KVKK alanında çalışmak isteyenler için tek bir eğitim veya meslek unvanından ibaret bir yol yoktur; hukuk, süreç yönetimi, veri güvenliği ve iletişim becerileri birlikte önem taşır. Bu yazıda mesleğin günlük işlerini, öğrenme yollarını ve kurum içi görev ile dış danışmanlık arasındaki farkı ele alacağız.
Not: Genel bilgilendirme amaçlıdır; hukuki danışmanlık değildir.
Uzmanın günlük işi nedir?
KVKK alanında çalışan bir uzmanın günlük işi, işletmenin kişisel verileri nerede, hangi amaçla ve hangi süreçlerde kullandığını anlamakla başlar. İnsan kaynakları, satış, müşteri hizmetleri, muhasebe, bilgi işlem ve pazarlama gibi birimlerle görüşerek verinin toplanma, erişilme, paylaşılma, saklanma ve silinme aşamalarını takip eder. Buradaki amaç yalnızca belge hazırlamak değil, belgelerde anlatılan uygulamalarla işletmenin gerçek işleyişinin birbirini tutup tutmadığını görmektir. Bu nedenle dinleme, soru sorma ve bilgiyi düzenli kaydetme, günlük işin temel parçalarıdır.
Örneğin bir çalışan adayı internet formundan özgeçmiş gönderiyorsa uzman, formda hangi bilgilerin istendiğini, bu bilgilere kimlerin eriştiğini, başvurunun nasıl saklandığını ve adayın bilgilendirilip bilgilendirilmediğini ilgili ekiplerle inceler. İşletmenin kullandığı işe alım aracı dışarıdan sağlanıyorsa veri akışını ve erişim yetkilerini de sorar. Uzman, her adımı kendi başına belirlemek yerine sürecin sahiplerini bulur, mevcut uygulamayı kaydeder ve eksiklerin giderilmesini koordine eder. Bir noktada hukuki değerlendirme gerekiyorsa bunu kendi adına kesinleştirmek yerine ilgili hukukçuya yönlendirir.
Günlük çalışmalar arasında veri işleme süreçlerini ve sorumluları belirlemek, mevcut metinleri uygulamayla karşılaştırmak, erişim ve saklama pratiklerini incelemek, personel sorularını yanıtlamak ve değişiklikleri kayıt altına almak bulunabilir. Yeni bir ürün, form veya tedarikçi devreye girdiğinde önceki değerlendirmeler yetersiz kalabilir. Bu yüzden uyum çalışması bir defalık belge üretiminden ibaret değildir. Sık yapılan hata, uzmanın görevini yalnızca aydınlatma metni veya politika yazmak olarak görmektir; belge işleyişi yansıtmıyorsa çalışanlar ne yapacağını bilemeyebilir.
Pratik bir başlangıç için mevcut iş akışlarını ilgili ekiplerle dinleyin, kullandıkları formları ve sistemleri birlikte gözden geçirin, her bulgu için sorumlu birim ve izlenecek adımı netleştirin. Örneğin satış ekibi müşteriden hangi bilgileri aldığını, muhasebe ise bu bilgilerin kendi işine nasıl geçtiğini anlatabilir. Görüşme sonunda açık kalan soruları ve cevaplayacak kişiyi kayda geçirin. Farklı iş alanlarına dönük araç ve örnekler için KVKK uyum hizmeti ve kaynaklarını inceleyebilirsiniz.
Hangi temel bilgiler gerekir?
İlk olarak kişisel veri, veri sorumlusu, veri işleyen, ilgili kişi ve işleme faaliyeti gibi temel kavramları öğrenmek gerekir. 6698 sayılı Kanun’un m.3 hükmü tanımları düzenler; bu kavramları doğru anlamak, işletmenin hangi rolde bulunduğunu ve hangi süreçleri değerlendirmesi gerektiğini konuşurken ortak bir dil kurar. Kavramları ezberlemek tek başına yeterli değildir. Önemli olan, gerçek bir iş akışında hangi bilginin kim tarafından ve ne amaçla kullanıldığını ayırt edebilmektir. Örneğin bir satış ekibi müşterinin iletişim bilgisini alırken, muhasebe aynı bilgiyi farklı bir iş akışında kullanabilir.
