KVKK İdari Uyum Danışmanlığı

Kişisel verilerin korunması yalnızca aydınlatma metni veya birkaç politika hazırlanmasından ibaret değildir. Kurum ve işletmelerin hangi kişisel verileri, hangi iş süreçlerinde, hangi amaçlarla ve hangi hukuki sebeplere dayanarak işlediğinin; bu verilerin kimlerle paylaşıldığının, ne kadar süre saklandığının ve korunması amacıyla hangi idari ve teknik tedbirlerin uygulandığının bütüncül olarak değerlendirilmesi gerekir.

KVKK İdari Uyum Danışmanlığı kapsamında kurumun mevcut kişisel veri işleme faaliyetleri incelenerek süreçlerin haritalandırılması, gerekli dokümantasyonun oluşturulması veya güncellenmesi, görev ve sorumlulukların belirlenmesi ve tespit edilen uyum eksikliklerinin giderilmesine yönelik uygulanabilir bir çalışma planı oluşturulması amaçlanır. Çalışmalar 6698 sayılı Kişisel Verilerin Korunması Kanunu, ilgili ikincil mevzuat ve Kişisel Verileri Koruma Kurulunun güncel karar ve rehberleri dikkate alınarak yürütülür.

KVKK İdari Uyum Kapsamında Hangi Çalışmalar Yapılabilir?

KVKK idari uyum çalışmaları, kurumun kişisel veri işleme faaliyetlerinin yalnızca hazırlanan belgeler üzerinden değil, fiilen yürütülen iş süreçleriyle birlikte değerlendirilmesini gerektirir. Bu kapsamda insan kaynakları, müşteri ilişkileri, tedarikçi süreçleri, fiziksel güvenlik, bilgi teknolojileri, pazarlama, internet sitesi, arşivleme ve diğer ilgili faaliyetlerde kişisel verilerin nasıl elde edildiği, kullanıldığı, aktarıldığı, saklandığı ve imha edildiği değerlendirilerek mevcut durum ile uygulanması gereken idari ve teknik kontroller arasında uyum sağlanması amaçlanır.

