Şirketler İçin Baştan Sona KVKK Uyum Süreci ve VERBİS Kayıt Zorunluluğu Sınırları 2026

Şirketlerin KVKK’ya uyumu yalnızca bir aydınlatma metni hazırlamak veya VERBİS’e kayıt yaptırmaktan ibaret değildir. 6698 sayılı Kanun kapsamında işlenen kişisel verilerin hangi amaç ve hukuki sebeple toplandığı, kimlerle paylaşıldığı, ne kadar saklandığı ve nasıl korunduğu belirlenmelidir. VERBİS kayıt zorunluluğu ise bütün şirketlere aynı şekilde uygulanmaz; faaliyet alanı, çalışan sayısı, mali bilanço ve Kişisel Verileri Koruma Kurulunun güncel istisna kararları dikkate alınır. Kayıttan istisna tutulmak, veri güvenliği veya aydınlatma yükümlülüklerinden muafiyet anlamına gelmez. Çalışan ve müşteri verileri, tedarikçi sözleşmeleri, yurt dışı aktarım ve başvuruların cevaplanması birlikte yönetilmelidir.

📅 Son güncelleme: 21 Ekim 2026

KVKK uyumu yalnız aydınlatma metni değildir

Şirketlerin kişisel veri uyumu, bir web sitesine gizlilik politikası koymaktan çok daha geniştir. 6698 sayılı Kanun kapsamında her veri işleme faaliyeti için amaç, hukuki sebep, veri kategorisi, erişim yetkisi ve saklama süresi belirlenmelidir. Çalışan, müşteri, tedarikçi ve ziyaretçi verileri aynı amaçlarla işlenmeyebilir. Verilerin işlenmesini dayandıran hukuki sebep ile aydınlatma yükümlülüğü birbirinden ayrı konulardır; her veri için açık rıza istemek hukuken doğru yöntem değildir.

VERBİS istisnası bütün KVKK’dan muafiyet değildir

Veri sorumluları siciline kayıt yükümlülüğündeki istisnalar, kişisel veri işleme ilkeleri, aydınlatma, veri güvenliği ve ilgili kişi taleplerine yanıt verme gibi diğer yükümlülükleri kendiliğinden kaldırmaz. Sicile kayıt gerekip gerekmediği çalışan sayısı, mali bilanço, ana faaliyet alanı veya özel nitelikli veri işleme gibi güncel Kurul kararındaki ölçütlere göre incelenmelidir. Sadece “küçük şirketiz” veya “elli çalışandan azız” şeklinde tek veriye dayanılarak kesin sonuca varılmamalıdır. Örneğin küçük bir sağlık hizmeti sağlayıcısının yoğun özel nitelikli veri işlemesi farklı değerlendirme gerektirebilir. VERBİS kaydı varsa beyanda belirtilen amaç, veri kategorisi ve saklama süresiyle gerçek faaliyetler arasındaki tutarlılık da önemlidir.

Veri işleme envanteri nasıl oluşturulur?

KVKK Kurulunun 04.09.2025 tarihli 2025/1572 sayılı kararına göre ana faaliyet konusu özel nitelikli veri işleme olmayan veri sorumlularında 50 çalışandan az ve 100 milyon TL’den az bilanço ölçütleri; özel nitelikli veri işlemeyi ana faaliyet olarak yürütenlerde 10 çalışandan az ve 10 milyon TL’den az bilanço ölçütleri birlikte ele alınır. Ancak 25.12.2025 tarihli 2025/2393 sayılı karar uyarınca bilanço esasına göre defter tutmayan veri sorumluları için istisna belirlemesinde yalnız çalışan sayısı kullanılır. VERBİS istisnası kişisel veri güvenliği, aydınlatma veya hukuka uygun işleme yükümlülüklerinden muafiyet anlamına gelmez.

