Türkiye KVKK uyumluluğu

KVKK nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu, Türkiye'nin kapsamlı kişisel veri koruma kanunudur. Amacı, başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korumak; aynı zamanda kişisel veri işleyen kişi ve kuruluşlara uygulanacak ilke ve yükümlülükleri belirlemektir.

Kanun, tamamen veya kısmen otomatik yollarla yapılan işlemeye ve bir veri kayıt sisteminin parçası olan belirli otomatik olmayan işlemeye uygulanır. Şu rolleri tanımlar:

• Veri sorumlusu – işlemenin amaçlarını ve vasıtalarını belirler.
• Veri işleyen – veri sorumlusu adına kişisel verileri işler.
• İlgili kişi – kişisel verileri işlenen gerçek kişidir.
• Kişisel Verileri Koruma Kurulu – düzenleyici karar organıdır.
• Kişisel Verileri Koruma Kurumu – düzenleyici çerçeveyi yürüten kurumsal yapıdır.

KVKK 24 Mart 2016'da kabul edilmiş ve 7 Nisan 2016'da Resmî Gazete'de yayımlanmıştır. Çerçeve o tarihten bu yana değiştirilmiş; özellikle özel nitelikli kişisel veriler ve yurt dışına veri aktarımına ilişkin önemli değişiklikler 2024'te yürürlüğe girmiştir.

KVKK kapsamındaki kuruluşlar

KVKK, kapsamına giren ve Kanun'un kapsadığı kişisel verileri işleyen kurum, kuruluş ve kişilere uygulanır. Örneğin:

• Türkiye'de kurulu şirketler
• İşverenler
• E-ticaret işletmeleri
• Bankalar ve finans kuruluşları
• Sağlık kuruluşları
• Eğitim kurumları
• Teknoloji şirketleri
• SaaS sağlayıcıları
• Reklam ve pazarlama işletmeleri
• Telekomünikasyon şirketleri
• Çevrimiçi pazar yerleri
• Mobil uygulamalar
• İnternet siteleri ve dijital platformlar
• Kamu kurumları
• Çalışan verisi işleyen kuruluşlar
• Müşteri veya potansiyel müşteri veri tabanı kullanan kuruluşlar

Türkiye dışında kurulu kuruluşların da işleme faaliyetlerine ve Türkiye'deki ilgili kişilerle ilişkilerine bağlı olarak KVKK kapsamında yükümlülükleri doğabilir.

Türkiye'de internet sitesi, mobil uygulama, SaaS platformu, e-ticaret hizmeti veya başka dijital ürünler işleten şirketler için KVKK uyumu; rıza yönetimini, aydınlatma metinlerini, işleme şartlarının değerlendirilmesini, güvenlik önlemlerini, ilgili kişi başvurularının yönetimini, VERBİS yükümlülüklerini ve yurt dışına aktarım güvencelerini kapsayabilir.

KVKK hangi verileri korur?

KVKK, kimliği belirli veya belirlenebilir bir kişiye ilişkin kişisel verileri kapsar. Örnekler:

• Ad ve soyad
• E-posta adresi
• Telefon numarası
• Posta adresi
• Kimlik bilgileri
• Müşteri hesabı bilgileri
• Çalışan bilgileri
• Kişisel veri niteliği taşıdığı hâllerde IP adresleri
• Çevrimiçi tanımlayıcılar
• Konum bilgileri
• İşlem bilgileri
• Cihaza ilişkin bilgiler
• Kimlik doğrulama bilgileri
• Müşteri kayıtları
• Pazarlama profilleri
• Belirli çerez ve izleme bilgileri

Belirli bir teknik tanımlayıcının kişisel veri olup olmadığı, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilmesine bağlıdır.

KVKK ayrıca özel nitelikli kişisel veriler için ek şartlar öngörür.

