KVKK danışmanlık firması seçerken belge sayısına değil, uyumun sistemlerinize işlenip işlenmeyeceğine bakın. İyi bir firma hukuki metinleri yazmakla kalmaz; veri envanterini çıkarır, saklama sürelerini ve erişim yetkilerini sistemlere uygular, ihlal planını prova ettirir. Teklifte teslimat listesi, ekipteki hukuk ve teknik uzmanlık, veri işleyen sözleşmesi ve sürekli destek açıkça yazmalıdır.
Kısaca
- KVKK'daki sorumluluk danışmana devredilmez; danışman yol gösterir, hesap veren her zaman veri sorumlusu olan şirketin kendisidir.
- KVKK 2025 Faaliyet Raporu'na göre Kurul 2025'te 876 veri sorumlusuna idari para cezası verdi; 594'ü VERBİS yükümlülüğüyle ilgiliydi.
- Doğru firma hukuk ve bilgi teknolojileri uzmanlığını aynı projede birleştirir; yalnızca metin teslim eden teklif uyumun yarısını karşılar.
- Teklifleri fiyatla değil, teslimat listesi, kapsam dışı kalan işler ve proje sonrası destekle karşılaştırın.
- Danışman kişisel verinize erişecekse sözleşmeye veri işleyen hükümleri ve gizlilik maddesi mutlaka eklenmelidir.
KVKK danışmanlığında yanlış seçim neye mal olur?
Yanlış seçimin ilk maliyeti görünmezdir: şirket "KVKK'yı hallettik" diye düşünür ama sistemler hiç değişmemiştir. Web sitesinde aydınlatma metni vardır, klasörde bir politika seti durur; buna karşın eski çalışanların hesapları açıktır ve müşteri verisi yıllardır silinmeden birikir. Bu fark ilk şikâyette ya da ilk veri ihlalinde ortaya çıkar.
Kurul'un denetim kayıtları riskin soyut olmadığını gösteriyor. KVKK 2025 Yılı Faaliyet Raporu'na göre Kurul 2025'te 876 veri sorumlusuna idari para cezası uyguladı; bunların 594'ü sicile kayıt ve bildirim, 142'si veri ihlali bildirimleri, 140'ı ihbar ve şikâyetler kapsamındaydı. Aynı yıl Kurum'a 328 veri ihlali bildirimi ve 12.512 ihbar ve şikâyet başvurusu ulaştı.
Bu tablo danışman seçiminin neden önemli olduğunu da açıklar. Ceza alan veri sorumlularının üçte ikisinden fazlası (876'da 594) sicile kayıt ve bildirim yükümlülüğü kapsamındaydı; yani riskin büyük kısmı karmaşık hukuk sorularından değil, kayıt ve süreç eksiklerinden doğuyor. Süreci kurmayan, yalnızca belge teslim eden bir danışman bu açıkları kapatmaz.
İyi bir KVKK danışmanlık firması hangi işleri üstlenmeli?
KVKK uyumu tek seferlik bir belge paketi değil, birbirine bağlı işlerden oluşan bir süreçtir. Genel çerçeveyi KVKK uyum süreci rehberimizde adım adım anlattık. Bir danışmanlık teklifinde en az aşağıdaki bileşenlerin karşılığını aramalısınız.
| Bileşen | Teslim edilmesi gereken | Firmaya sorulacak soru |
|---|---|---|
| Boşluk analizi | Önceliklendirilmiş eksik listesi ve risk notu | Bulguları hangi ölçüte göre sıralıyorsunuz? |
| Kişisel veri envanteri | Departman bazlı işleme faaliyetleri ve veri akış şeması | Envanteri görüşmeyle mi, sistem incelemesiyle mi çıkarıyorsunuz? |
| VERBİS | Kayıt yükümlülüğü değerlendirmesi ve gerekiyorsa bildirim | Kayıttan sonra güncellemeyi kim takip ediyor? |
| Politika ve metinler | Aydınlatma metinleri, açık rıza formları, saklama ve imha politikası | Metinler gerçek süreçlerimize göre mi yazılıyor? |
| Teknik tedbirler | Yetki matrisi, erişim kaydı, şifreleme, otomatik imha | Bu tedbirleri siz mi uyguluyorsunuz, yalnızca öneri mi veriyorsunuz? |
| İhlal müdahale planı | Rol dağılımı, 72 saatlik bildirim akışı, tatbikat | Planı bir senaryoyla test ediyor musunuz? |
| Eğitim ve süreklilik | Rol bazlı eğitim, dönemsel gözden geçirme takvimi | Proje bittikten sonra destek nasıl sürüyor? |
Envanter, bu listenin temelidir; geri kalan her şey ona dayanır. Envanterin nasıl hazırlandığını bilmek, firmanın işi ne kadar derin yaptığını anlamanıza yardımcı olur; bunun için kişisel veri envanteri hazırlama yazımıza göz atabilirsiniz. Kayıt yükümlülüğünüz konusunda emin değilseniz VERBİS kaydı rehberi iyi bir başlangıçtır.