Ardından kişisel verilerin işlenme şartları, genel ilkeler, aydınlatma, ilgili kişi hakları, veri güvenliği ve saklama-imha uygulamaları gibi başlıklar öğrenilmelidir. 6698 sayılı Kanun’un m.4 hükmü genel ilkeleri, m.5 hükmü kişisel verilerin işlenme şartlarını, m.10 hükmü veri sorumlusunun aydınlatma yükümlülüğünü, m.11 hükmü ilgili kişinin haklarını, m.12 hükmü ise veri güvenliğine ilişkin yükümlülükleri düzenler. Bu başlıkların farklı işlevleri olduğunu bilmek, her soruna aynı metinle veya aynı cevapla yaklaşmayı önler. Örneğin bir formun bilgilendirme kısmını incelemek, o formda istenen her bilginin gerekli olup olmadığını tek başına açıklamaz.
İkinci bilgi alanı, işletme süreçlerini okuyabilmektir. Veri yalnızca bilgisayar sistemlerinde bulunmaz; kâğıt formlarda, e-posta yazışmalarında, çağrı kayıtlarında, kamera sistemlerinde ve hizmet sağlayıcıların kullandığı uygulamalarda da yer alabilir. Uzman; süreci tarif edebilmeli, kimlerin hangi bilgiye eriştiğini sorabilmeli ve cevapları anlaşılır bir kayıt hâline getirebilmelidir. Sık yapılan hata, yalnızca merkezi bilgisayar sistemine bakıp kâğıt arşivini, paylaşılan klasörleri veya dış hizmet sağlayıcıları gözden kaçırmaktır.
Üçüncü alan, bilgi güvenliği ve veri yönetimi hakkında temel farkındalıktır. Erişim yetkisi, yedekleme, saklama, olay bildirimi, imha ve tedarikçi yönetimi gibi konuları bilmek, teknik ekibe doğru soruları yöneltmeyi sağlar. Pratik olarak bir iş akışı seçin; bilginin kimden alındığını, hangi ekiplerin kullandığını, nerede tutulduğunu ve ne zaman silindiğini ilgili kişilerle doğrulayın. Kurum içi eğitim ve belgelendirme adımlarını araştıranlar KVKK eğitiminin kimler için gerekli olduğunu ayrıca inceleyebilir.
Hukuk ve teknik ekip nasıl birlikte çalışır?
Hukuk ve teknik ekiplerin birlikte çalışması, farklı uzmanlıkları tek bir değerlendirme akışında buluşturur. Hukuk tarafı; verinin hangi amaçla kullanılacağını, ilgili kişiye hangi bilginin sunulacağını ve işletmenin hangi yükümlülükleri değerlendirmesi gerektiğini ele alır. Teknik ekip ise sistemlerin nasıl çalıştığını, erişimlerin nasıl yönetildiğini, kayıtların nasıl tutulduğunu ve saklama ya da silme işlemlerinin teknik olarak nasıl uygulanabildiğini açıklar. KVKK alanında çalışan kişi, bu iki tarafın birbirini anlayabileceği bir çalışma zemini kurar; bir ekibin dilini diğerine aktarırken kendi uzmanlık sınırını da korur.
Örneğin müşteri hizmetleri kayıtlarının tutulduğu bir sistem değiştirilecek olsun. Hukuk ekibi, kayıtların amacı ve ilgili kişiye yapılacak bilgilendirme hakkında değerlendirme yapabilir. Teknik ekip, kayıtların hangi sistemlerde bulunduğunu, kimlerin eriştiğini ve saklama ayarlarının nasıl yönetildiğini anlatabilir. İş birimi ise müşteri temsilcilerinin kayıtları hangi aşamada oluşturduğunu ve hangi amaçla kullandığını açıklar. KVKK uzmanı bu bilgileri bir araya getirir, belirsiz noktaları soru hâline getirir ve kararlaştırılan adımları kayıt altına alır. Süreç sahibinin, teknik sorumlunun ve hukuki değerlendirme yapacak kişinin kim olduğu da baştan belirlenir.
Sık karşılaşılan sorun, ekiplerin birbirinden kopuk ilerlemesidir. Hukuk birimi sistemin teknik sınırlarını bilmeden uygulanması zor bir değişiklik önerebilir; teknik ekip de kişisel veri etkisini değerlendirmeden yeni bir alan veya erişim yetkisi açabilir. Uzmanın işi, bir tarafın görüşünü diğerine aynen aktarmaktan ibaret değildir. Gerekli bağlamı taşır, hangi kararın kim tarafından verilmesi gerektiğini netleştirir ve uygulamanın gerçekten tamamlanıp tamamlanmadığını izler. Sık yapılan hata, toplantıda alınan kararların sorumlusunu ve takip adımını yazılı olarak belirlememektir.
