KVKK Uyum Süreci Nasıl Başlatılır? Adım Adım Yol Haritası

1. Mevcut Durum Analizi: Kurumsal GAP Analizi ve Risk Tespiti

Herhangi bir sisteme başlamadan önce "neredeyiz?" sorusuna yanıt vermek gerekir. GAP analizi, kurumun mevcut veri işleme pratikleri ile kanunun emredici hükümleri arasındaki boşluğu (gap) tespit etme sürecidir.

Kurumsal Farkındalık ve KVKK Komitesinin Teşkili

KVKK uyumu, BT departmanına ihale edilemeyecek kadar geniş bir konudur. Uyum sürecini yönetecek komite şu disiplinleri içermelidir:

• Hukuk Danışmanı: Sözleşme yönetimi ve kanuni yorumlamalar için.
• CISO veya Bilgi İşlem Müdürü: Teknik güvenlik katmanlarını kurmak için.
• İK Müdürü: Çalışan verilerinin ve özlük dosyalarının yönetimi için.
• Üst Yönetim Temsilcisi: Bütçe ve karar alma yetkisi için.

Veri Koruma Etki Değerlendirmesi (DPIA)

Hangi veri işleme süreçlerinin yüksek risk taşıdığını belirlemek için yapılan bir iç denetimdir. Örneğin, biyometrik verilerle (yüz tanıma, parmak izi) giriş yapılan bir fabrikada DPIA yapmak, olası bir veri sızıntısının etkilerini önceden tahmin etmeyi sağlar. Bu analiz sonucunda bir "Risk Haritası" çıkarılır ve öncelikli müdahale edilmesi gereken "kırmızı alanlar" belirlenir.

2. Veri İşleme Envanteri ve Veri Mimarisinin İnşası

Veri envanteri, KVKK uyumunun anayasasıdır. Hangi verinin, nerede, neden, ne kadar süreyle tutulduğunu bilmediğiniz bir sistemi koruyamazsınız. Envanter, VERBİS kaydının da temel kaynağını oluşturur.

2.1. Veri Akış Haritalama (Data Mapping)

Verinin kurum içindeki yolculuğunu uçtan uca simüle etmelisiniz. Bir müşterinin verisi web sitesinden girildiği andan itibaren sırasıyla şu duraklardan geçer:

1. Toplama: Web formu, çerezler veya çağrı merkezi.
2. İşleme: CRM yazılımı, faturalandırma sistemi.
3. Saklama: Yerel sunucu veya bulut (cloud) altyapısı.
4. Aktarma: Kargo firması, banka veya yurt dışındaki ana merkez.
5. İmha: Saklama süresi bitince geri dönülemez şekilde silme.

2.2. Veri Sınıflandırma ve Özel Nitelikli Veriler

Tüm veriler aynı risk derecesine sahip değildir. Bir kişinin ayakkabı numarası ile dinini veya sağlık verisini aynı güvenlik seviyesinde tutamazsınız. Sağlık verileri, biyometrik veriler ve sendika üyelikleri gibi "Özel Nitelikli Kişisel Veriler" için ek güvenlik katmanları (örneğin; donanımsal şifreleme anahtarları) planlanmalıdır.

3. Siber Güvenlik ve İleri Düzey Teknik Tedbirler

Kişisel Verileri Koruma Kurulu (KVKK), veri sorumlularının "teknolojik imkanlar dahilinde makul tüm önlemleri almasını" bekler. Bir veri sızıntısı olduğunda, bu tedbirleri alıp almadığınız ceza miktarını belirleyen temel faktördür.

3.1. Erişim Yönetimi ve Sıfır Güven (Zero Trust) Yaklaşımı

Artık "şirket içi ağdayız, güvendeyiz" anlayışı geçerli değildir. Her erişim isteği doğrulanmalıdır:

• MFA (Çok Faktörlü Doğrulama): Sadece şifre yetmez, SMS veya biyometrik doğrulama şarttır.
• Yetki Matrisi: Her personel sadece işini yapması için gereken veriye erişmelidir.
• PAM (Ayrıcalıklı Erişim Yönetimi): Admin hesaplarının hareketlerini anlık izlemek ve kaydetmek.