İnsan kaynakları, satış, finans, kamera güvenliği ve pazarlama gibi her süreç için işlenen veri türleri, alıcılar, yurt dışı aktarım ve saklama süreleri kayda geçirilmelidir. Envanterin fiilî sistemlerle eşleşmesi şarttır: örneğin şirketin kullandığı CRM yazılımına erişen dış hizmet sağlayıcısı envanterde hiç görünmüyorsa belge eksik kalır. Veri envanteri güncel süreç sahibi ve değişiklik takvimi belirlenmeden yalnız bir kez hazırlanıp unutulmamalıdır.

Veri envanteri neden ilk adımdır?

Şirketin elinde hangi kişisel verilerin bulunduğu, bu verileri hangi faaliyet için işlediği, hangi hukuki işleme şartına dayandığı ve kimlerle paylaştığı bilinmeden etkili KVKK uyumu sağlanamaz. İnsan kaynakları, muhasebe, satış, kamera izleme, internet sitesi ve dış tedarikçi süreçleri farklı tablolarla incelenmelidir. Aynı işçinin kimlik, sağlık, ücret ve performans verilerini tek “personel verisi” başlığına sıkıştırmak işleme şartlarını görünmez kılar. Envanterde veri sahipliği, saklama süresi ve imha yöntemi açıklanır. Ardından aydınlatma metni ile fiilî veri işlemenin uyumu kontrol edilir. Envanter değişmeden hazırlanan kopyala-yapıştır aydınlatma metni, yeni yazılım ve tedarikçi değişikliklerini yakalayamayabilir.

VERBİS kaydı ile diğer KVKK yükümlülüklerini ayırma

Bu konuda ilk olarak veri işleme envanteri, erişim yetkileri, aydınlatma metinleri, VERBİS kararları, ihlal müdahale planı karşılaştırılmalıdır.

Veri envanterini operasyonla eşleştirin

İnsan kaynakları, muhasebe, satış, bilgi işlem ve müşteri hizmetleri birimlerine hangi veriyi, hangi sistemde ve hangi amaçla tuttukları sorulmalıdır. Kullanılmayan bir veri kategorisini envanterden silmek kadar, fiilen işlenen ama listelenmemiş bir veriyi tespit etmek de önemlidir. Üçüncü taraf yazılımlar ve yurt dışı aktarım ayrıca gösterilir. Politika belgelerinin varlığı ile çalışanların bunları uygulaması düzenli örneklem ve kayıtlarla kontrol edilmelidir.

VERBİS kayıt zorunluluğu ve istisnalar

2026 için çalışan ve bilanço eşikleri nasıl okunur?

Kurulun 2025/1572 sayılı kararıyla belirlenen istisna kapsamında, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları bakımından yıllık çalışan sayısının 50’den az ve yıllık mali bilanço toplamının 100 milyon TL’den az olması birlikte aranır. Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları bakımından ise çalışan sayısının 10’dan az ve bilanço toplamının 10 milyon TL’den az olması ölçütleri birlikte değerlendirilir. Bu iki grupta hem faaliyet konusu hem de eşikler doğru belirlenmelidir.

Önemli istisna: 25.12.2025 tarihli 2025/2393 sayılı Kurul kararına göre bilanço esasına göre defter tutmayan veri sorumlularında mali bilanço toplamı bulunmadığından yalnız yıllık çalışan sayısı ölçütü esas alınır. Örneğin normal kişisel veri işleyen, bilanço esasına göre defter tutan 40 çalışanlı bir şirketin 110 milyon TL bilançosu varsa yalnız çalışan sayısına bakılarak istisna sonucuna varılamaz. Ayrıca VERBİS kaydından istisna olmak, aydınlatma veya veri güvenliği yükümlülüklerinden muafiyet anlamına gelmez.

Veri Sorumluları Siciline kayıt için Kurulun yayımladığı ölçüt ve istisnalar esas alınır. Yıllık çalışan sayısı, mali bilanço, özel nitelikli veri faaliyetleri ve veri sorumlusunun türü gibi unsurlar önem taşıyabilir. Kurul kararları dönemsel olarak değişebileceğinden 2026 koşulları eski bir internet tablosundan alınmamalıdır. Sicile kayıt yükümlülüğü dışında kalan şirketlerin veri güvenliği, aydınlatma veya ilgili kişi başvurularına cevap verme yükümlülükleri tamamen ortadan kalkmaz.