İyi bir ortak çalışma için toplantı öncesinde veri akışını kısa ve anlaşılır biçimde tarif edin. Görüşme sonunda alınan kararları, açık kalan soruları ve takip sorumlusunu yazılı kayda geçirin. Örneğin teknik ekip saklama ayarını değiştirecekse, iş birimi bunun müşteri hizmetleri sürecine etkisini doğrulayabilir; hukuki değerlendirme gereken noktalar hukukçuya aktarılabilir. Teknik ekipten hukuki görüş, hukuk ekibinden altyapı ayrıntısına ilişkin kesin bilgi beklemeyin. Hukuki değerlendirmenin gerektiği noktada avukatınıza veya hukukçunuza danışın.
Eğitim kaynakları nasıl seçilir?
Eğitim seçerken önce hedefinizi belirleyin. Kurum içi uyum görevine hazırlanmak isteyen kişinin süreç haritalama, birimler arası iletişim ve uygulama takibi üzerine çalışması gerekir. Bilgi güvenliği tarafında görev almak isteyen biri erişim yönetimi, kayıt, yedekleme ve saklama süreçlerine daha yakından bakabilir. Hukuk eğitimi alan kişi ise kanun hükümlerini işletme uygulamalarına tercüme etme ve farklı disiplinlerle çalışma becerisini geliştirebilir. Herkes için tek bir öğrenme sırası veya tek bir kaynak türü yoktur. İşe alım sürecini anlamak isteyen biriyle tedarikçi yönetimine odaklanan birinin öğrenme ihtiyaçları aynı olmayabilir.
Kaynağın güvenilirliğini değerlendirirken eğitimin içeriğinin hangi konuları kapsadığını, anlatımın güncel olup olmadığını ve teorik bilgiyi örneklerle destekleyip desteklemediğini inceleyin. Eğitmen veya kurumun unvanına bakmak tek başına yeterli ölçüt değildir. İçerikte kişisel veri kavramları, işleme süreçleri, aydınlatma, veri güvenliği, ilgili kişi başvuruları ve uygulama örnekleri yer alıyor mu? Katılımcıya soru sorma veya öğrendiklerini iş akışına uygulama fırsatı tanınıyor mu? Örneğin bir eğitim, çalışan başvuru formunu değerlendirme alıştırması sunuyorsa, öğrendiğiniz kavramları somut bir sürece bağlamanız kolaylaşabilir.
Kaynakları bir arada kullanmak da yararlıdır. Kanun metni temel başvuru noktası olur; resmî açıklamalar, eğitim materyalleri, uzmanlık yayınları ve işletme içi örnekler konuları farklı yönlerden anlamanızı sağlar. Ancak başka bir işletme için hazırlanmış metni kendi çalıştığınız yere doğrudan kopyalamayın. Sektör, kullanılan sistemler, toplanan bilgiler ve iş süreçleri farklı olabilir. Sık yapılan hata, bir örnek metni işletmenin işleyişini incelemeden hazır çözüm olarak kullanmaktır. Örnekler düşünme biçimini gösterebilir, işletmenin ihtiyacını tek başına belirlemez.
Bir öğrenme dosyası oluşturup her başlık için kavram özeti, uygulama sorusu ve küçük bir çalışma hazırlayın. Örneğin bir başvuru formunda hangi bilgilerin istendiğini, bilgilendirmenin hangi aşamada yapıldığını ve form verilerinin hangi ekiplerce görüldüğünü inceleyin. Yanıtınızı dayandırdığınız kaynağı ve emin olmadığınız noktaları da not edin. Böylece yalnızca eğitim tamamlamaya değil, öğrendiklerinizi açıklamaya ve sınırlarınızı fark etmeye odaklanırsınız. Belge örnekleri üzerinde pratik yapmak için ücretsiz belge sihirbazını kullanabilirsiniz; sitedeki araçlar ücretsizdir, kayıt ve kart bilgisi istemez.
Sertifika ne ifade eder?
Sertifika, belirli bir eğitim veya değerlendirme sürecinin tamamlandığını gösterebilir. Adayın bir konuda eğitim aldığını, öğrenme sürecine zaman ayırdığını veya belirli bir değerlendirmeye katıldığını anlatan destekleyici bir belgedir. Ancak sertifika tek başına kişinin her işletme sürecini analiz edebileceğini, her mevzuat sorusunu yanıtlayabileceğini veya hukuki görüş verebileceğini kanıtlamaz. Belgenin neyi ölçtüğünü, hangi kapsamda verildiğini ve hangi değerlendirmeye dayandığını anlamak gerekir. İşveren de adayın belgesini, uygulamadaki yaklaşımıyla birlikte değerlendirmelidir.
