Veri Kayıt Sistemi Nedir? KVKK’ya Göre Tanım, Örnekler ve Uyum Rehberi

1. Veri Kayıt Sistemi Nedir?

Veri kayıt sistemi; kişisel verilerin, belirli kriterlere göre yapılandırılmış biçimde tutulduğu ve bu kriterler üzerinden erişilebilir ve işlenebilir olduğu her türlü kayıt sistemini ifade eder.

Bu sistem:

• Sadece modern yazılımlar ve veri tabanlarıyla sınırlı değildir,
• Fiziksel dosyalama, klasörleme ve arşiv sistemlerini de kapsar,
• Verilere; isim, numara, dosya numarası, tarih, kategori gibi belirli ve sistematik ölçütler üzerinden ulaşılmasına imkân verir.

Dolayısıyla veri kayıt sistemi, modern veri yönetimi ve gizlilik ilkelerinin merkezinde yer alan; kişisel verilerin düzenli, denetlenebilir ve korumaya elverişli şekilde işlendiği temel altyapıdır.

2. Veri Yapılandırması ve İşlenmesi

Veri kayıt sistemi, kişisel verilerin belirli kriterler çerçevesinde yapılandırıldığı ve bu yapı üzerinden işlendiği bir düzen içerir. Bu kriterler:

• Bireyin adı, soyadı, T.C. kimlik numarası gibi tanımlayıcı bilgiler,
• Müşteri numarası, sözleşme numarası, dosya kodu gibi sistemsel referanslar,
• Sektöre özgü nitelikler (ör. risk puanı, segment, ürün türü vb.)

Bu sayede veriler:

• Daha kolay bulunabilir hale gelir,
• Belirli kriterlere göre filtrelenebilir ve raporlanabilir,
• Güncelleme, silme, anonimleştirme gibi işlemler sistematik biçimde yapılabilir.

Kişisel veriler rastgele kutulara atıldığında değil; belirli ölçütlere göre dosyalandığında veri kayıt sistemi ortaya çıkar ve bu durum KVKK yükümlülüklerini tetikler.

3. Elektronik ve Fiziksel Ortamlarda Veri Kayıt Sistemi

Veri kayıt sistemleri, sadece dijital dünyaya özgü değildir. Hem elektronik hem de fiziksel ortamlarda bulunabilir.

3.1. Elektronik Veri Kayıt Sistemleri

Elektronik sistemler; kişisel verilerin dijital platformlarda işlendiği ve saklandığı kayıt yapılarını içerir:

• CRM ve ERP sistemleri,
• İK yazılımları ve bordro sistemleri,
• Bulut tabanlı müşteri veya üye veri tabanları,
• Hastane bilgi yönetim sistemleri, bankacılık çekirdek sistemleri vb.

Bu sistemler; hızlı erişim, esnek raporlama, otomatik yedekleme ve gelişmiş güvenlik kontrolleri sağlayarak veri yönetimini kolaylaştırır.

3.2. Fiziksel Veri Kayıt Sistemleri

Fiziksel veri kayıt sistemleri ise:

• Dolap, klasör, dosya ve arşiv odaları,
• Belirli koda, tarihe, soyada, dosya numarasına göre sıralanmış kağıt dosyalar,
• Şubelerde veya merkez arşivlerde tutulan sözleşme klasörleri

gibi yapıları kapsar. Fiziksel belgelerin hala zorunlu olduğu sektörlerde, dosyalama sistemi veri kayıt sistemi niteliği kazanır ve KVKK kapsamındaki yükümlülükler bu sistemler için de geçerlidir.

4. Veri Sınıflandırması ve Kriterler

Veri kayıt sistemi içinde, kişisel veriler belirli kriterlere göre sınıflandırılır. Bu kriterler; verilerin niteliğine, işlenme amacına, risk düzeyine veya mevzuat gerekliliklerine göre belirlenebilir.

4.1. Örnek Kriterler

• Kimlik bazlı: İsim, soyisim, T.C. kimlik numarası, müşteri numarası
• İşlem bazlı: Sözleşme tarihi, ürün tipi, işlem türü, şube kodu
• Risk bazlı: Kredi skoru, risk sınıfı, gecikme durumu
• Süreç bazlı: Başvuru durumu, açık/kapalı kayıt, arşiv tarihi

4.2. Örnek: Kredi Gecikme Kayıt Sistemi

Bir finans kuruluşunun, kredi borcunu ödemeyen müşterileri için oluşturduğu kayıt yapısını düşünelim. Bu sistemde:

• Müşteriler; “zamanında ödeyen / geciken / takibe düşen” gibi kategorilere ayrılabilir,
• Kişisel veriler bu kategorilere göre filtrelenip raporlanabilir,
• Sistem; gecikme durumu kriterine göre yapılandırılmış bir veri kayıt sistemi niteliği taşır.

