kanun’un m.6 hükmü bu verilerin işlenme şartlarını düzenler. Hangi şartın somut sürece uygulanacağı, verinin niteliği ve faaliyetin özellikleri dikkate alınarak değerlendirilmelidir.
Açık rıza gerekiyorsa bunu aydınlatmadan ayrı ve anlaşılır biçimde ele almak, kişinin neye onay verdiğini görebilmesine yardımcı olur. Örneğin bir müşteri siparişi tamamlamak için iletişim ve teslimat bilgilerinin kullanılmasını bekleyebilir; aynı kişinin kampanya iletileri alması ise farklı bir amaç olabilir. Siparişin tamamlanmasını kampanya iznine bağlamak, iki amacı tek bir kutuda toplamak ve onay vermeyen kişiyi asıl hizmetten mahrum bırakmak gibi sorunlar doğurabilir. Önemli olan, rızayı metne eklemek değil, ilgili faaliyette gerçekten gerekli olup olmadığını saptamaktır.
Bir diğer hata, kapsamı belirsiz ifadelerle bir defada her türlü veri kullanımı ve aktarımına onay istemektir. Böyle bir yaklaşım kişiye hangi işlemin hangi amaçla yapılacağını açıkça göstermeyebilir. Rıza kaydı oluşturuluyorsa hangi işlem için, hangi açıklama sunularak ve hangi tarihte alındığı gibi bilgiler işletmenin süreç takibinde işe yarar. Rızanın geri alınması hâlinde hangi adımların atılacağı da önceden düşünülmelidir. Bu kayıt düzeni, rıza metninin her iş kolunda aynı olacağı anlamına gelmez; amaç ve veri akışı belirleyicidir.
Küçük işletme için pratik bir yöntem, her veri işleme faaliyetini bir satırda tanımlamak ve “Bu işlem hangi amaçla yapılıyor? Bu amaç için açık rıza gerçekten gerekli mi? Rıza verilmezse temel hizmet sürdürülebilir mi? Rıza geri alındığında hangi işlem durdurulmalı?” sorularını yanıtlamaktır. Cevaplar net değilse, genel bir onay kutusu eklemek yerine ilgili süreci ve hukuki dayanağı yeniden değerlendirin. Özellikle pazarlama, fotoğraf paylaşımı, etkinlik kaydı veya hassas bilgi içerebilecek süreçlerde avukatınıza ya da hukukçunuza danışın. Belge listesinde açık rıza formu bulunması tek başına her işleme faaliyetinin bu yolla yürütülmesi gerektiğini göstermez; kayıt, yalnızca gerekli ve doğru tanımlanmış kullanım için düzenlenmelidir.
Envanter nasıl bağlanır?
Kişisel veri işleme envanteri, belge listesinin merkezinde duran çalışma kaydıdır; çünkü diğer belgelerin hangi iş akışına karşılık geldiğini gösterir. Envanter yalnızca veri türlerinin adını yazan bir tablo olmamalı. İşletme, her süreç için ilgili kişi grubunu, veri kategorilerini, işleme amacını, veri kaynağını, erişen birimleri, aktarım yapılan tarafları, saklama düzenini ve kullanılan sistemleri belirlemelidir. 6698 sayılı Kanun’un m.4 hükmü, kişisel verilerin işlenmesinde uyulacak genel ilkeleri düzenler; envanter çalışması bu ilkelerin işletmenin gerçek faaliyetleriyle birlikte değerlendirilmesine yardımcı olur.
Örneğin bir danışmanlık işletmesi müşteri iletişim bilgilerini teklif hazırlamak için, fatura bilgilerini muhasebe işlemleri için, çalışan bilgilerini ise çalışma ilişkisini yürütmek için kullanabilir. Bu veriler aynı kişiye ait olsa bile amaçları ve erişim düzenleri farklıdır. Hepsini “müşteri verisi” veya “işletme kayıtları” adı altında toplamak, kimin hangi bilgiye hangi nedenle eriştiğini anlaşılmaz hâle getirir. Envanterde süreçleri işlevlerine göre ayırmak, aydınlatma metinlerini ve saklama düzenini ilgili faaliyetle eşleştirmeyi sağlar.
