E-Ticaret Sitelerinde Kişisel Veri Envanterinin ve Veri Haritasının Çıkarılması
6698 sayılı KVKK m. 16 ve Veri Sorumluları Sicili Yönetmeliği çerçevesinde e-ticaret işletmelerinin kişisel veri işleme envanterinin metodolojik olarak nasıl kurulacağı ve veri akış haritalarının hukuki işlevi.
1 · Kavramsal Zemin: Envanter ve Harita Ayrımı
Kişisel veri işleme envanteri, veri sorumlusunun faaliyetlerine bağlı olarak işlediği kişisel verileri; işleme amaçları, hukuki sebepleri, veri kategorileri, aktarım yapılan alıcı grupları, azami saklama süreleri ve yabancı ülkelere aktarımı öngörülen veriler bakımından açıklayan statik bir belgedir. Veri akış haritası ise bu envanterin toplama noktasından silme–imha aşamasına kadar süreç bazlı görselleştirilmiş dinamik bir modelidir. Doktrinde envanter uygunluk (compliance), harita ise risk yönetimi (accountability) aracı olarak nitelendirilmektedir.
2 · Yasal Dayanak ve Zorunluluk
KVKK m. 16/6 ve Veri Sorumluları Sicili Yönetmeliği m. 5/1-(ç), VERBİS'e kayıt yükümlülüğü bulunan veri sorumlularına envanter hazırlama yükümlülüğü öngörmektedir. Kişisel Verileri Koruma Kurulu'nun yerleşik uygulamasında, VERBİS eşiğinin altında kalan işletmeler için de envanter, KVKK m. 12'de düzenlenen "veri güvenliğine ilişkin yükümlülüklerin" ispatı bakımından fiilî bir zorunluluk hâline gelmiştir.
3 · E-Ticaret Süreçleri Bazında Metodoloji
E-ticaret sitelerinde envanter çıkarma çalışması, kural olarak işleme süreçleri ekseninde yürütülür. Kritik süreçler; üyelik ve hesap yönetimi, sepet–ödeme akışı, kargo–iade süreçleri, çağrı merkezi ve canlı destek kayıtları, pazarlama–İYS iletişim izinleri, çerezler ve profil analizi, çalışan ve tedarikçi ilişkileri olarak ayrıştırılır. Her süreç için veri kategorisi × işleme amacı × hukuki sebep × saklama süresi × alıcı grubu matrisi kurulur.
4 · Yurt Dışı Aktarım ve Bulut Bileşenleri
Shopify, AWS, Google Cloud gibi hizmet sağlayıcılar üzerinden yürütülen faaliyetlerde, KVKK m. 9 uyarınca yurt dışına veri aktarımının hukuki sebebi (bağlayıcı şirket kuralları, standart sözleşme, açık rıza) envanterde ayrıca belirtilmelidir. 2024 sonrası standart sözleşme rejimi ve Kurul'un tescilli aktarım mekanizmalarına ilişkin kararları, envanterin salt bir "form doldurma" faaliyeti olmaktan çıkararak hukuki nitelendirme belgesine dönüştürmüştür.
5 · Değerlendirme
Kişisel veri envanteri ve akış haritası, e-ticaret işletmesinin KVKK uyumunun temelini oluşturur; aynı zamanda aydınlatma metni, çerez politikası, saklama–imha politikası ve açık rıza metinleri gibi tüm ikincil belgelerin kaynak dokümanıdır. Envanteri güncel tutulmayan bir işletmede, alt belgelerin geçerliliği hukuken sorgulanabilir hâle gelir; bu nedenle envanter, dinamik bir canlı belge olarak yönetilmelidir.