KVYS başvurusu için kişisel veri envanteri nasıl hazırlanır?

KVYS başvurusunda kişisel veri envanteri, çalışanların veya müşterilerin kimlik bilgilerini topladığınız bir isim listesi değildir. TSE’nin SB-FR-001 formu D-30 bölümünde ISO/IEC 27701 için kişisel veri envanteri ayrıca istenir. Dosyanın amacı hangi süreçte, hangi kişisel verinin, neden ve nasıl işlendiğinin görülebilmesidir. TSE başvuru formu.

Süreçlerden başlayın

İnsan kaynakları, müşteri hizmetleri, satın alma veya ziyaretçi kabulü gibi fiilen yürütülen faaliyetleri belirleyin. Bölüm adıyla yetinmeyin: işe alım başvurusunu değerlendirme ile bordro işlemi aynı faaliyet değildir. Kayıt düzeniniz bu farkı gösterebilsin.

KVKK’nın Mart 2025 rehberi envanteri iş süreçleriyle ilişkilendirir; işleme amacı ve hukuki sebep, veri kategorisi, kişi ve alıcı grupları, saklama süresi, yurt dışı aktarımı ve güvenlik tedbirlerinin açıklanmasını ele alır. KVKK, Tanım ve Envanter İçeriği, basılı sayfalar 11 ve 17. Rehberdeki örnek tabloyu kopyalamadan, işletmenizin gerçek faaliyetlerine uygun özgün kayıt düzeni kurabilirsiniz.

Her kaydın dayanağını ve sorumlusunu belirleyin

Önerilen çalışma yönteminde süreci bilen kişi ile hukuki dayanağı değerlendiren kişi birlikte çalışır. “Gerekebilir” açıklaması, belirli bir amaç veya hukuki sebep yerine geçmez. Saklama süresini de her kayıt için gerekçe incelenmeden tek süre olarak doldurmayın.

Kendi kontrolünüz için faaliyetin sahibi, son değişiklik tarihi ve bağlantılı politika veya sistem kaydı eklenebilir. Bunlar resmî zorunlu sütunlar olarak sunulan bir liste değildir; kayıtların daha sonra kim tarafından güncelleneceğini açıklayan hazırlık önerileridir. Toplantıda söylenen veri akışı ile kullanılan yazılım ve sözleşmelerin anlattığı akışın aynı olduğunu kontrol edin.

VERBİS ile envanteri ayırın

KVKK rehberi, VERBİS’te kategorik bilgi girişini; envanterde ise faaliyetleri daha ayrıntılı inceleyen kurum içi kaydı ayırır. VERBİS ekranına girilen başlıkların kopyası, ayrıntılı envanterin tamamlandığını tek başına göstermez. KVKK, Envanterin VERBİS’ten Farkları, sayfalar 15–16.

Bu yazı, kuruluşunuzun Sicile kayıt istisnasına girip girmediğine karar vermez. TSE programına sunulacak ek ile kanundan doğan kayıt, aydınlatma ve diğer yükümlülükler ayrı dayanaklarla değerlendirilmelidir. Bir sistem belgesini bütün hukuki işlemlerin tamamlandığı şeklinde tanıtmayın.

Dosyayı teslim etmeden kontrol edin

• Gerçekte kullanılan uygulamalar ve fiziksel kayıtlar incelendi mi?
• Amaç, dayanak ve saklama bilgileri gerekçeli mi?
• Alıcılar ve aktarım akışı güncel mi?
• Süreç değişikliklerini izleyecek kişi belli mi?

Başvuru formunun ve ISO/IEC 27701 programının sürümünü ayrıca teyit edin. Burada açıklanan envanter hazırlığı, farklı standard sürümlerinin bütün geçiş koşullarını çözdüğünüz anlamına gelmez. Örnek gerçek kişi verilerini gereksiz yere başvuru dosyasına eklemek yerine istenen bilgi kapsamını netleştirin.

Konuya ilişkin ana rehber: Kişisel Veri Yönetim Sistemi (KVYS) Belgelendirmesi.

