KVKK Uyum Rehberi 6698 Sayılı Kanun Kapsamında Süreç, Teknik & İdari Tedbirler ve VERBİS

2. KVKK Uyum Rehberi Nedir?

2.1 Tanım & Kapsam

KVKK Uyum Rehberi, NESİL Teknoloji danışmanları tarafından geliştirilen; idari ve teknik tedbirleri, doküman uyumunu ve uygulama örneklerini sistematik biçimde sunan dinamik bir KVKK kılavuzudur. Rehber, 7/24 güncel tutulabilecek şekilde tasarlanmış olup; mevzuat değişiklikleri, Kurul kararları ve en iyi uygulamalar ışığında canlı bir uyum dokümanı olarak konumlanır.

Kapsam itibarıyla rehber;

• KVKK ve ikincil düzenlemeleri (özellikle Veri Sorumluları Sicili Hakkında Yönetmelik),
• Veri sorumlularının rol ve sorumluluklarını,
• Teknik ve idari tedbir gerekliliklerini,
• Veri envanteri, saklama-imha, ihlal yönetimi ve VERBİS süreçlerini

tek bir çatı altında toplar ve kurumların KVKK uyumunu standardize edilebilir bir modelle yürütmesine imkan verir.

2.2 Amaç

KVKK Uyum Rehberi’nin temel amacı, veri sorumlusunun KVKK’ya uyumlu hâle gelmesi için gereksinimleri açık ve uygulanabilir şekilde ortaya koymaktır. Bu çerçevede rehber:

• Süreç, rol ve sorumlulukları net biçimde tanımlar,
• Örnek doküman setleriyle hızlı uyarlanabilirlik sağlar,
• Teknik ve idari tedbirleri somut kontrol noktalarına dönüştürür,
• Veri sorumlusunun hem denetimlere hazır olmasını hem de iç denetimlerini planlı yürütmesini destekler.

3. Neden Önemli?

3.1 Hukuki Uyum

KVKK’ya aykırı işlem ve ihlaller, idari para cezalarına ve adli süreçlere yol açabilir. Kanun ve yönetmeliklere uyumu sistematik hâle getiren bir KVKK uyum rehberi, veri sorumlularına kanıtlanabilir bir “due diligence” çerçevesi sunar ve riskleri daha ihlal gerçekleşmeden önce yönetilebilir kılar.

3.2 İtibar & Güven

Şeffaflık ve hesap verebilirlik, KVKK ve GDPR gibi düzenlemelerin merkezinde yer alır. KVKK uyum rehberi; aydınlatma, hak yönetimi ve ihlal bildirim süreçlerini standart hale getirerek kurumun müşteri ve paydaş nezdindeki güvenini artırır, marka değerini korur ve hatta güçlendirir.

3.3 Operasyonel Süreklilik

Standartlaştırılmış KVKK süreçleri, denetimlere hazır, kanıtlanabilir uyum sağlar. Veri envanterine dayalı süreçler; iş sürekliliği planları, yedekleme ve felaket kurtarma senaryolarıyla birlikte ele alındığında, kurumun operasyonel dayanıklılığını artırır.

3.4 VERBİS & Şeffaflık

Uyum rehberi, Veri Sorumluları Sicili (VERBİS) için gerekli envanter, saklama süreleri, alıcı grupları ve güvenlik tedbirleri düzeyinde görünürlük yaratır. Böylece VERBİS kaydı, sadece “form doldurma” değil, kurumsal veri haritasının çıkarılması anlamına gelir.

4. KVKK Uyum Yol Haritası

KVKK uyum yol haritası, veri sorumlusunun mevcut durumdan “uyumlu ve denetime hazır” bir yapıya dönüşümünü adım adım tanımlar. Rehber, bu yolculuğu aşağıdaki ana başlıklar altında kurgular:

4.1 Organizasyon & Yönetişim

• KVKK Komitesi / Veri Koruma Ekibi kurulumu ve görev tanımları,
• Veri sorumlusu, temsilci, süreç sahipleri ve destek birimleri için rol ve sorumluluk matrisi,
• Politika mimarisi: gizlilik, saklama & imha, veri ihlali, erişim, log, tedarikçi yönetimi vb.

4.2 Envanter & Kayıt

• İşleme faaliyetleri envanteri: Amaç, veri kategorisi, ilgili kişi grubu, alıcı grubu,
• Saklama süreleri ve imha yöntemlerinin tanımlanması,
• VERBİS kaydı için gereken amaç, kategori, saklama ve güvenlik bilgilerinin hazırlanması.