Hukuki uzmanlık mı, teknik uzmanlık mı gerekir?
İkisi birden gerekir ve asıl sorun genellikle buradadır. Hukuk odaklı firmalar metinleri iyi yazar ama "veriler iki yıl saklanır" cümlesinin veritabanında nasıl uygulanacağını çoğu zaman şirkete bırakır. Teknik odaklı firmalar ise erişim kaydını kurar ama hukuki sebep ve aydınlatma yükümlülüğünü yüzeysel geçebilir.
KVKK'nın 12. maddesi veri sorumlusundan "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri" almasını ister. Bu ifade, uyumun yarısının teknik olduğunu açıkça gösterir. Seçeceğiniz firmanın ekibinde hukukçu ile sistem ve yazılım tarafını bilen kişilerin birlikte çalıştığını görün; bir tarafı alt yükleniciye veriyorsa bunu teklifte açıkça yazmasını isteyin.
Hukuki görüş gerektiren konularda, örneğin bir Kurul soruşturmasında ya da yargı sürecinde, avukatlık hizmeti ayrıca değerlendirilmelidir. Teknik tedbirlerin kapsamını genişletmek isterseniz uyum projesini siber güvenlik danışmanlığı ile birlikte planlamak, aynı sistemlerin iki kez incelenmesini önler.
KVKK danışmanlık firması nasıl seçilir?
Aşağıdaki sekiz adım, teklifleri aynı ölçütle karşılaştırmanızı sağlar. Adımları sırayla uygulamak, "en ucuz teklif" ya da "en kalın dosya" tuzağına düşmeyi önler.
- Kendi kapsamınızı yazın. Hangi birimler, hangi sistemler (ERP, İK, CRM, e-posta, kamera, kartlı geçiş) ve kaç lokasyon kapsamda olacak, önce bunu netleştirin.
- Teslimat listesi isteyin. Her firmadan, yukarıdaki tablodaki bileşenleri karşılayan madde madde bir teslimat listesi talep edin; "KVKK uyum paketi" gibi genel ifadeleri kabul etmeyin.
- Ekibi tanıyın. Projede çalışacak kişilerin hukuk ve teknik geçmişini sorun; satış görüşmesine gelen kişiyle sahadaki kişinin aynı olup olmadığını öğrenin.
- Yöntemi sorgulayın. Envanter yalnızca anketle mi çıkarılacak, yoksa sistemler ve veritabanları da incelenecek mi? Sistem incelemesi olmayan envanter eksik kalır.
- Teknik uygulamayı netleştirin. Saklama süreleri, otomatik imha ve erişim kaydı firma tarafından mı uygulanacak, yoksa yalnızca öneri raporu mu verilecek?
- Örnek çıktı görün. Kurum adı karartılmış bir envanter ya da boşluk analizi örneği isteyin; çıktının derinliği, satış sunumundan daha çok şey söyler.
- Sözleşmeyi okuyun. Veri işleyen hükümleri, gizlilik, teslim tarihleri ve kapsam dışı işler yazılı olmalı.
- Sürekliliği planlayın. Proje sonrası dönemsel gözden geçirme, mevzuat değişikliği takibi ve ihlal anında ulaşılabilirlik koşullarını teklife ekletin.
Tedarikçi denetimi konusunda genel bir çerçeve arıyorsanız yazılım yüklenicisi denetimi ve tedarikçi bilgi güvenliği değerlendirmesi yazılarındaki sorular KVKK danışmanına da uyarlanabilir.
Teklif aşamasında hangi uyarı işaretlerine dikkat edilmeli?
Bazı ifadeler, teklifin uyumun yalnızca görünen kısmını kapsadığını ele verir. Kişisel Verileri Koruma Kurumu danışmanlık firmalarını yetkilendiren ya da onaylayan bir liste yayımlamaz; "Kurum onaylı KVKK danışmanı" gibi bir iddia gördüğünüzde dayanağını sorun; bir çalışanın kişisel sertifikası varsa da bu, projede çalışacak ekibin tamamının yetkinliğini göstermez. Aynı şekilde, kısa sürede "tam uyum" sözü veren ya da sonucu kesin olarak vaat eden teklifler gerçekçi değildir.
