Kişisel veri envanteri nasıl hazırlanır?

Uyum çalışmalarında sıralama çoğu zaman tersine kurulur: önce metinler yazılır, sonra sicile kayıt yapılır, envanter ise "vakit kalırsa" yapılacaklar listesinde bekler. Oysa envanter, diğer her şeyin türetildiği kaynak belgedir. Envantersiz hazırlanan bir aydınlatma metni, şirketin ne yaptığını değil, ne yaptığını sandığını anlatır.

Envanter nedir, kim hazırlar?

Kişisel veri işleme envanteri, veri sorumlusunun iş süreçlerine bağlı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini ayrıntılandırdığı belgedir. Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca, sicile kayıt yükümlülüğü bulunan veri sorumluları envanter hazırlamakla yükümlüdür.

Eşiklerin altında kalan şirketler için de envanter, zorunlu olmasa bile pratik bir gerekliliktir: hangi veriye sahip olduğunu bilmeyen bir şirket, aydınlatma metnini de saklama süresini de doğru kuramaz.

Envanterde neler bulunur?

Envanter, süreç bazında aşağıdaki soruları cevaplar:

• Hangi süreç? (İşe alım, bordrolama, satış, çağrı merkezi, kamera...)
• Veri konusu kişi grubu kim? (Çalışan, aday, müşteri, ziyaretçi, tedarikçi)
• Hangi veri kategorileri? (Kimlik, iletişim, özlük, finans, sağlık...)
• İşleme amacı ne?
• Hukuki sebep ne? (Kanun'un 5. ve 6. maddelerindeki hangi şart)
• Kimlere aktarılıyor? Alıcı grupları ve aktarım amacı.
• Yurtdışına aktarım var mı?
• Azami saklama süresi ne kadar?
• Hangi teknik ve idari tedbirler alınıyor?

Bu başlıkların VERBİS'e bildirilen kalemlerle büyük ölçüde örtüştüğü fark edilecektir; çünkü sicil, envanterin özetidir.

Süreç bazlı çıkarma: adımlar

1. Süreç listesi çıkarın. Departman değil, süreç bazlı düşünün. "İnsan kaynakları" bir süreç değildir; "aday başvurusu alma", "işe giriş işlemleri", "bordrolama", "izin yönetimi", "işten çıkış" ayrı süreçlerdir.

2. Süreç sahipleriyle görüşün. Envanter masabaşında doldurulamaz. Veriyi fiilen işleyen kişi, çoğu zaman kimsenin bilmediği bir Excel dosyasından ya da WhatsApp grubundan söz eder.

3. Kayıt ortamlarını dolaşın. Yalnızca yazılımlar değil; kâğıt dosyalar, arşiv odası, ortak ağ klasörleri, e-posta kutuları, kamera kayıt cihazı ve çalışanların kişisel cihazları da kayıt ortamıdır.

4. Her veri için hukuki sebebi belirleyin. Bu adım en zor olanıdır ve sonuçları en ağır olanıdır: hukuki sebep, hem aydınlatma metninin içeriğini hem açık rıza ihtiyacınızı belirler.

5. Saklama sürelerini belge türü bazında tanımlayın. "Sonsuza kadar" bir süre değildir. Süreler mevzuattaki saklama yükümlülükleri ve zamanaşımı süreleri dikkate alınarak, belge türüne göre ayrı ayrı belirlenir.

6. Çıktıları türetin. Envanter tamamlandığında aydınlatma metinleri, saklama ve imha politikası ile VERBİS kaydı bu belgeden üretilir.

Envanteri işe yaramaz kılan hatalar

1. Şablonu indirip doldurmak. Başka bir şirketin süreç listesi sizin envanteriniz olamaz.
2. Yalnızca dijital sistemlere bakmak. Denetimlerde en sık çıkan sürprizler arşiv odasından ve ortak klasörlerden çıkar.
3. Tek kişilik çalışma. Süreç sahipleri katılmadığında envanter, gerçek uygulamayı değil organizasyon şemasını anlatır.
4. Bir kez hazırlayıp bırakmak. Envanter canlı bir belgedir; yeni bir yazılım, yeni bir tedarikçi veya yeni bir kampanya envanteri değiştirir.
5. Hukuki sebep sütununu "açık rıza" ile doldurmak. Kolaylık gibi görünen bu tercih, sonradan geri alınması güç bir yapıyı sabitler.
6. Envanteri kimseye göstermemek. Envanterin kendisi kamuya açık bir belge değildir; ancak ondan türetilen metinlerin ilgililere ulaşması gerekir.

Bütüncül gözden geçirme

Envanter, uyum yapısının merkezindedir; bu yüzden envanterde yapılan her değişiklik dışa doğru yayılır. Yeni bir işleme faaliyeti envantere eklendiğinde: ilgili aydınlatma metni yeni amacı ve hukuki sebebi anlatmalı, gerekiyorsa açık rıza yapısı kurulmalı, VERBİS kaydı güncellenmeli, saklama ve imha politikasındaki süre tablosuna yeni satır eklenmeli, aktarım varsa veri işleyen sözleşmesi kurulmalı ve tarafın sıfatı doğru belirlenmelidir.

Tersi de geçerlidir: sahada bir uygulama değiştiğinde envanterin güncellenmemesi, tüm zincirin gerçeklikten kopmasına yol açar. Bu çalışmanın hukuki destek alınarak yürütülmesini öneririz; envanterin en zor kısmı olan hukuki sebep tespiti, deneyim gerektiren bir aşamadır ve Genç Partners bu aşamada yol gösterir. Envanterden türeyen belgelerin yayımlanması ve güncel kalması tarafını ise KVKK belge merkezi üstlenir.

Özet

• Envanter, aydınlatma metinlerinin, saklama politikasının ve VERBİS kaydının kaynak belgesidir.
• Sicile kayıt yükümlüsü veri sorumluları için hazırlanması zorunludur.
• Süreç bazlı çalışılır; süreç sahipleriyle görüşülmeden çıkarılamaz.
• Kâğıt arşiv, ortak klasörler ve e-posta kutuları da kayıt ortamıdır.
• Envanter canlı belgedir; değişiklik yönetimine bağlanmalıdır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Envanter çalışmanızın kurgulanması ve hukuki sebeplerin belirlenmesi için hukuki destek alınız.