KVKK: veri sorumlusunun operasyonel yükümlülükleri

Kişisel Verilerin Korunması Kanunu çoğu kurumda hukuk biriminin masasında bir metin olarak başlar ve bilgi işlem biriminin masasında bir iş listesi olarak biter. İkisi arasındaki çeviri nadiren yapılır. Bu yazı o çeviriyi dener: veri sorumlusunun yükümlülüklerini, madde numarası ve hukuki yorum olmadan, günlük operasyonun diliyle ele alır. Hangi iş yapılır, hangi girdi gerekir, hangi kanıt üretilir. Bu yazı hukuki tavsiye değildir; her kurumun hukuk birimi yükümlülüklerin kendi bağlamındaki kapsamını doğrulamalıdır.

Veri sorumlusu olmak ne demektir

Kanun, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen tarafı veri sorumlusu olarak adlandırır. Bir şirket, çalışanlarının bordro verisi, müşterilerinin iletişim bilgisi ve ziyaretçilerinin kamera kaydı bakımından veri sorumlusudur. Veri sorumlusu olmak bir unvan değil, bir dizi sürekli yükümlülüktür: verinin hukuka uygun işlendiğini sağlamak, ilgili kişileri bilgilendirmek, veriyi gerektiği süre boyunca saklayıp sonra imha etmek, başvuruları yanıtlamak, ihlalleri bildirmek ve bütün bunları kanıtlayabilmek.

Operasyon diline çevrildiğinde bu yükümlülükler altı iş akışına indirgenir: envanter, aydınlatma, saklama ve imha, ilgili kişi başvuruları, ihlal yönetimi ve VERBİS kaydı. Her akışın bir girdisi, bir çıktısı ve bir kanıt gereksinimi vardır. Altısının ortak girdisi aynıdır: verinin gerçekte nerede olduğu bilgisi.

Envanter: her şeyin başladığı yer

Kişisel veri işleme envanteri, veri sorumlusunun hangi veriyi hangi amaçla, hangi hukuki dayanakla, kimden alıp kime aktardığını ve ne kadar süreyle sakladığını kaydettiği tablodur. Bu tablo VERBİS kaydının, aydınlatma metninin, saklama takviminin ve başvuru yanıtlarının kaynağıdır; envanter yanlışsa hepsi yanlıştır.

Envanterin operasyonel zorluğu, beyana dayanmasıdır. Bölümlere gönderilen formlar, yanıtlayanın bildiğini kaydeder. Kopyalar, arşivler, eski sistemler ve ayrılan çalışanların bıraktığı dosyalar forma girmez. Keşif tabanlı envanter bu sorunu tersine çevirir: önce diskte, veritabanında ve paylaşım platformunda ne olduğu bulunur, sonra bulunan veri kategori, amaç ve saklama süresiyle eşlenir. Fark listesi (envanterde olup bulunmayan, bulunup envanterde olmayan) envanterin kalite ölçüsüdür.

Bir örnek senaryo: bir perakende şirketinde envanter müşteri verisini yalnızca CRM’de gösterirken, keşif aynı verinin kampanya dışa aktarımları olarak bir pazarlama paylaşımında, ekli tablolar olarak bir PST arşivinde ve bir test veritabanının kopyalanmış sütunlarında bulunduğunu gösterir. Envanter bu üç konumu kapsayacak biçimde düzeltilmeden ne saklama takvimi ne de başvuru yanıtı tam olabilir.

Aydınlatma ve hukuki dayanak

İlgili kişinin, verisinin kim tarafından, hangi amaçla, hangi dayanakla işlendiğini ve hangi haklara sahip olduğunu bilmesi gerekir. Aydınlatma metinleri bu bilgilendirmenin aracıdır. Operasyonel soru, metnin güzel yazılıp yazılmadığı değil, metnin envanterle örtüşüp örtüşmediğidir. Aydınlatma metni “iletişim verisi pazarlama amacıyla işlenir” diyorsa ama keşif sağlık verisinin de aynı sistemde tutulduğunu gösteriyorsa, metin eksiktir.

Hukuki dayanak da envanterin bir sütunudur. Her veri kategorisi için hangi dayanağa yaslanıldığı kaydedilir; özel nitelikli veriler için dayanak daha dardır ve Kurum’un rehberleri arasında bu kümeye ayrılmış bir rehber bulunur. Keşif burada iki şeyi sağlar: dayanağı olmayan veri kategorilerini (envanterde yokken bulunan) ortaya çıkarır ve özel nitelikli verinin nerede biriktiğini gösterir. Dayanağın ne olması gerektiği hukuk biriminin kararıdır; verinin nerede olduğu ise keşfin çıktısıdır.