VERBİS yükümlülüğü bir kayıt ekranından ibaret değildir

Bir işletmenin VERBİS kaydından istisna olması, çalışanları veya müşterileri hakkında sınırsız veri işleyebileceği anlamına gelmez. Veri işleme şartının varlığı, aydınlatma, saklama ve imha, erişim yetkileri, veri güvenliği ve ilgili kişi başvuru süreçleri kanundaki koşullara göre ayrı değerlendirilir. Özellikle bordro, müşteri iletişim kayıtları, kamera görüntüleri ve sağlık verileri farklı saklama ve erişim gerekçelerine dayanabilir. Sicil kaydı için oluşturulan veri envanteri de gerçekte kullanılan yazılım ve dosyalarla tutarlı olmalıdır.

Şirket çapında veri işleme envanteri nasıl gerçeği yansıtır?

KVKK uyum çalışmasının merkezindeki envanter, departmanlardan yalnız hazır formlar toplamakla tamamlanamaz. İnsan kaynakları aday ve personel verilerini, muhasebe fatura ve banka bilgilerini, satış birimi müşteri temaslarını, bilgi işlem ise erişim ve yedekleme kayıtlarını kendi iş akışına göre açıklamalıdır. Her işleme faaliyeti için veri kategorisi, işleme amacı, hukuki sebep, alıcı grubu, aktarım ülkesi ve saklama süresi belirlenmelidir. Envanterde ‘her şey beş yıl saklanır’ gibi genel ifadeler bulunması, özel kanunlardan doğan farklı saklama yükümlülüklerini gözden kaçırabilir. Bilgi işlem sistemlerindeki fiilî erişim yetkileri, yazılı politika ile karşılaştırılmalıdır.

Çalışan verilerinde açık rıza ile iş sözleşmesinin kurulması veya ifası için zorunlu veri işleme şartları karıştırılmamalıdır. Her dosya için otomatik açık rıza almak, hukuki sebebin ve özgür irade koşulunun yerine geçtiği anlamına gelmez. Kamera kaydı, biyometrik takip ve işyeri e-posta denetimi gibi alanlarda ölçülülük ve aydınlatma ayrıca önem taşır. Tedarikçilerin veri işleyen sıfatıyla hizmet sunduğu ilişkilerde yazılı sözleşme, güvenlik önlemleri ve erişim sınırları denetlenmelidir. Yabancı yazılım sağlayıcısına erişim imkânı veren altyapılarda yurt dışına veri aktarımı konusu da bağımsız olarak gözden geçirilmelidir.

İlgili kişi başvurularında kayıt ve yanıt zinciri şirket içi görev paylaşımına bağlanmalıdır. Başvurunun satış, insan kaynakları veya iletişim birimine ulaşmış olması, cevabın hukuk birimine aktarıldığı tarihle yeni bir süre başlatmaz. Şirket cevapta kabul veya ret gerekçelerini, hangi verinin neden işlenmeye devam edildiğini ve gerçekleştirilen işlemi somut biçimde açıklamalıdır. Veri ihlali meydana geldiğinde teknik müdahale ile Kurula ve ilgili kişilere bildirim süreçleri ayrı sorumluluklardır. Yılda bir defa güncellenmiş belgelerle yetinmek yerine yeni yazılım, yeni tedarikçi veya faaliyet alanı değişikliğinde envanter ve bilgilendirme metinleri de güncellenmelidir.