Sık yapılan hata, envanteri yalnızca bir kere hazırlanan ve klasörde bekleyen belge olarak görmektir. Yeni bir insan kaynakları uygulaması, çevrim içi rezervasyon aracı, kamera sistemi veya dış hizmet sağlayıcı eklendiğinde veri akışı değişebilir. Envanter güncellenmezse belgeler birbiriyle çelişmeye başlayabilir: Aydınlatma metni bir amaçtan söz ederken ekip veriyi farklı amaçla kullanabilir; saklama kaydı başka bir düzen gösterirken sistemde veriler tutulmaya devam edebilir. Envanterin yaşayan bir iç kayıt olması bu uyumsuzlukları fark etmeyi kolaylaştırır.
Başlangıç için işletmedeki süreç sahiplerinden bilgi alın. Her birine hangi veriyi hangi araçta gördüğünü, bilgiyi kimden aldığını, kiminle paylaştığını ve iş bitince ne yaptığını sorun. Sonra cevapları süreç bazında bir araya getirip belirsiz alanları ayrıca işaretleyin. Envanteri aydınlatma, açık rıza, tedarikçi kayıtları ve saklama-imha düzeniyle ilişkilendirin; bir belgede değişiklik yaptığınızda bağlantılı süreçleri de kontrol edin. VERBİS açısından değerlendirme yapılıyorsa bu çalışma karar sürecine yardımcı olabilir; 6698 sayılı Kanun’un m.16 hükmü, Veri Sorumluları Sicili (VERBİS) konusunu düzenler. İşletmenizin kayıt durumunu VERBİS değerlendirmesine ilişkin kontrol adımlarıyla gözden geçirin ve kapsam belirsizse avukatınıza ya da hukukçunuza danışın.
Saklama politikası kime gerekir?
Saklama ve imha düzeni, kişisel verileri işleyen işletmelerin üzerinde durması gereken temel konulardandır; ancak belgenin adı, biçimi ve kapsamı işletmenin faaliyetlerine, veri türlerine ve tabi olduğu yükümlülüklere göre değişebilir. Burada önemli olan, “veriyi ne kadar tutacağımızı” belirsiz bırakmamak ve her veri için aynı süreyi varsaymamaktır. 6698 sayılı Kanun’un m.7 hükmü, kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler. Saklama düzeni de verinin işlenme amacı ve geçerli saklama gerekçesi sona erdiğinde nasıl hareket edileceğini açıklamalıdır.
Bir işletmede fatura ve muhasebe kayıtları, müşteri destek yazışmaları, iş başvuru dosyaları ve kamera kayıtları aynı ihtiyaçla tutulmaz. Her birinin amacı, erişimi ve saklama gerekçesi farklı olabilir. Bu nedenle “tüm kayıtlar gerektiği kadar saklanır” gibi genel bir cümle, işletme içinde uygulanabilir bir yol göstermez. Öte yandan verileri gerekçesiz biçimde süresiz tutmak da iyi bir kayıt yönetimi değildir. Her kategori için hangi iş ihtiyacının veya hukuki yükümlülüğün saklamayı gerektirdiği belirlenmeli; gerekçe sona erdiğinde verinin silinmesi, yok edilmesi veya uygun koşullarda anonim hâle getirilmesi düşünülmelidir.
Sık rastlanan hata, politikanın hazırlanmasını yeterli sayıp silme adımlarını gerçek sistemlere bağlamamaktır. Veriler e-posta kutularında, paylaşımlı dosyalarda, muhasebe programlarında, bulut hizmetlerinde ve yedeklerde bulunabilir. Bir kaydın tek bir yerde silinmesi, aynı bilginin başka kopyalarının da ortadan kalktığı anlamına gelmeyebilir. Bu nedenle silme sürecinde verinin hangi sistemlerde yer aldığını, kimlerin işlem yapabildiğini ve yapılan işlemin nasıl kaydedileceğini belirlemek gerekir. 6698 sayılı Kanun’un m.12 hükmü, veri güvenliğine ilişkin yükümlülükleri düzenler; saklama ve imha uygulamalarının güvenlik önlemleriyle birlikte ele alınması önemlidir.
