ISO 27701 Nedir? KVKK Uyumunu Belgelendirmenin Yolu

Uyumu Dışarıya Göstermek Neden Zor?

Bir müşteri ya da ihale şartnamesi “kişisel veri güvenliğinizi belgeleyin” dediğinde çoğu şirketin elinde aydınlatma metinleri, bir veri envanteri ve belki VERBİS kaydı vardır. Bunlar önemlidir, fakat dışarıdan bakan biri için uyumun gerçekten işlediğini göstermek zordur. ISO 27701 nedir sorusu tam da bu noktada gündeme gelir: Standart, kişisel veri korumayı tek seferlik belgeler yerine yönetilen, ölçülen ve düzenli olarak denetlenen bir sisteme dönüştürmeyi hedefler.

Bu yazıda ISO 27701'in kapsamını, ISO 27001 ile ilişkisini, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile nasıl örtüştüğünü ve belgelendirmenin kimler için anlamlı olduğunu ele alıyoruz.

ISO 27701'in kapsamı: kişisel bilgi yönetim sistemi

Standardın tam adı “ISO/IEC 27701 Bilgi güvenliği, siber güvenlik ve gizliliğin korunması — Gizlilik bilgi yönetim sistemleri — Gereksinimler ve kılavuz”dur. Türkçe uygulamada çoğunlukla “kişisel bilgi yönetim sistemi” ya da İngilizce kısaltmasıyla PIMS (Privacy Information Management System) olarak anılır. Standart, kimliği belirli veya belirlenebilir kişilere ilişkin bilgilerin (standardın diliyle PII, kişisel tanımlanabilir bilgi) işlenmesini yöneten bir sistemin kurulmasını, uygulanmasını, sürdürülmesini ve sürekli iyileştirilmesini tarif eder.

“Yönetim sistemi” ifadesi burada belirleyicidir. ISO 27701 size hazır bir aydınlatma metni ya da tek tip bir saklama süresi vermez. Bunun yerine şu soruları düzenli olarak yanıtlayan bir yapı ister:

Bağlam: Kurum hangi kişisel verileri, hangi rolde ve hangi mevzuata tabi olarak işliyor?

Liderlik: Üst yönetim gizlilik politikasını onaylıyor, rolleri ve sorumlulukları atıyor mu?

Risk: Kişisel veri işleme faaliyetlerinin ilgili kişiler açısından doğurduğu riskler değerlendiriliyor mu?

Kontroller: Riskleri azaltan teknik ve idari önlemler seçilip uygulanıyor mu?

Performans: İç denetim ve yönetimin gözden geçirmesiyle sistemin işleyişi ölçülüyor mu?

Standart hem veri sorumlusu (verinin işleme amaçlarını ve vasıtalarını belirleyen taraf) hem de veri işleyen (veriyi veri sorumlusu adına işleyen taraf) için kullanılabilir. Kontroller de bu iki role göre ayrılır; bir kurum her iki rolde faaliyet gösteriyorsa her iki kontrol grubunu da kapsamına alır.

ISO 27001 ile ilişkisi

ISO 27701'in ilk sürümü 2019'da, bilgi güvenliği yönetim sistemi standardı ISO/IEC 27001'in bir uzantısı olarak yayımlandı. Bu sürümde ISO 27701 sertifikası almak için önce ISO 27001 yapısının kurulmuş olması gerekiyordu; gizlilik gereksinimleri, mevcut bilgi güvenliği sisteminin üzerine eklenen katman gibi çalışıyordu.

14 Ekim 2025'te yayımlanan ikinci sürümle bu ilişki değişti. Standart artık diğer ISO yönetim sistemi standartlarıyla aynı madde yapısını izleyen, kendi başına uygulanabilen ve belgelendirilebilen bir yönetim sistemi standardıdır. Başka bir deyişle, ISO 27001 sertifikası olmayan bir kurum da doğrudan ISO 27701 belgelendirmesine hazırlanabilir.

Bu, iki standardın birbirinden koptuğu anlamına gelmez. Bilgi güvenliği, kişisel veri korumanın ayrılmaz parçasıdır ve ISO 27001 sertifikası olan kurumlar risk değerlendirmesi, iç denetim ve doküman yönetimi gibi ortak süreçleri iki sistemde birlikte kullanabilir. Daha önce 2019 sürümüne göre belgelendirilmiş kurumlar için ise yeni sürüme geçiş süreci söz konusudur; belgelendirme kuruluşlarının duyurularına göre bu geçişin Ekim 2028'e kadar tamamlanması beklenmektedir. Kesin tarihi kendi belgelendirme kuruluşunuzdan teyit etmeniz gerekir.

KVKK ve GDPR maddeleriyle eşleşme

ISO 27701 belirli bir ülkenin mevzuatına göre yazılmamıştır; uluslararası gizlilik ilkelerini temel alır. Standardın eklerinde GDPR ile eşleştirme tabloları yer alır. KVKK için ise standart ile Kanun arasında resmî bir eşleştirme bulunmaz; bu eşleştirmeyi kurumun kendisinin yapması gerekir. Aşağıdaki tablo, uygulamada en sık kurulan bağlantıları özetler: Bu tablo farkındalık amaçlı bir özettir; standardın madde numaralarını içermez ve resmî bir eşleştirme değildir. Somut olay özelinde hukuki değerlendirme alınmalıdır. Eşleştirmede gözden kaçmaması gereken nokta şudur: Standart “ne yapılacağını” tarif eder, “Türk hukukunda neyin zorunlu olduğunu” söylemez. Örneğin veri ihlalinin Kurul'a 72 saat içinde bildirilmesi gerektiği, Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararından gelir; standardın ihlal yönetimi kontrolü bu süreyi ancak kurum kendi prosedürüne yazarsa karşılar. KVKK ile GDPR arasındaki temel farkları KVKK'dan GDPR'a geçiş yazımızda ayrıca ele aldık.

