KVKK Uyum Rehberi: KOBİ'ler İçin Adım Adım
Beş kişilik bir ajans da, elli kişilik bir klinik de aynı kanuna tabi: 6698 sayılı Kişisel Verilerin Korunması Kanunu. Fark şu ki, büyük şirketlerin hukuk departmanı var; KOBİ'nin genellikle sadece bir sorusu var: "Ben ne yapmak zorundayım?"
Bu rehber o soruyu cevaplıyor. Hukuk diliyle değil, yapılacaklar listesiyle.
Önemli: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Şirketinize özel durumlar için bir hukukçuya danışmanız tavsiye edilir.
Kısa cevap: KVKK uyumu neyi gerektirir?
Uyum, tek bir belge imzalamak değil; beş parçalı bir bütündür:
- Envanter — hangi kişisel veriyi, hangi süreçte, neden, ne kadar süre tuttuğunuzu yazmak
- Aydınlatma — bu bilgiyi ilgili kişiye (müşteri, çalışan, aday) anlaşılır şekilde duyurmak
- Rıza — yalnızca rıza gerektiren işlemler için (ör. pazarlama e-postası) ayrı onay almak
- Güvenlik — teknik ve idari tedbirleri uygulamak
- Kayıt ve takip — yükümlüyseniz VERBİS'e kaydolmak, belgeleri güncel tutmak
Bunların hiçbiri tek başına "uyum" değildir; birlikte çalışırlar.
1. Kişisel veri envanteri: her şeyin temeli
Envanter olmadan yazılan aydınlatma metni tahminden ibarettir. Envanter şu soruları süreç süreç cevaplar:
| Soru | Örnek cevap |
|---|---|
| Hangi süreç? | Müşteri faturalama |
| Hangi veriler? | Ad, adres, vergi no, IBAN |
| Kimin verisi? | Müşteriler |
| Neden işliyoruz? | Sözleşmenin ifası, yasal yükümlülük |
| Hukuki sebep? | KVKK m.5/2 |
| Ne kadar saklıyoruz? | 10 yıl (TTK/VUK) |
| Kime aktarıyoruz? | Mali müşavir |
Detaylı anlatım: Kişisel veri envanteri nasıl hazırlanır.
2. Aydınlatma metni: göstermek zorunda olduğunuz belge
Kanun'un 10. maddesi, veri toplarken ilgili kişiyi bilgilendirmenizi şart koşar. Web sitenizdeki form, iş başvurusu, sözleşme, hatta kartvizit toplama — hepsinde aydınlatma yükümlülüğü vardır.
Metnin içermesi gerekenler: veri sorumlusunun kimliği, hangi verilerin işlendiği, işleme amaçları, aktarım yapılan taraflar, toplama yöntemi ve hukuki sebep, ilgili kişinin hakları.
Adım adım: Aydınlatma metni nasıl hazırlanır.
3. Açık rıza: sadece gerektiğinde
En yaygın hata, her şey için rıza istemektir. Oysa sözleşmenin ifası veya yasal yükümlülük varsa rıza gerekmez — istemek hatta zararlıdır, çünkü kişi rızasını geri çektiğinde işlemeyi durdurmanız beklenir.
Rıza gerçekten gereken tipik durum: ticari elektronik ileti (bülten, kampanya SMS'i). Ayrıntı: Açık rıza metni nasıl yazılır.
4. Teknik ve idari tedbirler
Belge üretmek yetmez; Kanun makul güvenlik tedbirlerini de arar. KOBİ ölçeğinde uygulanabilir liste:
- Erişim yetkilerini göreve göre sınırlandırın (herkes her dosyayı görmesin)
- Güçlü parola + iki adımlı doğrulama
- Yedekleme ve yedeklerin korunması
- Çalışanlara kısa bir KVKK farkındalık eğitimi
- Gizlilik taahhütnamesi imzalatın
- Dış hizmet aldığınız firmalarla (muhasebe, bulut, kargo) sözleşmelerde veri koruma hükmü bulunsun
5. VERBİS: herkes için zorunlu değil
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı yükümlülük ölçütlerini karşılayanlar içindir; ölçütler çalışan sayısı, mali bilanço ve faaliyet konusuna göre değişir. Yükümlü müsünüz ve nasıl kaydolunur: VERBİS kaydı nasıl yapılır ve KVKK hangi şirketler için zorunlu.