İşe alımda veya görev dağılımında sertifika, adayın öğrenme geçmişi hakkında fikir verebilir; fakat uygulama becerisinin yerine geçmemelidir. Örneğin adaydan çalışan başvurusu sürecini incelemesi ve hangi bilgileri netleştirmesi gerektiğini anlatması istenebilir. Adayın yalnızca belge adlarını sıralaması değil, hangi soruları kime yönelteceğini, eksik bilgiyle nasıl ilerleyeceğini ve kararları nasıl kayıt altına alacağını açıklaması beklenebilir. Böyle bir çalışma, teorik bilgiyle iş yapma becerisi arasındaki farkı görünür kılar. Sertifika sahibi adayın da bilmediği konuları belirtebilmesi, mesleki sorumluluğun önemli bir parçasıdır.
Eğitim sağlayıcısının verdiği sertifikanın, kanunda tanımlanmış bir meslek ruhsatı veya avukatlık yetkisi olduğu sonucuna varmayın. 6698 sayılı Kanun’da “KVKK uzmanı” unvanını kullanmak için her çalışanın edinmesi gereken zorunlu bir sertifika şartı düzenlenmiş gibi konuşmak yanıltıcı olur. Sertifika, mesleki gelişimin bir parçası olarak değerlendirilebilir; kişinin yetki alanını genişletmez ve başka bir meslek grubuna ait yetkiyi kazandırmaz. Sık yapılan hata, sertifika adını hukuki yetki veya her işi yapabilme yeterliliği gibi sunmaktır.
Sertifikayı değerlendirirken eğitim programının içeriğini, değerlendirme yöntemini, belgeyi veren kurumu ve öğrendiklerinizi uygulama fırsatını birlikte inceleyin. Eğitim tamamlandığında kurgusal bir örnek olay seçip süreci açıklamayı deneyin: hangi bilgileri toplarsınız, kimlerle görüşürsünüz, hangi noktaları hukukçuya veya teknik sorumluya taşırsınız? Cevap veremediğiniz yerler yeni öğrenme hedeflerinizi gösterir. Bir işveren de adaydan benzer bir örneği sözlü olarak anlatmasını isteyebilir. Böylece belgeye değil, öğrenilenlerin işe nasıl aktarıldığına odaklanılır.
Portföy nasıl oluşturulur?
Portföy, adayın nasıl düşündüğünü ve iş üretebildiğini gösteren örneklerden oluşur. Gerçek bir müşterinin veya işverenin kişisel verilerini içeren belgeleri izinsiz biçimde paylaşmak portföy oluşturmanın uygun bir yolu değildir. Bunun yerine, kimseyi tanımlamayan kurgusal senaryolar hazırlayın veya çalıştığınız kurumdan paylaşım için gerekli izinleri alın. Amaç, gizli bilgileri sergilemek değil; süreci nasıl incelediğinizi, hangi varsayımları yaptığınızı ve hangi konularda uzman desteği gerektiğini gösterebilmektir. Portföy, yapılan işin kapsamını açıklamalı; işletmenin bütün yükümlülüklerinin yerine getirildiği iddiası taşımamalıdır.
Örnek bir çalışma; başvuru formunun gözden geçirilmesi, birimlerle yapılacak keşif görüşmesi için soru listesi veya veri akışını gösteren basit bir süreç şeması olabilir. Her örneğe kısa bir açıklama ekleyin: senaryonun kapsamı nedir, hangi bilgileri bilmediğiniz için varsayım yapmaktan kaçındınız, hangi ekiplerden görüş almak gerekir ve izlenecek pratik adımlar nelerdir? Örneğin bir çalışan adayı formu için hangi bilgilerin alındığını ve bu bilgilere hangi ekiplerin eriştiğini gösteren kurgusal bir çalışma hazırlayabilirsiniz. Bu açıklama, belgenin tek başına doğru veya eksiksiz olduğu iddiasından daha değerlidir.
Portföyde farklı iş alanlarına ait örnekler bulunabilir: işe alım formu, müşteri başvurusu, çağrı kaydı, tedarikçiyle veri paylaşımı ya da saklama ve imha akışı. Her çalışma aynı düzenle hazırlanmak zorunda değildir; ancak kullanılan terimler tutarlı, anlatım açık ve kaynaklar takip edilebilir olmalıdır. Kurgusal örneklerde gerçek kişi adı, işletme adı, hesap bilgisi veya tanınabilir başka ayrıntılar kullanmayın. Gerçek bir iş deneyimini anlatıyorsanız gizli bilgileri çıkarın ve paylaşım koşullarını kontrol edin. Sık yapılan hata, gerçek bir belgeyi yalnızca adları silerek paylaşmanın yeterli olduğunu düşünmektir; içerikte başka tanımlayıcı bilgiler kalabilir.
