Bir KVKK denetim raporu, bulguları tek tek okumakla değil, risk sırasına koymakla değer kazanır. Önce raporun kapsamını ve yöntemini kontrol edin, sonra her bulguyu olasılık ve etkiye göre puanlayın. Kritik ve yüksek bulguları sorumlu ve termin atanmış bir aksiyon planına bağlayın, hızlı kazanımları ilk haftalarda kapatın, yapısal düzeltmeleri proje olarak planlayın ve kapanışı bir takip denetimiyle doğrulayın.
Rapor Teslim Edildi, Şimdi Ne Olacak?
Bir KVKK denetimi tamamlandığında yönetimin masasına çoğu zaman onlarca bulgu içeren bir rapor gelir. Bulguların bazıları bir günde düzeltilebilecek küçük eksiklerdir, bazıları ise aylar sürecek sistem değişiklikleri gerektirir. Hepsi aynı ağırlıkta okunduğunda ya hiçbiri yapılmaz ya da en kolay olanlar yapılıp en riskli olanlar ertelenir. KVKK denetim raporu, doğru okunduğunda bir yol haritasına dönüşür.
Bu rehberde iyi bir raporda bulunması gereken bölümleri, bulgu seviyelerini, olasılık ve etkiye dayalı risk puanlamasını, hızlı kazanımlarla yapısal düzeltmelerin ayrılmasını, aksiyon planını ve takip denetiminin zamanlamasını adım adım ele alıyoruz. Kurul kararlarında yaptırımların hangi senaryolarda yoğunlaştığını KVKK cezası alan şirketler yazımızda anlatmıştık; bu yazı, o senaryolara karşı yapılan denetimin çıktısını nasıl kullanacağınıza odaklanıyor.
İyi bir denetim raporunda bulunması gereken bölümler
KVKK'nın 12. maddesinin üçüncü fıkrası, veri sorumlusunun kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmasını veya yaptırmasını öngörür. Kanun raporun biçimini belirlemez; ancak bir raporun karar almaya yarayıp yaramadığı, içerdiği bölümlerden anlaşılır. Raporu okumaya başlamadan önce şu bölümlerin varlığını kontrol edin:
Yönetici özeti: Genel olgunluk düzeyi, kritik bulgu sayısı ve en önemli üç-beş aksiyon. Yönetim kurulunun okuyacağı tek sayfa budur.
Kapsam ve yöntem: Hangi birimler, süreçler, sistemler ve lokasyonlar incelendi; hangi tarihlerde, hangi yöntemle (görüşme, belge incelemesi, örneklem, teknik test) çalışıldı.
Sınırlamalar: İncelenemeyen sistemler, erişim verilmeyen belgeler, örneklemle sınırlı kalan alanlar. Sınırlama bölümü olmayan bir rapor, kapsam dışı kalanları “uyumlu” gibi gösterebilir.
Bulgular: Her bulgu için kriter (hangi kural), durum (ne görüldü ve kanıtı), etki (neden önemli), öneri ve seviye.
Olumlu gözlemler: Korunması gereken iyi uygulamalar. Aksiyon planında yanlışlıkla bozulmamaları için önemlidir.
Ekler: Görüşme listesi, incelenen belge listesi, örneklem tabloları, teknik test özetleri.
Bulguların yazılış biçimi de önemlidir. “Aydınlatma metni eksik” gibi genel bir bulgu, aksiyona dönüştürülemez. “İnsan kaynakları biriminde aday başvuruları e-posta ile alınıyor; adaylara aydınlatma metni sunulmuyor (KVKK md. 10); incelenen 20 başvurunun hiçbirinde aydınlatma kaydı yok” biçiminde yazılmış bir bulgu ise kimin, neyi düzeltmesi gerektiğini doğrudan gösterir. Denetimin genel kapsamını KVKK denetimi yazımızda anlatmıştık.
Bulgu seviyeleri: kritik, yüksek, orta, düşük
Seviye etiketleri raporu hazırlayan ekibe göre değişir; önemli olan, her etiketin raporda tanımlanmış olmasıdır. Tanımı verilmemiş bir “yüksek” etiketi, okuyanın kendi sezgisine kalır. Aşağıdaki tablo, KVKK denetimlerinde kullanılabilecek bir tanım setidir.