KVKK'nın işleme ilkeleri

4. madde kişisel verilerin işlenmesine ilişkin genel ilkeleri düzenler. Kişisel veriler, ilgili hukuki ilkelere ve Kanun'a uygun biçimde işlenmelidir; bu ilkeler arasında şunlar yer alır:

• Hukuka ve dürüstlük kurallarına uygunluk – işleme, uygulanacak hukuki gereklere uygun ve dürüstlük kurallarına uygun biçimde yürütülmelidir.
• Doğruluk – kişisel veriler doğru olmalı ve gerektiğinde güncel tutulmalıdır.
• Amaçla bağlılık – veriler belirli, açık ve meşru amaçlar için işlenmelidir.
• Veri minimizasyonu – kişisel veriler işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.
• Saklama süresinin sınırlılığı – veriler, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre kadar saklanmalıdır.

Bu ilkeler; toplama ve rızadan saklama, kullanma, paylaşma ve silmeye kadar verinin tüm yaşam döngüsünde dikkate alınmalıdır.

KVKK'da açık rıza nedir?

KVKK açık rızayı; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bu nedenle rıza, ilgili kişinin iradesinin olumlu ve anlamlı bir açıklaması olmalıdır.

Rıza yönetiminde şunlardan kaçınılmalıdır:

• Önceden işaretlenmiş rıza seçenekleri
• Belirsiz veya toptan rıza
• Açık olmayan amaçlar
• Gizlenmiş rıza mekanizmaları
• İlgisiz işleme faaliyetleriyle gereksiz biçimde birleştirilmiş rıza
• Reddetmeyi gereksiz şekilde zorlaştıran arayüzler

Kurum, açık rızanın üç temel unsurunu vurgulamıştır: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması.

Rızanın geri alınması

İşleme açık rızaya dayanıyorsa, kuruluşlar bu rıza ilişkisini yönetmek için uygulanabilir bir mekanizma sunmalıdır. Bir rıza yönetimi sistemi kuruluşlara şunları sağlamalıdır:

• Rızanın ne zaman verildiğini kaydetmek
• Rızanın neyi kapsadığını kaydetmek
• İlgili amacı kaydetmek
• Kullanıcının seçimini kaydetmek
• Rızaya ilişkin kanıtı saklamak
• Rıza tercihlerindeki değişiklikleri desteklemek
• Geri alma kayıtlarını tutmak
• Rıza uygulanabilir hukuki sebep ise ve geri alınmışsa sonraki işlemeyi engellemek

ConsentX, kuruluşların bu teknik kontrolleri hayata geçirmesine yardımcı olabilir.

KVKK'da özel nitelikli kişisel veriler

KVKK özel nitelikli kişisel verilere ek koruma sağlar. Bunlar şu hususlara ilişkin verileri kapsar:

• Irk
• Etnik köken
• Siyasi düşünce
• Felsefi inanç
• Din
• Mezhep veya diğer inançlar
• Kılık ve kıyafet
• Dernek, vakıf ya da sendika üyeliği
• Sağlık
• Cinsel yaşam
• Ceza mahkûmiyeti ve güvenlik tedbirleri
• Biyometrik veriler
• Genetik veriler

6. maddeye ilişkin önemli değişiklikler 2024'te yürürlüğe girmiştir. Önceki yapı, özel nitelikli verilerin yalnızca açık rızaya dayanılmaksızın işlenebileceği daha geniş bir kanuni şartlar kümesiyle değiştirilmiştir. Bunlar arasında belirli kanuni gereklilikler, kamu sağlığına ilişkin amaçlar, istihdam ve sosyal güvenlik yükümlülükleri, hakların korunması ve öngörülen diğer hâller yer alır.

Bu nedenle 2024 değişiklikleri, özel nitelikli verilere ilişkin mevcut rıza akışlarının yeniden değerlendirilmesini özellikle önemli kılmaktadır; hassas veri işleyen her faaliyetin aynı rıza mekanizmasını kullanması gerektiği varsayılmamalıdır.

Özel nitelikli kişisel verilerin işlenmesi

Özel nitelikli veriler işlendiğinde kuruluşlar şunları belirlemelidir:

• Hangi veri kategorisi söz konusudur?
• İşlemenin amacı nedir?
• 6. maddedeki hangi şart uygulanır?
• Açık rıza gerekli midir?
• Hangi ek güvenlik önlemleri uygulanır?
• Bilgiye kimler erişebilir?
• Ne kadar süre saklanmalıdır?
• Bilgi başka bir tarafa aktarılıyor mu?
• Türkiye dışına aktarılıyor mu?
• Hangi kanıtlar saklanmalıdır?