Belgelendirmenin şirkete faydaları: ihale, müşteri güveni, denetim

KVKK, GDPR'ın 42. maddesindeki gibi resmî bir belgelendirme mekanizması öngörmez. Bu nedenle ISO 27701 sertifikası, Kişisel Verileri Koruma Kurumu nezdinde uyumun kanıtı sayılmaz ve bir şikâyet ya da ihlal incelemesinde Kurul'un değerlendirmesini ortadan kaldırmaz. Sertifikanın değeri başka yerlerde ortaya çıkar:

İhale ve tedarikçi seçimi: Kurumsal müşteriler ve bazı ihale şartnameleri, kişisel veri işleyen tedarikçilerden bağımsız bir güvence ister. Sertifika, uzun güvenlik anketlerini doldurmanın yerine geçmese de bu anketlere verilen yanıtları destekleyen somut bir kanıt sunar.

Müşteri güveni: Özellikle yazılım, bulut, çağrı merkezi ve bordro gibi veri işleyen rolündeki hizmet sağlayıcılar için sertifika, müşterinin “verimi nasıl koruyorsunuz” sorusuna verilen yapılandırılmış bir cevaptır.

Denetime hazırlık: Her yıl tekrarlanan gözetim denetimleri, uyum belgelerinin rafa kalkmasını önler. Kurul incelemesinde talep edilebilecek kayıtların (envanter, eğitim kayıtları, ihlal kayıtları) güncel tutulmasını kolaylaştırır.

İç düzen: Gizlilik sorumluluklarının kime ait olduğu, hangi kayıtların tutulacağı ve hangi aralıklarla gözden geçirileceği yazılı hâle gelir.

Bir KVKK denetiminde hangi başlıklara bakıldığını merak ediyorsanız KVKK denetiminin kapsamı yazımız iyi bir başlangıç noktasıdır.

Kimler için uygun, kimler için erken?

ISO 27701 her kurum için doğru ilk adım değildir. Standart, temel uyum çalışmaları yapılmış bir kurumda en çok değer üretir. Aşağıdaki tablo genel bir yönlendirme sunar: “Erken” sonucu, standardın değersiz olduğu anlamına gelmez. Henüz hazır olmayan bir kurum, ISO 27701'in yapısını uyum çalışmalarına yön veren bir kontrol çerçevesi olarak kullanabilir ve belgelendirme kararını sonraya bırakabilir.

Belgelendirme süreci ve tahmini süre

Belgelendirme, akredite bir belgelendirme kuruluşunun yaptığı bağımsız denetimle sonuçlanır. Süreç genel hatlarıyla şu adımlardan oluşur:

Kapsamın ve kurumun veri sorumlusu ya da veri işleyen rolünün belirlenmesi,

Mevcut durum ile standart arasındaki farkları gösteren boşluk analizi,

Risk değerlendirmesi ve uygulanacak kontrollerin seçilmesi,

Politika, prosedür ve kayıtların hazırlanması ve uygulamaya alınması,

İç denetim ve yönetimin gözden geçirmesi,

Belgelendirme kuruluşunun iki aşamalı denetimi: Aşama 1'de dokümantasyon ve hazırlık, Aşama 2'de sistemin uygulamada işleyişi incelenir.

Süre için standartta ya da mevzuatta belirlenmiş bir değer yoktur. Belirleyici olan; kapsamın genişliği, lokasyon ve süreç sayısı, mevcut bir ISO 27001 sisteminin bulunup bulunmadığı ve KVKK uyum çalışmalarının olgunluğudur. Veri envanteri ve temel uyum belgeleri hazır olan bir kurumla sıfırdan başlayan bir kurum arasında aylar mertebesinde fark oluşabilir. Sertifika alındıktan sonra da sistem, belge geçerlilik süresi boyunca düzenli gözetim denetimleriyle izlenir.

Adımların her birinde neler yapıldığını yakında yayımlayacağımız ayrıntılı süreç yazısında örneklerle ele alacağız.

Sonuç ve sonraki adım

ISO 27701 nedir sorusunun kısa cevabı, kişisel veri korumayı yönetilen bir sisteme dönüştüren uluslararası bir standarttır. 2025 sürümüyle ISO 27001'den bağımsız olarak uygulanabilmesi, standardı daha geniş bir kurum grubu için erişilebilir kıldı. Yine de sertifika KVKK'nın yerine geçmez; Kanun'un zorunlu tuttuğu yükümlülükler, standardın kontrollerine kurumun kendisi tarafından işlenmelidir.

Belgelendirmeyi düşünüyorsanız ilk adım, kurumunuzun hangi rolde ne tür kişisel veri işlediğini ve müşterilerinizin ya da ihale süreçlerinin gerçekten bir sertifika bekleyip beklemediğini netleştirmektir. KVKK yükümlülüklerine aykırılığın yaptırımları için 2026 idari para cezaları yazımıza bakabilirsiniz.

Sık Sorulan Sorular