KVKK ve Veri Güvenliği: Otomasyon Projelerinde Dikkat Edilecek Hususlar

Otomasyon + KVKK: veri minimizasyonu ve amaç sınırı

Otomasyon ve entegrasyon sayısı arttıkça işlenen kişisel veri çeşidi de artar: formlar, CRM, e-posta, WhatsApp, ödeme, analitik, yapay zekâ API’leri, çağrı merkezi kayıtları ve log dosyaları. Her yeni bağlantıda aynı üç soru net olmalı: hangi amaçla, ne kadar süreyle, kimin erişimiyle? 6698 sayılı Kanun’un ruhu; gerektiği kadar veri toplamak, yalnızca belirlenen amaç için işlemek ve süre sonunda silmek, anonimleştirmek veya saklama yükümlülüğü varsa güvenli şekilde arşivlemektir.

KOBİ ve küçük ekiplerde sık görülen hata; otomasyonu “teknik bir hızlandırıcı” görüp veri envanteri ve hukuki metinleri sonraya bırakmaktır. Oysa iş kuralları (hangi alan zorunlu, hangi tetikleyici hangi veriyi işler) doğrudan KVKK’nın amaç sınırı ve veri minimizasyonu ilkelerine bağlanır. Erken netlik; hem uyum hem de entegrasyon maliyetini düşürür.

Veri envanteri: önce kayıt, sonra otomasyon

Envanter; “hangi veriyi hangi sistemde, hangi hukuki dayanakla tutuyoruz?” sorusunun tek tabloda cevabıdır. Otomasyon projesine başlamadan veya yeni bir entegrasyon eklemeden önce; veri türü, işleme amacı, hukuki sebep (ör. sözleşmenin ifası, meşru menfaat, açık rıza), saklama süresi, yedekleme yeri ve erişim rolleri satır satır yazılmalıdır. VERBİS kaydı olan veri sorumluları için bu disiplin zaten süreç içindedir; önemli olan yazılı envanterin canlı sistemle (form alanları, API payload’ları, raporlar) birebir örtüşmesidir.

Etkileşimli simülasyon: veri akışı ve otomasyon modu

Aşağıdaki görselleştirme öğretici bir metafordur: merkeze doğru akan paketler, otomasyon “motorundan” geçerken şifrelenmiş (cyan) ve açık risk (magenta) durumlarını temsil eder. Veri akışını analiz et düğmesi otomasyon protokolünü açar/kapatır; gerçek bir güvenlik denetimi veya hukuki uygunluk ölçümü değildir.

Not: Hareket ve parlaklık hassasiyeti olan kullanıcılar için işletim sistemi “hareketi azalt” tercihi açıksa animasyon devre dışı bırakılır.

Alt işleyen ve yurtdışı aktarım

Hosting, e-posta sağlayıcısı, bulut yedek, teknik destek veya AI API kullanımı; veriyi sizin adınıza işleyen üçüncü taraflardır. Bunlar için güncel sözleşme, gerekirse veri işleme şartları ve alt işleyen listesinin güncelliği şarttır. Veri yurtdışına aktarılacaksa, Kanun’daki şartlar ve Kurul kararları çerçevesinde (ör. yeterlilik kararı, taahhütname, standart sözleşme maddeleri) dokümantasyon ayrıca ele alınmalıdır. “Sadece teknik entegrasyon” gerekçesiyle hukuki adımı atlamak, hem denetim hem müşteri güveni açısından risk oluşturur.

Özellikle yapay zekâ servislerinde; giriş metinleri, destek kayıtları veya kişisel veri içeren prompt’ların nasıl işlendiğini sağlayıcı dokümantasyonundan okuyun ve envanter satırınızla eşleştirin.

Veri minimizasyonu ve amaç sınırı

Otomasyon arttıkça işlenen kişisel veri çeşidi kolayca şişer. Çözüm: form ve API alanlarını sadeleştirmek, gereksiz kopyaları sistemler arasında taşımamak ve “belki lazım olur” diye süresiz saklamamak. Aydınlatma metni ile gerçek işleyişin örtüşmesi; açık rıza gereken senaryolarda (ör. pazarlama, hassas veri) rıza kayıtlarının izlenebilir ve geri alınabilir olması gerekir.

Alan: telefon → depoda son 4 hane (****3210)
Amaç: pazarlama | Süre: 24 ay → sonra sil
Log: IP tam değil /24 ağ maskesi
Alt işleyen: CRM X → sözleşme tarihi: 2025-03-01 ✓

Teknik ve operasyonel güvenlik

Teknik: HTTPS, güncel eklenti ve tema; yedeklerin şifrelenmesi ve erişim anahtarlarının paylaşılmaması; rol bazlı erişim (kim hangi panelde hangi veriyi görür, dışa aktarabilir?). Loglama: Tam IP yerine gerektiğinde ağ maskesi gibi daha az tanımlayıcı seçenekler; log saklama süresi envanterle uyumlu olmalı, üretim veritabanı ile karıştırılmamalıdır. Olay müdahale: Olası veri ihlali veya sızıntı için kısa bir plan: iç tespit, kayıt muhafazası, yetkili mercilere bildirim süreleri ve müşteri iletişimi kimden geçecek?

Operasyon: İlgili kişinin silme, düzeltme veya bilgi taleplerine makul süreler; sorumlu rol; silme talebinin site, CRM, e-posta listesi ve yedeklerde nasıl uygulanacağı. Periyodik “ölü kayıt” temizliği ve test ortamında gerçek müşteri verisi kullanmama kuralı küçük ekiplerde bile yazılı kalmalıdır.

İlgili kişi hakları ve şeffaflık

Kullanıcıların başta aydınlatılmış olma ve gerektiğinde başvuru hakları (bilgi talebi, düzeltme, silme, itiraz) için net bir iletişim kanalı ve iç süreç tanımı gerekir. Otomasyon; talepleri hızlandırabilir (ör. ticket numarası, otomatik onay e-postası) fakat “sadece botta” bırakmak yerine insan kontrolü ve istisna yönetimi planlanmalıdır.

Hukuki destek: Bu içerik hukuki danışmanlık değildir. Yükümlülükleriniz için uzman avukat veya VERBİS süreçlerinize uygun danışmanlık almanız önerilir. Teknik uygulama (formlar, otomasyon, güvenli barındırma) tarafında destek için bizimle iletişime geçebilirsiniz.