KVKK ayrıca özel nitelikli kişisel verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınmasını gerektirir.

Aydınlatma yükümlülüğü ve şeffaflık

KVKK'nın 10. maddesi, kişisel veriler elde edilirken veri sorumlusunun ilgili kişiyi bilgilendirmesini gerektirir. Bilgilendirme şunları içerir:

• Veri sorumlusunun kimliği
• Varsa temsilcisinin kimliği
• İşlemenin amacı
• Aktarımın alıcıları ve amaçları
• Toplamanın yöntemi ve hukuki sebebi
• İlgili kişinin hakları

İnternet siteleri ve uygulamalar bakımından aydınlatma metinleri açık, erişilebilir ve veri toplama noktasıyla uygun biçimde ilişkilendirilmiş olmalıdır.

Rıza bannerları, eksiksiz bir aydınlatma metninin yerine geçecek şekilde değerlendirilmemelidir.

KVKK'da çerezler ve izleme teknolojileri

KVKK, her çerezin kendiliğinden açık rıza gerektirdiği anlamına gelmez. Uygun hukuki değerlendirme şunlara bağlıdır:

• Çerezin veya izleyicinin hangi bilgileri topladığı
• Bu bilgilerin kişisel veri niteliği taşıyıp taşımadığı
• Neden kullanıldığı
• 5. maddedeki başka bir işleme şartının uygulanıp uygulanmadığı
• Verilerin üçüncü taraflara aktarılıp aktarılmadığı
• Faaliyetin yurt dışına aktarım içerip içermediği
• Özel nitelikli bilgilerin söz konusu olup olmadığı

Analitik, reklam ve zorunlu olmayan diğer izleme bakımından kuruluşlar, uygulanacak KVKK işleme şartını değerlendirmeli ve gerektiğinde uygun bir rıza veya aydınlatma mekanizması kurmalıdır.

ConsentX, kuruluşların çerez ve izleyicileri tespit etmesine ve bölgeye özgü kontroller uygulamasına yardımcı olabilir.

KVKK'da ilgili kişinin hakları

11. madde ilgili kişiye çeşitli haklar tanır. Kişiler şunları talep edebilir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• İşlemeye ilişkin bilgi talep etme
• İşleme amaçlarına ilişkin bilgi talep etme
• Verilerinin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenen verilerin düzeltilmesi
• Kanuni şartların varlığı hâlinde silinmesini veya yok edilmesini isteme
• Düzeltme veya silme işlemlerinin ilgili üçüncü kişilere bildirilmesi
• Yalnızca otomatik sistemler aracılığıyla ortaya çıkan aleyhe belirli sonuçlara itiraz etme
• Hukuka aykırı işleme nedeniyle doğan zararın giderilmesi

KVKK kapsamında ilgili kişi başvuruları

İlgili kişiler, KVKK'da öngörülen usullere uygun olarak veri sorumlusuna başvurabilir. Veri sorumlusu kural olarak başvuruyu en kısa sürede ve en fazla 30 gün içinde sonuçlandırmalıdır. Başvurular esasen ücretsizdir; ancak uygulanacak düzenlemelerde belirlenen hâllerde ücret alınabilir.

ConsentX şu operasyonel akışları destekleyebilir:

• Başvuruların alınması
• Kimlik doğrulama akışları
• Başvuru takibi
• Kanıt toplama
• Kurum içi görev dağıtımı
• Süre takibi
• Yanıtların belgelenmesi
• Denetim izleri

KVKK'da veri güvenliği

12. madde, veri sorumlusunun uygun güvenlik düzeyini sağlamak üzere gerekli teknik ve idari tedbirleri almasını gerektirir. Bu tedbirler şunları önlemeye yöneliktir:

• Hukuka aykırı işleme
• Hukuka aykırı erişim
• Kişisel verilerin kaybı veya zarar görmesi

Veri sorumluları ayrıca veri güvenliği yükümlülüklerine uyum konusunda gerekli denetimleri yapmak veya yaptırmak zorundadır.

