Küçük İşletmeler İçin KVKK Uyumu: Nereden Başlanır?
KVKK uyumuna küçük işletmeler nereden başlamalı? Veri envanteri, aydınlatma metni, açık rıza, çerezler, saklama ve imha, veri ihlali. Sade bir başlangıç yol haritası.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), müşteri, çalışan ya da ziyaretçi verisi işleyen her işletme için geçerlidir; küçük olmak sorumluluğu ortadan kaldırmaz. İyi haber: işe sade bir sırayla başlanabilir. Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.
1. Hangi kişisel veriyi işlediğinizi listeleyin (veri envanteri)
Müşteri adı, telefon, e-posta, TC kimlik no, adres, çalışan özlük dosyaları, kamera kayıtları, web sitesi formlarından gelen bilgiler... Her veri için şunu yazın: nereden alınıyor, ne için kullanılıyor, kimlerle paylaşılıyor, ne kadar saklanıyor, nerede duruyor.
2. Aydınlatma metni hazırlayın
Kişisel verisini topladığınız kişiye (müşteri, çalışan, form dolduran ziyaretçi) kim olduğunuzu, veriyi hangi amaçla ve hangi hukuki sebeple işlediğinizi, kimlere aktardığınızı ve haklarını bildirmelisiniz. Web sitenizdeki iletişim formunun yanında da bu metne bağlantı bulunmalıdır.
3. Açık rıza gerektiğinde, ayrı ve serbest şekilde alın
Her veri işleme açık rıza gerektirmez; sözleşmenin ifası, hukuki yükümlülük gibi sebepler de vardır. Ancak pazarlama iletisi gönderme ya da çerezlerle takip gibi durumlarda açık rıza gerekebilir. Rıza, hizmetin şartı gibi sunulmamalı, kolayca geri alınabilmelidir.
4. Web sitenizde çerez ve gizlilik düzenini kurun
Analitik, reklam ve pazarlama çerezleri için ziyaretçiye seçim sunan bir çerez bildirimi gerekir. Gizlilik ve KVKK sayfanız güncel olmalı. Ayrıntı için web sitenizin KVKK uyumu hakkında bize danışabilirsiniz.
5. Veri güvenliği önlemleri alın
Basit ama etkili adımlar: güçlü ve benzersiz parolalar, iki aşamalı giriş, yetkiye göre erişim (herkes her şeyi görmesin), düzenli yedek, güncel yazılım, çalışan eğitimi. Kişisel veriyi WhatsApp grupları ve paylaşılan Excel dosyalarında tutmaktan kaçının.
6. Saklama ve imha süreleri belirleyin
Veriyi gereğinden uzun saklamayın. Hangi veri ne kadar tutulacak ve süresi dolunca nasıl silinecek veya anonim hale getirilecek yazılı olsun.
7. Tedarikçilerinizi gözden geçirin
Veriyi işleyen hosting, muhasebe, SMS, e-posta pazarlama ve benzeri sağlayıcılarla yapılan sözleşmelerde kişisel veri güvenliği hükümleri bulunmalı.
8. Veri ihlaline hazırlıklı olun
Kanun, bir ihlalin öğrenilmesinden itibaren en kısa sürede, en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirilmesini öngörür. İhlali kimin yöneteceğini, kimi arayacağınızı önceden belirleyin.
9. VERBİS kaydı gerekiyor mu?
Belirli büyüklüğün üzerindeki işletmeler (çalışan sayısı ve mali bilanço eşiklerine bağlı) ve bazı faaliyet alanları Veri Sorumluları Sicili'ne (VERBİS) kayıt yaptırmak zorundadır. Eşikler güncellenebildiği için güncel durumu Kişisel Verileri Koruma Kurumu'nun sitesinden kontrol edin.
Başlangıç için sade bir yol haritası
- Veri envanteri çıkarın (1–2 gün)
- Aydınlatma metni ve çerez bildirimini yayınlayın
- Parola, erişim ve yedek düzenini toparlayın
- Saklama-imha ve ihlal prosedürünü yazın
- Yılda bir gözden geçirin
HNG Bilişim olarak küçük ve orta ölçekli işletmeler için KVKK ön analizi ve Temel KVKK uyum paketi sunuyoruz. Eksik alanları belirlemek için ücretsiz ön görüşme planlayabilirsiniz.