Kişisel veri envanteri, şirketin her iş sürecinde hangi kişisel veriyi, hangi kişi grubundan, hangi amaç ve hukuki sebeple işlediğini; nerede sakladığını, kime aktardığını, ne kadar tuttuğunu ve hangi güvenlik tedbirleriyle koruduğunu gösteren tablodur. Nasıl hazırlanır sorusunun kısa cevabı: süreç süreç, sahibiyle görüşerek ve sistemlerdeki gerçek veriyle karşılaştırarak.
Kişisel veri envanteri neden çoğu şirkette kâğıtta kalır?
Tipik senaryo şöyle ilerler: VERBİS kaydı yaklaşır, biri internetten bir Excel şablonu indirir, departmanlara "hangi kişisel verileri işliyorsunuz?" diye e-posta gider. Gelen cevaplar birbirine benzemez; İK "özlük dosyası" yazar, satış "müşteri bilgileri" der, bilgi işlem cevap vermez. Tablo doldurulur, sicile bildirim yapılır ve dosya bir klasörde unutulur.
Sorun, envanterin bir belge olarak görülmesidir. Oysa envanter, KVKK uyum sürecinin geri kalan her parçasının dayandığı veri kaynağıdır: aydınlatma metni, saklama süresi, yetki matrisi ve ihlal bildirimi onun içinden beslenir. Yanlış ya da eski bir envanter, bu belgelerin hepsini sessizce yanlış yapar.
İkinci sorun, envanterin sistemlerle değil insanların hafızasıyla hazırlanmasıdır. Ortak posta kutusunda biriken CV'ler, dosya sunucusunda unutulmuş eski bordro dökümleri, geçiş kontrol cihazındaki kart kayıtları ya da bir tedarikçinin bulut paneline yüklenen müşteri listesi, anket formunda nadiren kendiliğinden ortaya çıkar.
Envantersiz uyumun maliyeti
Kurum'un 2025 verileri, sorunların envanterle doğrudan bağlantılı iki alanda yoğunlaştığını gösteriyor. İlki sicil yükümlülüğü:
KVKK 2025 Yılı Faaliyet Raporu'na göre 31 Aralık 2025 itibarıyla VERBİS'e 249.474 başvuru yapıldı, sicile bildirim yapan veri sorumlusu sayısı ise 149.118'de kaldı.
Aynı rapora göre Kurul 2025'te toplam 876 veri sorumlusuna idari para cezası verdi; bunların 594'ü Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüyle ilgiliydi. Başka bir deyişle ceza alan veri sorumlularının üçte ikiden fazlasının cezası, içeriği doğrudan envanterden gelen bir yükümlülükten doğdu. Eşikleri ve kayıt adımlarını VERBİS kaydı rehberimizde ayrıca anlattık.
İkinci alan şikâyetler. KVKK 2025 Yılı Faaliyet Raporu verisine göre 2025'teki şikâyetlerin 6.506'sı verinin hukuka aykırı işlenmesi, 2.838'i üçüncü kişilerle hukuka aykırı paylaşım, 551'i ise verinin silinmemesi, yok edilmemesi veya anonim hale getirilmemesi konusundaydı. Bu üç başlığın hepsi aynı soruya çıkar: şirket, hangi veriyi hangi sebeple nerede tuttuğunu ve kime verdiğini biliyor mu?
Verisini bilmemek yalnızca uyum sorunu da değil. Drexel Üniversitesi LeBow İşletme Fakültesi ile Precisely'nin 565 veri ve analitik uzmanıyla yaptığı 2025 Outlook: Data Integrity Trends and Insights araştırmasına göre yapay zeka girişimlerini engelleyen en büyük veri sorunu %62 ile veri yönetişimi eksikliği. Envanter, yönetişimin kişisel veri tarafındaki ilk somut çıktısıdır.
Kişisel veri envanterinde hangi alanlar olmalı?
Veri Sorumluları Sicili Hakkında Yönetmelik, envanteri işleme faaliyetlerini amaç, hukuki sebep, veri kategorisi, alıcı grubu ve veri konusu kişi grubuyla ilişkilendiren; azami saklama süresini, yurt dışına aktarımı öngörülen verileri ve güvenlik tedbirlerini açıklayan kayıt olarak tanımlar. Bu, asgari çerçevedir. Envanteri gerçekten kullanılabilir yapan, yanına eklenen operasyonel sütunlardır.
