Kişisel veri işleme envanteri, bir veri sorumlusunun hangi kişisel verileri, hangi amaçla, hangi hukuki sebeple işlediğini ve kimlere aktardığını gösteren temel uyum belgesidir. VERBİS bildiriminin de kaynağıdır.
Envanterde Neler Yer Alır?
- İşlenen veri kategorileri ve ilgili kişi grupları,
- İşleme amaçları ve her amacın hukuki sebebi (Md. 5-6),
- Saklama süreleri ve imha yöntemleri,
- Alıcı grupları — kargo, banka, bulut sağlayıcı gibi somut olarak,
- Varsa yurt dışına aktarım ve dayandığı mekanizma,
- Alınan teknik ve idari güvenlik tedbirleri.
Neden Uyumun Temelidir?
Aydınlatma metinleri, saklama-imha politikası ve VERBİS beyanı envanterden türetilir; envanter yoksa bu belgeler gerçek işleme faaliyetini yansıtmaz ve denetimde "yanlış beyan" riski doğar. Envanter tek seferlik bir çalışma değildir: yeni bir ürün, tedarikçi, veri kategorisi veya aktarım ortaya çıktığında güncellenmelidir. Bu nedenle envanter, KVKK uyum sürecinin ilk adımı ve sürekli bakım gerektiren canlı bir belgesidir. Eski kayıtlardaki gerçekçi olmayan saklama süreleri ("süresiz" gibi) mevzuata uygun sürelerle değiştirilmelidir.