ISO 27701 Doküman Listesi: 2025 Baskısına Göre Zorunlu Dokümanlar, Kayıtlar ve KVKK Eşleştirmesi

iÇiNDEKiLER

Başlıklar için tıklayın..

Kısa Cevap

ISO/IEC 27701:2025 artık ISO 27001’den bağımsız bir yönetim sistemi standardıdır; bu nedenle kapsam, gizlilik politikası, roller, gizlilik risk değerlendirmesi ve işleme süreci, uygulanabilirlik bildirgesi, hedefler, iç tetkik ve yönetimin gözden geçirmesi gibi yönetim sistemi dokümanlarını kendi başına ister. Bunlara ek olarak Ek A’daki veri sorumlusu ve veri işleyen kontrollerinden işleme kayıtları, aydınlatma ve rıza kayıtları, etki değerlendirmeleri ve ihlal kayıtları gibi dokümanlar doğar.

ISO 27701 doküman listesi, 2025 baskısıyla birlikte önemli ölçüde değişti. Önceki baskıda ISO 27701, ISO 27001’in bir uzantısıydı ve dokümantasyonun büyük kısmı mevcut bilgi güvenliği yönetim sisteminden devralınıyordu. ISO/IEC 27701:2025 ise bağımsız bir kişisel bilgi yönetim sistemi (PIMS) standardı haline geldi. Bu, kendi kapsamını, politikasını, risk sürecini ve iyileştirme döngüsünü kendi başına tanımlaması gerektiği anlamına geliyor.

Bu rehberde ISO 27701:2025’e göre zorunlu yönetim sistemi dokümanlarını, Ek A kontrollerinden doğan kayıtları ve Türkiye’de KVKK kapsamında zaten hazırladığınız belgelerle nasıl eşleştireceğinizi anlatıyoruz. Standardın genel tanıtımı için ISO 27701 belgesi sayfamıza, geçiş takvimi için ISO 27706:2025 ve ISO 27701 geçiş duyurumuza bakabilirsiniz.

ISO 27701:2025’in Yapısı ve Dokümantasyona Etkisi

ISO 27701:2025, diğer yönetim sistemi standartlarıyla aynı ortak yapıyı izler: 4–10. maddeler yönetim sistemi şartlarını içerir. Ekindeki kontroller üç tabloda gruplanmıştır:

Tablo A.1: Kişisel verileri işleyen veri sorumluları için kontroller
Tablo A.2: Başkası adına kişisel veri işleyen veri işleyenler için kontroller
Tablo A.3: Her iki rol için ortak bilgi güvenliği kontrolleri

Bir işletme hem veri sorumlusu (kendi çalışanları ve müşterileri için) hem de veri işleyen (müşterileri adına hizmet verdiği veriler için) olabilir. Dokümantasyon, hangi rolde hangi kontrollerin uygulanacağını açıkça göstermelidir. Bu ayrım, 2025 baskısında belgelendirme kapsamının en kritik kararlarından biridir.

Yönetim Sistemi Dokümanları (Madde 4–10)

Madde	Dokümanlı bilgi	Tür
4.1 – 4.2	Bağlam analizi; ilgili taraflar ve kişisel verilerle ilgili şartları (yasal düzenlemeler, sözleşmeler, müşteri beklentileri)	Doküman (önerilen)
4.3	PIMS kapsamı; veri sorumlusu ve/veya veri işleyen rolünün belirtilmesi	Doküman (zorunlu)
5.2	Gizlilik (kişisel veri) politikası	Doküman (zorunlu)
5.3	Roller, sorumluluklar ve yetkiler; kişisel veri işleme sorumluluğu	Doküman
6.1	Gizlilik risk değerlendirme süreci ve kriterleri; risk değerlendirme sonuçları	Doküman ve kayıt (zorunlu)
6.1	Risk işleme süreci, risk işleme planı ve sonuçları	Doküman ve kayıt (zorunlu)
6.1	Uygulanabilirlik bildirgesi (Ek A kontrollerinin dahil edilme veya hariç tutulma gerekçeleri)	Doküman (zorunlu)
6.2	PIMS hedefleri	Doküman (zorunlu)
7.2	Yetkinlik kanıtları	Kayıt (zorunlu)
8.1	Süreçlerin planlandığı gibi yürütüldüğüne güven sağlayacak operasyonel bilgiler	Doküman ve kayıt
9.1	İzleme ve ölçme sonuçları	Kayıt (zorunlu)
9.2	İç tetkik programı ve sonuçları	Kayıt (zorunlu)
9.3	Yönetimin gözden geçirmesi sonuçları	Kayıt (zorunlu)
10.2	Uygunsuzluklar, alınan faaliyetler ve sonuçları	Kayıt (zorunlu)

ISO 27001 belgeniz varsa doküman kontrolü, iç tetkik, yönetimin gözden geçirmesi ve düzeltici faaliyet süreçlerini ortak kullanabilirsiniz. Ancak gizlilik riski, bilgi güvenliği riskinden farklıdır. Bilgi güvenliği riski “işletmenin bilgisi zarar görürse ne olur?” sorusuna, gizlilik riski ise “kişisel verisi işlenen bireyin hakları ve özgürlükleri nasıl etkilenir?” sorusuna odaklanır. Bu nedenle gizlilik risk değerlendirmesinin ayrı kriterlerle yapılması gerekir. İki standardın farklarını ISO 27001 ve ISO 27701 farkı yazımızda ayrıntılı anlattık.