Önemli olan, verilerin belirli, sistematik kriterlere göre dosyalanması ve bu kriterler üzerinden erişilebilir olmasıdır. Bu durumda KVKK anlamında veri kayıt sistemi söz konusu olur.

5. KVKK Uyum Açısından Veri Kayıt Sistemi

Veri kayıt sistemi, kişisel verilerin işlenmesi sürecinde veri koruma mevzuatlarına uyum için merkezî bir rol oynar. Çünkü KVKK’nın uygulanabilirliği çoğu zaman “kişisel verilerin bir veri kayıt sisteminin parçası olarak işlenip işlenmediği” sorusuyla bağlantılıdır.

Uyum açısından dikkat edilmesi gereken başlıca noktalar:

• Veri kayıt sisteminin amaç, kapsam ve veri kategorilerinin net tanımlanması,
• İlgili kişilerin haklarını kullanmasına imkân tanıyacak erişim ve yönetim mekanizmalarının kurulması,
• Silme, yok etme ve anonimleştirme süreçlerinin sistematik olarak işletilebilmesi,
• Elektronik ve fiziksel ortamlarda güvenlik kontrollerinin sağlanması,
• Veri kayıt sistemine erişen kullanıcıların yetki matrisi ile sınırlandırılması.

Veri kayıt sistemi kurulmaksızın, kişisel veriler üzerinde KVKK’nın öngördüğü hak yönetimi, denetim, saklama ve imha yükümlülüklerini yerine getirmek neredeyse imkânsız hale gelir.

6. Sektörel Veri Kayıt Sistemi Örnekleri

• Hastane dosya arşivi:
  Hastaların kağıt dosyaları; soyada, polikliniğe veya dosya numarasına göre sıralanmış dolaplarda tutuluyorsa, bu yapı veri kayıt sistemi sayılır. Hem elektronik HBYS hem de fiziksel dosya arşivi KVKK kapsamındadır.
• Perakende CRM sistemi:
  Müşteri kartları, alışveriş geçmişi ve kampanya tercihlerinin tutulduğu yazılımlar, müşterilerin kimlik ve davranış verilerini belirli kriterlere göre dosyalar. Bu sistemler, veri kayıt sistemi niteliği taşır.
• İnsan kaynakları özlük dosyaları:
  Çalışanlara ait özlük dosyalarının personel numarasına göre klasörlendiği arşivler; fiziksel veri kayıt sistemi örneğidir. Aynı çalışan verilerinin İK yazılımlarında tutulması ise elektronik veri kayıt sistemidir.
• Okul öğrenci kayıt sistemi:
  Öğrencilerin kimlik, not, devamsızlık ve disiplin kayıtlarının tutulduğu, sınıf/numara bazlı dosyalama sistemleri; eğitim alanında veri kayıt sistemi örneği olarak karşımıza çıkar.

7. Veri Kayıt Sistemi Uyum Kontrol Listesi

Kuruluşunuzdaki yapıların veri kayıt sistemi sayılıp sayılmadığını ve uyum düzeyini anlamak için şu soruları sorabilirsiniz:

• Kişisel veriler belirli kriterlere göre sistematik olarak dosyalanıyor mu?
• Verilere isim, numara, dosya kodu veya kategori üzerinden kolayca ulaşılabiliyor mu?
• Elektronik ve fiziki sistemler için ayrı ayrı güvenlik ve erişim kontrolleri tanımlı mı?
• Silme, yok etme, anonimleştirme işlemleri standart bir prosedüre bağlı mı?
• Veri kayıt sistemlerinde tutulan veriler için saklama süreleri belirlendi mi?
• İlgili kişilerin akses, düzeltme, silme taleplerini karşılayacak mekanizmalar gerçekten işliyor mu?

Bu sorulara “evet” yanıtı verebildiğiniz ölçüde, veri kayıt sistemlerinizin hem KVKK’ya uyumlu hem de yönetilebilir bir yapıda olduğu söylenebilir.