Giriş

Birçok işletme KVKK uyum sürecine iyi niyetle başlasa da, denetim aşamasına geldiğinde temel dokümanlarda eksiklikler olduğu görülür.
Oysa KVKK uyumu, yalnızca VERBİS kaydı veya bir aydınlatma metni yayımlamakla tamamlanmaz;
kurumun kendi süreçlerine özel dokümantasyon gerektirir.

Bu yazıda, en sık eksik kalan 5 temel KVKK dokümanını ve neden kritik olduklarını açıklıyoruz.

---

1️⃣ Kişisel Veri İşleme Envanteri

KVKK’nın en temel gerekliliklerinden biridir.
Kurumun hangi kişisel verileri hangi amaçla, ne kadar süreyle, kimlerle paylaştığını gösteren ayrıntılı bir listedir.

Eksik olduğunda:

• VERBİS bildirimi hatalı olur,
• Denetimlerde kurumun veri akışı anlaşılamaz,
• İhlal veya veri sızıntısı durumunda sorumluluk netleşmez.

İpucu: Envanterinizi dijital bir sistemle yönetin (ör. bgys.app’in “Varlık ve Veri Envanteri” modülü bu iş için idealdir).

---

2️⃣ Aydınlatma Metinleri

Birçok kurum aydınlatma metnini sadece web sitesine koyar — oysa bu yeterli değildir.
Çalışan, müşteri, tedarikçi ve ziyaretçi gibi her kategori için ayrı aydınlatma metni hazırlanmalıdır.

Eksik olduğunda:

• Açık rıza geçersiz sayılabilir,
• Kurul tarafından “bilgilendirme eksikliği” nedeniyle para cezası uygulanabilir.

İpucu: Tüm aydınlatma metinlerinde “veri sorumlusu”, “amaç”, “hukuki sebep”, “aktarılan taraflar” ve “haklar” bölümleri mutlaka yer almalıdır.

---

3️⃣ Açık Rıza Beyanları

KVKK’nın 5. ve 6. maddelerine göre açık rıza, “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan” onaydır.

En sık yapılan hata:

Açık rızanın zorunlu hizmet koşulu haline getirilmesi veya tek bir metinle tüm faaliyetler için geçerli sayılmasıdır.

İpucu: Her bir işleme amacı için ayrı açık rıza alınmalı ve kayıt altına alınmalıdır (örneğin pazarlama e-postası, anket katılımı, kamera kaydı gibi).

---

4️⃣ Kişisel Veri Saklama ve İmha Politikası

KVKK’nın 7. maddesi gereği, kişisel veriler işleme amacı sona erdiğinde silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Eksik olduğunda:

• Kurum gereğinden uzun süre veri tutabilir,
• Veri ihlali yaşandığında ceza miktarı artabilir.

İpucu: Saklama sürelerini iş süreci bazında belirleyin (ör. muhasebe verileri 10 yıl, başvuru formları 2 yıl vb.) ve imha kayıtlarını düzenli tutun.

---

5️⃣ Teknik ve İdari Tedbirler Politikası

Bu doküman, kurumun KVKK madde 12 kapsamında almak zorunda olduğu tüm önlemleri gösterir.
Erişim kontrolleri, loglama, şifreleme, sızma testi, yetki yönetimi gibi teknik adımlar bu politika içinde tanımlanmalıdır.

Eksik olduğunda:

• Denetimlerde “veri güvenliğine ilişkin önlem alınmadığı” değerlendirmesi yapılabilir,
• Siber güvenlik olaylarında savunma zayıflar.

İpucu: ISO/IEC 27001 standardına uygun biçimde teknik ve idari kontrolleri sınıflandırın (ör. fiziksel güvenlik, erişim kontrolü, yedekleme, ağ güvenliği).

---

Bonus: Tedarikçi ve Çalışan Sözleşmeleri

Birçok işletme gözden kaçırır ama kişisel verilerin işlendiği her sözleşmede KVKK uyum maddeleri bulunmalıdır.
Tedarikçi, taşeron, dış kaynak (outsourcing) ya da çalışan sözleşmeleri bu kapsamda revize edilmelidir.

---

Sonuç

KVKK uyum süreci, sadece “belgeler tamamlandı” diyebilmekten ibaret değildir.
Bu dokümanlar; kurumun veri yönetimi kültürünü, şeffaflığını ve denetime hazırlığını temsil eder.

Unutmayın: KVKK’da eksik bir doküman, eksik bir savunmadır.

💬 Uyum sürecinizde hangi dokümanların eksik olduğunu öğrenmek veya örnek şablonlar hakkında bilgi almak için bizimle iletişime geçebilirsiniz.

---

İlgili Yazılar

• KVKK Nedir, Sadece VERBİS’e Kayıt Olmak Yeterli mi?
• KVKK Uyum Sürecinin Maliyeti Nedir?
• Kişisel Veri İhlalinde Ne Yapılmalı? Bildirim Süreci ve Cezalar

---

#KVKK #KişiselVeriler #VeriKoruma #KVKKDokümanları #KVKKDanışmanlık #Veriİşleme #AydınlatmaMetni #AçıkRıza #Veriİmha #BGYS