• KVKK mevcut durum analizinin yapılması: Kurumun mevcut kişisel veri işleme faaliyetlerinin, dokümantasyonunun, sistemlerinin ve uygulamalarının genel olarak değerlendirilmesi.
• Kişisel veri işleme süreçlerinin haritalandırılması: İnsan kaynakları, müşteri, tedarikçi, ziyaretçi, muhasebe, pazarlama, bilgi işlem, güvenlik ve diğer birimlerde gerçekleştirilen veri işleme faaliyetlerinin süreç bazında belirlenmesi.
• Kişisel veri kaynaklarının belirlenmesi: Verilerin ilgili kişiden, çalışanlardan, müşterilerden, tedarikçilerden, internet sitesinden, kamera sistemlerinden, üçüncü kişilerden veya diğer kaynaklardan hangi yöntemlerle elde edildiğinin ortaya konulması.
• Veri konusu kişi gruplarının belirlenmesi: Çalışan, çalışan adayı, müşteri, potansiyel müşteri, ziyaretçi, tedarikçi çalışanı, yetkili, hissedar ve diğer ilgili kişi gruplarının belirlenmesi.
• Kişisel veri kategorilerinin belirlenmesi: Kimlik, iletişim, özlük, finans, müşteri işlem, işlem güvenliği, fiziksel mekân güvenliği ve mevcut diğer veri kategorilerinin süreçlerle ilişkilendirilmesi.
• Özel nitelikli kişisel verilerin ayrıca değerlendirilmesi: Özel nitelikli verilerin hangi süreçlerde işlendiğinin, işleme şartlarının, erişim yetkilerinin ve uygulanması gereken ek güvenlik tedbirlerinin belirlenmesi. Kanunun 6’ncı maddesindeki işleme şartları 2024 yılında değiştiğinden bu süreçlerin güncel düzenlemeye göre değerlendirilmesi gerekir.
• Kişisel veri işleme amaçlarının belirlenmesi: Her veri işleme faaliyetinin hangi açık ve meşru amaçla gerçekleştirildiğinin süreç bazında belirlenmesi.
• Veri işleme şartlarının değerlendirilmesi: Her faaliyetin Kanunda öngörülen hangi kişisel veri işleme şartına dayandığının belirlenmesine yönelik uyum çalışması yapılması.
• Açık rıza gerektiren ve gerektirmeyen süreçlerin ayrılması: Başka bir geçerli işleme şartı bulunan faaliyetlerde gereksiz açık rıza kullanımından kaçınılması, açık rızaya dayanılması gereken süreçlerin ise ayrıca belirlenmesi.
• Açık rıza süreçlerinin değerlendirilmesi: Açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmesi şartlarının mevcut uygulamalar bakımından değerlendirilmesi.
• Aydınlatma yükümlülüğünün değerlendirilmesi: Kişisel verilerin elde edildiği süreçlerde ilgili kişilere gerekli bilgilerin uygun zamanda ve yöntemle sunulup sunulmadığının incelenmesi.
• Aydınlatma metinlerinin hazırlanması veya güncellenmesi: Çalışan, çalışan adayı, müşteri, ziyaretçi, tedarikçi, internet sitesi ve diğer veri işleme süreçlerinin fiilî işleyişiyle uyumlu metinlerin oluşturulmasına destek verilmesi.
• Aydınlatma ve açık rıza süreçlerinin birbirinden ayrılması: Aydınlatmanın açık rıza şartına dönüştürülmemesi ve iki mekanizmanın gerektiğinde ayrı olarak yürütülmesi.
• Kişisel Veri İşleme Envanterinin hazırlanması veya güncellenmesi: İş süreçlerinin veri kategorileri, kişi grupları, amaç, hukuki dayanak, alıcı grubu, saklama süreleri, yurt dışı aktarımı ve güvenlik tedbirleriyle ilişkilendirilmesi.
• Envanter ile fiilî süreçlerin karşılaştırılması: Dokümanlarda belirtilen veri işleme faaliyetleri ile kurumun gerçekte yaptığı işlemler arasında farklılık bulunup bulunmadığının kontrol edilmesi.
• Veri minimizasyonunun değerlendirilmesi: İşleme amacı bakımından gerekli olmayan veya ölçüsüz kişisel verilerin toplanıp toplanmadığının incelenmesi.
• Form ve veri toplama alanlarının gözden geçirilmesi: Başvuru formu, sözleşme, personel belgesi, internet formu ve diğer veri toplama noktalarındaki gereksiz alanların belirlenmesi.
• Verilerin doğruluğu ve güncelliğinin sağlanmasına yönelik süreçlerin değerlendirilmesi: Gerektiğinde hatalı veya güncel olmayan verilerin düzeltilmesini sağlayacak mekanizmaların oluşturulmasına destek verilmesi.
• Saklama sürelerinin belirlenmesi: Kişisel verilerin ilgili mevzuat ve işleme amacı dikkate alınarak ne kadar süre muhafaza edilmesi gerektiğinin süreç bazında değerlendirilmesi.
• Kişisel Veri Saklama ve İmha Politikasının hazırlanması veya güncellenmesi: Saklama süreleri, sorumluluklar, periyodik imha ve silme, yok etme veya anonim hale getirme yöntemlerinin düzenlenmesi.
• Periyodik imha süreçlerinin değerlendirilmesi: Saklama süresi veya işleme şartı sona eren verilerin belirlenen yöntemlerle gerçekten imha edilip edilmediğinin kontrol edilmesi.
• Fiziksel arşivlerin değerlendirilmesi: Personel dosyaları, sözleşmeler, başvuru formları ve diğer basılı kayıtların erişim, saklama ve imha koşullarının incelenmesi.
• Dijital arşivlerin değerlendirilmesi: Sunucu, NAS, bilgisayar, paylaşımlı klasör, bulut depolama ve diğer dijital alanlarda tutulan kişisel verilerin erişim ve saklama yapısının değerlendirilmesi.
• Erişim yetkilerinin değerlendirilmesi: Kullanıcıların yalnızca görevleri için gerekli kişisel verilere erişebilmesine yönelik rol ve yetkilendirme yapısının incelenmesi.
• Yetki matrisinin hazırlanması veya güncellenmesi: Hangi kullanıcı veya birimin hangi kişisel veri kategorilerine erişebildiğinin sistematik biçimde belirlenmesi.
• İşe giriş, görev değişikliği ve işten ayrılma süreçlerinin değerlendirilmesi: Hesapların, erişim haklarının ve kişisel veri yetkilerinin personel hareketleriyle birlikte güncellenmesini sağlayan mekanizmaların incelenmesi.
• Çalışan kişisel verilerinin değerlendirilmesi: Özlük, bordro, izin, performans, eğitim, iletişim ve diğer çalışan verilerinin amaç, kapsam, erişim ve saklama açısından değerlendirilmesi.
• Çalışan izleme faaliyetlerinin değerlendirilmesi: E-posta, internet erişimi, sistem logları, konum, araç takibi veya benzeri çalışan izleme yöntemlerinin amaç, gereklilik, ölçülülük ve aydınlatma açısından incelenmesi.
• Çalışan adaylarına ait verilerin değerlendirilmesi: CV, başvuru, mülakat notları ve diğer işe alım bilgilerinin toplanma, kullanım, erişim, aktarım ve imha süreçlerinin incelenmesi.
• Biyometrik veri kullanılan süreçlerin değerlendirilmesi: Parmak izi, yüz tanıma veya benzeri biyometrik sistemlerin gerçekten gerekli olup olmadığı, alternatif yöntemlerin bulunup bulunmadığı ve özel nitelikli veri kuralları açısından değerlendirilmesi.
• Müşteri ve potansiyel müşteri verilerinin değerlendirilmesi: Satış, hizmet, teklif, iletişim, destek ve müşteri ilişkileri süreçlerinde işlenen kişisel verilerin incelenmesi.
• Reklam ve pazarlama amaçlı veri kullanımının değerlendirilmesi: İletişim bilgilerinin kaynağı, pazarlama amacıyla kullanılmasının dayanağı, aydınlatma ve gerekli izin mekanizmalarının değerlendirilmesi. Özellikle üçüncü kişilerden referans veya tavsiye yoluyla elde edilen telefon/e-posta bilgilerinin pazarlama amacıyla kullanılmasına ilişkin Kurum 21 Temmuz 2026’da ayrıca uyarıda bulunmuştur.
• Tedarikçi ve iş ortağı süreçlerinin değerlendirilmesi: Tedarikçi çalışanları, yetkilileri ve diğer iş bağlantılarına ait kişisel verilerin işlenme ve paylaşım süreçlerinin incelenmesi.
• Veri sorumlusu ve veri işleyen rollerinin değerlendirilmesi: Dış hizmet sağlayıcıların kişisel veri işleme faaliyetindeki rollerinin, erişim kapsamlarının ve sorumluluklarının belirlenmesi.
• Dış hizmet sağlayıcıların kişisel veri güvenliği açısından değerlendirilmesi: Muhasebe, yazılım, hosting, bulut, insan kaynakları, çağrı merkezi veya benzeri hizmet sağlayıcıların kişisel verilere erişimlerinin ve güvenlik tedbirlerinin değerlendirilmesi.
• Tedarikçi sözleşmelerindeki kişisel veri süreçlerine destek verilmesi: Veri erişimi, güvenlik, gizlilik, ihlal bildirimi ve hizmet sona erdiğinde verinin yönetilmesi gibi konuların tanımlanmasına yönelik idari süreç desteği sağlanması; hukuki sözleşme hükümlerinin gerektiğinde yetkili hukuk uzmanıyla birlikte değerlendirilmesi.
• Kişisel veri aktarımlarının haritalandırılması: Kurum içi birimler, grup şirketleri, tedarikçiler, kamu kurumları ve diğer alıcı gruplarına yapılan aktarımların belirlenmesi.
• Yurt içi veri aktarımlarının değerlendirilmesi: Aktarım amacı, veri kategorisi, alıcı grubu ve ilgili işleme şartlarının süreç bazında değerlendirilmesi.
• Yurt dışına kişisel veri aktarımlarının belirlenmesi: Bulut, SaaS, e-posta, dosya paylaşımı, grup şirketleri ve yabancı hizmet sağlayıcılar nedeniyle gerçekleşebilecek aktarım süreçlerinin tespit edilmesi.
• Yurt dışına aktarım mekanizmasının güncel mevzuata göre değerlendirilmesi: 2024 yılında değişen Kanunun 9’uncu maddesi kapsamında yeterlilik kararı, uygun güvenceler ve Kanunda düzenlenen diğer aktarım şartlarının mevcut süreç bakımından değerlendirilmesi.
• Standart sözleşme süreçlerine idari destek verilmesi: Uygun standart sözleşme tipinin, taraf rollerinin, veri kategorilerinin ve güvenlik tedbirlerinin belirlenmesine yönelik süreç desteği sağlanması. Standart sözleşmenin imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerektiği de süreç takibine dahil edilir.
• Yurt dışı aktarım envanterinin güncel tutulması: Kullanılan yabancı bulut, SaaS, e-posta ve diğer hizmetlerin değişmesi halinde aktarım yapısının yeniden değerlendirilmesi.