Portföyü hazırlarken her örnek için çözmeye çalıştığınız sorunu, açık kalan noktaları ve onay vermesi gereken kişiyi belirtin. Örneğin bir tedarikçi değerlendirmesinde yalnızca soru listesini değil, cevapların kim tarafından doğrulanacağını da yazın. Bu yaklaşım, adayın işi tek başına üstlenmek yerine doğru kişileri sürece kattığını gösterir. Birkaç özenli çalışma, neyi neden yaptığını açıklamayan kalabalık bir dosyadan daha ikna edici olabilir. İşletmelerin hangi alanlara bakabileceğini anlamak için KVKK uyum kontrol listesini başlangıç noktası olarak değerlendirebilirsiniz; listeyi kendi senaryonuza göre uyarlayın, otomatik bir uygunluk kararı gibi sunmayın.
Yetki sınırı nasıl korunur?
Önce, “KVKK uzmanı” unvanının tek başına kanunla düzenlenmiş ve her işletmede bulunması zorunlu bir kadro anlamına gelmediğini bilmek gerekir. 6698 sayılı Kanun’da her işletmenin ayrıca bir “KVKK sorumlusu” atamasını gerektiren genel bir zorunluluk tanımlanmış değildir. Bu nedenle kurum içindeki görev adı, kişinin mesleki yetkisini kendiliğinden belirlemez. Bir işletme, uyum çalışmalarını mevcut çalışanları arasında paylaştırabilir veya dışarıdan destek alabilir; görev tanımının kapsamını ve karar yetkisini kendi işleyişi içinde açıkça belirlemesi gerekir. Örneğin insan kaynakları çalışanı süreç takibini üstlenebilir, hukuki değerlendirme ise ayrı bir uzmanlık alanında ele alınabilir.
VERBİS kapsamındaki bildirimlerde geçen irtibat kişisi görevi, işletmenin kullandığı “KVKK uzmanı” ya da “KVKK sorumlusu” unvanıyla aynı şey değildir. 6698 sayılı Kanun’un m.16 hükmü Veri Sorumluları Sicili’ni (VERBİS) düzenler; bu nedenle sicil işlemlerindeki irtibat rolü ile işletme içi uyum çalışmalarını yürüten kişinin görevi birbirine karıştırılmamalıdır. İrtibat kişisi olmak, tek başına her hukuki kararı verme veya işletmenin tüm yükümlülüklerini üstlenme yetkisi anlamına gelmez. Sık yapılan hata, bir görev adını duyup o kişiye işletmedeki bütün kararların devredildiğini varsaymaktır.
Yetki sınırını korumak için görev tanımınızda neleri yaptığınızı, hangi kararları kimin verdiğini ve hangi konuları hukukçuya taşıyacağınızı açıkça yazın. Süreçleri inceleyebilir, sorular hazırlayabilir, mevcut uygulamayı kayıt altına alabilir ve düzeltici adımları koordine edebilirsiniz. Ancak somut olay hakkında kesin hukuki sonuç ilan etmek, işletme adına hukuki güvence vermek veya avukatlık hizmeti sunduğunuzu düşündürecek ifadeler kullanmak doğru değildir. Hukuki değerlendirme gereken durumda avukatınıza veya hukukçunuza danışın. İşletme örneği olarak, bir müşteri talebi geldiğinde başvurunun kaydını ve ilgili ekiplerle koordinasyonu takip edebilir, yanıtın hukuki içeriğini yetkili kişiye bırakabilirsiniz.
Aynı dikkat, bilgi güvenliği ve teknik alanlarda da geçerlidir. Sistemi görmeden “veriler güvende” demek veya teknik ekipten teyit almadan silme işleminin tamamlandığını ileri sürmek görevin sınırını aşabilir. Bildiğinizle bilmediğinizi ayırın; ihtiyaç duyduğunuz bilgiyi doğru sorumlu kişiden isteyin ve cevabı kaydedin. Bir işletmede rol alıyorsanız yöneticinizle sorumluluk, raporlama ve onay sürecini netleştirin. Dışarıdan destek veriyorsanız iş kapsamını ve kararların işletme tarafından alınacağını açıkça konuşun. Pratik adım olarak, her iş için kimin bilgi sağlayacağını, kimin değerlendireceğini ve kimin uygulamayı onaylayacağını yazılı hâle getirin.
Kurum içi uyum görevi ile dış danışmanlık nasıl karşılaştırılır?