4.3 Aydınlatma & Açık Rıza

• Kanala özgü Aydınlatma Metinleri (web, mobil, kamera, iş başvurusu, çağrı merkezi vb.),
• İstisna dışında kalan işleme faaliyetleri için açık rıza metinleri ve rıza kayıt yönetimi,
• Aydınlatma ile açık rıza arasındaki farkın süreç bazında netleştirilmesi.

4.4 Sözleşmeler & Tedarikçiler

• Veri işleyen sözleşmeleri ve alt yüklenici zincirinin gözden geçirilmesi,
• Veri aktarım hükümleri, yurt içi/yurt dışı aktarım senaryoları,
• SLA/KPI’lı ihlal bildirimi, bilgi güvenliği taahhütleri ve denetim hakları.

4.5 Hak Yönetimi

• İlgili kişi başvuru prosedürü (KVKK m.11 ve m.13),
• Başvuru kayıt numarası, SLA’lar ve iletişim kanallarının belirlenmesi,
• Erişim, düzeltme, silme, itiraz vb. talepler için başvuru formları ve cevap şablonları.

4.6 İzleme & Denetim

• Düzenli iç denetimler ve bulgu yönetimi,
• Risk değerlendirmeleri ve yönetim gözden geçirmeleri,
• Sürekli iyileştirme döngüsü (planla-uygula-kontrol et-önlem al).

4.a Teknik Tedbirler

Teknik tedbirler, KVKK’nın öngördüğü “güvenli işleme ortamı”nı sağlamak için BT altyapısında alınması gereken önlemleri kapsar. KVKK uyum rehberi, bu tedbirleri somut kontrol başlıklarına dönüştürür.

Şifreleme

• Aktarım güvenliği için TLS ve tercihen HSTS yapılandırması,
• Depolama alanlarında AES-256 gibi güçlü algoritmalarla şifreleme,
• Anahtar yönetimi: anahtar kasası, yetki ayrıştırma ve erişim kayıtları.

Erişim Kontrolü

• RBAC/ABAC (rol ve özellik tabanlı erişim kontrolü),
• MFA (çok faktörlü kimlik doğrulama) ve en az ayrıcalık prensibi,
• Ayrıcalıklı hesap yönetimi ve detaylı loglama.

Ağ & Uygulama Güvenliği

• Ağ segmentasyonu, WAF ve IDS/IPS çözümleri,
• Güvenli konfigürasyon için CIS benchmark’ları ve sertleştirme kılavuzları,
• Düzenli sızma testleri ve zafiyet taramaları.

Geliştirme Yaşam Döngüsü

• Güvenli SDLC (Secure Development Life Cycle) uygulamaları,
• SAST/DAST araçları ile statik/dinamik kod analizi,
• Bağımlılık zafiyet yönetimi ve düzenli kod incelemeleri.

Yedekleme & Kurtarma

• Şifreli, offline/immutable yedekleme stratejileri,
• Felaket kurtarma senaryoları ve periyodik tatbikatlar,
• Yedeklerin erişim kontrolü ve saklama sürelerinin KVKK ile uyumu.

Varlık & Yama Yönetimi

• Tam ve güncel BT varlık envanteri oluşturulması,
• Otomatik yama yönetimi, zafiyet taraması ve konfigürasyon sürümlemesi,
• Yeni sistemlerin devreye alınmasında güvenlik kontrol listeleri kullanılması.

4.b İdari Tedbirler

İdari tedbirler, KVKK uyumunun insan ve süreç boyutunu güvence altına alır. Teknik önlemler ne kadar güçlü olursa olsun, idari tedbirler olmadan kalıcı ve denetlenebilir uyum sağlamak mümkün değildir.

Eğitim & Farkındalık

• KVKK, bilgi güvenliği, sosyal mühendislik ve olay bildirimi modülleri,
• Rol bazlı eğitim planları (yönetim, BT, İK, pazarlama, saha ekipleri),
• Ölçme-değerlendirme, sınav ve periyodik tazeleme eğitimleri.

Politikalar & Prosedürler

• Gizlilik politikası, saklama-imha politikası, veri ihlali prosedürü,
• Erişim ve log politikaları, tedarikçi yönetimi ve BYOD (kişisel cihaz kullanımı) kuralları,
• Temizlik masası (clean desk), ekran gizliliği ve fiziksel güvenlik prosedürleri.

