Veri Envanteri: kişisel veri işleme kayıtları
Envanter platformun temel kaydıdır. Sicile kayıtla yükümlü veri sorumluları için kişisel veri işleme envanteri hazırlamak zorunludur. Bir kez kurulur; yasal metinler, uyumluluk raporu, başvuru yanıtları ve ihlal bildirimi buradan beslenir.
Kişisel veri işleme envanteri nedir?
Kişisel veri işleme envanteri, bir kurumun iş süreçlerine bağlı olarak yürüttüğü kişisel veri işleme faaliyetlerinin kaydıdır. Yönetmelikteki tanıma göre her faaliyet; işleme amacı ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubu ile ilişkilendirilir. Kayıtta ayrıca amaç için gerekli azami saklama süresi, yurt dışına aktarımı öngörülen kişisel veriler ve veri güvenliğine ilişkin alınan tedbirler açıklanır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4).
Envanterin zorunlu bir biçimi ya da sistemi yoktur. VERBİS bildirimi kategori başlığı düzeyinde kalır; envanter ise süreç düzeyinde ayrıntı tutar. İkisi aynı şey değildir: envanter, bildirimin kaynağıdır.
Kimin için zorunlu?
Envanter hazırlama yükümlülüğü Sicile kayıt yükümlülüğüne bağlıdır: Sicile kayıtla yükümlü olan veri sorumluları kişisel veri işleme envanteri hazırlamakla yükümlüdür (Yönetmelik m.5). Kayıt yükümlülüğünün kapsamı ve istisnaları Kurul kararlarıyla belirlenir, ölçütler zaman içinde değişebilir.
Kayıt yükümlülüğü bulunmayan veri sorumluları için envanter hazırlamak zorunlu değildir; Kurum bu durumda da hazırlanmasını önerir. Kayıttan muaf olmak, aydınlatma, veri güvenliği, saklama ve imha ile ilgili kişi başvurularını yanıtlama yükümlülüklerini ortadan kaldırmaz.
Envanter başka hangi işlerin kaynağıdır?
Aydınlatma yükümlülüğünde, ilgili kişi başvurularının yanıtlanmasında ve açık rızanın kapsamının belirlenmesinde, envantere dayalı olarak Sicile sunulan bilgiler esas alınır (Yönetmelik m.5). Saklama ve imha politikası da envantere uygun hazırlanır (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5).
Bu yüzden envanter bir kez hazırlanıp kaldırılan bir belge değildir: güncel kaldığı sürece metinler, bildirimler ve yanıtlar da doğru kalır. GDPR tarafında karşılığı Art. 30'daki işleme faaliyetleri kaydıdır.
Uygulamadaki kayıt neyi tutar?
Her süreç için ilgili kişi grubu, işlenen veri kategorileri ve türleri, kategori başına işleme amacı ve hukuki sebep, toplama kanalı, kayıt ortamı, saklama süresi, yurt içi ve yurt dışı aktarımlar ile teknik ve idari tedbirler tutulur.
Kataloglar hazır gelir: 27 veri kategorisi ve 255 veri türü, işleme amaçları, hukuki sebepler, ilgili kişi grupları ve tedbir listesi.
Var olan envanterinizi yükleyin
Eğer halihazırda bir envanter tutuyorsanız, birkaç adımda tüm envanterinizi uygulamaya yükleyebilirsiniz. Excel ve CSV dosyaları doğrudan yüklenir.
Kategori, amaç ve hukuki sebep adları kataloglarla eşlenir; belirsiz kalanları siz çözersiniz. Kayıttan önce ön izleme eksikleri ve tutarsızlıkları gösterir.
Tutarlılık kuralı
Kayıt, kendi içinde çelişemez. Özel nitelikli bir veri kategorisine m.5 hukuki sebebi seçilemez, tersi de geçerlidir; seçilen her veri kategorisi için en az bir amaç ve bir hukuki sebep gerekir. Aynı kural içe aktarma incelemesinde de uygulanır.
Her sürecin bir sorumlusu vardır ve liste, eksik bölümleri sekiz başlık üzerinden işaretler. Böylece hangi süreçte ne eksik, kimin üzerinde olduğu uygulama içerisinde gözükür.
Süreç akış şeması
Her süreç için veri akışı kayıttan otomatik çizilir: ilgili kişi grubu, toplama kanalı, veri kategorileri, amaç ve hukuki sebep, saklama, yurt içi ve yurt dışı aktarımlar. Şema düzenlenebilir ve görsel olarak dışa aktarılır.
Nasıl çalışır
- Excel ya da CSV yüklenir; başlıklar otomatik eşlenir.
- Eşleşmeyen başlık için yapay zeka öneri verir, siz onaylarsınız.
- Katalog adları eşlenir, eksikler ve tutarsızlıklar işaretlenir.
- Kayıt tamamlanır; metinler, rapor ve bildirimler buradan beslenir.
Sık sorulanlar
- Envanter tutmak zorunlu mu?
- Sicile kayıtla yükümlü veri sorumluları için zorunludur (Veri Sorumluları Sicili Hakkında Yönetmelik m.5). Kayıt yükümlülüğü bulunmayanlar için zorunlu değildir; Kurum yine de hazırlanmasını önerir.
- VERBİS bildirimi ile envanter aynı şey mi?
- Hayır. VERBİS'e kategori başlığı düzeyinde bildirim yapılır; envanter süreç düzeyinde ayrıntı tutar ve bildirime esas alınan kayıttır.
- Excel dosyam şablona uymuyorsa ne olur?
- Sütun başlıkları takma ad sözlüğüyle eşlenir; eşleşmeyenleri elle ya da yapay zeka önerisiyle bağlarsınız. Dosyayı yeniden yazmanız gerekmez.
- Envanter VERBİS'e otomatik bildirilir mi?
- Hayır. Kayıt VERBİS alanlarıyla hizalıdır ve dışa aktarılır; bildirimi siz yaparsınız.