• İnternet sitesi veri işleme süreçlerinin değerlendirilmesi: İletişim, üyelik, teklif, başvuru, hesap açma ve benzeri çevrimiçi veri işleme faaliyetlerinin incelenmesi.
• Çerez ve benzeri takip teknolojilerinin değerlendirilmesi: Kullanılan çerezlerin amaç, süre, sağlayıcı ve gereklilik durumlarına göre sınıflandırılması ve ilgili bilgilendirme/tercih mekanizmalarının değerlendirilmesi.
• Çerez yönetim mekanizmasının değerlendirilmesi: Kullanıcının gerekli olduğu durumlarda tercihini verebilmesi, reddedebilmesi veya değiştirebilmesi ile teknik uygulamanın yayımlanan çerez metinleriyle uyumunun kontrol edilmesi.
• Kamera/CCTV süreçlerinin değerlendirilmesi: Kamera kullanım amacı, kamera konumu ve görüş açısı, ölçülülük, kayıt süresi, erişim yetkisi, aydınlatma ve kayıt güvenliğinin incelenmesi. Kurumun Haziran 2026 duyurusu, özellikle çalışanların genel performansını izlemek gibi soyut amaçlarla ölçüsüz kamera kullanımından kaçınılması ve özel alanlarda kamera kullanılmaması gerektiğini vurgulamaktadır.
• Kamera kayıtlarında ses kaydının ayrıca değerlendirilmesi: Ses kaydının görüntü kaydına göre daha müdahaleci olduğu dikkate alınarak gereklilik ve ölçülülük yönünden ayrıca incelenmesi.
• Ziyaretçi kayıtlarının değerlendirilmesi: Giriş-çıkış, ziyaretçi kartı, form, kimlik bilgisi ve kamera süreçlerinde işlenen verilerin gereklilik ve saklama açısından incelenmesi.
• Araç, plaka ve konum verilerinin değerlendirilmesi: Otopark, filo, araç takip veya güvenlik süreçlerinde tutulan plaka ve konum bilgilerinin işleme amacı, erişim ve saklama bakımından değerlendirilmesi.
• Çağrı ve ses kayıtlarının değerlendirilmesi: Telefon görüşmeleri, çağrı merkezi ve benzeri iletişim kanallarında yapılan kayıtların amaç, aydınlatma, erişim ve saklama açısından incelenmesi.
• İlgili kişi başvuru mekanizmasının oluşturulması veya güncellenmesi: İlgili kişilerin Kanunun 11’inci maddesindeki haklarına ilişkin taleplerini kuruma iletebilmesini sağlayan yöntemlerin oluşturulması.
• İlgili kişi başvurularının kurum içi iş akışının oluşturulması: Başvurunun alınması, kimlik doğrulaması, ilgili birimlere yönlendirilmesi, cevap hazırlanması ve kayıt altına alınmasına ilişkin sorumlulukların belirlenmesi.
• Başvuru sürelerinin izlenmesi: İlgili kişi taleplerinin Kanunda öngörülen en geç 30 günlük süre içerisinde sonuçlandırılmasına yönelik takip mekanizmasının oluşturulması.
• Düzeltme, silme ve yok etme taleplerinin diğer alıcılarla ilişkilendirilmesi: Gerekli durumlarda yapılan işlemlerin verinin aktarıldığı taraflara bildirilmesine yönelik kurum içi süreçlerin değerlendirilmesi.
• Münhasıran otomatik sistemlerle yapılan analizlerin değerlendirilmesi: Profil oluşturma veya otomatik değerlendirme sonucunda ilgili kişi aleyhine sonuç doğurabilecek süreçlerin tespit edilmesi ve Kanunun 11’inci maddesindeki ilgili kişi hakkı bakımından değerlendirilmesi.
• Yapay zekâ kullanılan iş süreçlerinin kişisel veri açısından değerlendirilmesi: Üretken yapay zekâ ve diğer yapay zekâ araçlarına kişisel veri aktarımı, veri minimizasyonu, yetkilendirme, sağlayıcı seçimi, yurt dışı aktarımı ve çalışan kullanım kurallarının değerlendirilmesi. Kurum bu alan için ayrıca üretken yapay zekâ rehberi yayımlamıştır.
• Kişisel veri ihlali müdahale prosedürünün hazırlanması: Yetkisiz erişim, yanlış kişiye gönderim, veri sızıntısı, cihaz kaybı, zararlı yazılım veya diğer ihlal durumlarında izlenecek sürecin oluşturulması.
• Veri ihlalinde görev ve sorumlulukların belirlenmesi: Bilgi işlem, yönetim, KVKK sorumluları ve diğer ilgili birimler arasında kimlerin hangi işlemi gerçekleştireceğinin önceden belirlenmesi.
• Veri ihlallerinin kayıt altına alınması: İhlalin tespit zamanı, kaynağı, kapsamı, etkilenen kişi ve veri grupları, alınan tedbirler ve gerçekleştirilen işlemlerin belgelenmesi.
• Veri ihlali bildirim süresinin takip edilmesi: Kurulun mevcut uygulamasına göre veri sorumlusunun ihlali öğrendiği tarihten itibaren Kurula gecikmeksizin ve en geç 72 saat içerisinde bildirim yapılmasına yönelik süreç oluşturulması; etkilenen ilgili kişilere de makul olan en kısa sürede bildirim yapılması.
• Kişisel veri güvenliği risk değerlendirmesinin yapılması: İşlenen verilerin niteliği, erişim kapsamı, sistemler, kullanıcılar ve mevcut tehditler dikkate alınarak idari ve teknik risklerin değerlendirilmesi.
• İdari tedbirlerin değerlendirilmesi: Politika, prosedür, görev tanımı, yetkilendirme, çalışan eğitimi, gizlilik, tedarikçi yönetimi ve denetim süreçlerinin incelenmesi.
• Teknik tedbirlerin KVKK süreçleriyle ilişkilendirilmesi: Erişim yönetimi, loglama, yedekleme, şifreleme, güncelleme, ağ güvenliği, zararlı yazılım koruması ve benzeri teknik kontrollerin ilgili teknik uzmanlarla koordineli olarak değerlendirilmesi.
• Loglama ve erişim kayıtlarının değerlendirilmesi: Kişisel verilere erişimin gerektiğinde izlenebilmesine yönelik uygun kayıt mekanizmalarının bulunup bulunmadığının incelenmesi.
• Politika ve prosedür setinin hazırlanması veya güncellenmesi: Kurumun ihtiyaçlarına göre veri koruma, erişim, saklama-imha, ilgili kişi başvurusu, ihlal, gizlilik ve diğer iç süreçlerin dokümante edilmesine destek verilmesi.
• Görev ve sorumlulukların belirlenmesi: KVKK uyum çalışmalarının kurum içinde sahiplenilmesini sağlayacak sorumlu kişiler, birimler ve koordinasyon yapısının belirlenmesi.
• Çalışan gizlilik yükümlülüklerinin değerlendirilmesi: Personelin eriştiği kişisel verilerin görev sırasında ve görev sona erdikten sonra korunmasına yönelik kuralların oluşturulması.
• KVKK farkındalık eğitimlerinin planlanması: Çalışanların görev ve erişim seviyelerine göre kişisel veri güvenliği, veri paylaşımı, ihlal bildirimi, phishing ve ilgili kişi hakları gibi konularda eğitim ihtiyaçlarının belirlenmesi.
• Yeni çalışan oryantasyonuna KVKK süreçlerinin dahil edilmesi: Gizlilik, veri güvenliği, paylaşım kuralları ve olay bildirimi gibi yükümlülüklerin işe giriş sürecinde personele aktarılması.
• Periyodik iç kontrol ve uyum denetimlerinin planlanması: Hazırlanan politika, prosedür ve yetkilendirmelerin fiilen uygulanıp uygulanmadığının belirli aralıklarla kontrol edilmesi.
• Uyumsuzluk ve düzeltici faaliyetlerin takibi: Tespit edilen eksiklikler için sorumlu birim, öncelik, aksiyon ve hedef tarih belirlenerek takip mekanizması oluşturulması.
• Yeni sistem ve projelerin veri koruma açısından ön değerlendirmesi: Yeni yazılım, mobil uygulama, kamera, yapay zekâ, bulut hizmeti veya diğer projelerde kişisel veri işleme etkilerinin proje başlangıcında değerlendirilmesi.
• Yüksek risk taşıyan süreçlerde veri koruma etki/risk değerlendirmesine destek verilmesi: Büyük ölçekli izleme, biyometrik veri, yapay zekâ veya benzeri yüksek riskli veri işleme faaliyetlerinde risklerin sistematik biçimde analiz edilmesi; bunun her kurum için Kanunda genel bir “DPIA zorunluluğu” olduğu şeklinde sunulmaması.
• Privacy by Design / Privacy by Default yaklaşımının uygulanmasına destek verilmesi: Yeni sistemlerde gereksiz veri toplamama, yetkileri başlangıçtan sınırlandırma ve daha koruyucu varsayılan ayarlar kullanma yaklaşımının geliştirilmesi.
• VERBİS yükümlülüğünün değerlendirilmesi: Veri sorumlusunun güncel Kurul kararları ve istisna kriterleri bakımından Sicile kayıt yükümlülüğünün bulunup bulunmadığının değerlendirilmesi.
• VERBİS istisnalarının güncel kriterlere göre kontrol edilmesi: Kurulun 2025 kararlarıyla istisna kriterlerinde değişiklik yapıldığı için eski çalışan sayısı/bilanço bilgilerine dayanılmaması; güncel durumun her veri sorumlusu için ayrıca kontrol edilmesi.
• VERBİS ile envanter bilgilerinin uyumunun değerlendirilmesi: Sicile kayıt yükümlülüğü bulunan veri sorumlularında VERBİS bildirimleri ile kişisel veri işleme süreçleri arasında tutarlılığın sağlanması.
• VERBİS kayıtlarının güncelliğinin izlenmesi: Veri işleme faaliyetlerinde veya bildirime esas bilgilerde değişiklik olduğunda gerekli güncellemelerin yapılmasına yönelik süreç oluşturulması.
• VERBİS istisnasının KVKK’dan genel muafiyet olarak yorumlanmaması: Sicile kayıt zorunluluğu bulunmaması halinde dahi veri işleme ilkeleri, aydınlatma, veri güvenliği ve ilgili diğer yükümlülüklerin devam ettiğinin gözetilmesi.
• KVKK dokümantasyonunun düzenli olarak güncellenmesi: Envanter, aydınlatma metinleri, politika ve prosedürlerin işletmedeki fiilî değişikliklere göre güncel tutulmasına yönelik yöntem oluşturulması.
• Mevzuat, Kurul kararları ve rehberlerin takip edilmesi: İşletmenin faaliyetlerini etkileyen yeni düzenleme, ilke kararı, rehber veya Kurul duyurularının mevcut uyum sistemine yansıtılmasına yönelik takip mekanizması oluşturulması.
• KVKK uyum yol haritasının hazırlanması: Tespit edilen eksikliklerin risk, önem ve uygulanabilirlik durumlarına göre kısa, orta ve uzun vadeli aksiyonlara dönüştürülmesi.