İşleme bir veri işleyen tarafından gerçekleştirildiğinde de uygun güvenlik tedbirlerine ilişkin sorumluluk veri sorumlusunda kalır.

KVKK'da veri ihlali bildirimi

Veri sorumlusunun işlediği kişisel veriler başkaları tarafından hukuka aykırı olarak elde edilirse, veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmek zorundadır. Kurul, kanuni “en kısa süre” ifadesini ihlali öğrendiği tarihten itibaren en geç 72 saat olarak yorumlamaktadır. Bildirimin 72 saat içinde yapılamadığı hâllerde gecikmenin nedenleri belirtilmelidir.

Kuruluşlar şunları hazır tutmalıdır:

• İhlal tespit prosedürleri
• Olay müdahale süreçleri
• İhlal kayıtları
• Kurum içi eskalasyon prosedürleri
• Kurul'a bildirim akışları
• İlgili kişiyle iletişim prosedürleri

Veri sorumluları ve veri işleyenler

KVKK, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen kuruluş olan veri sorumlusu ile veri sorumlusu adına kişisel verileri işleyen kişi veya kuruluş olan veri işleyeni birbirinden ayırır.

Veri işleyen örnekleri şunlar olabilir:

• Bulut hizmeti sağlayıcıları
• Barındırma şirketleri
• CRM sağlayıcıları
• E-posta platformları
• Analitik sağlayıcıları
• Pazarlama teknolojisi sağlayıcıları
• Müşteri destek platformları

Veri sorumlusu, veri işleyenler üzerinde uygun gözetimi sürdürmeli ve işleme ilişkisi boyunca güvenlik ve gizlilik yükümlülüklerinin yerine getirilmesini sağlamalıdır.

KVKK'da yurt dışına veri aktarımı

Yurt dışına veri aktarımı, KVKK uyumunun başlıca alanlarından biridir. 9. madde 2024'te esaslı biçimde değiştirilmiş ve kişisel verilerin yurt dışına aktarılmasına ilişkin yeni bir çerçeve getirilmiştir. Bu çerçeve kapsamında aktarımlar şu mekanizmalara dayanabilir:

• Yeterlilik kararı
• Onaylanmış bağlayıcı şirket kuralları
• Kurul tarafından ilan edilen standart sözleşmeler
• Onaylanmış belirli yazılı taahhütler
• Öngörülen istisnai aktarım hâlleri

Standart sözleşmeler, yurt dışına aktarımda kullanılabilecek güvencelerden biridir. Kanun, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmesini gerektirir; Kurum, veri sorumlusu ve veri işleyen arasındaki farklı ilişkileri kapsayan standart sözleşme örneklerini yayımlamıştır.

Bu, uluslararası düzeyde şunları kullanan kuruluşlar için özellikle önemlidir:

• Bulut altyapısı
• SaaS araçları
• CRM platformları
• Analitik hizmetleri
• Reklam teknolojileri
• E-posta sağlayıcıları
• Müşteri destek sistemleri

Yurt dışına aktarım ve açık rıza

Açık rıza, kişisel verilerin yurt dışına aktarılmasında istisnai mekanizmalardan biri olabilir; ancak değişik 9. madde çerçevesi, rutin yurt dışı aktarımlar için rızayı varsayılan çözüm hâline getirmez.

İstisnai aktarım şartlarına dayanıldığında kanuni gerekler ve sınırlar dikkatle değerlendirilmelidir. Süreklilik gösteren yurt dışı aktarımlarda kuruluşlar kural olarak bir yeterlilik kararının veya uygun bir güvencenin mevcut olup olmadığını değerlendirmelidir.