3.2. Veri Sızıntısı Önleme (DLP) ve Şifreleme (Encryption)

DLP yazılımları, hassas verilerin şirket dışına (e-posta, USB, bulut yükleme) çıkarılmasını engeller. Veritabanındaki veriler ise mutlaka AES-256 gibi güçlü algoritmalarla şifrelenmelidir. Şifreli bir veritabanı çalınsa dahi, anahtara sahip olmayan saldırgan için bu veri sadece bir çöp yığınıdır.

3.3. Log Yönetimi ve SIEM Sistemleri

Veriye kimin, ne zaman ulaştığını bilmek zorundasınız. 5651 sayılı kanunla uyumlu loglama, siber saldırı sonrası adli analiz için tek kanıttır. SIEM sistemleri ise bu logları analiz ederek anormal hareketleri (Örn: Gece 04:00'te toplu veri indirme işlemi) tespit edip alarm verir.

4. Hukuki Mimari, VERBİS ve Aktarım Yönetimi

Teknik tedbirler kaleyi korur, hukuki belgeler ise kalenin tapusudur. Her ikisi de eksiksiz olmalıdır.

4.1. Aydınlatma Metni ve Açık Rıza Formları

Aydınlatma metni, "biz sizin şu verinizi işliyoruz" demenin ötesinde; şeffaf, anlaşılır ve ulaşılabilir olmalıdır. Kritik Hata: Web sitesinin en altına küçücük bir metin koymak yetmez; verinin toplandığı her noktada (iletişim formu, üyelik ekranı vb.) aydınlatma yapılmalıdır. Eğer veri işleme şartlarından biri (kanun, sözleşme vb.) yoksa, "Açık Rıza" mutlaka özgür iradeyle ve belirli bir konuya özgü alınmalıdır.

4.2. VERBİS (Veri Sorumluları Sicil Bilgi Sistemi)

Yasal kriterleri sağlayan şirketler VERBİS'e kayıt olmak zorundadır. Bu kayıt, şirket envanterinin bir özetidir. Kurul denetimlerinde, VERBİS beyanı ile fiili uygulamanın tutarlı olup olmadığına bakar. Tutarsızlık, "yanıltıcı beyan" kapsamında ağır cezalara yol açar.

4.3. Yurt Dışına Veri Aktarımı ve Sözleşmeler

Eğer verileriniz yurt dışındaki bir sunucuda (Google, Amazon, Microsoft vb.) tutuluyorsa, "Yurt Dışına Aktarım" kurallarına uymalısınız. 2024 ve 2026 güncel kararları uyarınca, Standart Sözleşme Maddeleri (SCC) gibi hukuki güvencelerin oluşturulması zorunludur.

5. Veri İhlal Yönetimi ve Sürdürülebilirlik

KVKK uyumu "yapıldı ve bitti" denilebilecek bir proje değil, yaşayan bir süreçtir. Sistemlerinizi sürekli denetlemeli ve güncel siber tehditlere karşı hazır tutmalısınız.

5.1. Veri İhlal Bildirim Planı (72 Saat Kuralı)

Bir veri sızıntısı tespit edildiğinde, Kurul'a ve ilgili kişilere en geç 72 saat içerisinde bildirim yapma yükümlülüğünüz vardır. Bu süreyi yönetmek için bir "İhlal Müdahale Ekibi" ve önceden hazırlanmış taslak raporlarınız olmalıdır. Panik anında hata yapmamak için bu plan hayat kurtarır.

5.2. Periyodik Sızma Testleri (Pentest)

Sisteminizi bir saldırganın gözüyle test etmelisiniz. Yılda en az bir kez profesyonel siber güvenlik ekipleri tarafından "Sızma Testi" yapılması, teknik tedbirlerin güncelliğini kanıtlar. Bu testler sonucunda çıkan açıklar kapatılmalı ve raporlanmalıdır.

Sık Sorulan Sorular