KVKK İdari Uyum Süreci Nasıl İlerler?

KVKK idari uyum çalışması, yalnızca standart metinlerin hazırlanması şeklinde yürütülmez. Öncelikle kurumun fiilen gerçekleştirdiği kişisel veri işleme faaliyetleri belirlenir; mevcut dokümanlar, iş süreçleri, veri akışları, erişim yetkileri ve güvenlik uygulamaları birlikte değerlendirilir. Tespit edilen eksiklikler risk ve önceliklerine göre sınıflandırılarak kurumun faaliyet yapısına uygun bir uyum planı oluşturulur.

• Başlangıç toplantısı ve çalışma kapsamının belirlenmesi: Kurumun faaliyet alanı, organizasyon yapısı, çalışan sayısı, kullanılan sistemler, hizmet sağlayıcılar ve temel kişisel veri işleme süreçleri hakkında mevcut durum değerlendirilir.
• İlgili birim ve süreç sahiplerinin belirlenmesi: İnsan kaynakları, muhasebe, bilgi işlem, satış, pazarlama, güvenlik, müşteri hizmetleri ve diğer kişisel veri işleyen birimlerde süreç sahipleri belirlenir.
• Mevcut dokümantasyonun toplanması ve incelenmesi: Aydınlatma metinleri, açık rıza metinleri, politikalar, sözleşmeler, formlar, envanter, VERBİS kayıtları ve mevcut diğer KVKK dokümanları değerlendirilir.
• Kişisel veri işleme süreçlerinin yerinde veya süreç bazlı analiz edilmesi: Kurumun fiilen hangi kişisel verileri hangi amaçlarla topladığı, kullandığı, sakladığı ve aktardığı belirlenir.
• Veri akışlarının haritalandırılması: Kişisel verilerin kuruma hangi kanaldan girdiği, hangi birimler ve sistemler tarafından kullanıldığı, kimlere aktarıldığı ve hangi noktada imha edildiği ortaya konulur.
• Veri konusu kişi gruplarının ve veri kategorilerinin belirlenmesi: Çalışan, çalışan adayı, müşteri, ziyaretçi, tedarikçi ve diğer kişi grupları ile bunlara ait veri kategorileri süreçlerle ilişkilendirilir.
• Özel nitelikli kişisel verilerin ayrıca belirlenmesi: Sağlık, biyometrik veri veya mevcut diğer özel nitelikli veri işleme faaliyetleri ayrı olarak değerlendirilir.
• İşleme amaçlarının belirlenmesi: Her veri işleme faaliyetinin hangi iş ihtiyacına hizmet ettiği açık biçimde tanımlanır.
• Veri işleme şartlarının süreç bazında değerlendirilmesi: Kişisel veri işleme faaliyetlerinin hangi KVKK işleme şartlarına dayandığı belirlenmeye çalışılır; gereksiz açık rıza kullanımından kaçınılması hedeflenir.
• Aydınlatma ve açık rıza süreçlerinin kontrol edilmesi: Kişisel verinin elde edildiği noktalarda ilgili kişilerin uygun biçimde bilgilendirilip bilgilendirilmediği ve gerekli durumlarda açık rıza mekanizmasının doğru kurgulanıp kurgulanmadığı değerlendirilir.
• Kişisel Veri İşleme Envanterinin oluşturulması veya güncellenmesi: Veri kategorileri, kişi grupları, amaçlar, işleme şartları, alıcı grupları, saklama süreleri, aktarım süreçleri ve güvenlik tedbirleri sistematik biçimde kayıt altına alınır.
• Envanter ile fiilî uygulamaların karşılaştırılması: Kurumun dokümante ettiği süreçler ile gerçekte uyguladığı veri işleme faaliyetleri arasında fark bulunup bulunmadığı kontrol edilir.
• Veri minimizasyonu değerlendirmesi yapılması: İş süreci için gerekli olmayan veya gereğinden fazla kişisel veri toplanıp toplanmadığı belirlenir. Saklama sürelerinin gözden geçirilmesi: Her veri kategorisinin hangi süreyle tutulması gerektiği ve süresi sona eren verilerin nasıl yönetileceği değerlendirilir.
• Saklama ve imha süreçlerinin oluşturulması: Silme, yok etme, anonim hale getirme ve periyodik imha süreçlerinin kurum içerisinde uygulanabilir biçimde planlanması sağlanır.
• Fiziksel ve dijital arşivlerin değerlendirilmesi: Dosya dolapları, personel dosyaları, sunucular, NAS sistemleri, ortak klasörler, kullanıcı bilgisayarları ve diğer veri depolama alanları incelenir.
• Erişim ve yetkilendirme yapısının değerlendirilmesi: Hangi kullanıcı veya birimin hangi kişisel verilere erişebildiği ve görev dışı fazla yetki bulunup bulunmadığı belirlenir.
• Yetki matrisinin oluşturulması veya güncellenmesi: Kişisel verilere erişimlerin rol ve görev esaslı biçimde tanımlanmasına yönelik yapı hazırlanır.
• Çalışan yaşam döngüsü süreçlerinin değerlendirilmesi: İşe giriş, görev değişikliği ve işten ayrılma durumlarında hesap, yetki ve veri erişimlerinin zamanında güncellenmesine yönelik süreçler incelenir.
• Üçüncü taraf ve tedarikçi ilişkilerinin değerlendirilmesi: Kişisel verilere erişen muhasebe, yazılım, bulut, hosting, insan kaynakları veya diğer hizmet sağlayıcıların rol ve erişim kapsamları belirlenir.
• Veri sorumlusu ve veri işleyen rollerinin ayrıştırılması: Kurum ile hizmet sağlayıcıların kişisel veri işleme faaliyetlerindeki sorumluluklarının doğru biçimde tanımlanmasına destek olunur.
• Yurt içi veri aktarımlarının değerlendirilmesi: Hangi verilerin hangi alıcı gruplarına, hangi amaçlarla aktarıldığı belirlenir.
• Yurt dışına veri aktarımı yapılan süreçlerin tespit edilmesi: Bulut, SaaS, e-posta, dosya paylaşımı veya yabancı hizmet sağlayıcı kullanımı nedeniyle oluşan aktarım noktaları belirlenir.
• Yurt dışı aktarım mekanizmasının değerlendirilmesi: Mevcut aktarım süreçlerinin güncel KVKK düzenlemeleri kapsamında hangi mekanizmayla yürütülebileceğinin belirlenmesine yönelik idari çalışma yapılır.
• İnternet sitesi ve çevrimiçi formların değerlendirilmesi: İletişim, üyelik, başvuru, teklif veya benzeri alanlarda alınan kişisel verilerin aydınlatma ve veri minimizasyonu açısından kontrolü yapılır.
• Çerez süreçlerinin değerlendirilmesi: İnternet sitesinde kullanılan çerez ve takip teknolojileri sınıflandırılarak bilgilendirme ve tercih mekanizmaları kontrol edilir.
• Kamera, ziyaretçi ve fiziksel güvenlik süreçlerinin değerlendirilmesi: CCTV, ziyaretçi kayıtları, kartlı geçiş ve benzeri uygulamalarda veri işleme amacı, kapsam, saklama ve erişim yapısı incelenir.
• Çalışan izleme uygulamalarının değerlendirilmesi: E-posta, internet, log, konum veya diğer izleme sistemlerinin kullanım amacı, kapsamı ve ölçülülüğü değerlendirilir.
• İlgili kişi başvuru sürecinin oluşturulması veya kontrol edilmesi: Başvuruların alınması, kimliğin doğrulanması, ilgili birimlere aktarılması, cevaplanması ve kayıt altına alınması için iş akışı oluşturulur.
• Kişisel veri ihlali müdahale sürecinin oluşturulması: Olası bir veri ihlalinde teknik ve idari birimlerin hangi sırayla hareket edeceği, olayın nasıl kayıt altına alınacağı ve gerekli bildirim süreçlerinin nasıl takip edileceği belirlenir.
• İdari tedbirlerin mevcut durumunun değerlendirilmesi: Politika, görev dağılımı, eğitim, gizlilik, tedarikçi yönetimi ve denetim mekanizmaları incelenir.
• Teknik tedbirlerin ilgili teknik ekiplerle birlikte değerlendirilmesi: Erişim kontrolü, loglama, yedekleme, şifreleme, güncelleme, ağ güvenliği ve diğer veri güvenliği kontrollerinin mevcut durumu değerlendirilir.
• Mevcut politika ve prosedürlerin revize edilmesi: Kurumda hâlihazırda bulunan fakat güncelliğini kaybetmiş veya fiilî uygulamayla uyumsuz dokümanlar güncellenir.
• Eksik politika ve prosedürlerin hazırlanmasına destek verilmesi: Saklama-imha, ihlal yönetimi, ilgili kişi başvuruları, erişim, gizlilik veya gerekli diğer süreçler için kurumun yapısına uygun dokümantasyon oluşturulur.
• VERBİS yükümlülüğünün değerlendirilmesi: Kurumun güncel şartlara göre Sicile kayıt yükümlülüğü veya istisnası bulunup bulunmadığı kontrol edilir.
• VERBİS ve envanter bilgilerinin karşılaştırılması: Kayıt yükümlülüğü bulunan kurumlarda Sicil bilgilerinin fiilî veri işleme faaliyetleriyle uyumlu olması sağlanmaya çalışılır.
• Çalışan farkındalık ihtiyaçlarının belirlenmesi: Kişisel veriye erişen çalışanların görevlerine göre hangi konularda eğitim veya bilgilendirmeye ihtiyaç duyduğu belirlenir.
• KVKK farkındalık eğitimlerinin gerçekleştirilmesine destek verilmesi: Çalışanların veri güvenliği, paylaşım, ihlal bildirimi ve ilgili kişi hakları gibi konularda bilinçlendirilmesi sağlanır.
• Tespit edilen uyumsuzlukların sınıflandırılması: Eksiklikler önem, risk, uygulanabilirlik ve öncelik durumuna göre gruplandırılır.
• Acil giderilmesi gereken hususların belirlenmesi: Gereksiz veri erişimi, uygun olmayan paylaşım, eksik aydınlatma, kontrolsüz saklama veya yüksek riskli veri işleme süreçleri öncelikli olarak ele alınır.
• Düzeltici faaliyetlerin belirlenmesi: Her önemli eksiklik için uygulanabilir idari veya teknik aksiyonlar oluşturulur.
• Sorumlu birim ve hedef sürelerin belirlenmesi: Uyum faaliyetlerinin yalnızca dokümanda kalmaması için mümkün olduğunda sorumlu birim ve tamamlanma hedefleri tanımlanır.
• KVKK uyum yol haritasının hazırlanması: Tespit edilen çalışmalar kısa, orta ve uzun vadeli bir uygulama planına dönüştürülür. Uygulama sürecine destek verilmesi: Hazırlanan politika, prosedür ve aksiyonların kurum içerisinde fiilen uygulanmasına yönelik takip ve koordinasyon desteği sağlanır.
• Düzeltmeler sonrasında yeniden değerlendirme yapılması: Uygulanan tedbirlerin tespit edilen uyumsuzlukları giderip gidermediği gerektiğinde tekrar kontrol edilir.
• Yeni sistem ve süreçlerde KVKK kontrol noktası oluşturulması: Yeni yazılım, bulut servisi, kamera sistemi, yapay zekâ uygulaması veya diğer projeler devreye alınmadan önce kişisel veri etkisinin değerlendirilmesine yönelik kurum içi yaklaşım oluşturulur.
• Dokümantasyonun güncelliğinin korunması: İş süreçleri, kullanılan sistemler, tedarikçiler veya mevzuat değiştiğinde envanter, politika ve diğer KVKK dokümanlarının güncellenmesi sağlanır.
• Periyodik iç kontrol planının oluşturulması: KVKK uyumunun tek seferlik bir çalışma olmadığı dikkate alınarak kritik süreçlerin belirli aralıklarla tekrar değerlendirilmesi planlanır.