VERBİS istisnası ile KVKK’dan muafiyet aynı şey değildir

Bir işletmenin çalışan sayısı veya mali büyüklüğü sebebiyle VERBİS kayıt yükümlülüğünden istisna tutulması, müşteri ve çalışan verilerini sınırsız işleyebileceği anlamına gelmez. Veri sorumlusu sıfatı, kişisel verinin işlenme şartı, saklama süresi, aydınlatma ve veri güvenliği yükümlülükleri devam edebilir. Şirket yöneticilerinin en sık yaptığı hata, VERBİS kaydını tamamlamakla bütün KVKK uyum sürecinin kapandığını düşünmektir. Oysa envanterde gerçek iş akışları, üçüncü taraf hizmet sağlayıcıları, erişim yetkileri ve silme/yok etme süreçleri gösterilmiyorsa sicil kayıtları tek başına riskleri ortaya çıkarmaz. Kurulun güncel istisna kararları ve eşikleri ayrıca doğrulanmalıdır.

Örneğin bir işletme özlük dosyalarını dışarıdaki bordro şirketiyle, müşteri iletişim bilgilerini bulut yazılımıyla paylaşıyorsa bu iki işlem için farklı amaçlar ve hukuki dayanaklar söz konusu olabilir. Aydınlatma metninde yazan veri alıcılarının fiilî uygulamayla eşleşmesi gerekir. İç denetimde her veriye kimin hangi amaçla eriştiği, ne kadar süre saklandığı ve talep geldiğinde hangi sürede yanıt verileceği ortaya konulmalıdır. Yıllar önce internetten alınmış hazır bir aydınlatma metnini yalnız şirket adı değiştirerek yayımlamak, güncel ve somut veri işleme faaliyetinin açıklanmasını sağlamaz.

VERBİS istisnası KVKK sorumluluğunu neden bitirmez?

VERBİS’e kayıt yükümlülüğü bulunmayan bir işletme de veri işleme faaliyetlerinde hukuka uygunluk, aydınlatma, veri güvenliği ve ilgili kişi başvuruları bakımından yükümlülük taşıyabilir. ‘Kayıttan istisna’ ile ‘kanundan tamamen muaf’ ifadeleri aynı değildir. İstisnanın uygulanıp uygulanmadığı çalışan sayısı, mali büyüklük veya özel nitelikli veri işleme gibi güncel Kurul ölçütleri üzerinden kontrol edilmelidir; yalnız küçük işletme olmak yeterli bir hukuki analiz değildir.

Örneğin az sayıda çalışanı olan işletme, personel sağlık verilerini ve müşterilerin kamera görüntülerini tutuyor olsun. VERBİS durumu ayrıca belirlenirken hangi verinin hangi amaçla toplandığı, kimlerin eriştiği, ne kadar saklandığı ve nasıl silindiği açıklığa kavuşturulmalıdır. Hazır şablon aydınlatma metni tek başına fiilî uygulamaya uyum sağlamaz. Özel veri kategorileri ve veri ihlali halinde bildirim yükümlülükleri de ayrı kontrol edilir.

Veri güvenliği ve ilgili kişi başvuruları

Çalışan veya müşteri kişisel verilerine kimlerin eriştiği, yetkilendirmenin ne zaman verildiği ve görev değişikliğinde kapatılıp kapatılmadığı düzenli kontrol edilmelidir. Parola ve çok faktörlü doğrulama, yedekleme, log saklama ve yetki matrisi somut riskle uyumlu olmalıdır. İlgili kişinin erişim, düzeltme veya silme talebi geldiğinde hangi birimin cevap vereceği ve kanuni sürenin nasıl izleneceği önceden belirlenmelidir. Her silme talebi, yasal saklama yükümlülükleri yok sayılarak derhâl yerine getirilemez; işlenen verinin hukuki dayanağı araştırılır. Veri ihlali meydana geldiğinde inceleme, bildirim ve delil koruma süreci birbirini engellemeyecek biçimde yürütülmelidir.

Çalışan ve kamera verilerinde ölçülülük

İşyerinde biyometrik veriyle giriş çıkış takibi, kamera kaydı veya personel yazışmalarının incelenmesi hâlinde gereklilik, ölçülülük ve hukuki sebep ayrıca değerlendirilir. İşverenin yönetim hakkı sınırsız veri toplama yetkisi vermez. Kamera kaydının amacı ve saklama süresi; çalışanların bilgilendirilmesi ve erişim yetkisi somutlaştırılmalıdır. Teknik açıdan mümkün olan her izleme yöntemi hukuken gerekli veya orantılı kabul edilmeyebilir.