Pratik bir ilk adım olarak veri kategorilerini envanterden alın ve her biri için “hangi amaçla tutuluyor, amaç ne zaman sona eriyor, hangi sistemlerde bulunuyor, silme veya imha adımını kim yürütüyor?” sorularını yanıtlayın. Ardından bu yanıtları işletmenin gerçek işleyişiyle karşılaştırın. İşletmenizde çalışan, müşteri veya başvuru sahibi verisi varsa ilgili kayıtların farklı saklama gerekçeleri olabileceğini unutmayın. Düzenli gözden geçirme yapın; yeni bir hizmet veya kayıt sistemi eklendiğinde saklama planını da değerlendirin. Kapsam ve sürelerin belirlenmesi somut yükümlülüklere bağlı olabileceğinden, avukatınıza ya da hukukçunuza danışmanız uygun olur.
Tedarikçi kayıtları nasıl tutulur?
Kişisel verilere erişen tedarikçiler, belge envanterinde ayrı bir dikkat alanıdır. E-posta hizmeti, muhasebe yazılımı, insan kaynakları sistemi, çağrı merkezi, kargo hizmeti veya dışarıdan alınan teknik destek işletmenin verileriyle farklı şekillerde temas edebilir. Önce her sağlayıcının sunduğu hizmeti ve erişebildiği veri türlerini belirleyin. Sonra verilerin hangi amaçla paylaşıldığını, hizmet sırasında kimlerin erişebildiğini, hangi güvenlik önlemlerinin uygulandığını ve iş ilişkisi sona erdiğinde verinin nasıl ele alındığını inceleyin. 6698 sayılı Kanun’un m.8 hükmü, kişisel verilerin aktarılmasını düzenler; aktarım yapılan tarafların ve veri akışının anlaşılması bu nedenle önem taşır.
Örneğin küçük bir çevrim içi mağaza sipariş bilgilerini teslimat için kargo şirketine iletebilir ve müşteri taleplerini yönetmek için dışarıdan bir yazılım kullanabilir. Bu iki sağlayıcının eriştiği bilgiler ve hizmet amaçları aynı olmayabilir. Bir tedarikçi listesinde yalnızca şirket adını yazmak bu farkları göstermez. İşletmenin hangi veriyi kiminle paylaştığı, paylaşımın hangi iş ihtiyacına dayandığı ve erişimin hangi seviyede olduğu kayıt altına alınmalıdır. Sözleşmeler ve hizmet belgeleri de ilgili süreçle birlikte değerlendirilmelidir.
Sık yapılan hatalardan biri, “hizmeti veren firma zaten güvenlidir” varsayımıyla erişimi incelememektir. Diğer hata ise her tedarikçiden aynı bilgi setini istemek ve hizmetin gerçek kapsamını dikkate almamaktır. Örneğin yalnızca ekipman bakımına gelen bir hizmet sağlayıcının erişimiyle, müşteri kayıtlarını barındıran bir yazılım sağlayıcısının erişimi aynı düzeyde olmayabilir. İşletme, erişimin gerekli olup olmadığını, yetkilerin sınırlanıp sınırlanmadığını ve hizmet sona erdiğinde hesapların kapatılıp kapatılmadığını kontrol etmelidir. Yurt dışına veri aktarımı ihtimali varsa bu ayrıca ele alınmalıdır; 6698 sayılı Kanun’un m.9 hükmü, kişisel verilerin yurt dışına aktarılmasını düzenler.