Uyumsuzluğun bedeli
İdari para cezaları, aydınlatma yükümlülüğünü yerine getirmemekten veri güvenliği ihlallerine kadar geniş bir yelpazede uygulanır ve her yıl yeniden değerleme oranıyla artar. Güncel tablo: KVKK cezaları ne kadar.
Ama asıl maliyet ceza değil: bir veri sızıntısında müşteri güveninin kaybı, ihale dışı kalma ve kurumsal müşterilerin sizden uyum belgesi istemesi.
KOBİ'lerin yaptığı 5 klasik hata
- İnternetten şablon indirip yapıştırmak. Şirketin gerçek süreçleriyle örtüşmeyen metin, yokluğundan daha kötüdür — beyan ettiğinizi yapmadığınız görülür.
- Her şeye rıza kutusu koymak. Gereksiz rıza, hukuki dayanağınızı zayıflatır.
- Çalışan verilerini unutmak. Özlük dosyaları, kamera kayıtları, giriş-çıkış sistemleri de kişisel veridir.
- Bir kere yapıp bırakmak. Yeni bir CRM aldınız, yeni bir form eklediniz: envanter değişti demektir.
- Silmeyi hiç düşünmemek. Saklama süresi dolan veriyi tutmak başlı başına aykırılıktır.
30 günlük uyum planı
| Hafta | Yapılacak |
|---|---|
| 1 | Süreçleri listeleyin: hangi formlar, hangi sistemler, hangi dosyalar? |
| 2 | Envanteri doldurun; saklama sürelerini belirleyin |
| 3 | Aydınlatma metni + açık rıza metni + saklama-imha politikasını hazırlayın, yayına alın |
| 4 | Tedbirleri uygulayın, ekibi bilgilendirin, VERBİS yükümlülüğünüzü kontrol edip kaydı yapın |
Sık sorulan sorular
KVKK küçük şirketler için de zorunlu mu?
Kanun, çalışan sayısına bakmaksızın kişisel veri işleyen herkesi kapsar. VERBİS kayıt yükümlülüğü ise belirli ölçütlere bağlıdır; kayıt yükümlüsü olmamak, diğer yükümlülüklerden muaf olmak anlamına gelmez.
Sadece aydınlatma metni koymak yeterli mi?
Hayır. Aydınlatma metni, arkasında envanter ve gerçek süreçler olduğunda anlamlıdır. Tek başına bir metin, uyumu sağlamaz.
Uyum ne kadar sürer?
Süreçleri sade bir KOBİ'de 2-4 hafta yeterlidir. Asıl iş belgeleri yazmak değil, süreçleri doğru çıkarmaktır.
Danışmanlık şart mı?
Karmaşık veri işleme faaliyeti (sağlık verisi, büyük ölçekli profilleme, yurt dışı aktarım) varsa hukuki destek almanız güçlü şekilde tavsiye edilir. Standart bir KOBİ süreci için belgeleri hazırlayıp bir hukukçuya gözden geçirtmek çoğu durumda yeterlidir.
Devamı: KVKK nedir · KVKK mevzuatı haritası · KVKK ihlali ve bildirim · Parmak izi kararı
Pratik yol: KVKK Otomat şirket bilgilerinizi alıp envanterinizi, aydınlatma metninizi, açık rıza metninizi, saklama-imha politikanızı ve VERBİS hazırlık listenizi tek oturumda üretir. Belgeler taslaktır; yayına almadan önce bir hukukçuya gözden geçirtmeniz tavsiye edilir.