Tedarikçi sözleşmeleri ve yurt dışı aktarım

Bordro şirketi, bulut CRM, e-posta sağlayıcısı veya kamera bakım şirketi gibi hizmet alınan tarafların hangi veriye eriştiği sözleşmeyle belirlenmelidir. Veri sorumlusu ve veri işleyen rolleri doğru kurulmadan bütün yükümlülüklerin sağlayıcıya bırakıldığı düşünülmemelidir. İşleme talimatları, gizlilik, alt işleyen kullanımı, ihlal bildirimi ve hizmet bitimindeki veri imhası sözleşmede yer alabilir. Yurt dışına aktarım varsa KVKK m.9 kapsamında uygun güvenceler ayrıca değerlendirilir. Çerez izinleri ile şirketin bütün KVKK uyumunu aynı araç üzerinden çözmek mümkün değildir. İyi uyum programı hazırlanmış dosyaların sayısından ziyade veri işleme operasyonunun gerçekten bu kurallara göre işletilmesini hedefler.

İlgili kişi başvuruları ve ihlal planı

İlgili kişinin verisine erişme, düzeltme ve silme gibi talepleri için başvuru kanalı ve cevap takvimi belirlenmelidir. Veri ihlali gerçekleştiğinde olayın teknik boyutu, ilgili kişilere etkisi ve Kuruma bildirim gerekip gerekmediği süratle değerlendirilebilir olmalıdır. Şirket içinde olay kayıtları, erişim logları, üçüncü taraf bildirim zinciri ve yetkili kişi listesi hazır bulunmalıdır. En iyi uyum dosyası kâğıt üzerinde kalan değil, olay gerçekleştiğinde işletilebilen dosyadır.

Çalışan verileriyle müşteri verisi ayrımı

Personelin sağlık raporu, maaş bordrosu, performans değerlendirmesi ve işyeri kamera kaydı farklı hassasiyet taşır. Müşteri iletişim bilgisi ile çevrimiçi davranış verisi için de ayrı işleme şartları gündeme gelebilir. Her veri grubuna tek açık rıza formu uygulanması hukuken güvenli bir yaklaşım değildir. Öncelikle hangi veri işlemenin hukuken zorunlu, hangisinin ayrıca rıza veya başka şart gerektirdiği belirlenmelidir. Veri minimizasyonu ilkesi gereksiz bilgi toplamanın önüne geçilmesine yardımcı olur.

VERBİS kayıtları güncel tutulmalı

Sicile kayıt yükümlülüğü bulunan bir şirketin ilk bildirimde doğru kategori seçmesi yeterli değildir; fiilî veri işleme faaliyeti değiştiğinde kayıtların güncelliği değerlendirilmelidir. Yeni CRM, yeni çalışan izleme aracı veya yeni yurt dışı tedarikçisi veri kategorilerini değiştirebilir. Envanter ile VERBİS bilgilerinin tutarsızlığı soruşturmalarda açıklama ihtiyacı doğurabilir. İstisna kapsamında olduğunu ileri süren şirketin ise istisnanın dayanağını ve güncel ölçütleri kayıt altına alması yararlıdır. Sicilden muafiyet diğer yükümlülüklerin muafiyeti değildir.

Üçüncü taraf denetimi

Muhasebe, insan kaynakları yazılımı ve dış çağrı merkezi gibi hizmet sağlayıcılarla yapılan sözleşmelerde veri erişim sınırları ve güvenlik önlemleri yazılı belirlenmelidir. Veri işleyen hizmet sağlayıcısının teknik zafiyeti şirketin veri sorumlusu sıfatıyla yükümlülüklerini etkileyebilir. İhlal halinde kimin ne zaman bildirim yapacağı önceden kararlaştırılmalıdır. Yurt dışına aktarım bulunuyorsa KVKK m.9 çerçevesindeki şartlar ayrıca yerine getirilmelidir. Tedarikçi sözleşmesi imzalandıktan sonra hiç kontrol yapılmaması, hazırlanan uyum dosyasının gerçek işleyişten kopmasına yol açabilir.