VERBİS – Veri Sorumluları Sicili

KVKK, VERBİS olarak bilinen Veri Sorumluları Sicil Bilgi Sistemi'ni kurar. Sicile kayıt yükümlülüğü bulunan veri sorumluları kayıt olmalı ve işleme faaliyetlerine ilişkin bilgileri bildirmelidir. Kayıt çerçevesi şu bilgileri gerektirebilir:

• Veri sorumlusunun kimliği
• İşleme amaçları
• İlgili kişi grupları
• Veri kategorileri
• Aktarım yapılabilecek alıcı grupları
• Yurt dışına aktarımlar
• Alınan güvenlik tedbirleri
• Azami saklama süreleri

Bununla birlikte Kanun, Kurul'a objektif ölçütlere dayanan istisnalar belirleme yetkisi tanır. Kurul; verinin niteliği ve miktarı, işleme faaliyetleri ve kuruluşun özellikleri gibi ölçütleri kullanarak istisnalar belirlemiştir.

Kurul'un 2025 tarihli önemli bir kararı, ana faaliyeti özel nitelikli kişisel veri işlemek olan belirli küçük ölçekli veri sorumluları için çalışan sayısı ve bilanço ölçütlerini kullanarak istisna çerçevesini genişletmiştir.

Bu nedenle işletmeler, eski uyum dokümanlarında yer alan çalışan sayısı veya ciro eşiklerine dayanmak yerine mevcut VERBİS kayıt durumlarını ve uygulanacak istisna ölçütlerini doğrulamalıdır.

Verilerin saklanması ve silinmesi

KVKK, kişisel verilerin ilgili mevzuatta öngörülen süre ya da işleme amacının gerektirdiği süre kadar saklanmasını gerektirir. İşlemeyi gerektiren sebepler ortadan kalktığında kişisel veriler, duruma göre silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Türkiye'de ayrıca Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik bulunmakta ve bu işlemlere ilişkin usulleri düzenlemektedir. Bu nedenle kuruluşlar şunları kapsayan belgelenmiş saklama ve imha politikaları tutmalıdır:

• Mevzuatta öngörülen saklama süreleri
• İşleme amacına bağlı saklama süreleri
• Silme usulleri
• Yok etme usulleri
• Anonim hâle getirme usulleri
• Saklanan verilerin periyodik gözden geçirilmesi
• İmhanın gerçekleştirildiğine ilişkin kanıt

Otomatik karar verme

KVKK, ilgili kişinin yalnızca otomatik sistemler aracılığıyla işlenen kişisel verilerin analizi sonucunda aleyhine çıkan bir sonuca itiraz etme hakkını tanır. Bu, şunları kullanan işletmeler bakımından önemlidir:

• Yapay zekâ sistemleri
• Otomatik profilleme
• Otomatik müşteri skorlaması
• Dolandırıcılık tespiti
• İşe alım teknolojileri
• Kişiselleştirme sistemleri
• Otomatik uygunluk kararları

Yapay zekâ veya otomatik karar sistemleri kullanan kuruluşlar; ilgili KVKK işleme şartlarını, aydınlatma yükümlülüklerini, ilgili kişi haklarını ve güvenlik gereklerini değerlendirmelidir.

KVKK'da doğrudan pazarlama

Pazarlama faaliyetleri, birden fazla kişisel veri işleme kategorisini içerebilir:

• E-posta adresleri
• Telefon numaraları
• Müşteri profilleri
• Satın alma geçmişi
• Davranışsal bilgiler
• Reklam tanımlayıcıları
• İnternet sitesi etkinliği

Kuruluşlar uygun hukuki sebebi belirlemeli ve pazarlamaya ilişkin işlemenin KVKK'nın aydınlatma ve işleme gerekleriyle uyumlu olmasını sağlamalıdır.

Açık rıza gerekiyorsa rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan nitelikte olmalı; rıza kayıtları kanıt olarak saklanmalıdır.

KVKK'da tasarımdan itibaren gizlilik

KVKK, Avrupa düzenlemesinin terminolojisini birebir tekrarlamasa da kuruluşlar gizlilik ve güvenlik hususlarını sistem ve süreçlere en baştan dâhil etmelidir. Gizliliği gözeten bir uygulama şunları içerebilir:

• Veri minimizasyonu
• Amaca dayalı toplama
• Erişim kontrolleri
• Rıza yönetimi
• Aydınlatma metinleri
• Saklama kontrolleri
• İlgili kişi başvuru akışları
• Tedarikçi değerlendirmeleri
• Yurt dışına aktarım değerlendirmeleri
• Güvenlik kontrolleri
• Denetim kayıtları