Aynı veri neden birden fazla satırda bulunabilir?

KVKK rehberi bir kişisel verinin farklı iş süreçlerinde farklı amaç ve sürelerle işlenebileceğini açıklar. Bu yüzden “telefon numarası zaten bir satırda vardı” diyerek bütün süreçleri birleştirmek envanterin ayrıntısını kaybettirebilir. KVKK envanter rehberi, fiziksel sayfa 23

Özgün bir çalışma örneği olarak müşteri destek talebine dönüş için kullanılan iletişim bilgisi ile ayrı bir tanıtım faaliyeti için kullanılan iletişim bilgisini düşünün. Veri alanının adı aynı olabilir; ancak süreç, amaç, değerlendirilecek hukuki dayanak, erişen ekip ve saklama düzeni ayrı incelenir. Bu örnek herhangi bir pazarlama faaliyetine izin veya belirli bir hukuki sebep atamaz.

Örnek tablodaki süreyi kendi işletmenize kopyalamayın

Rehber önce uygulanabilir düzenlemelerin, böyle bir süre yoksa işleme amacının gerektirdiği sürenin değerlendirilmesini anlatır. Örnek envanter ise farklı faaliyetlere ait örnek süreler içerir. Bu süreler bütün işletmelerin aynı veriyi aynı süre tutması için genel kural değildir. KVKK rehberi, fiziksel sayfalar 28–30 ve örnek açıklaması sayfa 35

VERBİS için bir veri kategorisinin en uzun süresinin kategorik olarak bildirilmesi de o kategorideki her kaydın en uzun süre saklanmasına izin vermez. Envanterde her sürecin süresini ve dayanağını koruyun. Aynı veri farklı amaçla tutuluyorsa bu farkın kaybolmamasına dikkat edin. KVKK rehberi, fiziksel sayfalar 28–30

Tedbir ve aktarım alanlarını nasıl kontrol edebilirsiniz?

Rehber alıcı gruplarını, yurt dışına aktarılan verileri ve teknik/idari güvenlik tedbirlerini ayrı bilgiler olarak ele alır. Sadece kullanılan yazılımın adını yazmak bu alanların tamamını açıklamaz. Hangi işlemde hangi alıcının bulunduğunu ve gerçekten uygulanan tedbirleri süreci bilen ekiplerle karşılaştırın. KVKK rehberi, fiziksel sayfalar 19–20 ve 31–33

Hazırlık önerisi olarak uygulanmış tedbirle planlanan tedbiri farklı kaydedin. Henüz alınmamış yazılımı veya verilmemiş eğitimi tamamlandı diye yazmayın. Kurum içi envanteri kamuya açık bir çalışan/müşteri listesine dönüştürmeyin. Rehber envanteri kurum bünyesinde tutulan, gerektiğinde Kurula sunulabilen ayrıntılı kayıt olarak açıklar. KVKK rehberi, fiziksel sayfalar 17–18

TSE dosyasıyla ve değişikliklerle bağlantısı

ISO/IEC 27701 için kişisel veri envanteri, bilişime özel SB-BTYS-FR-001 formunun C-1 bölümünde de yer alır. Formun genel sistem dokümanlarıyla birlikte hangi kapsamı tarif ettiğini kontrol edin. Envanterin bulunması, bütün program şartlarının karşılandığı veya herhangi bir standard baskısına otomatik geçildiği anlamına gelmez. Bilişim başvuru formu, C-1

Yeni bir uygulama, yeni alıcı veya iş süreci değişikliği olduğunda etkilenen kayıtları bulabileceğiniz bir sorumlu ve değişiklik düzeni oluşturabilirsiniz. Bu yöntem, hazırlık önerisidir; rehberden çıkarılmış sabit aylık güncelleme zorunluluğu değildir. Kaydın güncel olması ile her satırın sadece yeni tarih taşıması farklıdır: amaç, taraf ve gerçek uygulamadaki değişim içeriğe de yansımalıdır.