Birçok şirkette KVKK çalışması bir kez yapılıp rafa kaldırılır. Oysa süreçler değiştikçe envanter eskir, saklama süreleri dolar ve yeni aktarımlar doğar. Bu rehber, uyumu canlı tutan üç alana odaklanır.
Neden süreklilik gerekir?
6698 sayılı Kişisel Verilerin Korunması Kanunu veri sorumlusuna bir defalık değil, süreklilik gerektiren yükümlülükler getirir: aydınlatma, veri güvenliği tedbirleri, saklama ve imha, ilgili kişi başvurularının yanıtlanması. Bu yükümlülüklerin hepsi şirketin gerçek veri akışına dayanır; akış değiştiğinde kayıtların da değişmesi gerekir.
Kişisel veri işleme envanteri
Envanter, uyumun omurgasıdır. Her veri işleme faaliyeti için en azından şu bilgiler tutulur:
- İşleme amaçları ve hukuki sebepler
- Veri kategorileri ve ilgili kişi grupları
- Verinin aktarıldığı alıcı grupları
- Azami saklama süreleri
- Yurt dışına aktarımı öngörülen veriler
- Alınan teknik ve idari güvenlik tedbirleri
Saklama ve imha
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, verinin saklama süresi sona erdiğinde imha edilmesini ve bunun kayıt altına alınmasını ister. Yönetmeliğe göre periyodik imha aralığı altı ayı geçemez.
Pratikte zorluk, hangi verinin ne zaman süresinin dolduğunu bilmektir. Saklama sürelerini envanterle bağlamak ve her imha işlemini tutanakla kayda geçirmek, bu yükümlülüğü takip edilebilir kılar.
Yurt dışı aktarım
Kanun'un yurt dışı aktarımı düzenleyen 9. maddesi 2024 yılında değişti. Aktarım artık yeterlilik kararı, uygun güvenceler (örneğin standart sözleşme) veya sınırlı arızi hâllere dayanabilir. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir.
Bulut hizmetleri, yazılım sağlayıcıları ve grup şirketleri çoğu zaman fark edilmeyen aktarımlar yaratır. Her yeni sağlayıcı, envanterde bir aktarım değerlendirmesi açmalıdır.
Kanıtla yönetin
Envanter değişikliklerinin tarihçesi, imha tutanakları ve aktarım değerlendirmeleri, uyumun kanıtıdır. Bu kanıtların bir kısmı ISO 27001 çalışmasıyla ortaktır; ikisini aynı yapıda yönetmek, aynı belgenin iki kez üretilmesini önler.
KVKK uyumu, envanterin gerçek veri akışıyla birlikte değiştiği ve her değişikliğin kanıtıyla kayda geçtiği bir operasyon olarak yönetildiğinde sürdürülebilir olur.
Bu rehber genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir. Güncel mevzuat ile Kişisel Verileri Koruma Kurulu kararları esas alınmalıdır.
Tüm kaynaklar