Hazır şablon metinler de dikkat edilmesi gereken bir işarettir. Başka bir firma için yazılmış aydınlatma metni, sizin veri kategorilerinizi ve hukuki sebeplerinizi yansıtmaz. Açık rıza ile aydınlatma metni arasındaki farkı netleştirmeyen bir danışman, gereksiz rıza toplatarak yeni bir risk de yaratabilir.
Son olarak sürecin teknik adımlarını soran sorulara verilen cevapları dinleyin. "Saklama süresini nasıl uygulayacağız?" sorusuna cevap "politikada yazıyor" ise, uygulama yükü size kalacak demektir. Süre dolan veriyi silme düzeninin nasıl kurulduğunu saklama ve imha politikası yazımızda anlattık.
Danışmanlık sözleşmesinde neler yer almalı?
Danışman boşluk analizi ve envanter sırasında personel listelerine, müşteri kayıtlarına ya da sistem ekran görüntülerine erişebilir. Bu durumda danışman sizin adınıza kişisel veri işleyen konumuna girer. Kanun'un 12. maddesine göre veri sorumlusu, verinin kendi adına başka biri tarafından işlenmesi hâlinde güvenlik tedbirlerinden onunla birlikte müştereken sorumludur.
Bu yüzden sözleşmeye veri işleyen hükümleri eklenmelidir: hangi veriye hangi amaçla erişileceği, verinin nerede tutulacağı, proje bitince nasıl iade edileceği ya da silineceği ve alt yüklenici kullanımı. Örnek maddeleri veri işleyen sözleşmesi rehberimizde bulabilirsiniz.
Sözleşmede ayrıca teslimat listesi, ara teslim tarihleri, kapsam dışı işler ve proje sonrası destek koşulları yer almalıdır. Bir veri ihlali olduğunda danışmanın hangi sürede devreye gireceği de yazılmalıdır. Kurul kararına göre ihlal, öğrenildiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirilmelidir; bu süreçte ilk saatlerin nasıl yönetileceğini KVKK veri ihlali 72 saat yazısında ele aldık.
Digital Bridge KVKK uyumunda nasıl yardımcı olur?
Digital Bridge, 2013'ten bu yana firmaya özel yazılım geliştiren bir teknoloji şirketidir ve KVKK uyum danışmanlığını bu teknik birikimle yürütür. Yaklaşımımızın özü şudur: KVKK uyumu metinle değil, sistemle sağlanır. Politikada yazan saklama süresi veritabanında da geçerli olmalıdır.
Çalışma boşluk analiziyle başlar; sistemler, süreçler ve mevcut belgeler incelenir, eksikler önem sırasına göre listelenir. Ardından departman görüşmeleri ve sistem incelemesiyle veri envanteri çıkarılır, gerekiyorsa VERBİS bildirimi ve politika seti hazırlanır. Rol bazlı yetki matrisi, erişim kaydı, saklama süresinin dolmasıyla çalışan silme ya da anonimleştirme akışı ve ihlal müdahale planı sistemlerinize uygulanır ve test edilir.
Bir senaryo üzerinden düşünelim: Üç şubeli bir sağlık kuruluşu yıllar önce metinlerini hazırlatmış, ancak hasta randevu kayıtları ve kamera görüntüleri için saklama süresi hiçbir sistemde uygulanmıyor. Boşluk analizinde bu iki alan en yüksek önceliği alır; süreler sistemlere tanımlanır, süresi dolan kayıtlar otomatik imha akışına bağlanır ve erişimler kayıt altına alınır. Boşluk analizinden sonra kapsamı, aşamaları ve bedeli yazılı teklifle sunarız. Diğer danışmanlık alanlarımızı danışmanlık hizmetleri sayfasında bulabilirsiniz.
KVKK danışmanlığı için sonraki adım nedir?
Firmalarla görüşmeden önce iki sayfalık bir ön hazırlık yapın: hangi birimlerin kişisel veri işlediği, hangi sistemlerin kullanıldığı, VERBİS kaydınızın durumu ve son bir yılda gelen başvuru ya da şikâyetler. Bu liste, teklifleri aynı kapsam üzerinden karşılaştırmanızı sağlar. Konuyla ilgili diğer rehberler güvenlik ve KVKK konu sayfasında toplanıyor.
Uyum durumunuzu birlikte değerlendirmek isterseniz KVKK uyum danışmanlığı sayfamızı inceleyin ve iletişim sayfasından boşluk analizi talep edin. Bize 0850 346 41 09 numaralı telefondan ya da info@digitalbridge.com.tr adresinden de ulaşabilirsiniz.