Pratik bir tedarikçi kaydında hizmetin adı, iş amacı, erişilen veri grupları, erişim biçimi, ilgili sözleşme veya belge, işletme içindeki sorumlu kişi ve gözden geçirme notları bulunabilir. Bu kayıt, yalnızca sözleşme arşivinden ibaret değildir; işletmenin veri akışını anlamasını sağlayan bir kontrol aracıdır. Tedarikçi değiştiğinde, yeni bir hizmet kullanılmaya başlandığında veya hizmetin kapsamı genişlediğinde envanter ve ilgili aydınlatma açıklamalarını da gözden geçirin. Özellikle bulut tabanlı hizmetler, yurt dışı erişim ve alt hizmet sağlayıcılar konusunda emin değilseniz avukatınıza ya da hukukçunuza danışın.
Eksikler nasıl önceliklendirilir?
Belge eksiği listesini hazırlarken ilk iş, bütün olası şablonları indirmek değildir. Önce hangi süreçlerin işletmede fiilen yürüdüğünü ve hangi belgelerin bu süreçleri açıklaması gerektiğini belirleyin. Bir müşteri formu düzenli kullanılıyor ancak ilgili kişiye açıklama sunulmuyorsa bu, yalnızca “aydınlatma metni eksik” olarak değil, iş akışının tamamlanması gereken bir parçası olarak ele alınmalıdır. Benzer biçimde başvuru taleplerini kimin karşılayacağı belli değilse form hazırlamak tek başına sorunu çözmez; işletme içinde rol ve takip adımı da tanımlanmalıdır.
Önceliklendirme için her eksik kaydın etkisini ve uygulanabilirliğini değerlendirin. İşletmenin çok sayıda kişiyle yürüttüğü, hassas veri içerme ihtimali bulunan veya dış taraflarla veri paylaşımı yapılan süreçlere özellikle dikkat edin. Bu, sayısal bir risk puanı üretmek zorunda olduğunuz anlamına gelmez. “Süreç mevcut mu?”, “ilgili kişiye açıklama sunuluyor mu?”, “veriye kim erişiyor?”, “saklama ve silme adımı belli mi?”, “hizmet sağlayıcıya aktarım var mı?” sorularının yanıtları, hangi işi önce ele alacağınızı görünür kılar.
Sık yapılan bir hata, önceliği belgenin kolay hazırlanmasına göre vermektir. Örneğin genel bir politika metnini tamamlamak hızlı olabilir; ancak işletmenin hangi sistemlerde hangi verileri tuttuğu bilinmiyorsa bu metin uygulamadaki önemli boşlukları kapatmayabilir. Bir başka hata, hazır metni olduğu gibi kullanıp şirket adı ve iletişim bilgisini değiştirmekle yetinmektir. Metnin amacı, kişi grubu, veri akışı ve saklama düzeni işletmenize uymuyorsa belge seti birbiriyle çelişebilir. Bu yüzden önce envanter ve süreç haritası, ardından bu haritaya bağlı metin ve kayıtlar ele alınmalıdır.
Pratik bir sıra şöyle kurulabilir: Önce veri toplama noktalarını ve süreç sahiplerini belirleyin; sonra aydınlatma ihtiyaçlarını, işleme envanterini ve saklama-imha düzenini gözden geçirin. Ardından açık rızanın gerçekten gerekli olduğu faaliyetleri, başvuru sürecini, tedarikçi kayıtlarını ve erişim güvenliği kontrollerini değerlendirin. VERBİS yükümlülüğünün işletme için geçerli olup olmadığını ayrı bir kontrol olarak kaydedin. İşletmenizin durumuna göre adımları seçmek için KVKK ceza riski hesaplayıcısını ve kontrol listesini inceleyebilirsiniz. Sitedeki araçlar ücretsizdir; kayıt ve kart bilgisi istemez. Belirsiz hukuki değerlendirmelerde avukatınıza ya da hukukçunuza danışın.
Zorunlu belge ile duruma bağlı kayıt nasıl ayrılır?