Saklama ve imha

Veri, işleme amacı için gerekli olan süre boyunca saklanır; amaç ortadan kalktığında veya süre dolduğunda silinir, yok edilir ya da anonim hale getirilir. Kurum’un ilgili sayfası üç yöntemi tanımlar; hangi yöntemin seçileceği verinin ortamına ve kurumun saklama ve imha politikasına bağlıdır.

Operasyonel akış şöyledir: her veri kategorisine bir saklama süresi atanır, süre bir takvime bağlanır, takvim dolduğunda imha işi açılır, iş bir sorumluya atanır, onaylanır, yürütülür ve kaydedilir. Bu akışın kırıldığı iki yer vardır. Birincisi, saklama süresinin dosya ve kayıt düzeyinde bilinmemesidir; bir klasördeki dosyaların hangi tarihte dolduğu, dosya etiketlenmemişse hesaplanamaz. İkincisi, imhanın yalnızca ana sistemde yapılmasıdır; kopyalar ve arşivler kalır ve imha gerçekleşmiş sayılmaz.

Anonimleştirme ayrı bir dikkat ister. Veriyi kişiyle ilişkilendirilemez hale getirmek, yalnızca adı silmek değildir; kalan alanların birleşimi kişiyi tekil olarak tanımlayabiliyorsa anonimleştirme başarısızdır. Bu yüzden iyi bir imha akışı, redakte bir kopya üretir, aslını imha eder ve redakte kopyanın tekillik denetimiyle kalitesini ölçer.

İlgili kişi başvuruları

Bir kişi, veri sorumlusuna başvurarak kendisi hakkında veri işlenip işlenmediğini öğrenmek, bilgi istemek, düzeltme veya silme talep etmek gibi haklarını kullanabilir. Kanun bu başvuruların belirli bir süre içinde yanıtlanmasını öngörür; sürenin kaçırılması başlı başına bir uyumsuzluktur.

Operasyonel olarak bir başvurunun yaşam döngüsü şu adımlardan oluşur:

1. Kayıt ve kimlik doğrulama. Başvuru alınır, tarih damgalanır, başvuranın kimliği doğrulanır.
2. Bulma. Kişinin verisinin hangi kaynaklarda bulunduğu belirlenir. Bu adım, güncel bir keşif yoksa en uzun süren adımdır; ana sistemde arama kolaydır, arşivlerde ve paylaşım klasörlerinde arama ise keşif olmadan tahminden ibarettir.
3. Yanıt veya eylem. Bilgi talebi için yanıt hazırlanır; silme talebi için onaylı imha yürütülür; düzeltme talebi için ilgili sisteme iş açılır.
4. Kanıt. Hangi kaynaklarda arandığı, ne bulunduğu, ne yapıldığı ve ne zaman yanıtlandığı başvuruya eklenir.

Süre aşımı riski çoğunlukla ikinci adımda doğar. Verinin nerede olduğu bilinmiyorsa, arama başvuru geldikten sonra başlar ve her kaynak elle taranır. Keşif tabanlı bir envanter bu adımı bir sorguya indirger.

İhlal yönetimi

Kişisel verinin yetkisiz kişilerce elde edilmesi halinde veri sorumlusu olayı Kurum’a ve etkilenen kişilere bildirmekle yükümlüdür. Kurum, Ekim 2026’da birden fazla veri ihlali bildirimini kamuoyuyla paylaşmıştır; bu duyurular, bildirimin kurumlar için teorik değil güncel bir yükümlülük olduğunu gösterir.

İhlal anında ilk soru hukuki değil, operasyoneldir: etkilenen sistemde hangi veri vardı, kaç kişiyi ilgilendiriyordu, hangi kategorideydi, özel nitelikli veri içeriyor muydu? Bu sorular, olay anında yanıtlanmaya çalışıldığında eksik ve geç yanıtlanır. Keşif önceden yapılmışsa yanıt bir rapordur: şu sunucuda şu türde veri, şu erişim bağlamında. İhlal kaydı bu rapora bağlanır; bildirim metni ona dayanır.

İkinci operasyonel ihtiyaç, ihlal kayıtlarının tek yerde ve zaman damgalı tutulmasıdır. Olayın tespiti, değerlendirmesi, bildirimi ve alınan önlemler bir zincir oluşturmalıdır; denetimde “bildirdik” ifadesi değil, zincirin kendisi istenir.

VERBİS kaydı

Veri Sorumluları Sicili, Kurum tarafından tutulan, veri sorumlularının işledikleri veri kategorilerini, işleme amaçlarını, alıcı gruplarını, saklama sürelerini ve aktarım bilgilerini bildirdikleri sicildir. Kurum’un açıklama sayfası kayıt yükümlülüğünün kapsamını ve istisnalarını anlatır.

