KVKK denetimi iki anlamda kullanılır: Kişisel Verileri Koruma Kurulu'nun resmi denetimi ve kurumların kendi iç uyum denetimi. Her ikisi de veri işleme faaliyetlerinin Kanun'a uygunluğunu ölçer; farkları başlatan taraf ve sonuçlarıdır.
Bu rehberde denetimin türlerini, nasıl yürütüldüğünü ve denetime nasıl hazırlanılacağını açıklıyoruz.
KVKK Denetimi Nedir?
Resmi anlamda KVKK denetimi, Kişisel Verileri Koruma Kurulu'nun bir veri sorumlusunun Kanun'a uygunluğunu incelemesidir. Kurul, bir ilgili kişinin şikâyeti üzerine veya bir ihlal ihbarı/kamuoyuna yansıyan bir olay nedeniyle resen (kendiliğinden) inceleme başlatabilir. İç denetim ise kurumun kendi uyum düzeyini periyodik olarak ölçmesidir.
Kurul Denetimi Nasıl Yürür?
1. İncelemenin başlaması
Kurul, şikâyet veya resen inceleme kararıyla süreci başlatır ve veri sorumlusundan bilgi/belge talep eder.
2. Savunma ve bilgi talebi
Veri sorumlusu, Kurul'un istediği bilgi ve belgeleri genellikle 15 gün içinde sunmak zorundadır. Envanter, aydınlatma metinleri, rıza kayıtları ve teknik tedbir belgeleri bu aşamada önem kazanır.
3. Değerlendirme ve karar
Kurul topladığı bilgiyi değerlendirir; ihlal tespit ederse düzeltici tedbirlere ve/veya idari para cezasına hükmeder, gerekirse veri işlemenin durdurulmasına karar verebilir.
4. Kararın tebliği ve itiraz
Karar veri sorumlusuna tebliğ edilir. İdari para cezasına karşı, 1 Haziran 2024'ten itibaren tebliğden itibaren 60 gün içinde idare mahkemesinde iptal davası açılabilir.
Denetime Nasıl Hazırlanılır?
- Kişisel veri işleme envanterini güncel tutun,
- Aydınlatma ve açık rıza süreçlerini belgeleyin,
- Teknik ve idari tedbirleri (erişim, şifreleme, loglama) kanıtlanabilir kılın,
- Veri ihlali müdahale planı ve bildirim sürecini hazır tutun,
- Veri işleyenlerle sözleşmelerinizi ve gizlilik taahhütlerini dosyalayın.
Sıkça Sorulan Sorular
Kurul haber vermeden denetime gelir mi?
Kurul genellikle yazılı bilgi/belge talebiyle süreç yürütür; şikâyet veya resen inceleme sonucu bilgi talebi gönderir. Sürelere uymak kritiktir.
Veri ihlalini bildirmek zorunda mıyım?
Evet. Kişisel veri ihlali öğrenildiğinde en kısa sürede (Kurul kararlarında öngörülen süre içinde) Kurul'a ve gereken hâllerde ilgili kişilere bildirim yapılmalıdır.
İç denetim zorunlu mu?
Doğrudan zorunlu bir "yıllık iç denetim" düzenlemesi olmasa da, hesap verebilirlik ve sürdürülebilir uyum için düzenli iç denetim güçlü biçimde tavsiye edilir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Kaynak: 6698 sayılı Kanun md. 15, 18; Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).