Bir kuyumcu, işini yaparken zaten kişisel veri işler: müşterinin adını, kimlik numarasını, telefonunu, cari hesabını, bazen kimlik belgesinin kendisini kaydeder. Bunların bir kısmı ticari tercihtir, bir kısmı ise mevzuatın zorunlu kıldığı kayıtlardır. KVKK karşısındaki durumunuz bu ikisini birbirinden ayırabilmenize bağlıdır. Bu yazıda hangi verinin hangi hukuki sebeple işlendiğini, aydınlatma ve güvenlik yükümlülüklerini ve MASAK'ın sekiz yıllık saklama süresinin KVKK'nın silme ilkesiyle nasıl birlikte okunacağını madde numaralarıyla açıklıyoruz.

Kuyumcu bir "veri sorumlusu" mudur?#

KVKK, kişisel verinin işlenme amaçlarını ve vasıtalarını belirleyen kişiyi veri sorumlusu sayar. Müşterisinin adını, TCKN'sini ve iletişim bilgisini kendi defterine ya da kendi yazılımına kaydeden bir kuyumcu bu tanımın içindedir. Şirket büyüklüğü bunu değiştirmez; büyüklük yalnızca VERBİS kayıt yükümlülüğünü etkiler, Kanuna tabi olmayı değil.

Bunun pratik sonucu şudur: aydınlatma (m.10), veri güvenliği (m.12), ilgili kişinin m.11'deki haklarına ilişkin başvuruları m.13/2 uyarınca en geç otuz gün içinde sonuçlandırma ve saklama-imha ilkeleri (m.4, m.7) tek çalışanlı bir dükkânda da geçerlidir.

Hangi veriyi hangi hukuki sebeple işliyorsunuz?#

KVKK m.5/1 kuralı koyar: "Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez." m.5/2 ise açık rıza aranmaksızın işlemeye izin veren yedi şartı sayar. Kuyumcu için en çok kullanılan ikisi şunlardır:

• m.5/2-(a): "Kanunlarda açıkça öngörülmesi."
• m.5/2-(ç): "Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması."

Aşağıdaki tablo, günlük işleyişteki kalemleri bu şartlara oturtur:

Son iki satır kritiktir. MASAK yükümlülüğü, defterinize yazdığınız her şeyi meşrulaştıran bir şemsiye değildir. Zorunlu kapsamın dışına çıkan veriler için m.4/2-(ç)'deki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesi yürürlüktedir.

Aydınlatma yükümlülüğü: m.10#

KVKK m.10, veriyi elde etme sırasında ilgili kişiye bilgi verilmesini emreder ve hiçbir istisna öngörmez. Yani veri m.5/2-(a) kapsamında rızasız işlense bile aydınlatma zorunludur. Bildirilmesi gereken beş başlık şunlardır:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği
2. Kişisel verilerin hangi amaçla işleneceği
3. İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
4. Veri toplamanın yöntemi ve hukuki sebebi
5. m.11'de sayılan haklar

Beşinci başlıktaki haklar; verinin işlenip işlenmediğini öğrenme, bilgi talep etme, eksik veya yanlış işlenmişse düzeltilmesini isteme, m.7 çerçevesinde silinmesini isteme, aktarılan üçüncü kişileri bilme, otomatik analiz sonucu aleyhe çıkan sonuca itiraz etme ve zararın giderilmesini talep etme haklarını kapsar.

Pratikte bu, tezgâhta görünür bir aydınlatma metni, kimlik tespiti yaptığınız anda müşteriye sunulan kısa bir bilgilendirme ve varsa web sitenizde yayımlanan bir metin demektir. Aktarım başlığında kullandığınız muhasebe bürosu, e-belge sağlayıcısı ve bulut altyapısı gibi tarafları atlamayın.

Veri güvenliği: m.12#

m.12/1 üç amacı sayar: verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve muhafazayı sağlamak. Bunun için "gerekli her türlü teknik ve idari tedbir" alınır. Maddenin diğer fıkraları da kuyumcu için doğrudan sonuç doğurur:

• m.12/2: Veriyi sizin adınıza başka biri işliyorsa (yazılım sağlayıcısı, muhasebeci) tedbirlerin alınmasından müştereken sorumlusunuz.
• m.12/3: Kendi işletmenizde Kanunun uygulanmasını sağlamak için gerekli denetimleri yapmak zorundasınız.
• m.12/4: Öğrenilen kişisel veriler amaç dışında kullanılamaz ve açıklanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder. Çalışan çıkışlarında yalnızca anahtar değil, erişim yetkisi de teslim alınmalıdır.
• m.12/5: Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde durum "en kısa sürede" ilgilisine ve Kurula bildirilir. Kanun metninde sayısal bir süre yazmaz; uygulamadaki süre için Kurul kararlarını teyit edin.

Personel tarafı için kuyumcuda personel yetkilendirme yazısındaki rol ayrımı, yedekleme tarafı için ise kuyumcu verilerinin yedeklenmesi yazısındaki kopya düzeni bu maddenin pratik karşılığıdır.

Sekiz yıl saklamak ile silmek çelişir mi?#

Sahadaki en sık soru budur. Cevap: çelişmez, çünkü üç hüküm birbirini tamamlar.

Birincisi, 5549 sayılı Kanun m.8 saklama süresini kurar: yükümlüler her türlü ortamdaki belgeleri düzenleme tarihinden, defter ve kayıtları son kayıt tarihinden, kimlik tespitine ilişkin belgeleri ise son işlem tarihinden itibaren sekiz yıl muhafaza eder ve istenmesi hâlinde ibraz eder. Aynı Kanunun m.13/6'sına göre yükümlülüğün ihlal edildiği tarihten itibaren sekiz yıl geçtikten sonra idari para cezası verilemez; yani saklama süresi denetim penceresiyle örtüşür.