Seviyelendirmede KVKK'nın 18. maddesi yararlı bir referanstır. Madde idari para cezasını aydınlatma yükümlülüğü (md. 10), veri güvenliği yükümlülükleri (md. 12), Kurul kararlarının yerine getirilmemesi (md. 15), sicile kayıt ve bildirim (md. 16) ve yurt dışı aktarımda standart sözleşmenin bildirilmemesine (md. 9/5) bağlar. Bu yükümlülüklere ilişkin bulgular, kural olarak orta seviyenin altına yerleştirilmemelidir. Güncel tutarlar için 2026 idari para cezaları yazımıza bakabilirsiniz.
Bulgu Seviyesi Tanımları
Tablo kvkkrehberi.com tarafından hazırlanmış bir çalışma aracıdır; resmî bir sınıflandırma değildir.
| Seviye | Tanım | Tipik örnek | Önerilen ele alış |
|---|---|---|---|
| Kritik | Süregelen hukuka aykırı işleme veya kısa vadede ihlale yol açabilecek açık bir güvenlik boşluğu | Kişisel veri içeren bir sistemin internete parolasız açık olması; ihlal müdahale sürecinin hiç olmaması | Derhâl geçici önlem, en kısa sürede kalıcı çözüm |
| Yüksek | Yaptırım riski taşıyan bir yükümlülüğün karşılanmaması veya özel nitelikli verinin yetersiz korunması | Aydınlatma yapılmadan kamera kaydı; yetki matrisi olmayan sağlık verisi | İlk aksiyon döneminde planlanır |
| Orta | Yükümlülük kısmen karşılanıyor, ancak süreç tutarlı değil veya belgelenmemiş | Saklama süreleri belirlenmiş ama imha düzenli yapılmıyor | Takip eden dönemde kapatılır |
| Düşük | İyileştirme fırsatı; doğrudan aykırılık değil | Politika belgesinde güncel olmayan atıflar | Bir sonraki revizyonda düzeltilir |
Risk puanlaması: olasılık × etki
Seviye etiketleri sıralama için yeterince ince değildir; on beş “yüksek” bulgu arasında hangisinin önce ele alınacağını göstermez. Olasılık ve etkiye dayalı puanlama bu boşluğu doldurur. Yaklaşım bilgi güvenliği risk değerlendirmesinde yaygın kullanılır; örneğin ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) SP 800-30 rehberi riski, bir tehdidin gerçekleşme olasılığı ile doğuracağı etkinin birleşimi olarak ele alır (NIST SP 800-30 Rev. 1).
Ölçekleri tanımlayın: Her iki boyut için 1–5 arası bir ölçek kullanın ve her puanın ne anlama geldiğini yazın. Olasılık için: maruziyet (sistem internete açık mı, kaç kişi erişiyor), mevcut kontroller (iki faktörlü doğrulama, log incelemesi var mı) ve geçmiş olaylar. Etki için: etkilenebilecek kişi sayısı, verinin niteliği (özel nitelikli veri, finansal veri, çocuk verisi), ilgili kişiye doğabilecek zarar, yaptırım ve itibar sonucu.
Puanı hesaplayın ve bantlara ayırın: Risk puanı = olasılık × etki. Sonuç 1 ile 25 arasında olur. Örneğin 15 ve üzeri “kritik”, 10–14 “yüksek”, 5–9 “orta”, 1–4 “düşük” bandı olarak tanımlanabilir. Bant sınırları kurumun risk iştahına göre belirlenir ve raporda yazılı olmalıdır.
Puanlamayı tek kişi değil, bulguyla ilgili birimlerin temsilcileriyle birlikte yapmak tutarlılığı artırır. Teknik bulgularda puanın hangi kontrol eksikliğinden kaynaklandığını görmek için KVKK teknik tedbirler kontrol listesi yazımızdan yararlanabilirsiniz.
Örnek Puanlama
Örnek bulgular kurgusaldır; puanlar kurumun kendi ölçek tanımlarına göre değişir.
| Bulgu | Olasılık (1–5) | Etki (1–5) | Puan | Bant |
|---|---|---|---|---|
| Test sunucusunda canlı müşteri verisi, zayıf parola | 4 | 5 | 20 | Kritik |
| İşten ayrılanların hesapları ortalama iki hafta açık kalıyor | 3 | 4 | 12 | Yüksek |
| Kamera levhasında başvuru kanalı yok | 4 | 2 | 8 | Orta |
| Politika belgesinde eski yönetmelik atfı | 2 | 1 | 2 | Düşük |
Hızlı kazanımların yapısal düzeltmelerden ayrılması
Risk puanı neyin önemli olduğunu, efor ise neyin hızlı yapılabileceğini gösterir. İki boyutu birlikte değerlendirmek, aksiyon planının ilk haftalarını verimli kullanmayı sağlar.
