KVKK Otomat

KVKK rehberi: KOBİ'ler için 5 aşamalı öğrenme yolu

Hazırlayan: Muhammet Çay · Son güncelleme 2026-09-02

Kısa cevap: KVKK'yı doğru sırayla öğrenmenin yolu beş aşamadır: önce kapsamı anlayın, sonra veri envanterinizi çıkarın, envanterden aydınlatma / açık rıza / saklama-imha belgelerini üretin, yükümlüyseniz VERBİS kaydını yapın ve son olarak ihlal, başvuru ve periyodik imha için yıllık bir takvim kurun. Bu sayfa 16 makaleyi, 5 şablonu, sözlüğü, uyum testini ve 313 Kurul kararını bu sıraya dizer.

Uyarı: Bu rehber ve bağlı araçlar dokümantasyon amaçlıdır, hukuki danışmanlık değildir. Belgeleri hazırlamak yükümlülüklerinizi ortadan kaldırmaz; somut durumunuz için bir hukukçuya danışın.

Neden bu sıra?

Blog listesi kronolojiktir; bu sayfa konu sırasıdır. İnternetteki KVKK içeriğinin çoğu 3. aşamadan (belge indir, imzalat) başlar ve 2. aşamayı (envanter) hiç anlatmaz. Oysa incelediğimiz Kurul kararlarında ceza gerekçesi çoğunlukla belgenin yokluğu değil, belgenin gerçek süreçle uyuşmaması ya da güvenlik tedbirinin alınmamasıdır. Bu yüzden yol envanterden geçer ve 5. aşamada bitmez, döner.

1. Anla

Bu kanun benim işletmemi gerçekten bağlıyor mu, neyi düzenliyor?

İlk aşamada amaç belge üretmek değil, doğru soruları sormayı öğrenmektir: hangi verim kişisel veri, ben veri sorumlusu muyum, yükümlülüğüm VERBİS'e kadar uzanıyor mu? Bu aşamayı atlayan işletmeler internetten indirilmiş bir metni imzalatıp 'uyumlu olduk' sanır; Kurul kararlarında en sık görülen hata budur.

Ne okuyacaksınız, neden

Bu aşamanın çıktısı: Bir cümlelik cevap: 'Şirketimiz veri sorumlusudur; VERBİS yükümlüsü (değil)dir; özel nitelikli veri işliyor(uz/muyoruz).'

Kontrol noktası: Uyum testinin ilk 5 sorusunu cevaplayabiliyorsanız 2. aşamaya geçin.

2. Envanter

Hangi süreçte, hangi veriyi, neden, ne kadar süre tutuyorum ve kime veriyorum?

Envanter tüm belgelerin kaynağıdır. Aydınlatma metni envanterdeki amaçlardan, saklama politikası envanterdeki sürelerden, VERBİS kaydı envanterdeki kategorilerden üretilir. Tersini yapan (önce metin, sonra envanter) işletmelerde metin gerçek süreçle uyuşmaz ve Kurul bunu 'yanıltıcı aydınlatma' sayar.

Ne okuyacaksınız, neden

Bu aşamanın çıktısı: Her satırında süreç · veri kategorisi · amaç · hukuki sebep · saklama süresi · alıcı bulunan bir envanter tablosu.

Kontrol noktası: Envanterde 'hukuki sebep' sütunu boş satır kalmadıysa 3. aşamaya geçin. Boş satır, o verinin işlenmemesi gerektiğinin işaretidir.

3. Belgeler

Kime, neyi, hangi belgeyle bildirmem ve hangi durumda onay almam gerekiyor?

Bu aşamada üç belge türü ayrışır: her işleme için zorunlu olan aydınlatma metinleri; yalnız rızaya dayanan işlemeler için açık rıza metinleri; VERBİS yükümlüleri için saklama ve imha politikası. Aydınlatma ile açık rızayı tek belgede birleştirmek, Kurul'un en çok eleştirdiği hatadır.

Ne okuyacaksınız, neden

Bu aşamanın çıktısı: Her veri toplama kanalı için aydınlatma metni; yalnız gereken yerlerde ayrı açık rıza metni; VERBİS yükümlüsüyseniz saklama ve imha politikası.

Kontrol noktası: Her aydınlatma metnindeki amaç ve alıcı, envanterdeki satırla birebir eşleşiyorsa 4. aşamaya geçin.

4. VERBİS ve sektör

Sicile kayıt gerekiyorsa nasıl yapılır; sektörüme özgü hangi kurallar var?

VERBİS kaydı yalnız yükümlüler için zorunludur ama kayıt formu, envanterinizin doğruluğunu sınayan iyi bir testtir. Aynı aşamada sektörünüze özgü yükümlülükleri (otelde kimlik bildirimi, sağlıkta sır saklama, e-ticarette ETBİS ve çerezler) ele alın.

Ne okuyacaksınız, neden

Bu aşamanın çıktısı: Tamamlanmış VERBİS kaydı (yükümlüyseniz) ve sektörünüze özgü ek belgeler.

Kontrol noktası: VERBİS'te bildirdiğiniz her veri kategorisi envanterde ve en az bir aydınlatma metninde geçiyorsa 5. aşamaya geçin.

5. Sürdür

Belgeler bitti; ihlal olursa, başvuru gelirse, süreç değişirse ne yapacağım?

Kurul cezalarının büyük bölümü belge eksikliğinden değil, güvenlik tedbiri ve başvuru yönetimi eksikliğinden gelir. Bu aşama bir kerelik iş değil, yıllık takvimdir: periyodik imha, yıllık eğitim, yetki gözden geçirme, başvuru kayıt defteri ve 72 saat ihlal planı.

Ne okuyacaksınız, neden

Bu aşamanın çıktısı: Yıllık KVKK takvimi: periyodik imha tarihleri, eğitim, yetki gözden geçirme, başvuru kanalı ve ihlal müdahale planı.

Kontrol noktası: Bir çalışanınız 'müşteri verisini silmemi istedi, ne yapayım?' dediğinde yazılı bir cevabınız varsa döngü tamamlanmıştır.

Tek sayfada tüm kaynaklar