KVKK: küçük işletmenin gerçekten yapması gerekenler

KVKK denince küçük işletmelerin aklına genelde iki şey geliyor: kapıya asılacak bir metin ve bir sisteme kayıt olmak. İkisi de listenin bir parçası, ama ikisi de en başta gelen madde değil. Bu yazıda tek bir soruya cevap arıyoruz: çalışanı ve müşterisi olan küçük bir işletme, KVKK için pratikte hangi işleri hangi sırayla yapmalı?

Önce iki terimi netleştirelim, çünkü metinlerin çoğu bunları açıklamadan kullanıyor:

• Kişisel veri: bir kişiyi belirli ya da belirlenebilir kılan her bilgi. Ad soyad, telefon, TC kimlik numarası, adres, plaka, fotoğraf, IP adresi. Müşterinizin WhatsApp'tan attığı adres de buna dahil.
• Veri sorumlusu: veriyi neden ve nasıl işlediğine karar veren taraf. Kendi müşteri listenizi siz tutuyorsanız, veri sorumlusu sizsiniz. Muhasebeciniz ya da e-fatura entegratörünüz genelde veri işleyen oluyor: sizin talimatınızla işliyor.

KVKK tarafında bazı yükümlülükler (özellikle VERBİS kaydı muafiyeti ve idari para cezası tutarları) sayısal ölçütlere bağlı ve bu ölçütler Kurul kararlarıyla ve yeniden değerleme oranıyla değişiyor. Bu yazıda bilinçli olarak rakam verilmiyor. Güncel ölçütü kvkk.gov.tr üzerindeki duyurulardan, sizin işletmenize uygulanıp uygulanmadığını da mali müşaviriniz veya bir avukatla doğrulayın.

1. Hangi verileri tuttuğunuzu tek sayfaya yazın

İlk iş metin yazmak değil, envanter çıkarmak. Kâğıt üzerinde şu dört sütunlu bir tablo yeterli:

Veri	Kimden	Nerede duruyor	Neden tutuyoruz
Ad, telefon	Müşteri	Ön muhasebe programı	Sipariş ve teslimat
TC, IBAN	Çalışan	Bordro dosyası	Yasal zorunluluk
Fotoğraf	Ziyaretçi	Kamera kaydı	Güvenlik

Bu tabloyu doldururken çoğu işletme, verinin tahmin ettiğinden çok daha fazla yerde durduğunu görüyor: ön muhasebe programı, telefondaki rehber, WhatsApp yazışmaları, e-posta kutusu, kasadaki defter, kamera kaydı, siteye gelen form. Envanter olmadan sonraki adımların hiçbiri doğru yapılamaz.

2. Her veri için hukuki sebebi belirleyin

Kanun, kişisel veriyi işlemek için belirli hukuki sebepler sayıyor. Küçük işletmede en sık karşılaşılan üçü şunlar:

• Kanunlarda açıkça öngörülmesi: bordro, vergi ve SGK kayıtları. Bunlar için ayrıca rıza almanıza gerek yok.
• Sözleşmenin kurulması veya ifası: müşterinin adresini teslimat için tutmanız.
• Meşru menfaat: dengeli olmak kaydıyla, örneğin işyeri güvenlik kamerası.

Açık rıza en son başvurulacak sebep, ilki değil. Yaygın bir hata, her şey için rıza formu imzalatmak. Rıza her an geri çekilebilir; geri çekildiğinde işlemeyi durdurmanız gerekir. Zaten yasal zorunlulukla tuttuğunuz bir veriyi rızaya bağlarsanız, kendinize çözemeyeceğiniz bir sorun üretirsiniz. Rıza; pazarlama mesajı göndermek, fotoğrafı sosyal medyada kullanmak gibi zorunlu olmayan işlemler için ayrı ve seçimli olarak alınır.

3. Aydınlatma metnini yazın ve gerçekten gösterin

Aydınlatma yükümlülüğü, veriyi topladığınız anda kişiye kim olduğunuzu, neyi neden topladığınızı, kimlere aktardığınızı ve haklarını anlatmanız demek. Bunun için şart olan şey:

1. Metnin işletmenize özel olması. İnternetten alınan şablonda başka bir firmanın faaliyet konusu yazıyorsa, metin işlevini görmüyor.
2. Verinin toplandığı yerde bulunması. Sitede form varsa formun yanında, kasada telefon alınıyorsa görülebilecek bir yerde, işe giriş evrakında ayrı bir sayfa olarak.
3. Açık rıza metninden ayrı olması. İkisi tek kâğıtta birleştirilirse rıza geçerliliğini tartışmalı hale getirir.

