KVKK uyum kontrol listesi: girişimlerin yapması gereken 12 adım
Kişisel verilerin korunması mevzuatına uyum için girişimlerin envanter, aydınlatma, açık rıza, güvenlik ve ihlal bildirimi gibi adımları.
Yazan: Editör Ekibi
Girişimler müşteri, kullanıcı ve çalışan verisi işler; bu nedenle kişisel verilerin korunması mevzuatına uyum sonradan düşünülecek bir konu değil, ürünün temel parçasıdır. Aşağıdaki adımlar genel bir çerçeve sunar; hukuki yükümlülükleriniz için mutlaka bir hukuk danışmanından destek alın ve güncel mevzuatı doğrulayın.
12 adımlık kontrol listesi
- Veri envanteri: Hangi kişisel verileri, hangi amaçla, nerede ve ne kadar süre işliyorsunuz? Tek tabloda listeleyin.
- Hukuki sebep: Her işleme faaliyeti için dayanağı belirleyin (sözleşme, yasal yükümlülük, meşru menfaat, açık rıza vb.).
- Aydınlatma metni: Veri sahiplerini; kim olduğunuz, hangi verileri hangi amaçla işlediğiniz ve haklarını konusunda bilgilendirin.
- Açık rıza: Gerektiğinde, bilgilendirilmiş, belirli konuya ilişkin ve özgür iradeyle alınan rıza kullanın. Önceden işaretli kutular uygun değildir.
- Gizlilik politikası ve çerezler: Web sitenizde güncel bir politika ve çerez yönetimi bulundurun; bkz. kullanım koşulları ve gizlilik politikası.
- Veri sahibi hakları: Erişim, düzeltme, silme gibi taleplere yanıt verecek bir süreç kurun.
- Veri minimizasyonu: Yalnızca gerçekten gerekli olan verileri toplayın.
- Saklama ve imha: Saklama sürelerini belirleyin, süresi dolan verileri silin veya anonimleştirin.
- Teknik ve idari güvenlik: Erişim kontrolü, şifreleme, yedekleme, çok faktörlü doğrulama; bkz. siber güvenlik temelleri.
- Üçüncü taraflar ve aktarım: Bulut, analitik ve pazarlama araçlarıyla veri paylaşımını sözleşmelerle düzenleyin; yurt dışına aktarım koşullarını kontrol edin.
- İhlal planı: Veri ihlali durumunda kim ne yapacak, kime ve ne zaman bildirilecek? Önceden yazın.
- Eğitim ve sorumluluk: Ekibi bilinçlendirin, sorumlu bir kişi belirleyin.
Yapay zekâ ürünlerinde ek dikkat
Kullanıcı verisiyle model eğitiyor veya üçüncü taraf yapay zekâ servislerine veri gönderiyorsanız ek riskler vardır. Bkz. yapay zekâ ve KVKK ve yapay zekâ ürünlerinde veri stratejisi.
Pratik ipuçları
- Test ortamında gerçek müşteri verisi kullanmayın.
- Çalışanların kişisel verilerini de envantere dahil edin.
- Sözleşme şablonlarınıza veri işleme maddeleri ekleyin; bkz. hukuki kontrol listesi.
Sık yapılan hatalar
- Gizlilik politikasını başka bir siteden kopyalamak
- Gereğinden fazla veri toplamak
- Silme taleplerine yanıt verecek süreç olmaması
- Üçüncü taraf araçlara hangi verinin gittiğini bilmemek
Bu rehber genel bilgilendirme amaçlıdır; hukuki, mali veya yatırım tavsiyesi değildir. Güncel şartlar için resmî kaynaklara ve uzmanlara danışın.