Doküman Yönetimi

• Doküman versiyonlama ve onay akışlarının tanımlanması,
• Erişim kontrolü ve yetkisiz doküman paylaşımının önlenmesi,
• Yayın/geri çekme süreçleri ve değişiklik kayıtlarının tutulması.

Denetim & İyileştirme

• Planlı iç denetimler ve bulguların kayıt altına alınması,
• Bulgu kapatma planları, sorumlular ve süreler,
• KPI/KRI takibi (anahtar performans ve risk göstergeleri) ve yönetim raporlaması.

5. Veri İhlali Yönetimi

Veri ihlali olsun veya olmasın, başvuru ve olay yönetimi KVKK kapsamında en kritik ve riskli süreçlerden biridir. Sağlam bir veri envanteri ile teknik/idari tedbir dokümantasyonu, olası bir ihlalin kaynağını hızla görünür kılar ve müdahale süresini kısaltır.

• İhlal tespiti sonrası 72 saat içinde Kuruma bildirim yapılması,
• Gerektiğinde ilgili kişilere uygun kanallardan bilgi verilmesi,
• Kanıt koruma, kök neden analizi ve düzeltici/önleyici faaliyetlerin planlanması,
• İletişim planı; medya, sosyal medya ve paydaş iletişiminin profesyonelce yönetilmesi,
• Olay müdahale prosedürü: roller, SLA’lar, kayıt ve kapanış kontrolleri.

6. VERBİS Kaydı

İstisna kapsamı dışında kalan veri sorumluları için VERBİS (Veri Sorumluları Sicil Bilgi Sistemi)’ne kayıt zorunludur. VERBİS kaydı, sadece bir formalite değildir; veri sorumlusunun KVKK uyum fotoğrafını Kuruma karşı şeffaf biçimde ortaya koyduğu temel araçtır.

Kayıt öncesi envanter çalışmalarında özellikle şu başlıkların netleştirilmesi gerekir:

• İşleme amaçları ve hukuki sebepler,
• Veri kategorileri ve ilgili kişi grupları (müşteri, çalışan, tedarikçi vb.),
• Alıcı grupları ve veri aktarım senaryoları (yurt içi/yurt dışı),
• Saklama süreleri ve imha yöntemleri,
• Teknik ve idari güvenlik tedbirleri.

KVKK ve VERBİS ile ilgili daha fazla bilgi için Kişisel Verileri Koruma Kurumu resmi sayfasını ziyaret edebilirsiniz. Uyum rehberi, bu kayıt sürecini destekleyecek hazır şablonlar ve veri envanteri yapıları sunar.

7. Eğitim & Süreç Yönetimi

7.1 Farkındalık Programı

KVKK uyumunun sürdürülebilirliği, farkındalık düzeyi yüksek bir organizasyon kültürüyle mümkündür. Bu nedenle rol tabanlı eğitimler ve düzenli tazeleme programları kritik öneme sahiptir.

• Yönetim, BT, İK, pazarlama, saha ekipleri için ayrı tasarlanmış eğitim modülleri,
• Ölçme-değerlendirme, başarı kriterleri ve yıllık eğitim takvimi,
• İç iletişim kampanyaları, afiş/posterler, e-öğrenme içerikleri ve kısa video eğitimler.

7.2 Operasyonelleşme

KVKK süreçlerinin “kâğıt üzerinde kalmaması” için operasyonelleşme adımları gereklidir:

• Başvuru yönetim sistemi: kayıt numarası üretimi, SLA takibi ve otomatik hatırlatmalar,
• Raporlama panoları ve iç denetim kontrol listeleri,
• Süreç sahipliği ve yönetim gözden geçirme toplantıları ile takip edilen metrikler.

8. Sıkça Sorulanlar (SSS)

9. Sonuç

KVKK uyumu, yalnızca bir mevzuat gereği değil; itibar, güven ve operasyonel mükemmellik için temel bir yönetim disiplinidir. Envanterden aydınlatmaya, teknik ve idari tedbirlerden hak yönetimi ve ihlal bildirimine kadar tüm adımların sürekli işletilmesi; yasal risklerden korunmanın yanında paydaş güvenini artırır.

KVKK Uyum Rehberi, veri sorumlularına bu yolculukta yapılandırılmış bir GPS gibi rehberlik eder. Doğru kurgulanmış bir uyum programı ile:

• Yasal riskleri azaltır,
• Kurumsal itibar ve müşteri güvenini güçlendirir,
• İç süreçlerinizi yalınlaştırır ve standardize edersiniz.