Küçük işletmede üç ayrı KVKK yükümlülüğü

İşletme VERBİS istisnasında

Sicile kayıt istisnası, aydınlatma, veri güvenliği ve ilgili kişi başvurusuna cevap gibi bütün yükümlülükleri ortadan kaldırmaz. İstisna kararının işletmenin gerçek faaliyetine uyup uymadığı kontrol edilir.

Çalışanın biyometrik verisi işleniyor

Özel nitelikli veri işleme için kanuni koşullar ve gerekli teknik/idari önlemler ayrıca araştırılır. “Çalışan rıza verdi” açıklaması tek başına her biyometrik sistemin hukuka uygun olduğunu göstermez.

Muhasebe hizmeti dışarıdan alınıyor

Veri sorumlusu, veri işleyen ve olası alt işleyen rolleri sözleşme üzerinden netleştirilir. Dış kaynak kullanılması, çalışan veya müşteri verilerine ilişkin tüm sorumluluğu otomatik olarak hizmet sağlayıcıya devretmez.

Örnek: Küçük şirkette çalışan izleme

Az sayıda çalışanı olan şirket VERBİS istisnasından yararlanıyor olabilir; ancak personel kamera görüntülerini sınırsız saklıyor ve tüm yöneticiler kayıtlara erişebiliyor. Sicil istisnası bu güvenlik ve ölçülülük sorunlarını ortadan kaldırmaz. Veri saklama süresi, erişim yetkileri, aydınlatma ve ilgili kişi başvurusu süreçleri ayrıca kurulmalıdır.

İkinci örnek: Kamera kaydı ve personel takibi

Bir işyerinde güvenlik amacıyla kurulan kameraların çalışanların her hareketini süresiz kaydettiğini, kayıtlara işletmedeki bütün yöneticilerin erişebildiğini düşünelim. Kameranın varlığı başlı başına hukuka aykırı kabul edilemez; fakat amaçla bağlantılılık, saklama süresi, bilgilendirme ve yetki sınırları incelenir. İşletmenin VERBİS yükümlülüğünden muaf tutulması bu denetimin yerini alamaz. Olayda görüntüler personel performansını ölçmek için kullanılıyorsa farklı bir amaç ve hukuki dayanak tartışması da doğabilir.

Sicil istisnasını uyum istisnasıyla karıştırmayın. VERBİS’e kayıt yükümlülüğünden istisna, veri işlemeye ilişkin aydınlatma, ölçülülük, güvenlik ve ilgili kişi haklarını otomatik olarak ortadan kaldırmaz. Kayıt durumuna ilişkin değerlendirmede işletmenin güncel çalışan sayısı, mali verileri ve özel nitelikli veri işleme faaliyeti gibi Kurulun ilgili tarihte uyguladığı ölçütler ayrıca incelenir.

Küçük şirket örneği: İşyerinde kayıt zorunluluğu bulunmadığı sonucuna varılsa dahi kamera görüntülerinin saklama süresinin neden bu kadar uzun olduğu, hangi çalışanların bu kayıtlara erişebildiği ve gelen erişim talebine nasıl cevap verildiği ayrı hukuki sorudur. Hazır aydınlatma metninin gerçekte yapılmayan bir veri işleme faaliyetini tarif etmesi veya gerçek bir faaliyeti hiç göstermemesi de sorun doğurabilir. Her veri kategorisi için amaç, hukuki sebep, erişim, saklama ve silme süreçleri somutlaştırılmalıdır.

Kurum içi KVKK süreçlerinde yurt dışına veri aktarımının özel koşulları ve Kurul cezalarına karşı idari yargı yolu birbirinden ayrı incelenmelidir.

