KVK uygulamasında sık yapılan beş hata

Kişisel verilerin korunması çalışmalarında karşılaşılan sorunların çoğu, mevzuatın bilinmemesinden kaynaklanmıyor. Asıl sorun, uyumun bir belge seti üretme işi sanılması. Belgeler hazırlanıyor, klasöre konuyor ve kurum kendini hazır sayıyor. Oysa bir denetim ya da ilgili kişi başvurusu geldiğinde sorulan şey belgenin varlığı değil, o belgede yazanın sahada gerçekten uygulanıp uygulanmadığı oluyor.

Aşağıda, uygulamada en sık tekrar eden beş hatayı ve bunların neden sorun ürettiğini topladık.

1. Envanterin süreç yerine departman bazında tutulması

Pek çok kurumda veri envanteri "İnsan Kaynakları", "Muhasebe", "Satış" gibi departman başlıklarıyla hazırlanıyor. Bu, ilk bakışta düzenli görünse de işe yaramıyor. Çünkü aynı departman birbirinden çok farklı amaçlarla, farklı hukuki sebeplere dayanarak ve farklı saklama süreleriyle veri işliyor olabilir.

İşe alım süreci ile bordro süreci aynı departmandadır ama hukuki sebepleri, veri kategorileri ve saklama süreleri farklıdır. Departman bazlı bir envanter bu farkı gizler; süreç bazlı envanter ise her işleme faaliyetini kendi hukuki dayanağı ve süresiyle birlikte görünür kılar.

Pratik ölçüt şudur: envanterdeki bir satır için "bu veriyi neden işliyoruz ve ne zaman sileceğiz?" sorusuna tek bir cevap veremiyorsanız, o satır aslında birden fazla sürecin birleşmiş hâlidir ve ayrılması gerekir.

2. Aydınlatma ile açık rızanın karıştırılması

Bu, en yaygın ve en maliyetli karışıklık. Aydınlatma yükümlülüğü ile açık rıza birbirinin yerine geçen kavramlar değil; biri bilgilendirme, diğeri bir işleme şartıdır.

Aydınlatma her durumda yapılır. Veriyi hangi hukuki sebeple işliyor olursanız olun, ilgili kişiyi bilgilendirmek zorundasınız. Açık rıza ise yalnızca başka bir işleme şartı bulunmadığında devreye girer. Bir sözleşmenin kurulması için zorunlu olan veriyi işlerken açık rıza istemek yanlıştır; hem gereksizdir hem de kişiye "hayır" deme hakkı verdiği izlenimi yaratır, oysa o veri olmadan sözleşme kurulamaz.

Uygulamada sık görülen hatalı kurgu: tek bir metnin altına tek bir onay kutusu koyup hem aydınlatmayı hem açık rızayı aynı tıklamayla almak. Bu, açık rızanın özgür iradeyle verilmiş olması gereğiyle bağdaşmaz. Aydınlatma metni ayrı sunulmalı, açık rıza gerekiyorsa ayrı ve seçimlik olarak alınmalıdır.

3. Saklama süresinin yazılıp imha döngüsünün kurulmaması

Envanterde her süreç için bir saklama süresi yazmak uyum çalışmasının kolay kısmı. Zor kısmı, o sürenin sonunda verinin gerçekten silinmesi.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik, periyodik imha süresinin altı ayı geçemeyeceğini düzenliyor. Yani imha, "aklımıza geldiğinde yaparız" denebilecek bir iş değil; takvime bağlanmış, tekrarlayan ve kayıt üreten bir süreç olmak zorunda.

Burada en çok atlanan nokta yedekler. Ana sistemden silinen bir kayıt, aylarca yedek setlerinde durmaya devam edebilir. Yedek dosyalarından tek bir kaydı çıkarmak teknik olarak çoğu zaman mümkün değildir; uygulanabilir yöntem, saklama süresi dolan yedek setlerinin bütün olarak imha edilmesi ve bu döngünün imha politikasında yazılı hâle getirilmesidir.

4. Tedarikçilerin envantere hiç girmemesi

Kurumlar envanteri kendi sistemleri üzerinden çıkarıyor, ancak veriyi fiilen işleyen üçüncü tarafları çoğu zaman atlıyor. Muhasebe programının bulut sağlayıcısı, e-posta hizmeti, çağrı merkezi, kargo firması, bordro hizmeti alınan mali müşavir; bunların hepsi veri işleyen sıfatını taşıyabilir.

Bu eksiklik iki yerde karşınıza çıkar. Birincisi, bir veri ihlali tedarikçi tarafında yaşandığında sorumluluğun kurumda da doğması. İkincisi, ilgili kişi silme talebinde bulunduğunda verinin nerelere yayıldığının bilinmemesi; talebi karşıladığınızı düşünürsünüz ama veri başka bir sistemde durmaya devam eder.

Çözüm, envantere tedarikçi boyutunu eklemek ve her aktarım için hukuki dayanağı, sözleşmedeki taahhütleri ve verinin nerede barındırıldığını kayda geçirmek.

5. Yurt dışına aktarımın fark edilmemesi

Yurt dışına veri aktarımı çoğu kurumda "biz yurt dışına veri göndermiyoruz" cümlesiyle geçiştiriliyor. Oysa yurt dışında barındırılan bir bulut hizmeti kullanmak, yurt dışı merkezli bir yazılıma veri girmek veya bir yapay zekâ servisine belge yüklemek de aktarımdır.

6698 sayılı Kanun’un 9. maddesi, 7499 sayılı Kanun ile değişti ve 1 Haziran 2024’te yürürlüğe girdi. Yeni rejimde aktarım; yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi bir mekanizmaya dayandırılmalı. Standart sözleşme kullanılması hâlinde, imza tarihinden itibaren beş iş günü içinde Kurul’a bildirim yapılması gerekiyor.

Bu beş iş günlük süre, uygulamada en çok kaçırılan yükümlülüklerden biri. Aktarım kayıtlarını tutan ve bildirim tarihini takip eden bir düzen kurulmadığında, sözleşme imzalanır ve bildirim unutulur.

Toparlarsak

Bu beş hatanın ortak noktası, uyumun tek seferlik bir belge üretimi olarak ele alınması. Envanter süreç bazlı çıkarıldığında, aydınlatma ile rıza ayrıldığında, imha takvime bağlandığında, tedarikçiler kapsama alındığında ve aktarımlar kayıt altına alındığında ortaya çıkan şey bir klasör değil; kurumun kendi veri düzenini görebildiği bir yapı oluyor.

Kendi kurumunuzda bu başlıkların nerede durduğunu görmek isterseniz, bir ön değerlendirme görüşmesiyle mevcut durumu birlikte çıkarabiliriz.