Yapısal düzeltmelerin uzun sürmesi, riskin o süre boyunca açık kalması anlamına gelmez. Kritik ve yüksek bulgularda kalıcı çözüm beklenirken geçici bir önlem tanımlanmalıdır; örneğin yetki matrisi yeniden kurgulanırken hassas klasörlere erişim geçici olarak daraltılabilir.
Aksiyon Tipleri
Hızlı kazanım (yüksek risk, düşük efor): Bir parola politikasının uygulamaya alınması, ayrılan çalışan hesaplarının kapatılması, eksik aydınlatma levhasının asılması, gereksiz paylaşım klasörünün kapatılması. İlk haftalarda tamamlanmalıdır.
Yapısal düzeltme (yüksek risk, yüksek efor): Yetki matrisinin yeniden kurgulanması, test ortamının canlı veriden arındırılması, kişisel veri envanterinin baştan çıkarılması, saklama ve imha sürecinin otomasyonu. Proje olarak planlanır, ara hedeflerle izlenir.
Planlı iyileştirme (düşük risk, düşük efor): Belge güncellemeleri, form metinlerinin sadeleştirilmesi. Rutin revizyon takvimine eklenir.
Yeniden değerlendirme (düşük risk, yüksek efor): Maliyeti riskinden büyük görünen öneriler. Kabul edilen risk olarak yönetim onayıyla kayda alınır ve bir sonraki denetimde yeniden ele alınır.
Aksiyon planı, sorumlu ve termin tablosu
Aksiyon planı, raporun yönetime sunulan son hâlidir. Her bulgu için bir satır açılır; sorumlusu ve termini olmayan bir aksiyon, plan değil dilek listesidir. Aşağıdaki sütunlar asgari yapıyı gösterir.
Kapanış kanıtı sütunu en sık ihmal edilen sütundur. Bir aksiyonun “tamamlandı” olarak işaretlenmesi için hangi belgenin, ekran görüntüsünün veya test sonucunun sunulacağı baştan yazılmalıdır. Bu kanıtlar, bir Kurul incelemesinde veri sorumlusunun tedbir aldığını göstermenin de en güçlü aracıdır. Bulgular arasında ihlal müdahale sürecine ilişkin eksikler varsa, veri ihlali müdahale planı yazımızdaki adımlar aksiyon planının bir parçası olarak kullanılabilir.
Aksiyon Planı Şablonu
Termin ifadeleri örnektir; kurum kendi takvimini somut tarihlerle yazmalıdır.
| Bulgu no | Aksiyon | Sorumlu | Termin | Kapanış kanıtı | Durum |
|---|---|---|---|---|---|
| B-01 (Kritik, 20) | Test sunucusundaki canlı veriyi maskelenmiş veriyle değiştir; parola ve iki faktörlü doğrulama politikasını uygula | Bilgi işlem müdürü | Kısa vadeli | Değişiklik kaydı, sızma testi raporu | Devam ediyor |
| B-02 (Yüksek, 12) | İK ve bilgi işlem arasında işten çıkış bildirim akışı kur; hesapları aynı gün kapat | İK müdürü ve bilgi işlem | Kısa vadeli | Prosedür, son üç ayın çıkış kayıtları | Açık |
| B-03 (Orta, 8) | Kamera levhalarını başvuru kanalını içerecek şekilde yenile | İdari işler | Orta vadeli | Levha fotoğrafları | Açık |
| B-04 (Düşük, 2) | Politika belgesindeki atıfları güncelle | KVKK sorumlusu | Revizyon döneminde | Yeni sürüm | Planlandı |
Takip denetimi ne zaman yapılmalı?
