Bir kurumun kişisel veriyi koruyabilmesi için önce neyi koruduğunu bilmesi gerekir. Kulağa basit gelse de, uygulamada pek çok kuruluş hangi departmanın hangi veriyi topladığını, bu verinin nerede saklandığını ve ne zaman silinmesi gerektiğini tam olarak bilmez. Kişisel veri işleme envanteri işte bu bilgi karanlığını aydınlatan haritadır: kurumun içindeki tüm veri akışını kayıt altına alır.

Envanter, bir çekmeceye atılıp unutulan bir form değildir. İşe alım süreçlerinden pazarlamaya, muhasebeden müşteri hizmetlerine kadar her birimin fiili uygulamasını yansıtır ve süreçler değiştikçe güncellenir. Bu yönüyle canlı bir belgedir; kurumun veri yaşam döngüsünün anlık fotoğrafını verir.

Kişisel veri işleme envanteri, kurumun hangi veriyi neden işlediğini ve ne kadar sakladığını kategori bazında gösteren canlı bir kayıttır.

Envanterde tam olarak ne yer alır?

İyi hazırlanmış bir envanter her veri kategorisi için birkaç temel soruyu yanıtlar: bu veri neden toplanıyor, hangi hukuki sebebe dayanıyor, kimlere aktarılıyor, yurt dışına çıkıyor mu ve ne kadar süre saklanıyor. Bu ayrımın kritik bir boyutu vardır; çünkü sağlık, din, biyometrik veri gibi kategoriler Özel nitelikli kişisel veri sayılır ve bunlar için daha katı işleme şartları ile daha güçlü teknik tedbirler gerekir. Envanter bu hassas kategorileri ayrı işaretleyerek kurumu ek yükümlülüklere karşı uyarır.

Sicil kaydıyla ilişkisi

Envanter yalnızca iç bir dokümantasyon aracı değildir; resmi bir yükümlülüğe de temel oluşturur. Belirli eşikleri aşan veri sorumluları VERBİS kaydını yapmak zorundadır ve bu sicile girilen bilgilerin çoğu doğrudan envanterden beslenir. Dolayısıyla envanteri sağlam kuran bir kurum, sicil bildirimini de tutarlı ve güncel tutabilir; envanteri olmayan bir kurumun sicil kaydı ise çoğu zaman gerçeği yansıtmayan bir tahmine dönüşür.

• İşlenen veri kategorisi ve ilgili kişi grubu
• İşleme amacı ve dayandığı hukuki sebep
• Alıcı grupları ve varsa yurt dışına aktarım
• Azami saklama süresi ve silme yöntemi
• Alınan teknik ve idari güvenlik tedbirleri

Envanterin sahibi kim olmalı?

Bu belgeyi ayakta tutmak dağınık bir sorumluluk olmamalıdır. Bir Veri koruma görevlisi ya da eşdeğer bir uyum sorumlusu, envanterin birimlerden gelen değişikliklerle güncel kalmasını, hukuki sebeplerin doğru atanmasını ve saklama sürelerinin fiilen uygulanmasını gözetir. Sahipsiz bırakılan bir envanter, birkaç ay içinde gerçek uygulamadan kopar ve denetim anında kuruma yarardan çok zarar getiren yanıltıcı bir belgeye dönüşür.

Nihayetinde envanter, tüm veri koruma programının omurgasıdır ve kaynağını KVKK yükümlülüklerinden alır; aydınlatma metinleri, saklama-imha politikaları ve ihlal müdahale planları hep bu haritanın üzerine kurulur. Envanterin altyapı ve mimariyle uyumlu şekilde kurgulanması için Altyapı ve mimari gözden geçirme hizmetimiz veri akışlarını teknik gerçeklikle eşleştirmeye yardımcı olur.