Kişisel Veri Envanteri Nedir?
30286 sayılı Veri Sorumluları Sicili Hakkında Yönetmelik’te kişisel veri envanteri “Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri” olarak tanımlanmıştır. Tanımdan da anlaşılacağı üzere, kişisel veri envanteri çeşitli kategorilere ayrılmıştır. Envanterin içerisinde veri sorumlusunun hangi veriyi topladığı, verinin hangi birimde tutulduğu, veri toplama amacı, verinin hangi birimlere aktarıldığı, verinin yurt dışına aktarılıp aktarılmadığı, verinin hangi gruplardan toplanıldığı ve bu verilerin güvenliğini sağlamak için alınan idari ve teknik tedbirler yer almaktadır.
Kişisel Veri Envanteri Nasıl Bir Yarar Sağlar?
Kişisel veri envanteri, veri sorumlusunun işlediği verileri de kontrol etmesini ve işlenen verilere hâkim olmasını sağlamaktadır. Envanter ile işleme faaliyeti süreci değerlendirilmekte ve irdelenmektedir. Ayrıca veri sorumlusunun 6698 sayılı Kişisel Verilerin Korunması Kanunu’na uyumluluk sürecini de kolaylaştırmaktadır. Envanter üzerinden kanuna aykırı olarak veri işlenip işlenmediği kolayca tespit edilebilmektedir.
Neden Kişisel Veri Envanteri Hazırlanmalıdır?
Veri sorumlusunun VERBİS (Veri Sorumluları Sicili) kaydı kişisel veri envanterinde yer alan bilgilere göre yapılmaktadır. Görüleceği üzere, VERBİS kaydının dayanağını kişisel veri envanteri oluşturmaktadır.
Kişisel Verilerin Korunması Kanunu’nda düzenlenen veri sorumlusunun aydınlatma yükümlülüğü, ilgili kişilerin başvurularının yanıtlanması ve ilgili kişiler tarafından açıklanacak açık rızanın kapsamı belirlenirken kişisel veri işleme envanterine dayalı olarak Sicile sunulan ve Sicilde yayınlanan bilgiler esas alınmaktadır.
30224 sayılı Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 5. maddesinde VERBİS’e kaydolmakla yükümlü olan veri sorumlularının, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlü olduğu düzenlenmiştir. Söz konusu hükümden anlaşılacağı üzere, VERBİS’e kayıt yükümlülüğü olan tüm veri sorumlularının Envanter hazırlaması gerekmektedir.