KVKK mevzuat değişiklikleri — kurumlar için pratik rehber

Kişisel Verileri Koruma Kurulu'nun 2025 içinde yayımladığı rehberler, kurumların gündelik işleyişinde üç başlıkta karşılık buluyor: veri envanterinin güncelliği, yurt dışına aktarımda kullanılan hukuki sebep ve ihlal bildiriminde tutulacak kayıtlar.

Veri envanteri. Envanterin bir kez çıkarılıp rafa kaldırıldığı dönem kapandı. Yeni bir uygulama devreye alındığında hangi kişisel verinin hangi amaçla işlendiğinin envantere aynı hafta içinde işlenmesi bekleniyor. Bunu süreç hâline getirmenin en pratik yolu, değişiklik yönetimi formuna bir KVKK maddesi eklemek.

Yurt dışına aktarım. Bulut hizmetlerinin yaygınlaşmasıyla en çok sorulan başlık bu. Standart sözleşme metinlerinin Kurul'a bildirim süresi kaçırıldığında aktarımın hukuki dayanağı boşa düşüyor; sözleşme yenileme takvimiyle bildirim takviminin aynı yerde tutulması gerekiyor.

İhlal bildirimi. 72 saatlik süre, ihlalin öğrenildiği andan başlıyor. Bu nedenle olay müdahale playbook'unun içinde «bu olay kişisel veri ihlali mi» sorusunun ayrı bir adım olarak bulunması, kararın kim tarafından verileceğinin önceden yazılı olması önem taşıyor.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez. Kurumunuza özel değerlendirme için KVKK birimimizle iletişime geçebilirsiniz.