Takip denetimi, aksiyon planının gerçekten uygulandığını doğrular. Kendi kendine “tamamlandı” işaretlemesi ile bağımsız doğrulama arasındaki fark, çoğu zaman en kritik bulgularda ortaya çıkar. Zamanlama için üç tetikleyici kullanılabilir:
Kritik ve yüksek bulguların kapanış tarihi: Bu bulgular için planlanan terminler dolduğunda, yalnızca bu bulgulara odaklanan dar kapsamlı bir doğrulama yapılır.
Periyodik denetim: KVKK md. 12/3 denetim sıklığı belirlemez; ancak süreçler, sistemler ve tedarikçiler sürekli değiştiği için yılda en az bir kez kapsamlı bir denetim yaygın bir uygulamadır.
Olay ve değişiklik: Bir veri ihlali, Kurul'dan gelen bir şikâyet yazısı, yeni bir ana sistemin devreye alınması, birleşme veya önemli bir mevzuat değişikliği, takvimden bağımsız olarak takip denetimini gerektirebilir.
Takip denetiminin raporu, ilk raporla aynı bulgu numaralarını kullanmalı ve her bulgunun durumunu “kapandı”, “kısmen kapandı” veya “açık” olarak göstermelidir. Böylece yönetim, iki rapor arasındaki ilerlemeyi tek tabloda görebilir. Denetimi kurum içi ekip yapıyorsa, aksiyonu uygulayan birimden bağımsız kişilerin doğrulama yapması önerilir.
Sonuç ve sonraki adım
Bir KVKK denetim raporu, bulgularının sayısıyla değil, yönetimin bu bulgularla ne yaptığıyla değer kazanır. Raporun kapsamını ve sınırlamalarını kontrol etmek, bulguları olasılık ve etkiye göre puanlamak, hızlı kazanımları yapısal düzeltmelerden ayırmak, her aksiyona sorumlu, termin ve kapanış kanıtı atamak ve kapanışı takip denetimiyle doğrulamak, raporu bir yol haritasına dönüştürür.
İlk adım olarak elinizdeki raporun bulgularını bir tabloya aktarın ve her birine olasılık ve etki puanı verin. Puanı en yüksek beş bulgu, önümüzdeki dönemin önceliğidir. Raporunuz yoksa ya da eski kaldıysa, başlangıç için KVKK uyum kontrolü öz değerlendirmesinden yararlanabilir, bağımsız denetim sürecini KVKK denetimi hizmet sayfamızda inceleyebilirsiniz.
Sık Sorulan Sorular
Hayır. KVKK, veri sorumlusunun kendi kurumunda denetim yapmasını veya yaptırmasını öngörür; raporun Kurul'a gönderilmesine ilişkin genel bir yükümlülük getirmez. Ancak bir inceleme sırasında Kurul, md. 15 uyarınca inceleme konusuyla ilgili bilgi ve belgeleri isteyebilir; rapor ve aksiyon planı bu durumda tedbirlerin kanıtı olabilir.
Bulguların tespit edilmiş olması tek başına bir aykırılık kanıtı değildir; asıl önemli olan, tespit edilen eksiklere karşı ne yapıldığıdır. Sorumlu ve terminle izlenen bir aksiyon planı, kurumun sorunu yönettiğini gösterir. Somut olay özelinde hukuki değerlendirme alınmalıdır.
İlk puanı denetçi önerir, çünkü bulguyu en iyi o bilir. Ancak etki ve olasılık değerlendirmesi kurumun iş bilgisini gerektirir; nihai puanların ilgili birimlerle birlikte kesinleştirilmesi ve yönetim tarafından onaylanması önerilir.
Yönetimin, bir bulguyu maliyet veya iş gerekliliği nedeniyle şimdilik düzeltmemeye bilinçli olarak karar vermesidir. Bu karar gerekçesiyle ve onaylayan kişiyle birlikte yazılmalı, bir sonraki denetimde yeniden değerlendirilmelidir. Hukuka açıkça aykırı bir durumun kabul edilen risk olarak bırakılması uygun değildir.
Raporunuzu birlikte önceliklendirelim
Denetim raporunuzun bulgularını risk puanı, sorumlu ve termin içeren bir aksiyon planına dönüştürmek için ön görüşmede birlikte çalışalım.
Ücretsiz ön görüşme talep edinKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu (2025-04)
- NIST SP 800-30 Rev. 1, Guide for Conducting Risk Assessments — National Institute of Standards and Technology (2012-09)
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10) — Kişisel Verileri Koruma Kurumu (2019-01-24)
