KVKK Uyum Programı: VERBİS'ten İhlal Bildirimine Bütünleşik Rehber

Neden bütünleşik uyum programı?

KVKK yükümlülükleri birbirinden kopuk teknik görevler değil, birbirini ispat eden süreçler bütünüdür: veri envanteri, aydınlatma metinlerinin içeriğini belirler; aydınlatma, açık rızanın geçerlilik şartını oluşturur; rıza kayıtları, çerez uyumunun ve Kurul denetiminin kanıtıdır; ihlal bildirimi ise güvenlik tedbirlerinin alındığının son göstergesidir. Bu nedenle uyum, çevrimsel (plan-uygula-denetle-geliştir) bir program olarak tasarlanmalıdır.

Aşama 1 — Veri envanteri ve VERBİS kaydı

Uyumun temeli, işlenen tüm veri kategorilerinin amaç, hukuki sebep, alıcı grubu, aktarım ülkesi ve saklama süresi eksenlerinde haritalanmasıdır. Envanter, VERBİS bildiriminin ve aydınlatma metinlerinin kaynağıdır; her yapısal değişiklikte (yeni hizmet, yeni alt yüklenici, yeni pazarlama kanalı) güncellenmelidir. VERBİS kaydı, envanterle birebir uyumlu tutulmalıdır; kayıt ile fiilî işleme arasındaki fark, denetimde en sık tespit edilen uygunsuzluktur.

Aşama 2 — Aydınlatma mimarisi

KVKK m. 10 unsurları, her temel noktada (web formları, çağrı merkezi, fizikî formlar, mobil uygulama) katmanlı aydınlatma ile karşılanmalıdır: kısa katman temel unsurları, detay katmanı ise tam envanteri yansıtır. Aydınlatma metinleri sürümlenerek arşivlenmeli; hangi tarihte hangi metnin yürürlükte olduğu kayıt altına alınmalıdır.

Aşama 3 — Açık rıza yönetimi

Açık rıza yalnızca hukuki sebep bulunmayan işlemler için (pazarlama iletişimi, özel nitelikli veri, bazı çerez kategorileri) istenmelidir. Rıza; belirli, bilgilendirmeye dayalı, özgür ve geri alınabilir olmalı; alınan her rıza kim, hangi metne, ne zaman, hangi kanal üzerinden bilgisine sahip denetlenebilir kayıtla saklanmalıdır. Rızanın geri alınmasının, hizmetten yararlanmayı engellememesi gerekir.

Aşama 4 — Çerez ve izleme uyumu

Çerez envanteri çıkarılmalı; zorunlu çerezler dışında analitik ve pazarlama çerezleri ancak açık rıza ile çalıştırılmalıdır. Rıza bandı, önceden işaretlenmiş kutu içermemeli, reddetme seçeneğini kabul kadar kolay sunmalı ve tercihler zaman damgasıyla kaydedilmelidir. Üçüncü taraf izleme kodları (piksel, SDK) veri aktarımı olarak değerlendirilerek alt yüklenici ve yurtdışı aktarım rejimine bağlanmalıdır.

Aşama 5 — Veri güvenliği ve ihlal tepki planı

KVKK m. 12 gereği teknik-idari tedbirler (erişim kontrolü, şifreleme, log yönetimi, personel eğitimi) risk bazlı tanımlanmalı ve yazılı ihlal tepki planına bağlanmalıdır: tespit → sınırlama → kapsam analizi → 72 saat içinde Kurul'a bildirim → veri sahibine bildirim → kök neden analizi. Plan, yılda en az bir kez masa başı tatbikatla test edilmelidir.

Aşama 6 — Kurul süreçlerine hazırlık

Veri sahibi başvuruları için tek kapı (kayıtlı e-posta adresi) ve 30 günlük yanıt mekanizması kurgulanmalı; her başvuru ve yanıt kayıt altına alınmalıdır. Kurul şikâyeti ve denetim ihtimallerine karşı denetleme dosyası (envanter, VERBİS çıktısı, aydınlatma sürümleri, rıza kayıtları, ihlal bildirimleri) hazır tutulmalıdır; denetim talebi geldiğinde dokümantasyonun 24-48 saat içinde sunulabilmesi savunmanın temelidir.

Aşama 7 — İç denetim ve sürekli geliştirme

Uyum programı, en az yıllık iç denetimden geçmeli; denetim bulguları düzeltici faaliyet planına bağlanmalıdır. Alt yüklenici sözleşmeleri (veri işleyici) KVKK m. 12/5 unsurlarıyla güncellenmeli, personel eğitimleri kayıt altına alınmalıdır. KVKK uyumu, kurumsal risk yönetiminin bir parçası olarak yönetim kuruluna periyodik raporlanmalıdır.

Sonuç

Bütünleşik KVKK uyum programı, yaptırım riskini azalttığı kadar müşteri güvenini ve ticari itibarı da inşa eder. VERBİS kaydı, aydınlatma, rıza, çerez, ihlal bildirimi ve Kurul süreçlerinin birbirini ispat eden tek program altında yürütülmesi, hem denetimde hem de uyuşmazlıklarda güçlü bir savunma pozisyonu sağlar. Kurumunuz için uyum programı tasarımı ve denetimi için randevu talep edebilirsiniz.