Sık Sorulan Sorular

VERBİS’e kayıt gerekmeyen şirketin aydınlatma yükümlülüğü yok mudur?

Genel olarak hayır; sicil kayıt istisnası ile kişisel verileri koruma kanunundaki diğer yükümlülükler farklıdır. Kayıt yükümlülüğünden istisna bulunması, çalışan ve müşteri verilerinin işlenmesine ilişkin aydınlatma, saklama ve güvenlik yükümlülüklerini ortadan kaldırmaz.

VERBİS’e kayıtlı şirket KVKK’ya tamamen uyumlu mudur?

Hayır. VERBİS kaydı, yalnız kayıt yükümlülüğü boyutunda bir işlemdir. İşleme şartı, aydınlatma, güvenlik, saklama, silme ve üçüncü kişilere aktarım gibi yükümlülüklerin her birinin ayrıca yerine getirilmesi gerekir.

Sağlık verisi işleyen küçük işletmede hangi ek hususlar incelenir?

Sağlık bilgisi özel nitelikli kişisel veridir. İşletmenin küçük olması, verinin hangi hukuki şartla işlendiği, kimlerin eriştiği ve hangi güvenlik tedbirlerinin bulunduğu sorularını ortadan kaldırmaz. VERBİS istisnası ile veri güvenliği yükümlülüğü ayrı denetlenmelidir.

Çalışandan her işlem için açık rıza alınmalı mı?

Hayır. İşlemenin uygun hukuki sebebi ayrı belirlenmelidir. Açık rıza tek ve genel bir “her şeye izin” belgesi olarak düşünülmemelidir. Ücret bordrosu, yasal bildirim ve işyeri güvenliği gibi farklı işleme faaliyetlerinin hangi hukuki sebebe dayandığı veri işleme envanterinde ayrı gösterilmelidir.

Uyum envanteri ne sıklıkla güncellenmeli?

Faaliyet ve veri akışlarında değişiklik oldukça güncellenmeli, düzenli olarak fiilî uygulamayla karşılaştırılmalıdır. Kayıt istisnası saptansa bile saklama, erişim yetkisi, aydınlatma ve veri güvenliği tedbirleri ayrıca yürütülür. Yeni yazılım, veri işleme amacı, yurt dışı hizmet sağlayıcısı veya saklama süresi değiştiğinde envanter ile fiilî veri akışları yeniden karşılaştırılmalıdır.

VERBİS kayıt istisnası belirlenirken hangi belgeler kullanılmalıdır?

Veri sorumlusunun faaliyet türü, çalışan sayısı, ilgili döneme ait mali verileri ve işlenen veri kategorileri birlikte değerlendirilmelidir. Kurulun yürürlükteki istisna kararlarıyla karşılaştırma yapılmalı; istisna gerekçesini gösteren kayıtlar sonradan denetlenebilir şekilde saklanmalıdır.

Sonuç

Şirketler için gerçek KVKK uyumu, hazır metin seti değil; verinin nerede işlendiğini bilen, erişimi denetleyen ve ilgili kişinin başvurusuna cevap verebilen sürdürülebilir sistemdir.

VERBİS kaydı bulunmayan bir işletmenin KVKK’dan bütünüyle muaf olduğu düşünülmemelidir. Şirket önce veri işleme faaliyetlerini, hukuki sebepleri, saklama sürelerini ve erişim yetkilerini envantere dökmelidir. Kayıt yükümlülüğünün olup olmadığı ile aydınlatma, güvenlik, başvuru ve aktarım yükümlülükleri birbirinden bağımsız kontrol edilmelidir.

Hukuki Uyarı

Bu içerik genel hukuki bilgilendirme amacıyla hazırlanmıştır. Somut olayın tarihi, tarafların sıfatı, deliller ve yürürlükteki özel düzenlemeler hukuki sonucu değiştirebilir. Başvuru süresi ve görevli merci somut işlem belgeleri üzerinden ayrıca kontrol edilmelidir.