Kurum içi uyum görevi, işletmenin günlük işleyişini yakından tanımayı ve zaman içinde değişen süreçleri takip etmeyi sağlar. Çalışanlarla doğrudan görüşmek, yeni bir form veya sistem devreye alınırken değerlendirmeye katılmak ve alınan kararların uygulanmasını izlemek mümkün olabilir. Örneğin satış ekibinin yeni başvuru sürecinde hangi bilgileri topladığını, muhasebenin bu bilgilere ne zaman ihtiyaç duyduğunu aynı işletme içinde takip edebilirsiniz. Bununla birlikte kişi, işletmenin mevcut öncelikleri, kaynakları ve karar düzeni içinde çalışır. Sık yapılan hata, “KVKK uzmanı” unvanı bulunan pozisyonun görev sınırlarının kendiliğinden açık olduğunu düşünmektir.
Dış danışmanlıkta çalışma, belirlenen hizmet kapsamına ve işletmeyle kurulan ilişkiye bağlıdır. Dışarıdan destek veren kişi farklı işletmelerin süreçlerini görme fırsatı bulabilir; ancak her müşterinin günlük işleyişini kurum çalışanı kadar yakından takip etmesi mümkün olmayabilir. Bilgi toplama, görüşme düzenleme ve çıktıların teslimi planlı bir süreç gerektirir. Örneğin bir işletme dış destek alıyorsa hangi belgeleri ve süreç bilgilerini sağlayacağını, ilgili çalışanların ne zaman görüşmeye katılacağını baştan netleştirmelidir. Sık yapılan hata, yalnızca teslim edilecek belgeyi konuşup işletmenin uygulama sorumluluğunu ve karar sürecini belirsiz bırakmaktır.
Bu çalışma biçimlerinin hiçbiri her kişi veya işletme için tek doğru seçenek değildir. Kurum içi çalışan, işletmeye özgü süreçleri derinlemesine öğrenebilir; dışarıdan çalışan ise farklı yapılara dair deneyim kazanabilir. Her iki durumda da işin kalitesi, sorumlulukların açık olmasına, bilgiye erişime, karar süreçlerinin doğru kişilere taşınmasına ve uygulamanın izlenmesine bağlıdır. İş arayan biri, ilanda yer alan görevleri inceleyip yalnızca unvana göre karar vermemelidir. İşletmenin hangi ekiplerle çalışacağını, kime raporlanacağını ve hukuki değerlendirme gereken konuların nasıl ele alınacağını sorması yararlı olur.
| Karşılaştırma başlığı | Kurum içi uyum görevi | Dış danışmanlık |
|---|---|---|
| Amaç | İşletme süreçlerinde süreklilik ve iç koordinasyon | Belirlenen kapsamda uzmanlık desteği ve değerlendirme |
| Kapsam | Günlük işleyiş ve kurum içi görev dağılımıyla şekillenir | Hizmet kapsamı ve tarafların mutabakatıyla belirlenir |
| Süreç | Birimlerle düzenli temas ve uygulama takibi öne çıkar | Bilgi toplama, değerlendirme ve çıktı sunma adımları öne çıkar |
| Sonuç | İşletme içindeki uygulamaların izlenmesine katkı sağlar | İşletmenin değerlendirmesine sunulan çalışma ve öneriler üretir |
Bir rolü seçerken çalışma biçimini, sorumluluğu ve öğrenme imkânlarını birlikte değerlendirin. Görüşmede “Bu görevin adı nedir?” sorusunun yanına “Hangi birimlerle çalışacağım, hangi kararlar benden bekleniyor, hangi konuları hukukçuya aktaracağım?” sorularını ekleyin. Örneğin kurum içi görevde süreçleri takip etmek için hangi ekiplere erişiminiz olacağını, dış destek işinde ise işletmenin hangi kişileri ve kayıtları sağlayacağını konuşun. İşletme içi araçları incelemek isteyenler KVKK uyum hizmeti ve kaynaklarından yararlanabilir; bunlar görev tanımının veya profesyonel değerlendirmenin yerini tutmaz.
Örnek hesap: uygulama seçiminin değerlendirilmesi nasıl yapılır?
Bir KOBİ’nin müşteri başvurularını takip etmek için yeni bir uygulama seçtiğini düşünelim. Aday olarak KVKK alanında çalışan kişi, uygulamanın fiyatını karşılaştırmakla yetinmeden hangi bilgilerin sisteme gireceğini, bu bilgilere işletme içinde kimlerin erişeceğini, hizmet sağlayıcının hangi işlemleri yapacağını ve saklama ya da silme süreçlerinin nasıl yönetileceğini ilgili ekiplere sorar. Bu çalışma, tek başına bir hukuki uygunluk kararı değildir; uygulamanın işletme ihtiyaçları ve veri akışları bakımından değerlendirilmesine yardımcı olan bir ön incelemedir. Hukuki yorum gereken noktalar hukukçuya, teknik işleyişle ilgili konular sistem sorumlusuna yöneltilir.