| Alan | Mevzuat gereği mi? | Neden gerekli? |
|---|---|---|
| İş süreci ve süreç sahibi | Pratik | Satırın kimin sorumluluğunda olduğunu belirler |
| Veri konusu kişi grubu | Evet | Aydınlatma metni kişi grubuna göre yazılır |
| Veri kategorisi (özel nitelikli ayrı) | Evet | Sağlık, biyometrik gibi veriler ek tedbir ister |
| İşleme amacı | Evet | Amaç dışı kullanımı görünür kılar |
| Hukuki sebep | Evet | Gereksiz açık rıza taleplerini ayıklar |
| Alıcı grubu ve aktarım amacı | Evet | Veri işleyen sözleşmesi gereken yerleri gösterir |
| Yurt dışı aktarım | Evet | Bulut hizmetleri ve yapay zeka araçları burada çıkar |
| Azami saklama süresi | Evet | İmha takviminin girdisidir |
| Tedbirler | Evet | Erişim, şifreleme, kayıt tutma kanıtı |
| Sistem / konum (ERP, e-posta, dosya sunucusu, kâğıt) | Pratik | İhlalde etki alanını hızla gösterir |
| Son gözden geçirme tarihi | Pratik | Eskiyen satırları yakalar |
Sistem sütunu en çok atlanan ama olay anında en çok aranan alandır. 72 saatlik ihlal bildirimi sırasında "sızan sunucuda hangi kişi grupları vardı?" sorusunun cevabı bu sütundan gelir.
Kişisel veri envanteri nasıl hazırlanır: 7 adımlık yöntem
Aşağıdaki sıra, ister 30 kişilik bir ofis ister çok tesisli bir üretici olsun, aynı mantıkla uygulanır. Temel kural: envanter departman değil süreç bazlı kurulur, çünkü aynı departman farklı amaçlarla, farklı hukuki sebeplerle veri işler.
- Süreç listesini çıkarın. Her departmanla 30–45 dakikalık görüşme yapıp "bu ekip hangi işleri yürütüyor?" sorusunu sorun: işe alım, bordro, ziyaretçi kaydı, teklif hazırlama, sevkiyat, müşteri şikâyeti. Anket yerine görüşme, atlanan süreçleri ortaya çıkarır.
- Her sürece bir sahip atayın. Satırın doğruluğundan ve güncellenmesinden sorumlu kişi, süreci yöneten yöneticidir; bilgi işlem ya da hukuk değil.
- Veri akışını takip edin. Veri nereden giriyor (form, e-posta, kart okuyucu, kamera), hangi sistemde işleniyor, kime çıkıyor? Ortak posta kutuları, paylaşılan klasörler ve Excel dosyaları bu adımda görünür olur; e-posta arşivinde KVKK çoğu şirketin en büyük kör noktasıdır.
- Sistemleri tarayarak doğrulayın. Görüşmede söylenenle sistemde duran veriyi karşılaştırın: ERP'deki alanlar, dosya sunucusundaki klasörler, geçiş ve PDKS kayıtları, güvenlik kameraları. Farklar genellikle unutulmuş eski işlemlerdir.
- Amaç ve hukuki sebebi eşleyin. Her veri kategorisi için tek tek sebep yazın. Sözleşme ya da kanuni yükümlülükle işlenebilen veri için açık rıza istemek yaygın bir hatadır; gerçekten rızaya dayanan satırları ayrıca işaretleyin.
- Aktarım, süre ve tedbiri tamamlayın. Muhasebe bürosu, bulut e-posta, kargo firması gibi alıcıları ve yurt dışı aktarımları yazın; yurt dışı tarafı için KVKK yurt dışı aktarım rehberine bakın. Saklama sürelerini saklama ve imha politikası ile aynı tablodan besleyin.
- Onaylayın, yayımlayın ve takvime bağlayın. Süreç sahipleri satırlarını onaylasın; VERBİS bildirimi ve aydınlatma metinleri onaylı sürümden üretilsin. Değişiklik tetikleyicilerini (yeni yazılım, yeni tedarikçi, yeni kampanya) yazılı hale getirin.
Örnek: işe alım süreci tek satırda
Kişi grubu: çalışan adayı. Kategoriler: kimlik, iletişim, mesleki deneyim, eğitim. Amaç: personel temini. Hukuki sebep: sözleşmenin kurulması için gerekli olması. Sistem: kariyer e-posta kutusu, İK klasörü. Alıcılar: yetkili yöneticiler. Saklama: politikada belirlenen süre sonunda imha. Tedbir: klasöre yalnızca İK erişimi, kutuya dosya paylaşım yetkilendirmesi ile sınırlı erişim. Bu tek satır, aday aydınlatma metninin, imha takviminin ve erişim kuralının kaynağıdır.
Envanteri canlı tutmak: Excel mi, katalog mu, yazılım mı?