“Zorunlu belge” ile “duruma bağlı kayıt” ayrımı, bir belgenin adından çok işletmenin faaliyetlerine ve ilgili yükümlülüğe bakılarak yapılır. Her işletmenin aynı başlıkları aynı kapsamda hazırlaması gerektiğini varsaymak yanıltıcı olabilir. Bazı süreçlerde belirli bir bilgilendirme veya kayıt ihtiyacı doğarken, başka bir işletmede aynı belge türü kullanılmayabilir ya da farklı biçimde karşılanabilir. Bu nedenle karşılaştırma, belge listesini doğrudan çoğaltmak için değil, hangi kaydın hangi ihtiyaca cevap verdiğini anlamak için kullanılmalıdır.
| Değerlendirme | Temel ihtiyaçla bağlantılı belge veya kayıt | Duruma bağlı belge veya kayıt |
|---|---|---|
| Amaç | İşletmenin veri işleme faaliyetini açıklamak ve temel sorumlulukları yönetmek | Belirli bir hizmet, veri türü, aktarım veya çalışma düzenini belgelemek |
| Kapsam | Birden fazla süreçte ortak olan temel işleyişi gösterebilir | Belirli bir kişi grubu, kanal, sistem veya özel iş akışıyla sınırlı olabilir |
| Süreç | İşletmenin olağan veri toplama ve kullanma adımlarına bağlanır | Yeni faaliyet, özel ihtiyaç veya ayrı bir hukuki değerlendirmeyle ortaya çıkabilir |
| Sonuç | Temel uygulamaların izlenmesini ve tutarlılığı destekler | Belirli bir riskin veya operasyonel ihtiyacın kaydını sağlar |
| Örnek değerlendirme | Aydınlatma ihtiyacı ve veri işleme envanteri | Açık rıza kaydı veya belirli bir tedarikçiye ilişkin ek kayıt |
Örneğin müşterilerden sipariş alan bir işletme, sipariş sürecini ve ilgili kişiye sunulan açıklamaları temel işleyişinin parçası olarak değerlendirmelidir. Buna karşılık açık rıza kaydı, her sipariş için otomatik olarak gerekmeyebilir; ek bir amaç için gerçekten rıza gerekiyorsa o faaliyete özel ele alınır. Benzer şekilde tedarikçi kaydının kapsamı, dış tarafın veriye erişip erişmediğine ve hizmetin niteliğine göre değişebilir. “Duruma bağlı” ifadesi, konunun önemsiz olduğu anlamına gelmez; işletmenin önce kendi faaliyetini incelemesi gerektiğini gösterir.
Sık yapılan hata, tablodaki örnekleri evrensel bir zorunluluk listesi gibi kullanmaktır. İşletme gerçek bir veri akışıyla karşılaşmadan belgeyi “var” diye işaretleyebilir; oysa belgenin kapsamı süreçle örtüşmeyebilir. Bir diğer hata, duruma bağlı kayıtları hiç değerlendirmemektir. Yeni çalışan alınması, kamera kurulması, çevrim içi satışa başlanması veya yeni bir hizmet sağlayıcıyla çalışılması ihtiyaçları değiştirebilir.
Pratik olarak her kayıt için üç not yazın: hangi iş ihtiyacına karşılık geliyor, hangi süreçle ilişkili ve hangi koşul değiştiğinde yeniden incelenecek? Sonra belge envanterinde “temel”, “koşula bağlı” veya “şu an uygulanmıyor” gibi açıklayıcı bir durum kullanın; “uygulanmıyor” kararının nedenini de kısaca kaydedin. Bu yaklaşım, gereksiz metin biriktirmek yerine işletmenin karar mantığını görünür kılar. Sonuç doğurabilecek sınıflandırmalarda ve yükümlülüğün kapsamından emin olmadığınızda avukatınıza ya da hukukçunuza danışın.