Örneğin satış ekibi başvuru formundaki alanları açıklar, bilgi işlem ekibi erişim ve kayıt düzenini anlatır, uygulamayı kullanan çalışanlar ise günlük işleyişte hangi bilgilerin gerekli olduğunu belirtir. Uzman bu cevapları karşılaştırarak eksik kalan noktaları listeler. Bir alanın gerekliliği konusunda karar vermek gerekiyorsa bunu tek başına varsaymaz; ilgili iş biriminden gerekçe alır ve hukuki değerlendirme gereken konuyu hukukçuya taşır. Sık yapılan hata, uygulamanın tanıtım metnindeki özellikleri işletmenin gerçek kullanım biçimiyle aynı kabul etmektir. Sağlayıcının ne sunduğu kadar, işletmenin sistemi nasıl kullanacağı da incelenmelidir.
Pratik bir değerlendirme notunda uygulamanın hangi iş için düşünüldüğünü, hangi birimlerin kullanacağını, hangi bilgilerin sisteme gireceğini ve cevap bekleyen soruları ayrı başlıklarla kaydedin. Örneğin uygulamayı kullanacak personelin erişimi nasıl alacağını, işten ayrıldığında erişimin nasıl kapatılacağını ve başvuru kapanınca kayıtların nasıl ele alınacağını sistem sorumlusuyla netleştirin. Bilgi eksikse kesin sonuç yazmak yerine eksik bilginin kimden beklendiğini belirtin. Bu yaklaşım, değerlendirmeyi takip edilebilir kılar ve kararın yetkili kişilerce verilmesine yardımcı olur.
Bu örnekte çalışma; süreç analizi, iletişim, kayıt tutma ve gerektiğinde konuyu doğru uzmana yönlendirme becerilerini gösterir. Herhangi bir ücret veya tek bir uygunluk sonucu üzerinden hüküm vermek yerine, işletmenin karar vermesi için gerekli bilgileri düzenlemek daha doğru bir roldür. Uygulama seçimi sırasında olası idari yaptırım riskini anlamaya çalışanlar KVKK ceza riski hesaplayıcısını inceleyebilir; hesaplama hukuki değerlendirme yerine geçmez. Sitedeki araçlar ücretsizdir; kayıt ve kart bilgisi istemez.
Senaryo: Bir çalışan envanter, başvuru ve eğitim süreçlerinde deneyim kazanarak görev tanımını belirler.
Uygulanabilir kalemler ve kanundaki bantlar:
Hesap tablosu:
| Adım | İşlem |
|---|
| Toplam alt sınır | 0 kalem toplamı = 0 TL | | Toplam üst sınır | 0 kalem toplamı = 0 TL |
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Kurul kararlarında KVKK uzmanı nasıl olunur?
KVKK alanında çalışma yolu, mesleki öğrenme ve işletme süreçlerini anlama üzerine kuruludur; bu yazıda meslek unvanına ilişkin karar numarası veya karar özeti kullanılmıyor. Görevlerin belirlenmesinde, işletmenin gerçek işleyişi ile kişinin sahip olduğu bilgi ve yetkinlikleri ayrı ayrı değerlendirmek gerekir. Örneğin bir işletme çalışanı işe alım sürecini takip ediyorsa, formdaki bilgilerin neden istendiğini ve bu bilgilere kimlerin eriştiğini ilgili birimlerden öğrenebilir. Bu çalışma, kişinin her hukuki soruya kendi başına yanıt vermesi anlamına gelmez.
Bir karar incelemesi yapılırken önce konunun işletmeyle ne ölçüde ilgili olduğu anlaşılmalıdır. Karar metnindeki olgular, iş akışları ve tarafların rolü başka bir işletmenin koşullarıyla aynı olmayabilir. Bu yüzden bir metinde gördüğünüz sonucu kendi çalışma yerinize doğrudan aktarmak, bağlamı gözden kaçırmaya yol açabilir. Sık yapılan hata, tek bir örneği bütün sektörler ve iş süreçleri için değişmez kural gibi sunmaktır. Uzmanlık rolü, karar içeriğini işletmeye otomatik olarak uygulamak değil; ilgili soruları belirlemek ve doğru değerlendirme kanalını kurmaktır.