4. Saklama süresini ve silme yöntemini kararlaştırın

"Ne olur ne olmaz" diye veri saklamak, KVKK'nın doğrudan karşı çıktığı şey. Her veri türü için iki soruya cevap verin: ne kadar süre tutulacak, süre dolunca nasıl yok edilecek. Yasal saklama süresi olan kayıtlarda (ticari defterler, bordro) süre kanunla belli; olmayanlarda süreyi siz belirleyip yazıya dökersiniz.

Silme kısmı çoğunlukla atlanıyor. Programdaki kaydı silmek, aynı verinin yedeklerde, e-posta kutusunda ve WhatsApp'ta durmasını engellemiyor.

5. VERBİS kaydınızın gerekip gerekmediğini kontrol edin

VERBİS, veri sorumlularının kaydolduğu resmî sicil. Belirli ölçütlerin altında kalan işletmeler kayıttan muaf; ölçütler çalışan sayısı ve mali büyüklük üzerinden tanımlanıyor ve güncellenebiliyor. Muafiyet, diğer yükümlülüklerden muafiyet anlamına gelmiyor — envanter, aydınlatma ve güvenlik yükümlülükleri kayıt gerekmese de duruyor.

6. Güvenlik tedbirlerini somutlaştırın

Kanunun beklediği "uygun güvenlik düzeyi", küçük işletmede pahalı sistemler değil, birkaç somut alışkanlık anlamına geliyor:

• Programlarda her çalışana ayrı kullanıcı; ortak parola kullanılmaması.
• Yetkilendirme: satış elemanının bordro ekranına erişememesi.
• Cihazlarda ekran kilidi ve disk şifrelemesi; özellikle sahaya çıkan dizüstü ve telefonlarda.
• Düzenli yedek ve yedeğin de korunuyor olması.
• İşten ayrılan çalışanın erişimlerinin aynı gün kapatılması.

7. Dışarıdaki taraflarla yazılı hale gelin

Muhasebeciniz, e-fatura entegratörünüz, kargo firmanız, sitenizi yapan ajans ve kullandığınız bulut programlar sizin verinizi işliyor. Bu taraflarla ilişkinin sözleşmede tanımlanmış olması gerekiyor: neyi işleyecekler, ne kadar süre tutacaklar, ihlal olursa size nasıl haber verecekler. Yeni bir hizmet alırken bu soruları sözleşme imzalanmadan önce sormak, sonradan sormaktan çok daha kolay.

8. İki senaryo için bir cevap yolunuz olsun

Kişi başvurursa: herkesin verisine erişme, düzeltme ve silinmesini isteme hakkı var. Başvuruların hangi adrese geleceğini belirleyin (bir e-posta adresi yeterli), kimin bakacağını ve yasal süre içinde nasıl cevaplanacağını yazın.

İhlal olursa: veri çalınır, sızar veya kaybolursa Kurul'a ve etkilenen kişilere bildirim yapılması gerekiyor ve bunun için tanınan süre saatlerle ölçülüyor. Süre başladığında araştırma yapacak vaktiniz olmaz; kimin arayacağını ve neyin bildirileceğini şimdiden belirleyin. Güncel süreyi ve bildirim biçimini kvkk.gov.tr üzerinden doğrulayın.

Kontrol listesi

Adım	Bitti mi
Veri envanteri tablosu çıkarıldı
Her veri için hukuki sebep yazıldı
Aydınlatma metni işletmeye özel hazırlandı ve gösteriliyor
Açık rıza yalnızca zorunlu olmayan işlemler için, ayrı alınıyor
Saklama süresi ve imha yöntemi belirlendi
VERBİS durumu kontrol edildi
Kullanıcı, yetki, yedek ve cihaz güvenliği düzenlendi
Veri işleyenlerle sözleşmeler gözden geçirildi
Başvuru adresi ve ihlal bildirim planı belli

Bu listenin ilk maddesi tamamlanmadan diğerlerine geçmenin faydası yok; envanter, geri kalan her adımın girdisi. Bir öğleden sonrada çıkarılabilir ve KVKK uyumunun en zor kısmı olduğu için de en çok ertelenen adımdır.