Veri İşleme Envanteri Nasıl Hazırlanır?
Öncelikle, veri işleme envanteri hazırlama yükümlülüğünün her veri sorumlusu için geçerli olmadığını söylememiz gerekir. Veri sorumluları siciline (VERBİS) kaydolmakla mükellef olan her veri sorumlusu, aynı zamanda envanter hazırlamakla da yükümlü olacaktır.
Kimlerin VERBİS’e kayıtlı olmakla yükümlü olduğunu ise, kanunun verdiği yetkiye dayanarak Kişisel Verileri Koruma Kurulu belirlemektedir.
Bir başka deyişle; sicile kayıt zorunluluğu ile envanter düzenleme zorunluluğu birlikte var olacaktır ya da olmayacaktır.
Tam bu noktada, VERBİS’e kaydolmakla mükellef olmayan veri sorumluları şu soruyu sorabilir: Biz de kişisel veri envanteri hazırlayalım mı?
Bu soruya cevabım kesinlikle “evet” olacaktır. Çünkü kişisel veri envanteri öyle bir belgedir ki; doğru şekilde ve eksiksiz doldurulduğunda, organizasyondaki tüm kişisel veri süreçlerinin fotoğrafını çeker. Bu fotoğraf HD kalitesinde, hatta 4K kalitesinde bir fotoğraf olacaktır.
Fotoğrafın 4k kalitesinde olması demek; elimizde, 6698 sayılı Kanunun emrettiği düzenlemeleri yapmaya hazır, ona temel teşkil edecek ve gerektiğinde başvurabileceğimiz bir kaynağımızın olması demektir.
Envanter hazırlama süreci nasıl olacak?
- Birimlerin tespiti
- Süreçlerin ve faaliyetlerin tespiti
- Elde edilen bilgilerin / kişisel verilerin tespiti
- Verilerin işlenme amaçlarının belirlenmesi
- Verilerin işlenmesinin hukuki sebeplerinin tespiti
- Kişisel verilerin niteliğinin belirlenmesi
- Kişisel verilerin kimleri ilgilendirdiğinin tespiti
- Kişisel verilerin saklama ve imha süresinin tespiti
- Kişisel verilerin aktarılıp aktarılmadığının tespiti
- Kişisel verilerin korunması için alman tedbirlerin tespiti
Yukarıda yer alan temel bilgiler dışında, envantere yeni bölümler eklenmesi her zaman mümkündür. Çünkü amaç, bir kişisel veriyle ilgili tüm bilgilere hâkim olmaktır. Kişisel veri ne kadar detaylandırılırsa, anlaşılması ve yönetilmesi de o kadar kolay olacaktır.
Envanter oluşturmak isteyen büyük organizasyonlarda, her şeyden önce bu işi yürütmesi için bir ekip görevlendirilmesi önem arz eder. Bu ekip aşağıdaki adımları izleyerek, yukarıda yazılı bilgileri edinmelidir:
- Organizasyondaki tüm birimleri belirlemek
- Her birimin sorumlularıyla görüşerek tüm faaliyetlerini tespit etmek
- Birimdeki her düzeyden ve pozisyondan personelle görüşerek, faaliyetlerin yürütülmesi esnasında şahit olunan / edinilen / öğrenilen tüm kişisel verileri not almak
- Kişisel verilerin saklandığı fiziksel / dijital dosyalan kontrol etmek
- Gerektiğinde bilişim uzmanlarından yardım alarak işlemleri yürütmek
- Sürecin her aşamasını yazılı olarak kayıt altına almak
Envanter hazırlama sürecinin, 6698 sayılı kanuna uyum işlemlerinin temel taşı olduğunu söyleyebiliriz. Bu nedenle, kişisel veri envanteri hazırlanırken çok dikkatli olmak ve detaylı bir çalışma yürütmek, diğer tüm işlemlerinizi hızlandıracaktır.