İşleme kayıtları ve yönetişim

Kuruluşlar şu hususlarda görünürlüğü korumalıdır:

• Hangi kişisel verileri işledikleri
• Neden işledikleri
• Nerede saklandığı
• Kimlerin erişebildiği
• Hangi tedarikçilerin aldığı
• Türkiye dışına çıkıp çıkmadığı
• Ne kadar süre saklandığı
• İşlemeyi hangi kanuni şartın desteklediği
• Açık rızanın gerekli olup olmadığı
• Rızanın nasıl geri alındığı
• İlgili kişi başvurularının nasıl yönetildiği

VERBİS kaydı kapsamındaki kuruluşlar için işleme bilgilerinin doğru tutulması özellikle önemlidir; çünkü sicil bilgileri kuruluşun işleme faaliyetleriyle bağlantılıdır.

KVKK'yı kim uygular?

KVKK, Kişisel Verileri Koruma Kurumu tarafından gözetilir ve uygulanır.

Kişisel Verileri Koruma Kurulu; şikâyetlerin incelenmesi, ihlallerin araştırılması ve idari yaptırımların uygulanması dâhil olmak üzere önemli düzenleyici, gözetim ve uygulama görevlerini yerine getirir.

KVKK'da rıza yönetimi neden önemli?

Dijital işletmeler için gizlilik uyumu, bir gizlilik politikası yayımlamakla sınırlı değildir. Bir internet sitesinde bilgi toplayan veya ileten onlarca teknoloji bulunabilir:

• Analitik araçları
• Reklam pikselleri
• Sosyal medya betikleri
• Oturum kaydı araçları
• Kişiselleştirme teknolojileri
• Pazarlama etiketleri
• Gömülü içerik
• CRM entegrasyonları

Sağlam bir rıza yönetimi sistemi, kuruluşların bu teknolojileri anlamasına, ilgili işlemeyi kontrol etmesine ve kullanıcı tercihlerine ilişkin kanıtı saklamasına yardımcı olur.

ConsentX; çerez tespiti, rıza yönetimi, betiklerin önceden engellenmesi, rıza kayıtları, bölgesel kurallar ve ilgili kişi başvuru akışlarını bir araya getirerek işletmelerin gizlilik kontrollerini dijital varlıkları genelinde işler hâle getirmesine destek olur.

KVKK uyum kontrol listesi

Bu kontrol listesini uyum programınız için başlangıç noktası olarak kullanabilirsiniz:

• Kişisel veri işleme faaliyetlerini tespit edin
• Veri sorumlusu ve veri işleyen rollerini belirleyin
• İşleme amaçlarını haritalandırın
• Uygulanacak 5. madde işleme şartını belirleyin
• Özel nitelikli kişisel verileri tespit edin
• Uygun hâllerde 6. madde şartlarını değerlendirin
• Uygun aydınlatma metinleri hazırlayın
• Çerez ve izleme teknolojilerini gözden geçirin
• Açık rızanın gerekli olduğu yerleri belirleyin
• Rızanın özgür iradeyle, belirli konuya ilişkin ve bilgilendirmeye dayanarak alınmasını sağlayın
• Rıza kararlarını kayıt altına alın
• Rızanın geri alınması için mekanizma sunun
• İlgili kişi başvuru usullerini kurun
• 30 günlük yanıt süresini takip edin
• Uygun güvenlik tedbirlerini uygulayın
• Veri ihlali müdahale sürecini hazır tutun
• Yurt dışına aktarımları değerlendirin
• Uygun hâllerde standart sözleşme gereklerini gözden geçirin
• İlgili standart sözleşmeler için beş iş günü bildirim şartını takip edin
• VERBİS kayıt yükümlülüğünü değerlendirin
• İşleme envanterlerini güncel tutun
• Saklama sürelerini tanımlayın
• Silme ve anonim hâle getirme usullerini uygulayın
• Tedarikçi ve veri işleyen ilişkilerini gözden geçirin
• Uygun denetim kanıtlarını saklayın
• Kurul rehberlerini ve mevzuat gelişmelerini izleyin