Envanterin ilk sürümü neredeyse her zaman bir tablodur ve bu kötü değildir. Asıl soru, tablonun ikinci yılda hâlâ doğru olup olmayacağıdır. Excel ile iş takibinin sınırları burada da geçerlidir: sürüm karmaşası, kimin neyi değiştirdiğinin görünmemesi ve sistemlerden kopukluk.
| Yöntem | Uygun olduğu durum | Güçlü yanı | Zayıf yanı |
|---|---|---|---|
| Paylaşılan tablo | Az süreç, tek tesis | Hızlı başlar, ek araç gerektirmez | Sürüm ve değişiklik izi zayıf |
| Veri kataloğuna bağlı envanter | Raporlama altyapısı olan şirket | Sistemdeki alanlarla aynı kaynaktan beslenir | Önce katalog disiplini gerekir |
| İş akışlı kayıt yazılımı / EBYS | Çok tesis, sık değişen süreç | Onay, hatırlatma ve değişiklik kaydı | Kurulum ve sahiplenme ister |
Raporlama tarafında veri kataloğu ve veri sözlüğü kullanan şirketler, "kişisel veri" etiketini katalog alanlarına işleyerek envanteri iki ayrı gerçeklik olmaktan çıkarabilir. Bunun organizasyonel temelini veri yönetişimi nedir yazısında anlattık. Hangi yöntemi seçerseniz seçin, yılda en az bir kez tam gözden geçirme ve her değişiklikte satır güncellemesi yapılmalıdır.
En sık gördüğümüz envanter hataları
- Departman bazlı tek satır: "İK: kimlik, iletişim, özlük" satırı, bordro ile işe alımın farklı sürelerini ve farklı sebeplerini gizler.
- Kâğıt ortamın unutulması: Ziyaretçi defteri, imzalı teslim tutanakları ve arşiv dolapları da envantere girer.
- Kamera ve kart kayıtlarının eksikliği: Görüntü ve geçiş verisi çoğu zaman bilgi işlemin değil idari işlerin sorumluluğundadır ve atlanır; kamera kaydı ve KVKK yazısı bu satırın nasıl yazılacağını anlatır.
- Tedbir sütununa kopyala-yapıştır: Her satıra aynı genel tedbir listesini yazmak, gerçek boşlukları örter. Tedbirleri teknik olarak kontrol etmek için KOBİ siber güvenlik kontrol listesi iyi bir başlangıçtır.
Digital Bridge'de envanter çalışmasını nasıl yapıyoruz?
Envanteri bir hukuk metni olarak değil, sistemlerle doğrulanmış bir veri kümesi olarak ele alıyoruz. KVKK uyum danışmanlığı kapsamında işe süreç sahipleriyle keşif görüşmeleriyle başlıyor, ardından bilgi işlemle birlikte e-posta, dosya sunucusu, ERP, PDKS ve kamera altyapısında verinin gerçekte nerede durduğunu kontrol ediyoruz. Görüşmeyle sistem arasındaki farklar ayrı bir bulgu listesi olarak raporlanır.
Pilot aşamada genellikle en yoğun iki süreci (çoğunlukla İK ve satış) uçtan uca çıkarıyor, satır şablonunu şirketle birlikte netleştiriyoruz. Ardından kalan süreçlere yayılıyoruz. Veri sahipliği, sınıflandırma ve kalite kurallarını veri yönetişimi ve veri kalitesi çalışmasıyla aynı tabloya bağlıyoruz; böylece envanter ile raporlama sözlüğü ayrı ayrı eskimiyor.
Envanteri yaşatmak için gerektiğinde onay ve hatırlatma akışını EBYS ve doküman yönetimi altyapısına taşıyor, sistem alanlarını otomatik okumak için sistem entegrasyonları kuruyoruz. Tedbir sütununda yazılanların sahada karşılığı olup olmadığını ise siber güvenlik ekibimizle erişim yetkileri ve kayıtlar üzerinden kontrol ediyoruz. Dosya tarafında 4. adımı kolaylaştıran araçlardan biri kendi ürünümüz SmartFiles dosya yönetimidir: metni okunabilen belgelerde TC kimlik numarası, IBAN, kart numarası, telefon ve e-posta arar, sağlık ya da adli sicil gibi ifadeleri "olası özel nitelikli veri" olarak işaretler; değerleri saklamaz, yalnızca sayıları tutar. Böylece hangi klasörde kişisel veri biriktiği görüşmelere değil, kayda dayanır.
Sonraki adım
Elinizde bir envanter varsa ilk iş, bir süreci seçip satırları sistemdeki gerçek veriyle karşılaştırmaktır; farkların büyüklüğü, envanterin ne kadar güvenilir olduğunu gösterir. Envanteriniz yoksa süreç listesiyle başlayın. Diğer uyum ve güvenlik rehberlerini Siber Güvenlik ve KVKK konu sayfasında topladık. Mevcut envanterinizin gözden geçirilmesi ya da sıfırdan kurulması için bizimle iletişime geçin; önce kapsamı konuşup yazılı bir çalışma planı hazırlayalım.