KVKK uyum çalışmasının amacı yalnızca doküman hazırlamak değil; kişisel veri işleme süreçlerinin kurumun günlük faaliyetleri içerisinde uygulanabilir, izlenebilir ve sürdürülebilir bir yapıya dönüştürülmesidir. Mevzuatın veya kurumun iş süreçlerinin değişmesi halinde ilgili politika, envanter, aydınlatma ve diğer uyum dokümanlarının da yeniden değerlendirilmesi gerekir.

KVKK İdari Uyumda Teknik Sınırlılıklar ve Dikkat Edilmesi Gerekenler

KVKK uyumu yalnızca politika, aydınlatma metni veya açık rıza formu hazırlanarak tamamlanan tek seferlik bir çalışma değildir. Kişisel veri işleme faaliyetlerinin fiilî uygulamalarla uyumlu olması, gerekli idari ve teknik tedbirlerin gerçekten uygulanması, değişen iş süreçlerinin dokümantasyona yansıtılması ve mevcut kontrollerin belirli aralıklarla yeniden değerlendirilmesi gerekir. Kişisel veri güvenliği bakımından alınacak tedbirler de her veri sorumlusunun faaliyetleri, işlediği verilerin niteliği ve karşılaştığı risklere göre belirlenmelidir.

Ayrıca açık rıza, aydınlatma, VERBİS, veri güvenliği ve yurt dışına aktarım gibi kavramlar birbirlerinin yerine kullanılamaz. Aydınlatma yükümlülüğü, veri işleme açık rızaya veya Kanundaki başka bir işleme şartına dayansa da devam eder ve açık rıza sürecinden ayrı yürütülmelidir.

