Veri Envanteri Nasıl Çıkarılır? KVKK İçin Uygulama Rehberi

Veri envanteri, bir kurumun kişisel verileri nerede, hangi süreçte, hangi amaçla ve kimlerle işlediğini görünür hâle getiren çalışma haritasıdır. KVKK uyumu açısından yalnızca bir tablo hazırlamak değil, iş süreçleri ile kullanılan sistemler arasındaki veri akışını anlamak gerekir.

İyi hazırlanmış bir envanter, aydınlatma metinlerinin ve iç prosedürlerin gerçek uygulamayla örtüşmesine yardımcı olur. Aynı zamanda hangi faaliyetlerin öncelikli incelenmesi gerektiğini gösterir; çünkü kurum, elindeki veriyi ve bu verinin hareket ettiği noktaları somut biçimde görmeye başlar.

Veri Envanteri Hangi Sorulara Cevap Verir?

Envanterin temel amacı, kişisel veri işleme faaliyetlerini süreç bazında açıklamaktır. Her kayıt için en az şu sorulara cevap aranır: Hangi kişisel veriler işleniyor, veri sahibi kim, işleme amacı ne, veri hangi kaynaktan geliyor, nerede tutuluyor, kimlerin erişimi var ve hangi üçüncü taraflarla paylaşılıyor?

Burada veri kategorisi ile işleme amacı birbirine karıştırılmamalıdır. Örneğin bir satış sürecinde ad, iletişim bilgisi ve fatura bilgisi işlenebilir; ancak bu verilerin teklif hazırlama, sözleşme kurma ve muhasebe işlemleri gibi farklı amaçları olabilir.

Gündelik bir örnek düşünelim: Bir müşteri form dolduruyor, bilgiler satış ekibinin ekranına düşüyor, teklif hazırlanıyor ve ardından fatura için muhasebe sistemine aktarılıyor. Envanter, bu süreci tek bir müşteri verisi kaydı olarak değil, kaynağı, amacı, sistemleri ve aktarımları görünen bir işleme faaliyeti olarak ele alır.

Çalışmaya Departmanlardan Değil Süreçlerden Başlayın

Veri envanteri çıkarırken yalnızca insan kaynakları, pazarlama veya bilgi teknolojileri departmanlarını listelemek eksik sonuç verebilir. Aynı kişisel veri, birden fazla departmanın dâhil olduğu tek bir süreçte farklı amaçlarla işlenebilir. Bu nedenle başlangıç noktası departman adı değil, kurumun yaptığı işler olmalıdır.

İlk adımda müşteri edinme, satış, destek, işe alım, tedarik, ziyaretçi yönetimi ve finans gibi ana süreçler listelenebilir. Daha sonra her süreçte kullanılan formlar, uygulamalar, e-posta kutuları, dosya klasörleri ve hizmet sağlayıcılar belirlenir. Süreç sahipleriyle yapılan görüşmeler, mevcut belgelerde görünmeyen uygulamaları ortaya çıkarmak için önemlidir.

Örneğin insan kaynakları sürecinde yalnızca özgeçmişlerin toplandığı düşünülürse envanter eksik kalır. Aday görüşme notları, referans görüşmeleri, işe giriş belgeleri ve erişim kartı oluşturma işlemleri de aynı sürecin farklı veri işleme noktaları olabilir.

Her İşleme Faaliyetini Aynı Kayıt Yapısıyla Belgeleyin

Envanterin kullanılabilir olması için tüm süreçlerde benzer bir kayıt yapısı kullanılmalıdır. Pratik bir kayıt şablonunda şu alanlar bulunabilir:

• İşleme faaliyetinin ve bağlı olduğu sürecin adı
• Veri sahibi grubu
• Kişisel veri ve varsa özel nitelikli kişisel veri kategorileri
• İşleme amacı
• İşlemenin hukuki dayanağına ilişkin kurum değerlendirmesi
• Verinin elde edilme kaynağı
• Kullanılan uygulama, cihaz veya fiziksel ortam
• Erişen iç birimler ve hizmet sağlayıcılar
• Aktarım yapılan taraflar ve aktarımın amacı
• Saklama ve imha sürecine ilişkin kurum kuralı
• Süreç sahibi ve güncelleme tarihi

Bu alanlar, her kurumda aynı ayrıntı düzeyinde uygulanmak zorunda değildir. Önemli olan, bir kaydı okuyan kişinin verinin yaşam döngüsünü anlayabilmesidir. İşleme amacı belirsizse veya sistem adı yazılmadan yalnızca departman belirtilmişse kayıt daha sonra denetlenmesi zor bir not hâline gelir.