Pratik bir yaklaşım olarak, her inceleme için önce işletmenin karşılaştığı soruyu sade biçimde yazın. Ardından hangi süreç, bilgi türü ve ekiplerle ilgili olduğunu belirleyin; mevcut işleyiş hakkında hangi bilgilerin eksik olduğunu not edin. Kurul kararlarını konu başlıklarına göre incelemek isteyenler Kurul kararları indeksine bakabilir. İncelediğiniz içeriği bir işletme hakkında kesin hukuki görüş gibi sunmayın; olgular farklıysa değerlendirme de değişebilir. Hukuki sonuç gerektiren bir durumda avukatınıza veya hukukçunuza danışın.
Bir görev unvanını yasal zorunluluk veya özel bir meslek ruhsatı gibi tanıtmayın; görev kapsamını işletmeyle açıkça belirleyin. Hukuki ve teknik kararları, ilgili uzmanlık alanına sahip kişilere taşıyın; kendi katkınızı süreç analizi, iletişim ve takip olarak doğru tarif edin. Sertifika veya örnek belgeyi tek başına yetkinlik kanıtı saymayın; adayın uygulama örneğini nasıl değerlendirdiğine ve sınırlarını nasıl açıkladığına bakın. Bir işletme örneğinde bu, yeni bir başvuru süreci için önce hangi ekiplerin bilgi sağlayacağını belirlemek, sonra açık kalan noktaları ilgili uzmanlara yönlendirmek anlamına gelir.
Sık sorulan sorular
KVKK uzmanı olmak için hukuk eğitimi şart mı?
Bu unvanı kullanmak için hukuk eğitimi gerektiğini söyleyen genel bir meslek şartı yoktur. Hukuk, bilişim, bilgi güvenliği, insan kaynakları veya süreç yönetimi geçmişi bulunan kişiler farklı güçlü yönlerle alana katkı sunabilir. Örneğin insan kaynakları deneyimi olan biri işe alım ve çalışan süreçlerini iyi tanıyabilir; teknik geçmişi olan biri erişim ve sistem işleyişini daha kolay anlayabilir. Hukuki değerlendirme gereken konularda avukatınıza veya hukukçunuza danışın.
KVKK alanında çalışmak için hangi beceriler öne çıkar?
Kişisel veri süreçlerini anlayabilmek, açık soru sorabilmek ve farklı ekiplerle anlaşılır iletişim kurabilmek önemlidir. Bilgiyi düzenli kaydetmek, eksik noktaları fark etmek ve uygulama adımlarını takip etmek de günlük işin parçasıdır. Örneğin bir form değişikliğinde hangi birimlerin görüş vermesi gerektiğini belirleyip açık kalan noktaları kayda geçirmek faydalı olur. Teknik ya da hukuki bilginizi, uzmanlık alanınız dışındaki konularda kesin hüküm vermek için kullanmayın.
Sertifikası olan kişi KVKK uzmanı sayılır mı?
Sertifika, bir eğitim veya değerlendirme sürecine katılımı gösterebilir; tek başına kişinin uygulama deneyimini ya da hukuki yetkisini kanıtlamaz. Eğitim içeriğini ve kişinin öğrendiklerini gerçekçi örneklere nasıl uyguladığını ayrıca değerlendirmek gerekir. Örneğin adaydan bir veri akışını anlatması ve hangi soruları ilgili ekiplere yönelteceğini açıklaması istenebilir. Sertifikayı mesleki gelişimin bir parçası olarak görün, yetki belgesi olarak sunmayın.
Her işletmede KVKK sorumlusu bulunması zorunlu mu?
6698 sayılı Kanun’da her işletmede “KVKK sorumlusu” adıyla ayrı bir kadro bulunmasını gerektiren genel bir zorunluluk düzenlenmemiştir. İşletmenin uyum çalışmasını hangi görev dağılımıyla yürüteceği, faaliyetlerine ve ihtiyaçlarına göre belirlenebilir. Örneğin bir işletme süreç takibini mevcut çalışanlarına dağıtabilir veya dışarıdan destek alabilir. VERBİS kapsamındaki irtibat kişisi rolünü işletme içindeki unvanlarla karıştırmamak gerekir.
Kurum içi görev mi, dış danışmanlık mı tercih edilmeli?
Tercih, öğrenme hedefinize, çalışma biçiminize ve üstlenmek istediğiniz sorumluluklara bağlıdır. Kurum içi görev günlük süreçlerle yakın çalışmayı, dış danışmanlık ise tanımlı kapsamlar ve farklı işletmelerle çalışma düzenini öne çıkarabilir. Örneğin kurum içindeki bir çalışan yeni süreçleri düzenli takip edebilir; dışarıdan destek veren kişi ise belirlenen kapsamda değerlendirme yapabilir. Her iki seçenekte de görev sınırlarını, raporlama ilişkisini ve hukuki desteğin nasıl alınacağını baştan netleştirin.