• Doküman hazırlamak tek başına KVKK uyumu anlamına gelmez: Hazırlanan metinlerin kurumun fiilen yürüttüğü veri işleme faaliyetleriyle uyumlu olması ve günlük iş süreçlerinde uygulanması gerekir.
• Başka bir şirketin KVKK dokümanlarının kopyalanması uygun değildir: Aydınlatma, politika, envanter ve diğer dokümanların kurumun kendi organizasyonu, veri işleme faaliyetleri ve kullandığı sistemlere göre hazırlanması gerekir.
• Açık rıza her kişisel veri işleme faaliyetinin zorunlu hukuki dayanağı değildir: Kanunda başka bir uygun veri işleme şartı bulunuyorsa faaliyetin gereksiz biçimde açık rızaya dayandırılmaması gerekir.
• Aydınlatma yükümlülüğü açık rızadan bağımsızdır: Kişisel veri açık rıza veya Kanundaki başka bir işleme şartına dayanılarak işlense dahi ilgili kişi gerekli şekilde bilgilendirilmelidir.
• Aydınlatma metni ile açık rıza metni aynı işlevi görmez: Açık rıza gereken süreçlerde dahi aydınlatma ve açık rıza işlemlerinin ayrı şekilde yürütülmesi gerekir.
• Aydınlatma metninin imzalatılması her zaman açık rıza alınması anlamına gelmez: Aydınlatmanın amacı ilgili kişiyi bilgilendirmektir; onay veya rıza mekanizmasıyla karıştırılmamalıdır.
• Kişisel Veri İşleme Envanteri yalnızca bir tablo değildir: Envanterin kurumun gerçek iş süreçleri, veri kategorileri, kişi grupları, amaçları, işleme şartları, aktarım ve saklama süreçleriyle uyumlu olması gerekir.
• Envanterin hazırlanmış olması güncel olduğu anlamına gelmez: Yeni yazılım, personel uygulaması, kamera, tedarikçi, bulut servisi veya iş süreci devreye girdiğinde envanterin yeniden değerlendirilmesi gerekir.
• VERBİS kaydı tek başına KVKK uyumu sağlamaz: Sicile bildirilen bilgiler ile kurumun fiilî veri işleme faaliyetlerinin birbirleriyle tutarlı olması gerekir.
• VERBİS kayıt yükümlülüğünden istisna olmak KVKK kapsamındaki diğer yükümlülüklerden genel muafiyet anlamına gelmez: Kişisel veri işleme ilkeleri, aydınlatma ve veri güvenliği gibi yükümlülükler ayrıca değerlendirilmelidir.
• VERBİS kriterleri değişebilir: Çalışan sayısı, bilanço veya diğer kayıt/istisna şartlarına ilişkin eski eşiklere güvenilmemeli; güncel Kurul kararları esas alınmalıdır.
• Teknik olarak erişilebilir bir veri, hukuken sınırsız biçimde işlenebilir anlamına gelmez: Kurumun bir veriye erişebilmesi, o verinin her amaçla kullanılabileceği anlamına gelmez.
• Teknik güvenlik ile hukuka uygun veri işleme aynı şey değildir: Güçlü şifreleme ve erişim kontrolü bulunan bir sistemde dahi veri işleme faaliyeti amaç, işleme şartı veya aydınlatma açısından ayrıca değerlendirilmelidir.
• Hukuka uygun veri işleme de teknik güvenlik ihtiyacını ortadan kaldırmaz: Geçerli işleme şartı bulunan kişisel veriler için de uygun teknik ve idari güvenlik tedbirleri alınmalıdır.
• Her kişisel verinin süresiz saklanması uygun değildir: İşleme amacı ve gerekli saklama süresi sona eren verilerin silme, yok etme veya anonim hale getirme süreçleri değerlendirilmelidir.
• Dosyanın kullanıcı tarafından silinmesi her zaman teknik olarak tamamen yok edildiği anlamına gelmez: Yedek, arşiv, e-posta, log, snapshot veya farklı sistemlerde başka kopyaların bulunup bulunmadığı değerlendirilmelidir.
• Yedeklerdeki kişisel veriler de veri yönetiminin parçasıdır: Saklama ve imha süreçleri oluşturulurken yedeklerin teknik yapısı ve geri dönüş süreçleri ayrıca dikkate alınmalıdır.
• Anonimleştirme ile maskeleme veya takma ad kullanımı aynı şey değildir: Verinin yeniden belirli bir kişiyle ilişkilendirilebilmesi mümkünse işlem gerçek anonimleştirme olarak kabul edilmemelidir.
• Veri minimizasyonu yalnızca toplanan alan sayısını azaltmak değildir: Verinin kapsamı, ayrıntı seviyesi, erişim yetkileri ve saklama süresi de amaçla orantılı olmalıdır.
• Çalışan verileri işveren tarafından sınırsız biçimde işlenemez: Çalışan izleme, e-posta, internet, konum veya sistem aktivitelerinin takibi amaç, gereklilik, ölçülülük ve bilgilendirme açısından ayrıca değerlendirilmelidir.
• Kamera bulunması her türlü görüntü kaydını meşru hale getirmez: Kamera konumu, görüş alanı, kayıt amacı, saklama süresi ve ölçülülük birlikte değerlendirilmelidir.
• Ses kaydı görüntü kaydından ayrı değerlendirilmelidir: Kamera sisteminin ses de kaydetmesi daha müdahaleci bir veri işleme faaliyeti oluşturabileceğinden ayrıca gerekçelendirilmelidir.
• Biyometrik sistemler yalnızca pratik olduğu için tercih edilmemelidir: Parmak izi veya yüz tanıma gibi özel nitelikli kişisel veri işleyen sistemlerde gereklilik, ölçülülük, alternatif yöntemler ve ek güvenlik önlemleri ayrıca değerlendirilmelidir.
• Özel nitelikli kişisel veriler diğer kişisel verilerle aynı risk seviyesinde değerlendirilmemelidir: İşleme şartları, erişim yetkileri ve alınması gereken güvenlik önlemleri ayrıca ele alınmalıdır.
• Kişisel verinin üçüncü taraftan alınmış olması KVKK yükümlülüklerini ortadan kaldırmaz: Veri kaynağı, işleme amacı, işleme şartı ve gerekli bilgilendirme süreçleri yine değerlendirilmelidir.
• Pazarlama amacıyla kullanılan iletişim verileri ayrıca dikkat gerektirir: Başka kişi veya kaynaklardan elde edilen telefon/e-posta bilgilerinin doğrudan reklam amacıyla kullanılabileceği varsayılmamalıdır.
• İnternet sitesindeki gizlilik politikası tek başına tüm aydınlatma yükümlülüğünü karşılamayabilir: Verinin elde edildiği süreç ve ilgili kişi grubu bakımından uygun bilgilendirme yapılmalıdır.
• Çerezlerin tamamı aynı hukuki ve teknik nitelikte değildir: Zorunlu çerezlerle analiz, reklam veya benzeri amaçlarla kullanılan teknolojiler birbirinden ayrılmalıdır.
• Bir çerez banner’ının bulunması tek başına uyum anlamına gelmez: Kullanıcının yaptığı tercihin teknik olarak uygulanması ve gerekli olmayan teknolojilerin seçimle uyumlu çalışması gerekir.
• Bulut kullanımı otomatik olarak hukuka aykırı değildir ancak veri akışını değiştirebilir: Verinin nerede işlendiği, kimlerin eriştiği ve yurt dışına aktarım oluşup oluşmadığı belirlenmelidir.
• Yurt dışına aktarımda eski uygulamalara dayanılmamalıdır: Kanunun 9’uncu maddesinde 2024’te yapılan değişikliklerle yeterlilik kararı, uygun güvenceler, standart sözleşmeler ve bağlayıcı şirket kuralları gibi mekanizmaları içeren yeni rejim yürürlüğe girmiştir.
• Yabancı bir hizmet sağlayıcının kullanılması yalnızca sözleşme imzalamakla çözülen teknik bir konu değildir: Veri sorumlusu/veri işleyen rolleri, aktarım mekanizması, veri kategorileri, erişim ve güvenlik tedbirleri birlikte değerlendirilmelidir.
• SaaS, e-posta ve bulut dosya paylaşımı yurt dışı aktarım açısından gözden kaçabilir: Kurumun doğrudan “veri gönderiyorum” şeklinde değerlendirmediği otomatik senkronizasyon ve depolama süreçleri de incelenmelidir.
• Standart sözleşme kullanılması halinde ilgili idari takip ayrıca yapılmalıdır: Güncel yurt dışı aktarım mekanizmasının gerektirdiği bildirim ve diğer usuller zamanında yerine getirilmelidir.
• Veri sorumlusu ile veri işleyen rolleri yalnızca sözleşmedeki unvanlara göre belirlenmez: Tarafların kişisel verinin hangi amaç ve yöntemlerle işlendiğine ilişkin fiilî rolleri dikkate alınmalıdır.
• Hizmet sağlayıcı kullanılması veri sorumlusunun güvenlik sorumluluğunu ortadan kaldırmaz: Kişisel verilere erişen tedarikçi ve hizmet sağlayıcıların da uygun güvenlik seviyesine sahip olması değerlendirilmelidir.
• Yetki verilmiş olması erişimin sınırsız olması gerektiği anlamına gelmez: Personel ve hizmet sağlayıcı erişimleri görev ve ihtiyaç ölçüsünde sınırlandırılmalıdır.
• İşten ayrılan veya görevi değişen personelin erişimleri önemli risk oluşturabilir: Kullanıcı hesapları, fiziksel erişim, e-posta, bulut, VPN ve diğer yetkilerin zamanında güncellenmesi gerekir.
• Loglama yapılması tek başına kişisel veri güvenliği sağlamaz: Hangi olayların kaydedildiği, kayıtların kimler tarafından görülebildiği, ne kadar süre tutulduğu ve bütünlüğünün korunup korunmadığı değerlendirilmelidir.
• Gereğinden fazla log tutulması da kişisel veri riski oluşturabilir: İzlenebilirlik ihtiyacı ile veri minimizasyonu ve saklama süreleri arasında uygun denge kurulmalıdır.
• Şifreleme tek başına tüm veri güvenliği yükümlülüklerini karşılamaz: Anahtar yönetimi, kullanıcı yetkileri, yedekleme, loglama ve diğer güvenlik kontrolleri birlikte ele alınmalıdır.
• KVKK uyumu yalnızca bilgi işlem biriminin sorumluluğu değildir: İnsan kaynakları, hukuk, muhasebe, satış, pazarlama, güvenlik, yönetim ve kişisel veri işleyen diğer birimlerin süreçlere dahil edilmesi gerekir.
• KVKK uyumu yalnızca hukuk biriminin hazırlayacağı metinlerden de oluşmaz: Teknik sistemlerin, erişimlerin, logların, yedeklerin ve fiilî veri akışlarının dokümanlarla uyumlu olması gerekir.
• Yapay zekâ araçlarının kullanımı ayrı veri akışları oluşturabilir: Çalışanların kişisel veya kurumsal verileri üretken yapay zekâ servislerine aktarması, sağlayıcı, saklama, yurt dışı aktarım, veri minimizasyonu ve erişim açısından değerlendirilmelidir.
• Otomatik karar ve profil oluşturma süreçleri ayrıca incelenmelidir: Bir sistem tarafından yapılan otomatik değerlendirmenin kişi açısından önemli veya olumsuz sonuç üretmesi halinde ilgili kişi hakları ve kullanılan veri kaynakları dikkate alınmalıdır.
• Yeni teknoloji kullanımı mevcut eski dokümanlarla otomatik olarak kapsanmış sayılmamalıdır: Yeni kamera, biyometrik sistem, yapay zekâ aracı, mobil uygulama veya bulut servisi devreye alınırken veri işleme etkisi ayrıca değerlendirilmelidir.
• İlgili kişi başvurusu yalnızca bir e-posta adresi belirlemekle yönetilmiş olmaz: Başvurunun alınması, kimlik doğrulaması, ilgili sistemlerde verinin araştırılması, cevap hazırlanması ve işlemlerin kaydedilmesi için kurum içi iş akışı gerekir.
• Bir kişinin talep ettiği her veri otomatik olarak silinmez: Talebin niteliği, işleme şartının devam edip etmediği ve mevcut hukuki saklama yükümlülükleri ayrıca değerlendirilmelidir.
• İlgili kişi başvurularında süre takibi gerekir: Veri sorumlusu başvuruları en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Veri ihlali yalnızca hacker saldırısı değildir: Yanlış alıcıya e-posta gönderilmesi, cihaz kaybı, yetkisiz çalışan erişimi veya kontrol dışı veri paylaşımı gibi durumlar da ihlal değerlendirmesi gerektirebilir.
• Her güvenlik olayı otomatik olarak aynı ihlal senaryosu değildir: Olayın kişisel veri içerip içermediği, erişim veya ifşa olup olmadığı ve etkilenen kapsam teknik ve idari olarak değerlendirilmelidir.
• Veri ihlali tespitinde inceleme bitene kadar beklemek riskli olabilir: Kurulun mevcut uygulamasında veri sorumlusunun ihlali öğrenmesinden itibaren Kurula bildirim için “en kısa süre” en fazla 72 saat olarak yorumlanmaktadır.
• 72 saat içinde tüm ayrıntıların bilinmemesi bildirim sürecini ortadan kaldırmaz: Bildirim zamanlaması ile teknik olay incelemesinin tamamlanma süreci birbirinden ayrılmalıdır.
• Olay müdahalesi sırasında delillerin gereksiz değiştirilmemesine dikkat edilmelidir: Sistemlerin kontrolsüz formatlanması, logların temizlenmesi veya olayla ilgili cihazların değiştirilmesi sonradan yapılacak teknik incelemeyi zorlaştırabilir.
• KVKK uyum çalışması mutlak ihlal veya ceza garantisi veremez: Uyum programı riski azaltmaya ve yükümlülüklerin sistematik biçimde yerine getirilmesine yardımcı olur; gelecekte hiçbir ihlal yaşanmayacağını garanti etmez.
• Mevzuat ve Kurul uygulamaları değişebilir: Hazırlanan envanter, politika, prosedür ve değerlendirmelerin yeni mevzuat, Kurul kararları ve kurumun değişen faaliyetleri doğrultusunda güncellenmesi gerekir.
• İdari uyum danışmanlığı hukuki temsilin yerine geçmez: Somut uyuşmazlık, sözleşme hukuku, dava, Kurul süreci veya özel hukuki görüş gerektiren konuların gerektiğinde yetkili avukat veya hukuk müşaviriyle koordineli yürütülmesi gerekir.

