Kişisel Veri Envanteri

Diğer adları: Veri Envanteri, Veri Haritası, Data Inventory, Records of Processing

Kısaca

Veri sorumlusunun hangi süreçte hangi kişisel verileri, hangi amaç ve hukuki sebeple işlediğini, kimlere aktardığını, ne kadar sakladığını ve hangi tedbirleri aldığını gösteren temel uyum belgesi.

Kişisel veri envanteri, Veri Sorumluları Sicili Hakkında Yönetmelik’te tanımlanan ve şirketin kişisel veri işleme faaliyetlerinin haritasını çıkaran belgedir. Envanter; iş süreçlerine bağlı olarak işlenen kişisel verileri, işleme amaçları ve hukuki sebepleri, veri kategorilerini, aktarılan alıcı gruplarını ve ilgili kişi gruplarını ilişkilendirir; verilerin azami saklama sürelerini, yurt dışına aktarılan verileri ve veri güvenliği tedbirlerini gösterir.

Neden Bütün Uyumun Temelidir?

Envanter, KVKK uyumunun diğer bütün parçalarının veri kaynağıdır:

VERBİS kaydındaki bilgiler envanterden aktarılır,
Aydınlatma metinlerindeki amaçlar, hukuki sebepler ve aktarımlar envantere dayanır,
Saklama ve imha politikasındaki süreler envanterde belirlenir,
Yurt dışına veri aktarımları ve veri işleyenler envanterde görünür hâle gelir,
Bir veri ihlalinde hangi verilerin etkilendiği envanter sayesinde hızla belirlenir.

Nasıl Hazırlanır?

Süreçlerin tespiti: İnsan kaynakları, satış, pazarlama, müşteri hizmetleri, bilgi teknolojileri, finans ve güvenlik gibi her birimin kişisel veri işlediği süreçler belirlenir.
Birimlerle görüşmeler: Her süreç için hangi verilerin, kimden, hangi kanalla toplandığı, hangi sistemde tutulduğu ve kimlerle paylaşıldığı birim sorumlularıyla birlikte tespit edilir.
Hukuki değerlendirme: Her işleme faaliyeti için amaç, işleme şartı ve saklama süresi belirlenir; ölçülü olmayan işlemeler tespit edilir.
Kayıt ve güncelleme: Envanter, değişiklikleri takip edebilecek bir biçimde tutulur ve düzenli olarak güncellenir.

Envanter hazırlanırken genellikle ilk kez görünür hâle gelen sorunlar şunlardır: bilinmeyen yurt dışı aktarımlar, sözleşmesi olmayan veri işleyenler, süresi dolduğu hâlde saklanan veriler ve hiçbir işleme şartına dayanmayan eski uygulamalar.

Sık Sorulan Sorular

VERBİS'e kayıt yükümlülüğümüz yoksa envanter hazırlamamız gerekir mi?

Kanunen envanter yükümlülüğü VERBİS'e kayıtla bağlantılıdır; ancak envanter olmadan aydınlatma metinlerinin, saklama sürelerinin ve aktarımların doğru belirlenmesi pratikte mümkün değildir. Bu nedenle kayıt yükümlülüğü olmayan şirketlere de hazırlanmasını öneriyoruz.

Envanter ne sıklıkla güncellenmeli?

Yeni bir süreç, sistem veya tedarikçi devreye girdiğinde ve en az yılda bir kez. Güncel olmayan bir envanter, VERBİS kaydını ve aydınlatma metinlerini de güncelliğini yitirmiş hâle getirir.

← Tüm Kavramlar