Personal Data Inventory

Also known as: Data Inventory, Data Mapping, Records of Processing, Kişisel Veri Envanteri

In short

The core compliance document showing which personal data the controller processes in which processes, for what purpose and on what legal basis, to whom it transfers it, how long it keeps it and what measures it takes.

Kişisel veri envanteri, Veri Sorumluları Sicili Hakkında Yönetmelik’te tanımlanan ve şirketin kişisel veri işleme faaliyetlerinin haritasını çıkaran belgedir. Envanter; iş süreçlerine bağlı olarak işlenen kişisel verileri, işleme amaçları ve hukuki sebepleri, veri kategorilerini, aktarılan alıcı gruplarını ve ilgili kişi gruplarını ilişkilendirir; verilerin azami saklama sürelerini, yurt dışına aktarılan verileri ve veri güvenliği tedbirlerini gösterir.

Neden Bütün Uyumun Temelidir?

Envanter, KVKK uyumunun diğer bütün parçalarının veri kaynağıdır:

VERBİS kaydındaki bilgiler envanterden aktarılır,
Aydınlatma metinlerindeki amaçlar, hukuki sebepler ve aktarımlar envantere dayanır,
Saklama ve imha politikasındaki süreler envanterde belirlenir,
Yurt dışına veri aktarımları ve veri işleyenler envanterde görünür hâle gelir,
Bir veri ihlalinde hangi verilerin etkilendiği envanter sayesinde hızla belirlenir.

Nasıl Hazırlanır?

Süreçlerin tespiti: İnsan kaynakları, satış, pazarlama, müşteri hizmetleri, bilgi teknolojileri, finans ve güvenlik gibi her birimin kişisel veri işlediği süreçler belirlenir.
Birimlerle görüşmeler: Her süreç için hangi verilerin, kimden, hangi kanalla toplandığı, hangi sistemde tutulduğu ve kimlerle paylaşıldığı birim sorumlularıyla birlikte tespit edilir.
Hukuki değerlendirme: Her işleme faaliyeti için amaç, işleme şartı ve saklama süresi belirlenir; ölçülü olmayan işlemeler tespit edilir.
Kayıt ve güncelleme: Envanter, değişiklikleri takip edebilecek bir biçimde tutulur ve düzenli olarak güncellenir.

Envanter hazırlanırken genellikle ilk kez görünür hâle gelen sorunlar şunlardır: bilinmeyen yurt dışı aktarımlar, sözleşmesi olmayan veri işleyenler, süresi dolduğu hâlde saklanan veriler ve hiçbir işleme şartına dayanmayan eski uygulamalar.

Frequently Asked Questions

Do we need an inventory if we are not required to register with VERBİS?

The legal obligation is linked to VERBİS registration, but without an inventory it is practically impossible to set privacy notices, retention periods and transfers correctly. We therefore recommend it for companies exempt from registration as well.

How often should the inventory be updated?

Whenever a new process, system or supplier is introduced, and at least once a year. An outdated inventory makes the VERBİS record and privacy notices outdated too.

← Glossary A–Z