Operasyonel olarak VERBİS kaydı, envanterin kamuya açık özetidir. Envanter keşiften kurulmuşsa kayıt gerçekliği yansıtır; anketten kurulmuşsa kayıt, anketin eksiklerini resmi sicile taşır. Kaydın güncel tutulması da aynı mekanizmaya bağlıdır: yeni bir veri kategorisi işlenmeye başlandığında, yeni bir alıcı grubuna aktarım yapıldığında veya saklama süresi değiştiğinde kayıt güncellenmelidir. Sürekli keşif, bu değişiklikleri hatırlamaya değil, taramaya bağlar.

Yükümlülük	Operasyonel iş	Gerekli girdi	Üretilen kanıt
Envanter	Veri kategorisi, amaç, dayanak, alıcı, süre eşlemesi	Keşif bulguları	Fark listesi, envanter sürümü
Aydınlatma	Metnin envanterle örtüşmesi	Envanter	Metin sürümü, kapsam karşılaştırması
Saklama ve imha	Takvim, imha işi, onay, yürütme	Etiketli veri, saklama süreleri	İmha kaydı, tekillik denetimi
Başvurular	Kayıt, bulma, yanıt, kanıt	Kaynaklar arası arama	Başvuru dosyası, zaman damgası
İhlal	Tespit, değerlendirme, bildirim	Etkilenen sistemin veri haritası	İhlal kaydı zinciri
VERBİS	Kaydın envanterle senkronu	Güncel envanter	Kayıt sürümü, güncelleme tarihi

Seratus bu açıkları nasıl kapatır

Altı iş akışının ortak girdisi verinin nerede olduğu bilgisidir; Seratus bu bilgiyi üretir ve akışları aynı konsolda yürütür.

• Envanterin beyana dayanması. VERBİS envanteri gerçek keşiften kurulur; “envanterde olmayan veri” KVKK hazırlık puanında bir açık olarak listelenir ve fark listesi envanteri düzeltir (KVKK uyumu, ajansız DSPM).
• Özel nitelikli verinin nerede biriktiğinin bilinmemesi. Türkçeye özel tespit motoru sağlık verisini (ICD kodu dahil) ayrı kurallarla bulur; erişim ve maruziyet grafiği “özel nitelikli veri geniş paylaşımda” açığını öne çıkarır (Türkçe tespit doğruluğu, erişim ve maruziyet grafiği).
• Saklama süresinin dosya düzeyinde hesaplanamaması. Etiketler saklama takvimine bağlıdır; “saklama süresi dolmuş veri” açık olarak listelenir ve onaylı imha akışına girer. İmha, redakte kopya ve aslın imhasıyla yapılır, kalite tekillik denetimiyle ölçülür (veri sınıflandırma, iyileştirme ve kanıt).
• Başvuruda verinin kaynaklar arasında elle aranması. İlgili kişi başvurusu kayda alınır, kişinin verisi bağlı kaynaklarda bulunur, yanıt veya redakte kopya üretilir, onaylı imha yürütülür ve kanıt başvuruya eklenir; “süresi geçmiş başvuru” açık olarak izlenir.
• İhlal anında etkilenen verinin bilinmemesi. Kaynak bazlı detay raporu, etkilenen sistemdeki veri türlerini ve erişim bağlamını gösterir; ihlal kayıtları ve veri koruma etki değerlendirmeleri aynı konsolda tutulur; bulgular SIEM’e iletilebilir (entegrasyonlar).
• Kanıtın dağınık olması. KVKK hazırlık özeti, denetim raporu ve yönetici özeti PDF, Excel veya CSV olarak üretilir; her eylem kim, ne zaman, neden bilgisiyle denetim kaydındadır. Hepsi kurumun kendi altyapısında, air-gap uyumlu kurulumda çalışır (özel LLM ve air-gap).

Sonuç

Veri sorumlusunun yükümlülükleri, operasyon diline çevrildiğinde altı iş akışına iner: envanter, aydınlatma, saklama ve imha, başvurular, ihlal yönetimi ve VERBİS. Altısı da aynı girdiye dayanır: verinin gerçekte nerede olduğu. Bu girdi anketle değil keşifle üretildiğinde, her akış bir hatırlama işinden bir sorguya dönüşür ve her adım kanıt bırakır. Hukuki yorum kurumun hukuk biriminde kalır; Seratus o yorumun dayanacağı gerçekleri ve kanıtı üretir. Bir sonraki kayıt, Kurum’un 2026 yılındaki güncel gelişmelerini ve bunların veri operasyonuna etkisini ele alır.