İkincisi, KVKK m.4/2-(d) verilerin "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar" muhafaza edilmesini ister. Bağlaç "veya"dır: mevzuatta bir süre öngörülmüşse o süre esastır. Sekiz yıl bu kolu doldurur.

Üçüncüsü, KVKK m.7/1 işleme sebepleri ortadan kalktığında silme yükümlülüğü doğurur; ancak m.7/2 açıkça "kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır" der. Sekiz yıl dolmadan silme yükümlülüğü doğmaz.

Kimlik tespitine ilişkin kayıtlarda sürenin son işlem tarihinden başladığına dikkat edin; düzenli müşterinizle her yeni işlem sayacı yeniden başlatır:

Müşteri ile son işlem tarihi : 12.03.2026
Saklama süresi (5549 m.8)    : 8 yıl
Silinebilecek en erken tarih : 12.03.2034

Aynı müşteriyle 04.09.2027'de yeni işlem yapılırsa:
Yeni son işlem tarihi        : 04.09.2027
Silinebilecek en erken tarih : 04.09.2035

Bu hesabın kayıt türüne göre nasıl değiştiğini MASAK kayıt saklama süresi yazısında ayrıntılı bulabilirsiniz.

Bir başka kesişim noktası: MASAK mevzuatı, şüpheli işlem bildiriminde bulunulduğunun işleme taraf olanlar dâhil hiç kimseye açıklanamayacağını emreder. Bu gizlilik kuralı ile KVKK m.11 kapsamındaki bilgi talepleri aynı anda gündeme gelebilir. Böyle bir talep aldığınızda kendi başınıza cevap kurgulamak yerine hukuk desteği alın.

VERBİS: kayıt yükümlüsü müsünüz?#

KVKK m.16/2, kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını kural olarak zorunlu tutar; aynı fıkra Kurula objektif kriterlerle istisna getirme yetkisi verir. İstisnalar bu yüzden Kanunda değil Kurul kararlarında düzenlenir.

Bilanço esasına göre defter tutanlar için ölçütler kümülatiftir: "ve" bağlacı gereği istisnadan yararlanmak için her iki eşiğin de altında kalmanız gerekir, birinin aşılması kayıt yükümlülüğü doğurur. Bilanço esasına göre defter tutmayanlarda ise bilanço bilgisi oluşmadığı için yalnızca çalışan sayısı ölçütü değerlendirilir. Kuyumculuk faaliyeti için Kurulun sektöre özel bir kararı bulunmadığından, sonuç işletme bazında belirlenir.

Kayıt yükümlüsüyseniz bir sonuç daha doğar: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5 uyarınca kişisel veri saklama ve imha politikası hazırlamak yalnızca VERBİS'e kayıtla yükümlü veri sorumlularının görevidir. Ayrıca:

• Periyodik imha aralığı her hâlde altı ayı geçemez (Yönetmelik m.11).
• Silme, yok etme ve anonim hâle getirme işlemlerine ilişkin kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl saklanır (Yönetmelik m.7/3). Bu, verinin kendi saklama süresinden ayrı bir süredir.

İstisna kapsamında olmak politika hazırlama zorunluluğunu kaldırır; Kanuna uygun saklama ve imha yükümlülüğünü kaldırmaz.

Uygulama kontrol listesi#

1. Veri envanteri çıkarın. Hangi ekranda, hangi defterde, hangi klasörde ne tutuluyor?
2. Her kaleme hukuki sebep yazın. Zorunlu mu, sözleşmeden mi doğuyor, yoksa rızaya mı bağlı?
3. Aydınlatma metnini elde etme anına yerleştirin. Kimlik tespiti yaptığınız anı kaçırmayın.
4. Pazarlama rızasını ayırın. Kimlik kaydıyla aynı forma sıkıştırmayın.
5. Yetkileri gözden geçirin. Kim hangi müşteri kaydını görüyor, ayrılan personelin erişimi kapandı mı?
6. Yedekleri koruyun. Dışarı çıkan kopya da kişisel veri taşır.
7. VERBİS durumunuzu yılda bir yeniden değerlendirin. Çalışan sayısı ve bilanço değişir.
8. Süresi dolan veriyi imha edin ve imhayı kayda geçirin.

Kayıt düzeninin işi kolaylaştırdığı yer#

Bu yükümlülüklerin çoğu, verinin nerede durduğu bilindiğinde kendiliğinden yönetilebilir hâle gelir. Saray Altın panelinde müşteri (cari) kayıtları, satış ve alış işlemleri, emanet ve borç defteri kayıtları aynı hesap altında tutulur; veriler cihazda değil bulutta saklanır ve aynı hesap iOS, Android ve web tarayıcısından çalışır. Personel yetkilendirme ile çalışan rolüne kayıt ekleme izni verilip düzenleme ve silme kısıtlanabilir; çoklu şirket ve şube yapısı sayesinde kayıtlar birbirine karışmadan ayrılır. Müşteri tanıma ve kimlik doğrulama akışı (KYC) ayrı bir modül olarak bulunur ve web tarafında kamera gerektirir.

Bunlar bir uyum programının yerine geçmez; envanteri, aydınlatma metnini ve imha kararını yine siz verirsiniz. Ancak "bu müşterinin son işlemi ne zamandı", "bu kaydı kim girdi", "hangi çalışan neyi görebiliyor" sorularına dakikalar içinde cevap verebilmek, hem m.12 tedbirlerini hem de saklama süresi hesabını uygulanabilir kılar.

Kurulum ve yetki yapısıyla ilgili sorularınız için iletişim sayfamızdan bize yazabilirsiniz.