Perakende Şirketlerinde KVKK: BT Ekipleri İçin Uyum Rehberi

Perakende şirketleri, Türkiye'de en fazla kişisel veri işleyen sektörlerin başında gelir: sadakat programı üyeleri, e-ticaret müşterileri, mağaza kamera kayıtları, çalışan ve sezonluk personel bilgileri, kargo ve teslimat adresleri. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyumu hukuk ekibinin işi gibi görünse de, uyumun büyük bölümü bilgi teknolojileri ekiplerinin kurduğu ve işlettiği sistemlerde hayata geçer.

Bu rehber, perakende BT ekipleri için KVKK uyumunun teknik tarafını pratik adımlarla özetliyor.

1. Veri envanterini sistem sistem çıkarın

Uyumun başlangıç noktası, hangi kişisel verinin hangi sistemde, hangi amaçla ve ne kadar süre tutulduğunu bilmektir. Perakende için tipik bir envanter şu sistemleri kapsar:

• ERP ve kasa (POS) sistemleri: fatura bilgileri, iade kayıtları
• CRM ve sadakat programı: iletişim bilgileri, alışveriş geçmişi, tercihler
• E-ticaret altyapısı: üyelik, adres, sipariş bilgileri
• Mağaza kamera sistemleri
• İnsan kaynakları ve bordro sistemleri
• Kargo, çağrı merkezi ve pazarlama tedarikçileri

Envanter bir kez hazırlanıp bırakılmamalı; yeni bir sistem ya da entegrasyon devreye girdiğinde güncellenmelidir.

2. VERBİS kaydını güncel tutun

Kurul'un belirlediği eşikleri aşan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmak ve bu kaydı güncel tutmakla yükümlüdür. Envanterdeki değişikliklerin VERBİS kaydına yansıtılması için BT ile hukuk ekipleri arasında düzenli bir güncelleme süreci kurun.

3. Aydınlatma ve açık rıza: sistemde nasıl tutuluyor?

Müşteri kayıt ekranlarında, e-ticaret sitesinde ve sadakat programında aydınlatma metni sunulmalı; açık rıza gereken işlemler (örneğin bazı pazarlama faaliyetleri) ayrı ve özgür iradeyle alınmalıdır. BT açısından kritik olan, rızanın ne zaman, hangi kanaldan ve hangi metin sürümüyle alındığının sistemde kanıtlanabilir biçimde saklanmasıdır.

Ticari elektronik ileti (SMS, e-posta) izinleri için İleti Yönetim Sistemi (İYS) ile entegrasyonun doğru çalıştığından, mağazada, e-ticarette ve çağrı merkezinde alınan izinlerin tek bir yerde tutarlı olduğundan emin olun.

4. Saklama ve imha politikasını otomatikleştirin

Kişisel veriler, işlenme amacı için gereken süre boyunca saklanmalı; süre dolduğunda silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Saklama ve imha politikasında yazan sürelerin sistemlerde gerçekten uygulanıp uygulanmadığını kontrol edin. En sık görülen açık, yıllardır silinmeyen eski sipariş, kamera ve başvuru kayıtlarıdır. Mümkün olan yerlerde imhayı otomatik işlere bağlayın ve kayıt altına alın.

5. Erişim yetkilerini en az yetki ilkesiyle verin

Mağaza personeli müşteri verisinin tamamını görmeli mi? Çağrı merkezi hangi alanlara erişebiliyor? Rol tabanlı yetkilendirme kullanın, yetkileri düzenli olarak gözden geçirin ve işten ayrılan personelin erişimini aynı gün kapatın. Toplu veri dışa aktarımını (Excel'e alma gibi) kısıtlayın ve kayıt altına alın.

6. Teknik güvenlik önlemleri

Kanun, veri sorumlusundan kişisel verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almasını ister. Pratikte bu şu başlıklara karşılık gelir:

• Aktarım ve saklamada şifreleme
• Çok faktörlü kimlik doğrulama
• Erişim kayıtlarının tutulması ve izlenmesi
• Test ortamlarında gerçek müşteri verisi yerine maskelenmiş ya da sentetik veri kullanılması
• Yedeklerin de aynı güvenlik seviyesinde korunması

7. Tedarikçiler ve veri işleyenler

Kargo firması, e-posta pazarlama platformu, çağrı merkezi hizmeti, bulut sağlayıcı... Kişisel veriyi sizin adınıza işleyen her tedarikçi veri işleyendir. Sözleşmelerde veri güvenliği yükümlülüklerini tanımlayın ve tedarikçiye yalnızca işi için gereken veriyi aktarın.

8. Yurt dışına veri aktarımı

Bulut hizmetleri ve global yazılımlar nedeniyle perakende şirketlerinin çoğu farkında olmadan yurt dışına veri aktarır. 2024'te yürürlüğe giren değişikliklerle yurt dışına aktarımda yeterlilik kararı, uygun güvenceler (örneğin Kurul'un ilan ettiği standart sözleşmeler) ve arızi aktarım gibi mekanizmalar tanımlandı; standart sözleşmelerin imzalandıktan sonra belirli süre içinde Kurul'a bildirilmesi gerekiyor. Hangi sistemlerinizin veriyi yurt dışında işlediğini envanterinizde işaretleyin ve hukuk ekibinizle hangi mekanizmaya dayandığınızı netleştirin.

9. Mağaza kamera sistemleri

Mağaza güvenlik kameraları kişisel veri işler. Kamera ile izlendiğine dair aydınlatma yapılmalı, kayıtlara erişim sınırlı olmalı ve saklama süresi dolduğunda kayıtlar silinmelidir. Kameraların ağ güvenliği (varsayılan parolalar, güncel yazılım) çoğu zaman gözden kaçar.

10. İlgili kişi başvurularına ve ihlallere hazırlık

Müşteriler kendileri hakkında hangi verilerin işlendiğini öğrenmek ve silinmesini istemek için başvurabilir; bu başvuruların yasal süre içinde cevaplanması gerekir. Bir müşterinin tüm sistemlerdeki verisini ne kadar sürede bulabildiğinizi deneyin.

Kişisel veri ihlalinde ise Kurul'a ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılmalı ve etkilenen kişiler bilgilendirilmelidir. Olay müdahale planınız bu adımları ve sorumlularını içermelidir.

Sonuç

KVKK uyumu, bir kez yapılıp biten bir proje değil, sistemler değiştikçe güncellenen bir süreçtir. Perakendede bu sürecin yükünü büyük ölçüde BT ekipleri taşır: veriyi bulan, koruyan, zamanı geldiğinde silen onlardır.

IT Retail topluluğunda üyelerimiz KVKK uygulamalarını, denetim deneyimlerini ve kullandıkları araçları birbiriyle paylaşıyor.

Bu yazı genel bilgi amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumunuza özel değerlendirme için hukuk danışmanınıza başvurun.