Örneğin destek taleplerinde müşteri adı, iletişim bilgisi, cihaz bilgisi ve yazışma içeriği bulunabilir. Bu verilerin destek talebini çözmek için kullanıldığı, destek platformunda tutulduğu ve gerektiğinde teknik hizmet sağlayıcıyla paylaşıldığı açıkça yazılmalıdır.

Veri Akışını Sistemler ve Hizmet Sağlayıcılarla Doğrulayın

Süreç görüşmeleri tek başına yeterli olmayabilir; çünkü çalışanlar verinin hangi sistemlerden geçtiğini veya arka planda hangi hizmetlerin devreye girdiğini her zaman aynı ayrıntıyla bilmeyebilir. Bu nedenle uygulama envanteri, kullanıcı yetkileri, sözleşmeler, formlar, e-posta grupları ve dosya alanları da incelemeye alınmalıdır.

Teknik ekipten alınan sistem listesi ile iş birimlerinden alınan süreç bilgisi karşılaştırılabilir. Bir sistemde müşteri verisi tutulduğu görülüyor ancak ilgili birimin envanterinde bu sistem yer almıyorsa iki kayıt arasında açıklanması gereken bir boşluk vardır. Aynı şekilde bir hizmet sağlayıcıya veri aktarımı yapıldığı hâlde sözleşme veya süreç dokümanında bu aktarım görünmüyorsa konu ayrıca değerlendirilmelidir.

Örneğin pazarlama ekibi bir kampanya formunu kullanırken verilerin yalnızca e-posta listesine gittiğini düşünebilir. Teknik inceleme, form verisinin önce bir müşteri ilişkileri sistemine, ardından başka bir iletişim aracına aktarıldığını gösterebilir. Harita bu zinciri göstermediğinde, hazırlanan metinler ve erişim kontrolleri gerçek akışı yansıtmaz.

Envanteri Güncel Tutmak ve VERBİS ile Tutarlı Kılmak

Veri envanteri tek seferlik bir proje gibi ele alınmamalıdır. Yeni bir yazılım kullanılması, bir formun değiştirilmesi, dış hizmet alınması veya yeni bir iş sürecinin başlaması envanterin gözden geçirilmesini gerektirir. Güncelleme sorumluluğu belirlenmezse dosya kısa sürede mevcut durumu yansıtmayan bir arşive dönüşür.

Envanter çalışması, gerekiyorsa Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) hazırlıkları için de temel oluşturur. Ancak VERBİS yükümlülüğü ve istisnalar güncel ölçütlere göre ayrıca değerlendirilmelidir; envanterdeki bilgilerle yapılacak kayıt veya bildirimlerin birbiriyle tutarlı olması gerekir.

Yaygın hatalardan biri, yalnızca internet sitesindeki formları inceleyip fiziksel belgeleri, telefon görüşmelerini ve tedarikçi akışlarını dışarıda bırakmaktır. Bir başka hata da tüm faaliyetleri tek bir genel amaç altında toplamaktır. Daha sağlıklı yaklaşım, süreç sahiplerinin onayından geçen, teknik kayıtlarla karşılaştırılan ve değişiklik olduğunda güncellenen bir çalışma düzeni kurmaktır.

İlk düşük riskli adım olarak tek bir süreci seçip veri kaynağından silme veya arşivleme noktasına kadar olan akışı birlikte belgeleyin.

Sık Sorulan Sorular

Veri envanteri yalnızca bilgi teknolojileri ekibi tarafından mı hazırlanır?

Hayır. Bilgi teknolojileri ekibi sistemleri ve erişimleri doğrular; iş birimleri ise verinin hangi süreçte ve hangi amaçla kullanıldığını açıklar. Envanter, bu bilgilerin birlikte değerlendirilmesiyle güvenilir hâle gelir.

Envanterde her kişisel veri ayrı satırda mı gösterilmelidir?

Her zaman ayrı satır kullanmak gerekmez. Aynı süreçte, aynı amaçla ve benzer akışla işlenen veri kategorileri birlikte gösterilebilir; ancak farklı amaç, sistem veya aktarım varsa ayrıştırmak daha anlaşılır olur.

Veri envanteri ile VERBİS kaydı aynı şey midir?

Hayır. Veri envanteri kurum içindeki işleme faaliyetlerini ayrıntılı biçimde gösteren çalışma haritasıdır. VERBİS ise ilgili yükümlülük doğduğunda belirlenen usule göre yapılan sicil kaydıdır; envanter bu hazırlık için temel kaynaklardan biridir.