Örnek hesap: uygulama seçiminin değerlendirilmesi
Bir butik işletmenin siparişleri internet sitesi üzerinden aldığını, müşteri sorularını e-posta ile yanıtladığını ve teslimat için dışarıdan bir hizmet sağlayıcı kullandığını düşünün. İşletme, belgelerini hazırlamak için hazır metinler içeren bir uygulama ile süreçlerini önce kendi ekibiyle haritalamayı sağlayan bir çalışma arasında seçim yapıyor. Buradaki değerlendirme, parasal bir hesap değil; seçilecek yöntemin işletmenin gerçek veri akışını ne ölçüde görünür kıldığını karşılaştırma örneğidir. İşletme önce hangi verilerin sipariş, destek ve teslimat amacıyla kullanıldığını, hangi tedarikçinin hangi bilgiye eriştiğini ve açıklamaların hangi temas noktasında sunulduğunu belirlemelidir.
Uygulama seçimini değerlendirirken yalnızca belge sayısına veya metnin hazır görünmesine bakmayın. Şunları kontrol edin: Süreçler işletmenizin kullandığı kanallara göre ayrıştırılabiliyor mu? Aydınlatma, envanter, saklama düzeni ve tedarikçi bilgileri arasında bağlantı kurulabiliyor mu? İşletme adına sunulan metinlerde gerçek dışı bir faaliyet varsayılıyor mu? Çalışanlar belgeyi güncelleyecek sorumlu kişiyi biliyor mu? Bu sorulara verilen yanıtlar, aracın iş akışınıza uygun olup olmadığını anlamaya yardımcı olur. Hazır belgeyi olduğu gibi kabul etmek yerine, her alanı işletmenin gerçek işleyişiyle karşılaştırın.
Bir diğer önemli nokta, uygulamanın hukuki danışmanlık verdiği varsayımına kapılmamaktır. Belge otomasyonu süreçleri düzenlemeye ve eksikleri görünür kılmaya yardımcı olabilir; fakat işletmenin somut yükümlülüğüne ilişkin hukuki değerlendirme yerine geçmez. Özel nitelikli veri, yurt dışına aktarım, farklı hizmet sağlayıcılar veya çalışan ilişkileri gibi konularda kapsam belirsizse profesyonel hukuki görüş alın. 6698 sayılı Kanun’un m.18 hükmü, kabahatleri ve idari para cezalarını düzenler; olası sonuçları değerlendirirken güncel mevzuatı ve işletmeye özgü koşulları birlikte incelemek gerekir.
Bu örnekte işletme önce süreç listesini çıkarır, sonra seçtiği aracın bu süreçleri anlaşılır biçimde düzenleyip düzenlemediğini kontrol eder. Eksik veri akışı varsa belgeyi üretmek yerine önce süreç bilgisini tamamlar. Böylece seçim, “hangi araç daha çok metin sunuyor?” sorusundan “hangi yöntem işletmemin uygulamasını doğru kaydetmeme yardım ediyor?” sorusuna dönüşür.
Senaryo: Bir işletme çalışan, müşteri ve tedarikçi süreçleri için eksik belgeleri kontrol tablosunda işaretler.
Uygulanabilir kalemler ve kanundaki bantlar:
Hesap tablosu:
| Adım | İşlem |
|---|
| Toplam alt sınır | 0 kalem toplamı = 0 TL | | Toplam üst sınır | 0 kalem toplamı = 0 TL |
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Kurul kararlarında KVKK belgeleri listesi
Bu konu için burada anılabilecek belirli bir Kurul kararı verilmediğinden, karar numarası veya karar içeriği aktarılmamaktadır. Belge envanteri hazırlanırken genel mevzuat hükümleri ile işletmenin fiilî veri işleme süreçleri birlikte değerlendirilmelidir.
- Belgenin varlığı kadar, güncel işleyişi doğru yansıtıp yansıtmadığı da kontrol edilmelidir.
- Aydınlatma, açık rıza ve işleme envanteri farklı amaçlara hizmet eder; tek bir metinde gelişigüzel birleştirilmemelidir.
- Yeni süreç veya tedarikçi eklendiğinde bağlantılı kayıtları birlikte gözden geçirmek, belge çelişkilerini azaltmaya yardımcı olur.