KVKK idari uyum çalışmalarında amaç, işletmenin yalnızca dokümantasyonunu tamamlamak değil; kişisel verilerin elde edilmesinden silinmesine veya anonim hale getirilmesine kadar geçen yaşam döngüsünü fiilî iş süreçleriyle birlikte yönetilebilir hale getirmektir. Uyum seviyesi kurumun faaliyetleri, kullandığı teknolojiler, işlediği veriler ve mevzuattaki değişikliklere bağlı olarak zaman içerisinde değişebileceğinden süreçlerin periyodik olarak yeniden değerlendirilmesi gerekir.

Kimler İçin Uygundur?

KVKK İdari Uyum Danışmanlığı; faaliyetleri kapsamında çalışan, müşteri, tedarikçi, ziyaretçi veya diğer gerçek kişilere ait kişisel verileri işleyen ve bu süreçlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili düzenlemeler doğrultusunda daha sistematik, izlenebilir ve sürdürülebilir biçimde yönetilmesini isteyen kurum ve işletmelere yöneliktir. Çalışmanın kapsamı; kurumun faaliyet alanı, işlediği kişisel verilerin niteliği, kullandığı sistemler, veri aktarım süreçleri ve mevcut uyum seviyesine göre belirlenir.

• Küçük ve orta ölçekli işletmeler: Ayrı bir KVKK veya veri koruma ekibi bulunmayan ve kişisel veri süreçlerini sistematik hale getirmek isteyen işletmeler.
• Yeni kurulan işletmeler: Personel, müşteri, tedarikçi, internet sitesi ve diğer kişisel veri süreçlerini faaliyetlerinin başlangıcından itibaren doğru bir yapıyla oluşturmak isteyen kuruluşlar.
• Şirketler ve diğer tüzel kişiler: Mevcut kişisel veri işleme faaliyetlerinin, politika ve prosedürlerinin, envanterinin ve güvenlik tedbirlerinin yeniden değerlendirilmesine ihtiyaç duyan kuruluşlar.
• Mevcut KVKK çalışmalarını güncellemek isteyen kurumlar: Yıllar önce hazırlanmış aydınlatma metinleri, envanter, açık rıza metinleri veya politikalarının fiilî iş süreçleriyle hâlen uyumlu olup olmadığını kontrol etmek isteyen işletmeler.
• Kişisel Veri İşleme Envanteri bulunmayan veya güncel olmayan kurumlar: Veri kategorileri, kişi grupları, amaçlar, işleme şartları, aktarım ve saklama süreçlerini yeniden yapılandırmak isteyen kuruluşlar.
• VERBİS durumunu değerlendirmek isteyen veri sorumluları: Güncel kayıt veya istisna kriterleri bakımından durumunu kontrol etmek ve mevcutsa VERBİS kayıtlarının envanterle uyumunu değerlendirmek isteyen kuruluşlar.
• Çok sayıda çalışanı bulunan işletmeler: Özlük, bordro, izin, performans, eğitim, kamera, giriş-çıkış ve diğer çalışan verilerinin kapsamlı olarak işlendiği kurumlar.
• İnsan kaynakları süreçleri yoğun olan kuruluşlar: Çalışan adayı, CV, işe alım, çalışan dosyaları, görev değişikliği ve işten ayrılma süreçlerindeki kişisel veri uygulamalarını gözden geçirmek isteyen kurumlar.
• Özel nitelikli kişisel veri işleyen kuruluşlar: Sağlık, biyometrik veri veya Kanun kapsamında özel koruma gerektiren diğer veri kategorilerini işleyen ve süreçlerini daha sıkı güvenlik ve erişim kontrolleriyle yönetmesi gereken kurumlar.
• Biyometrik sistem kullanan işletmeler: Parmak izi, yüz tanıma veya benzeri sistemlerin gereklilik, ölçülülük, erişim ve veri güvenliği açısından değerlendirilmesine ihtiyaç duyan kuruluşlar.
• Kamera/CCTV sistemi kullanan işletmeler: İş yeri, mağaza, depo, ofis veya diğer alanlarda kamera kaydı yapan ve görüntü kayıtlarının amaç, kapsam, saklama, erişim ve aydınlatma süreçlerini değerlendirmek isteyen kurumlar.
• Araç veya personel konum takibi yapan işletmeler: Filo yönetimi, saha personeli veya benzeri süreçlerde konum ve hareket verilerinin işlenmesini kişisel veri açısından değerlendirmek isteyen kuruluşlar.
• Müşteri verisi yoğun şekilde işleyen işletmeler: Satış, destek, üyelik, sadakat, teklif, rezervasyon veya benzeri süreçlerde geniş müşteri veri tabanları kullanan kuruluşlar.
• E-ticaret ve çevrimiçi hizmet sağlayıcıları: Üyelik, sipariş, ödeme, teslimat, destek, pazarlama ve internet sitesi süreçlerinde kişisel veri işleyen işletmeler.
• İnternet sitesi üzerinden veri toplayan kurumlar: İletişim, teklif, üyelik, başvuru, iş başvurusu veya diğer çevrimiçi formlar kullanan işletmeler.
• Çerez ve takip teknolojileri kullanan internet siteleri: Analiz, reklam, kullanıcı deneyimi veya diğer amaçlarla çerez ve benzeri teknolojiler kullanan ve tercih mekanizmalarını değerlendirmek isteyen kuruluşlar.
• Elektronik pazarlama ve müşteri iletişimi yapan işletmeler: Telefon, e-posta, SMS veya diğer kanallarda müşteri ve potansiyel müşteri iletişim bilgilerini kullanan kuruluşlar.
• Çağrı merkezi veya görüşme kaydı kullanan kurumlar: Telefon ve ses kayıtlarının amaç, bilgilendirme, erişim ve saklama süreçlerini değerlendirmek isteyen işletmeler.
• Tedarikçi ve dış hizmet sağlayıcısı sayısı yüksek olan kurumlar: Muhasebe, bordro, yazılım, hosting, bulut, çağrı merkezi, güvenlik veya diğer dış hizmet sağlayıcılarla kişisel veri paylaşan kuruluşlar.
• Bulut ve SaaS hizmetleri kullanan işletmeler: E-posta, dosya paylaşımı, CRM, insan kaynakları, muhasebe veya diğer bulut hizmetleri nedeniyle kişisel veri akışlarını ve olası yurt dışı aktarımlarını değerlendirmek isteyen kuruluşlar.
• Yurt dışına kişisel veri aktarımı bulunan kurumlar: Yabancı bulut sağlayıcısı, grup şirketi, SaaS hizmeti veya diğer yabancı alıcılarla kişisel veri paylaşan ve güncel aktarım mekanizmalarını değerlendirmek isteyen kuruluşlar.
• Fiziksel ve dijital arşivi bulunan işletmeler: Personel dosyaları, sözleşmeler, basılı formlar, sunucular, NAS sistemleri, ortak klasörler ve yedeklerde tutulan kişisel verilerin saklama ve erişim süreçlerini düzenlemek isteyen kurumlar.
• Kişisel veri saklama sürelerini belirlememiş kurumlar: Hangi verinin ne kadar süre tutulacağını ve süresi sona eren verilerin nasıl silineceğini, yok edileceğini veya anonim hale getirileceğini sistematik biçimde belirlemek isteyen kuruluşlar.
• Erişim yetkilerini yeniden düzenlemek isteyen kurumlar: Çalışan ve hizmet sağlayıcıların kişisel verilere gereğinden fazla erişimini azaltmak ve görev bazlı yetki yapısı oluşturmak isteyen işletmeler.
• Bilgi işlem ve bilgi güvenliği ekipleri: Teknik güvenlik kontrollerini KVKK kapsamındaki veri işleme süreçleriyle ilişkilendirmek isteyen kurum içi teknik ekipler.
• İnsan kaynakları birimleri: Çalışan ve çalışan adayı verilerinin toplanması, kullanılması, saklanması, aktarılması ve imhası süreçlerini sistematik hale getirmek isteyen birimler.
• Kurum içi hukuk, uyum, risk ve denetim birimleri: Kişisel veri süreçlerinin fiilî uygulamalarla, mevcut dokümantasyonla ve güvenlik kontrolleriyle uyumunu değerlendirmek isteyen birimler.
• İlgili kişi başvurularını sistematik biçimde yönetmek isteyen kurumlar: KVKK kapsamındaki taleplerin alınması, doğrulanması, ilgili sistemlerde araştırılması, cevaplanması ve kayıt altına alınması için iş akışı oluşturmak isteyen kuruluşlar.
• Veri ihlali müdahale süreci bulunmayan işletmeler: Yanlış alıcıya veri gönderilmesi, cihaz kaybı, yetkisiz erişim, zararlı yazılım veya veri sızıntısı gibi olaylarda uygulanacak görev ve bildirim süreçlerini önceden oluşturmak isteyen kurumlar.
• Daha önce kişisel veri ihlali veya güvenlik olayı yaşamış kurumlar: Olay sonrasında yalnızca teknik problemi değil, erişim, saklama, yetkilendirme, ihlal yönetimi ve diğer idari süreçlerdeki eksiklikleri de yeniden değerlendirmek isteyen kuruluşlar.
• Yapay zekâ araçları kullanan kurumlar: Çalışanların veya iş süreçlerinin üretken yapay zekâ ve diğer AI sistemlerine kişisel veri aktarması nedeniyle veri minimizasyonu, yetkilendirme, sağlayıcı, yurt dışı aktarım ve kullanım kurallarını değerlendirmek isteyen kuruluşlar.
• Yeni teknoloji veya yazılım yatırımı yapan işletmeler: CRM, ERP, insan kaynakları yazılımı, kamera, biyometrik sistem, mobil uygulama, bulut hizmeti veya diğer yeni sistemleri devreye almadan önce kişisel veri etkilerini değerlendirmek isteyen kurumlar.
• Birleşme, devir veya yeniden yapılanma sürecindeki işletmeler: Farklı sistem ve veri tabanlarının birleştirilmesi, veri aktarılması veya erişim yetkilerinin değişmesi nedeniyle KVKK süreçlerini yeniden değerlendirmesi gereken kuruluşlar.
• Şube veya birden fazla iş yeri bulunan kurumlar: Farklı lokasyonlarda yürütülen kişisel veri işleme faaliyetlerinin ortak politika, envanter ve güvenlik yapısıyla yönetilmesini isteyen işletmeler.
• KVKK farkındalığını geliştirmek isteyen kurumlar: Çalışanların veri paylaşımı, gizlilik, phishing, kişisel veri ihlali ve ilgili kişi hakları konularındaki farkındalığını geliştirmek isteyen kuruluşlar.
• Periyodik KVKK iç kontrolü yapmak isteyen işletmeler: Daha önce uyum çalışması yapmış ancak süreçlerin, sistemlerin ve mevzuatın değişmesi nedeniyle mevcut durumunu belirli aralıklarla yeniden değerlendirmek isteyen kuruluşlar.
• KVKK uyum yol haritasına ihtiyaç duyan kurumlar: Tespit edilen eksiklikleri önem ve risk seviyesine göre kısa, orta ve uzun vadeli uygulanabilir aksiyonlara dönüştürmek isteyen kuruluşlar.

