Kişisel Verilerin Korunması Kanunu (KVKK) 2016'dan beri yürürlükte ve Kurul idari para cezası uyguluyor. Kurumun yayımladığı tabloya göre 2026'da veri güvenliği yükümlülüğüne aykırılığın cezası 256.357 TL ile 17.092.242 TL arasında (KVKK idari para cezası tutarları). "Başıma bir şey gelmez" dönemi bitti.
KVKK Süreçlerinin Üç Ayağı
1. Envanter ve Sınıflandırma
"Hangi verileri tutuyorum?" sorusunun cevabı. Müşteri isim-soyisim, telefon, e-posta, T.C. kimlik, adres, IBAN, maaş, sağlık bilgisi. Her biri ayrı bir veri kategorisidir.
2. VERBİS Kaydı
Yıllık çalışan sayısı 50 ve üzeri ya da yıllık mali bilanço toplamı 100 milyon TL ve üzeri olan veri sorumluları Veri Sorumluları Sicili'ne (VERBİS) kayıt olmak zorunda. Bilanço eşiği, Kurul'un 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararıyla 25 milyon TL'den 100 milyon TL'ye yükseltildi (Kurul kararı). Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar için eşikler ayrıdır.
3. İşleme Amacı ve Hukuki Dayanak
Her veri için "niye topladım ve neye dayanarak" açıklaması lazım. "Sözleşmenin ifası", "meşru menfaat", "açık rıza" gibi KVKK'nın kabul ettiği dayanaklardan biriyle eşleştirilir.
ERP'de Hangi Kişisel Veri Var?
Tipik bir işletme ERP'sinde veri haritası şöyle görünür:
| Modül | Kişisel Veri | Hassas mı? |
|---|---|---|
| CRM | Müşteri ad, telefon, e-posta, adres | Sıradan |
| Muhasebe | Müşteri/tedarikçi T.C. no, vergi no, IBAN | Kimlik ve finans verisi |
| İK | Personel T.C. no, SGK, adres, sağlık raporu | Kimlik verisi + özel nitelikli (sağlık) |
| Satış | Müşteri sipariş geçmişi, fiyat indirim | Sıradan |
| Portal | Portal kullanıcı IP, oturum kayıtları | Sıradan |
Bu haritayı elle çıkarmak günlerce sürer. Birasyo KVKK Envanter modülü bunu otomatikleştirir: her veri alanını kategoriye yerleştirir, işleme amacını önerir, hukuki dayanağı eşleştirir ve VERBİS bildirim şablonunu hazır üretir.
1 Haftalık Takvim
Gün 1: Kapsam belirleme Şirket yetkinizi, iş süreçlerinizi ve hangi modülleri kullandığınızı listeleyin. Envanter şablonuna bu bilgiler girer.
Gün 2: Otomatik envanter Birasyo KVKK modülü çalıştırılır; tüm modüllerdeki kişisel veri alanlarını tarar, listeler.
Gün 3: İşleme amacı eşleme Her alan için "neden tutuyoruz?" sorusunu cevaplarsınız. Modül tipik işletme senaryolarını önerir; siz seçersiniz.
Gün 4: Aktarım kaynakları Verinin nereye aktarıldığını belirleyin: mali müşavir, kargo şirketi, banka, Azure, e-Fatura entegratörü. Aktarım alıcıları VERBİS'te açıklanması gereken bilgilerdir.
Gün 5: Aydınlatma metinleri Müşteri, çalışan, tedarikçi ve web sitesi ziyaretçisi için ayrı aydınlatma metinleri otomatik oluşturulur. Mali müşavirinizin veya avukatınızın onayına sunulur.
Gün 6: VERBİS bildirimi Üretilen veri tablosu VERBİS sistemine girilir.
Gün 7: Çalışan eğitimi KVKK farkındalık eğitimi: kısa video ve test. Çalışanlarınız giriş yaparken tamamlar, sertifika üretilir.
Veri İhlali Halinde Ne Olur?
KVKK; veri ihlalini 72 saat içinde Kurul'a bildirme zorunluluğu getirir. Zaman kritik. Bu süreye yetişmek için üç şeyin önceden hazır olması gerekir:
- Kimin hangi kayda ne zaman eriştiğini gösteren denetim kaydı
- İhlali kimin değerlendireceği ve Kurul'a kimin bildireceği
- Tarih, kapsam ve etkilenen kayıt sayısını içeren bildirim şablonu
Bu hazırlık olmadan 72 saat genelde kaçırılır. Cezalar buradan çıkar.
Sık Sorulanlar
"KVKK ile GDPR farklı mı?" Büyük oranda uyumlu. GDPR daha sıkı bazı noktalarda; AB'ye veri transferiniz varsa veri işleme sözleşmesi (DPA) imzalarsınız. Biz AB müşterilerimize DPA sunuyoruz.
"Bulutta saklamak uygun mu?" Uygun, ama sunucu yurt dışındaysa bu bir yurt dışı aktarımıdır. KVKK'nın 9. maddesine göre standart sözleşme gibi bir aktarım yolu seçilir ve sözleşme imzadan sonraki 5 iş günü içinde Kurum'a bildirilir. Birasyo Microsoft Azure West Europe (Hollanda) bölgesinde barındırılır. Microsoft'un Türkiye'de açık bir Azure bölgesi yoktur. Verisinin yurt içinde kalmasını isteyen müşteriler Türkiye'de bir barındırma sağlayıcısında özel kurulum ile bu şartı karşılayabilir.
"Silme talebi gelirse?" Müşteri "unutulma hakkını" kullanabilir. Birasyo, veri silme akışını otomatik yürütür: ilişkili tüm kayıtlar anonimleştirilir (fatura arşiv yasal süreleri korunarak), yazılı cevap hazırlanır.
Şirketinizin KVKK olgunluk seviyesini değerlendirmek için formu doldurarak bir değerlendirme görüşmesi talep edebilirsiniz.
Bu yazıyı LinkedIn'de paylaşın
Başlık, özet ve etiketler panoya kopyalanır, paylaşım penceresi açılır. Yapıştırıp (Cmd/Ctrl+V) gönderin.