Bir karar aktarımı yapılmadığı için yukarıdaki maddeler belirli bir Kurul kararından çıkarılmış sonuçlar değildir; belge düzeni için genel kontrol noktalarıdır. Bunları işletmenizde uygularken, kayıtların hangi sürece karşılık geldiğini ve kimin güncelleyeceğini belirleyin. Örneğin yeni bir sipariş kanalı açıldığında yalnızca internet sitesi metnini değiştirmek yeterli olmayabilir; envanter, tedarikçi akışı ve saklama adımları da değişmiş olabilir. Benzer biçimde bir tedarikçiyle çalışma sona erdiğinde erişimlerin kapatılması ve verilerin nasıl ele alınacağının kontrol edilmesi gerekir.
Küçük işletmeler için kararları takip etmek, yalnızca bir arşiv oluşturmak anlamına gelmez. Değişikliklerin kaynağını, hangi süreçleri etkilediğini ve hangi belgelerin gözden geçirildiğini not etmek, sonraki incelemede işinizi kolaylaştırır. Bu kaydı basit ve sürdürülebilir tutun: değişiklik, ilgili süreç, sorumlu kişi ve tamamlanan kontrol adımlarını yazın. Böylece belge seti işletmenin günlük işleyişinden kopuk kalmaz. Kararların veya mevzuatın işletmenize nasıl uygulanacağı konusunda tereddüt varsa avukatınıza ya da hukukçunuza danışın; burada sunulan bilgi hukuki değerlendirme yerine geçmez.
Sık sorulan sorular
Her işletmenin aynı KVKK belgelerine ihtiyacı var mı?
Hayır; belge ihtiyacı işletmenin faaliyetlerine, işlediği verilere ve veri akışına göre belirlenir. Müşteri, çalışan, ziyaretçi veya iş başvurusu yapan kişilere ait veriler farklı süreçler yaratabilir. Önce işletmenizde hangi verinin nerede ve hangi amaçla işlendiğini çıkarın, sonra ilgili belge ve kayıtları değerlendirin.
Açık rıza metni her aydınlatma metnine eklenmeli mi?
Hayır; aydınlatma ile açık rıza aynı amaçla kullanılan belgeler değildir. Açık rıza, yalnızca ilgili faaliyet için gerçekten gerekli olduğu değerlendirilirse ayrıca ele alınmalıdır. Her işlemde genel bir onay istemek yerine sürecin amacı ve uygulanabilecek şartlar incelenmelidir.
Küçük işletme için veri işleme envanteri neden önemlidir?
Envanter, işletmenin hangi kişisel verileri hangi süreçlerde kullandığını bir arada görmesini sağlar. Aydınlatma açıklamalarını, saklama düzenini ve tedarikçi kayıtlarını ilgili iş akışına bağlamaya yardımcı olur. Güncel tutulmadığında yeni hizmetler veya değişen süreçler belge setinde görünmeyebilir.
Saklama ve imha düzeni yalnızca büyük işletmeler için mi gerekir?
Saklama ve imha konusu yalnızca büyük işletmelere özgü değildir; kişisel veri işleyen küçük işletmeler de verileri hangi gerekçeyle tuttuğunu ve ihtiyaç sona erince nasıl hareket edeceğini değerlendirmelidir. Her veri kategorisi için aynı düzen geçerli olmayabilir. İşletme, kullandığı sistemleri ve verinin nerelerde bulunduğunu da hesaba katmalıdır.
KVKK belge setindeki eksikleri nereden belirlemeliyim?
Önce müşteri, çalışan, başvuru sahibi ve diğer ilgili kişilerle yürüyen veri süreçlerini listeleyin. Her süreçte açıklama, envanter, saklama, tedarikçi erişimi ve başvuru yönetimi ihtiyaçlarını kontrol edin. Hukuki kapsam belirsizse avukatınıza ya da hukukçunuza danışın; belge otomasyonu hukuki danışmanlık yerine geçmez.