Raporlama ve KVKK Uyum Çıktıları

KVKK idari uyum çalışmasının sonunda elde edilen çıktılar, kurumun faaliyet yapısına ve mevcut uyum seviyesine göre belirlenir. Amaç yalnızca standart dokümanlar hazırlamak değil; kurumun hangi kişisel verileri hangi süreçlerde işlediğini, mevcut eksikliklerini, alınması gereken idari ve teknik tedbirleri ve uygulanması gereken aksiyonları açık ve izlenebilir biçimde ortaya koymaktır.

Hazırlanan doküman, değerlendirme ve aksiyon planlarının kurumun fiilî iş süreçleriyle uyumlu olması esastır. Çalışmanın kapsamına göre mevcut belgeler güncellenebilir, eksik süreçler için yeni dokümantasyon oluşturulabilir ve tespit edilen uyumsuzluklar önem ve risk seviyelerine göre önceliklendirilerek kuruma uygulanabilir bir yol haritası sunulabilir.

• KVKK mevcut durum değerlendirme raporu: Kurumun kişisel veri işleme faaliyetlerinin, mevcut dokümantasyonunun, sistemlerinin ve fiilî uygulamalarının genel durumunun ortaya konulması.
• Kişisel veri işleme süreç haritası: Kişisel verilerin hangi iş süreçlerinde elde edildiğinin, hangi birimler tarafından kullanıldığının, nerede saklandığının ve hangi taraflara aktarıldığının gösterilmesi.
• Veri akış haritası: Kişisel verilerin kurum içindeki ve dışındaki hareketlerinin veri kaynağı, sistem, birim ve alıcı gruplarıyla ilişkilendirilmesi.
• Kayıt ortamları envanteri: Kişisel verilerin bulunduğu fiziksel dosya, bilgisayar, sunucu, NAS, veritabanı, mobil cihaz, bulut hizmeti, e-posta sistemi, yedek veya diğer kayıt ortamlarının belirlenmesi.
• Veri konusu kişi gruplarının belirlenmesi: Çalışan, çalışan adayı, müşteri, ziyaretçi, tedarikçi çalışanı ve mevcut diğer ilgili kişi gruplarının sistematik olarak kayıt altına alınması.
• Kişisel veri kategorilerinin belirlenmesi: Kimlik, iletişim, özlük, finans, işlem güvenliği, fiziksel mekân güvenliği ve diğer veri kategorilerinin süreçlerle ilişkilendirilmesi.
• Özel nitelikli kişisel veri envanteri ve kontrol matrisi: Özel nitelikli verilerin hangi süreçlerde işlendiği, hukuki dayanakları, erişebilen kullanıcılar, aktarım yöntemleri ve uygulanan ek tedbirlerin ayrıca gösterilmesi. Kanunun 6’ncı maddesindeki işleme şartları 2024 yılında değiştirildiğinden bu alanın güncel rejime göre değerlendirilmesi gerekir.
• Kişisel Veri İşleme Envanteri: İş süreçlerinin; işleme amaçları, hukuki sebepler, veri kategorileri, veri konusu kişi grupları, alıcı grupları, azami muhafaza süreleri, yurt dışına aktarımlar ve güvenlik tedbirleriyle ilişkilendirilmesi. Bu kapsam Kurumun envanter tanımıyla da uyumludur.
• Mevcut envanterin revizyon raporu: Daha önce hazırlanmış envanter ile kurumun güncel fiilî uygulamaları arasındaki farklılıkların belirlenmesi.
• Veri işleme şartları / hukuki sebep matrisi: Her işleme faaliyetinin hangi KVKK işleme şartına dayandığının süreç bazında gösterilmesi ve gereksiz açık rıza kullanımının tespit edilmesi.
• Veri minimizasyonu değerlendirmesi: İş süreçlerinde amaç için gerekli olmayan veya ölçüsüz biçimde toplanan kişisel veri alanlarının belirlenmesi.
• Saklama süreleri tablosu: Her veri kategorisinin ilgili mevzuat, işleme amacı ve gerekli azami muhafaza süresiyle ilişkilendirilmesi.
• Kişisel Veri Saklama ve İmha Politikası: Saklama, periyodik imha, silme, yok etme veya anonim hale getirme yöntemlerinin ve sorumlulukların dokümante edilmesi.
• İmha yöntemleri matrisi: Kâğıt, veritabanı, dosya sunucusu, kullanıcı bilgisayarı, mobil cihaz, yedek veya diğer kayıt ortamlarında uygulanabilecek uygun silme, yok etme veya anonimleştirme yöntemlerinin belirlenmesi.
• Periyodik imha takip çizelgesi: İmha dönemlerinin, veri kategorilerinin, sorumlu birimlerin ve yapılması gereken işlemlerin izlenmesi.
• Silme, yok etme ve anonimleştirme işlem kayıtları: Gerçekleştirilen imha işlemlerinin tarih, yöntem, veri grubu ve sorumlularıyla kayıt altına alınmasını sağlayan yapı oluşturulması. Yönetmelik, bu işlemlere ilişkin kayıtların diğer hukuki yükümlülükler hariç en az üç yıl saklanmasını öngörmektedir.
• Aydınlatma metinleri: Çalışan, çalışan adayı, müşteri, ziyaretçi, tedarikçi, internet sitesi veya gerekli diğer süreçlere yönelik metinlerin hazırlanması veya güncellenmesi.
• Aydınlatma yükümlülüğü matrisi: Hangi kişi grubunun hangi veri toplama noktasında, hangi metin ve yöntemle aydınlatılacağının sistematik olarak gösterilmesi.
• Açık rıza gerektiren süreçlerin envanteri: Gerçekten açık rıza gerektiren veri işleme faaliyetlerinin diğer hukuki sebeplere dayanan süreçlerden ayrılması.
• Açık rıza kayıt ve takip yapısı: Açık rızanın hangi süreç için, ne zaman ve hangi yöntemle alındığının; gerektiğinde geri alınması halinde yapılacak işlemlerin takip edilebilmesine yönelik sistem oluşturulması.
• Aydınlatma ve açık rıza süreçlerinin ayrıştırılması: Her iki mekanizmanın farklı amaçlarının hem dokümantasyonda hem uygulamada birbirinden ayrılması.
• İlgili kişi başvuru prosedürü: Başvuruların alınması, kimlik doğrulaması, ilgili birimlere yönlendirilmesi, cevaplandırılması ve kayıt altına alınmasına ilişkin kurum içi iş akışının hazırlanması.
• İlgili kişi başvuru kayıt ve takip tablosu: Başvuru tarihi, başvuru konusu, sorumlu birim, yapılan işlemler, cevap tarihi ve sonuç bilgilerinin sistematik şekilde takip edilmesi.
• Başvuru süre takip mekanizması: Kanuni cevap sürelerinin aşılmasını önlemeye yönelik kontrol sistemi oluşturulması.
• Silme, düzeltme veya diğer başvuru sonuçlarının alıcı gruplarına yansıtılmasına yönelik takip: Gerektiğinde ilgili kişi talebi üzerine gerçekleştirilen işlemlerin verinin aktarıldığı taraflara da bildirilmesinin kontrol edilmesi.
• Kişisel veri ihlali müdahale prosedürü: İhlalin tespiti, değerlendirilmesi, eskalasyonu, kayıt altına alınması ve gerekli bildirim süreçlerinin yönetilmesine yönelik prosedür hazırlanması.
• Veri ihlali olay kayıt formu: Olayın öğrenilme zamanı, kapsamı, etkilenen veri ve kişi grupları, alınan tedbirler ve gerçekleştirilen işlemlerin kaydedilmesi.
• 72 saat veri ihlali bildirim takip formu: Veri sorumlusunun ihlali öğrendiği zamanın kayıt altına alınması ve Kurula yapılacak bildirimin gecikmeksizin, en geç 72 saat içerisinde gerçekleştirilmesini takip eden kontrol mekanizması oluşturulması.
• İlgili kişilere ihlal bildirim planı: İhlalden etkilenen kişilerin belirlenmesi ve gerektiğinde makul olan en kısa sürede bilgilendirilmesine yönelik süreç oluşturulması.
• Veri ihlali görev ve iletişim planı: Yönetim, bilgi işlem, bilgi güvenliği, KVKK sorumluları ve diğer ilgili birimlerin olay anındaki görevlerinin ve iletişim zincirinin belirlenmesi.
• İhlal sırasında teknik kayıtların korunmasına yönelik kontrol listesi: Log, e-posta, cihaz, disk imajı veya diğer teknik verilerin kontrolsüz müdahaleyle değiştirilmesini önlemeye yönelik temel süreçlerin oluşturulması.
• Erişim yetkileri değerlendirme çıktısı: Hangi kullanıcı veya birimlerin hangi kişisel veri alanlarına eriştiğinin ve gereksiz yetkilerin bulunup bulunmadığının gösterilmesi.
• Yetki matrisi: Kullanıcı, rol, birim ve veri kategorileri arasındaki erişim ilişkilerinin sistematik biçimde dokümante edilmesi.
• Periyodik erişim gözden geçirme planı: Yetkilerin yalnızca oluşturulduğu tarihte değil, belirli aralıklarla tekrar kontrol edilmesine yönelik sistem oluşturulması.
• İşe giriş, görev değişikliği ve işten ayrılma kontrol listeleri: Hesap, sistem, fiziksel erişim ve kişisel veri yetkilerinin personel hareketleriyle birlikte güncellenmesini destekleyen kontrol yapısının hazırlanması.
• Çalışan gizlilik ve kişisel veri güvenliği kuralları: Çalışanların eriştikleri kişisel verilere ilişkin temel yükümlülüklerin kurum içi düzenlemelere dönüştürülmesi.
• Çalışan ve çalışan adayı veri süreçlerinin değerlendirme çıktıları: İnsan kaynakları süreçlerindeki toplama, kullanım, erişim, aktarım, saklama ve imha uygulamalarının değerlendirilmesi.
• Çalışan izleme sistemleri değerlendirme çıktısı: E-posta, internet, konum, log, araç takibi veya diğer çalışan izleme süreçlerinin gereklilik, ölçülülük ve veri minimizasyonu açısından değerlendirilmesi.
• Biyometrik veri süreçleri değerlendirme çıktısı: Parmak izi, yüz tanıma veya benzeri uygulamaların gereklilik, alternatif yöntem, erişim ve güvenlik açısından incelenmesi.
• Kamera/CCTV envanteri ve değerlendirme çıktısı: Kamera konumları, amaçları, görüş alanları, ses kaydı durumu, saklama süreleri, erişim yetkileri ve aydınlatma süreçlerinin kayıt altına alınması.
• Çerez envanteri: İnternet sitesinde kullanılan çerezlerin adı, sağlayıcısı, amacı, süresi, birinci/üçüncü taraf niteliği ve gereklilik durumunun sistematik biçimde gösterilmesi.
• Çerez ve internet sitesi uyum çıktıları: Bilgilendirme metinleri, tercih mekanizması ve sitenin teknik uygulamasının değerlendirilmesi.
• Çerez tercih kayıtlarının izlenmesine yönelik yapı: Uygun olduğu durumlarda kullanıcının verdiği, reddettiği veya değiştirdiği tercihlerin teknik sistemle uyumunun kontrol edilmesi.
• İnternet formu ve çevrimiçi veri toplama kontrolleri: İletişim, teklif, üyelik, iş başvurusu veya diğer formlarda veri minimizasyonu ve aydınlatma açısından gerekli düzenlemelerin belirlenmesi.
• Pazarlama ve müşteri iletişim süreçleri değerlendirme çıktısı: İletişim bilgilerinin kaynağı, kullanım amacı ve kişisel veri işleme sürecinin değerlendirilmesi.
• Tedarikçi ve hizmet sağlayıcı envanteri: Kişisel verilere erişebilen veya kurum adına veri işleyen dış hizmet sağlayıcıların belirlenmesi.
• Veri sorumlusu–veri işleyen rol değerlendirmesi: Kurum ve hizmet sağlayıcıların fiilî faaliyetlerine göre rollerinin belirlenmesine yönelik süreç analizi yapılması.
• Tedarikçi veri güvenliği kontrol listesi: Erişim, gizlilik, yetkilendirme, ihlal yönetimi, veri iadesi/imhası ve güvenlik tedbirlerinin değerlendirilmesi.
• Tedarikçi periyodik gözden geçirme planı: Kişisel verilere erişen dış hizmet sağlayıcıların yalnızca sözleşme başlangıcında değil, risk durumuna göre tekrar değerlendirilmesine yönelik takip yapısı oluşturulması.
• Kişisel veri aktarım haritası: Yurt içinde ve yurt dışında hangi veri kategorilerinin hangi alıcı gruplarına aktarıldığının gösterilmesi.
• Yurt dışına veri aktarım envanteri: Kullanılan yabancı bulut, SaaS, e-posta, dosya paylaşımı, grup şirketi ve diğer yabancı hizmetlerin aktarım süreçleriyle ilişkilendirilmesi.
• Yurt dışı aktarım mekanizması değerlendirme çıktısı: İlgili aktarım için yeterlilik kararı, uygun güvence veya Kanunda öngörülen diğer mekanizmaların uygulanabilirliğinin süreç açısından değerlendirilmesi.
• Standart sözleşme kontrol seti: Uygulanması halinde doğru standart sözleşme tipinin, veri sorumlusu/veri işleyen rollerinin, veri kategorilerinin ve güvenlik tedbirlerinin belirlenmesine yönelik çalışma yapılması. Kurum dört farklı standart sözleşme modeli yayımlamaktadır.
• Standart sözleşme bildirim takip çizelgesi: İmzalanan standart sözleşmelerin Kuruma bildirim süresinin takip edilmesi. Kanun uyarınca standart sözleşmelerin imzalanmasından itibaren beş iş günü içerisinde bildirilmesi gerekir.
• VERBİS durum değerlendirmesi: Güncel kriterler bakımından veri sorumlusunun kayıt yükümlülüğü veya istisna durumunun değerlendirilmesi.
• VERBİS–envanter uyum kontrolü: Sicile kayıt yükümlülüğü bulunan kuruluşlarda VERBİS bildirimlerinin fiilî veri işleme faaliyetleri ve envanterle karşılaştırılması.
• VERBİS güncelleme takip mekanizması: Bildirime esas bilgiler veya veri işleme süreçleri değiştiğinde gerekli güncellemelerin izlenmesine yönelik sorumluluk yapısının belirlenmesi.
• İdari tedbirler kontrol listesi: Politika, prosedür, eğitim, yetkilendirme, gizlilik, tedarikçi yönetimi ve denetim süreçlerinin mevcut durumunun gösterilmesi.
• Teknik tedbirler değerlendirme listesi: İlgili teknik ekiplerle birlikte erişim kontrolü, loglama, yedekleme, şifreleme, ağ güvenliği, güncelleme ve diğer veri güvenliği tedbirlerinin mevcut durumunun değerlendirilmesi.
• Risk ve uyumsuzluk kayıt listesi: Mevcut kişisel veri işleme süreçlerinde tespit edilen eksikliklerin ve risklerin sistematik biçimde kayıt altına alınması.
• Risklerin önceliklendirilmesi: İşlenen veri türü, kişi sayısı, özel nitelikli veri bulunması, erişim kapsamı ve olası etki dikkate alınarak eksikliklerin önceliklendirilmesi.
• Düzeltici faaliyet planı: Her önemli uyumsuzluk için yapılması gereken idari veya teknik işlemlerin belirlenmesi.
• Sorumlu birim ve hedef tarih tablosu: Her aksiyon için sorumlu kişi/birim, hedef tarih ve mevcut durum bilgisinin takip edilebilmesine yönelik yapı oluşturulması.
• Kısa, orta ve uzun vadeli KVKK yol haritası: Uyum çalışmalarının risk ve önceliklere göre aşamalı bir uygulama planına dönüştürülmesi.
• KVKK farkındalık eğitim planı: Çalışanların görev ve veri erişim seviyelerine göre hangi konularda eğitim alması gerektiğinin belirlenmesi.
• Eğitim katılım ve farkındalık kayıtları: Yapılan eğitimlerin tarihi, konusu, katılımcıları ve gerektiğinde değerlendirme sonuçlarının kayıt altına alınması.
• Yeni proje ve sistemler için KVKK kontrol listesi: Yeni yazılım, bulut servisi, kamera sistemi, mobil uygulama veya diğer projelerde kişisel veri etkisinin devreye alma öncesinde değerlendirilmesine yönelik kontrol yapısı oluşturulması.
• Yapay zekâ araçları envanteri: Kurum içerisinde kullanılan üretken yapay zekâ ve diğer yapay zekâ araçlarının, kullanılan veri türlerinin, kullanıcı gruplarının ve olası veri aktarımlarının belirlenmesi. Kurumun güncel rehberlerinde üretken yapay zekâ kullanımı ayrıca kişisel veri riski olarak ele alınmaktadır.
• Yapay zekâ kullanımına ilişkin kurum içi veri koruma kuralları: Çalışanların hangi kişisel veya kurumsal verileri bu sistemlere aktarmaması gerektiğinin ve kullanım sınırlarının belirlenmesine destek verilmesi.
• Yüksek riskli veri işleme faaliyetleri için risk değerlendirme çıktısı: Biyometrik veri, kapsamlı çalışan izleme, yapay zekâ veya diğer yüksek riskli süreçlerde veri koruma risklerinin ayrıca değerlendirilmesi.
• Periyodik KVKK iç kontrol planı: Envanter, yetkilendirme, saklama-imha, tedarikçi, ihlal, aydınlatma ve diğer kritik süreçlerin belirlenen aralıklarla yeniden kontrol edilmesine yönelik plan hazırlanması.
• KVKK iç kontrol / denetim kontrol listesi: Periyodik değerlendirmelerin aynı kriterlerle ve izlenebilir biçimde yapılabilmesine yönelik kontrol seti oluşturulması.
• Doküman sürüm ve revizyon takip sistemi: Politika, prosedür, envanter, aydınlatma metni ve diğer KVKK belgelerinin sürüm, tarih, onay ve değişiklik bilgilerinin kayıt altına alınması.
• Değişiklik tetikleyici listesi: Yeni yazılım, yeni tedarikçi, şirket yapılanması, yeni veri kategorisi, bulut geçişi veya mevzuat değişikliği gibi hangi durumlarda KVKK dokümanlarının yeniden gözden geçirileceğinin belirlenmesi.
• Uyum durum özeti: Çalışma sonunda kurumun güçlü yönleri, öncelikli eksikleri, tamamlanan iyileştirmeleri ve devam eden aksiyonlarının toplu biçimde gösterilmesi.
• Yönetim için öncelikli aksiyon özeti: Teknik ve ayrıntılı dokümantasyondan ayrı olarak yönetimin kritik riskleri, yapılması gerekenleri ve öncelik sırasını kolayca görebileceği kısa bir değerlendirme hazırlanması.

KVKK uyum çalışmalarında hazırlanacak çıktıların tamamı her kurum için aynı değildir. Doküman ve kontrol seti; kurumun faaliyet alanı, organizasyon yapısı, işlediği kişisel veriler, kullandığı sistemler, veri aktarım süreçleri ve mevcut uyum seviyesine göre belirlenir. Amaç gereksiz doküman üretmek değil; fiilî iş süreçlerinde uygulanabilecek, sorumluları belirlenmiş, izlenebilir ve zaman içerisinde güncel tutulabilecek sürdürülebilir bir kişisel veri yönetim yapısı oluşturmaktır.