Ek A Kontrollerinden Doğan Dokümanlar ve Kayıtlar

Veri sorumlusu olarak (Tablo A.1)

Kişisel veri işleme kayıtları (envanter): Hangi veri kategorilerinin, hangi amaçla, hangi hukuki sebebe dayanarak, ne süreyle işlendiği ve kimlere aktarıldığı.
İşleme amaçları ve hukuki sebeplerin belirlenmesi: Her işleme faaliyeti için amaç ve hukuki dayanak kaydı.
Rıza kayıtları: Rızanın ne zaman, hangi metinle ve nasıl alındığı; geri alınma kayıtları.
Gizlilik etki değerlendirmeleri: Yüksek risk taşıyan işleme faaliyetleri için yapılan değerlendirmeler.
Bilgilendirme (aydınlatma) metinleri: İlgili kişilere sunulan bilgilendirmelerin güncel sürümleri.
İlgili kişi başvuru süreci ve kayıtları: Erişim, düzeltme, silme ve itiraz taleplerinin alınması, yanıtlanması ve süre takibi.
Veri işleyenlerle sözleşmeler: Kişisel verilerin korunmasına ilişkin yükümlülükleri içeren sözleşmeler.
Saklama ve imha kuralları: Veri kategorilerine göre saklama süreleri ve imha kayıtları.
Aktarım kayıtları: Üçüncü taraflara ve yurt dışına yapılan aktarımlar.

Veri işleyen olarak (Tablo A.2)

Müşteri (veri sorumlusu) sözleşmeleri: İşleme talimatları, amaç sınırlaması ve gizlilik yükümlülükleri.
Müşteri talimatlarına uygun işleme kayıtları: Verilerin yalnızca talimatlar doğrultusunda işlendiğinin kanıtı.
Alt veri işleyen listesi ve onay kayıtları: Kullanılan alt yüklenicilerin müşteriye bildirilmesi ve onayı.
Sözleşme sonunda verilerin iadesi veya imhası: İade veya imha tutanakları.
Müşterinin ilgili kişi taleplerini karşılamasına destek: Destek süreci ve kayıtları.

Her iki rol için (Tablo A.3)

Erişim kontrolü, şifreleme, kayıt tutma (loglama), yedekleme, olay yönetimi, tedarikçi ilişkileri ve güvenli imha gibi bilgi güvenliği kontrolleri. ISO 27001 uygulayan işletmelerde bu kontrollerin dokümantasyonu büyük ölçüde mevcuttur. Mevcut dokümanların kişisel veri boyutunu da kapsayacak şekilde gözden geçirilmesi yeterli olabilir. Mevcut ISO 27001 doküman setinizi ISO 27001 doküman listesi ile karşılaştırabilirsiniz.

ISO 27701 Belgelendirme Teklifi Alın

Kapsamınızı, veri sorumlusu ve veri işleyen rollerinizi ve çalışan sayınızı paylaşın; TÜRKAK akreditasyonu kapsamında ISO 27701 teklifimizi hazırlayalım.

Ücretsiz Teklif Al

KVKK Belgeleriyle Eşleştirme

Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında hazırladığınız belgelerin önemli bir kısmı ISO 27701 dokümantasyonunun temelini oluşturur. Bunları ayrıca yazmak yerine yönetim sistemine bağlamak hem zaman kazandırır hem de tutarlılığı artırır.

KVKK kapsamındaki belge veya süreç	İlişkili ISO 27701 unsuru
Kişisel veri işleme envanteri ve VERBİS kaydı (yükümlü olanlar için)	Kişisel veri işleme kayıtları
Aydınlatma metinleri	İlgili kişilerin bilgilendirilmesi kontrolleri
Açık rıza metinleri ve rıza kayıtları	Rızanın alınması ve kaydı kontrolleri
Kişisel veri saklama ve imha politikası	Saklama, imha ve veri minimizasyonu kontrolleri
Veri sorumlusuna başvuru usulü	İlgili kişi hakları ve talep yönetimi kontrolleri
Veri ihlali müdahale ve bildirim süreci	Olay yönetimi ve ihlal bildirimi kontrolleri
Veri işleyen sözleşmeleri	Veri işleyenlerle ilişkiler ve sözleşme kontrolleri
Yurt dışı aktarım belgeleri	Aktarım kontrolleri
Teknik ve idari tedbirler	Tablo A.3 bilgi güvenliği kontrolleri ve risk işleme planı

Dikkat edilmesi gereken nokta şudur: ISO 27701 belgesi KVKK’ya uyumu kanıtlamaz, KVKK yükümlülüklerinin yerine geçmez. Ancak bu yükümlülükleri sistematik ve denetlenebilir bir yönetim sistemine bağlar. KVKK süreçleri hakkında ayrıntılı bilgi için KVKK rehberimize, iki yapının ilişkisi için de ISO 27001 ve KVKK farkı yazımıza bakabilirsiniz.

Önerilen Doküman Mimarisi

Çatı doküman: Kapsam, roller (veri sorumlusu ve/veya veri işleyen), politika ve süreç haritası.
Gizlilik risk metodolojisi: İlgili kişiler üzerindeki etkiyi esas alan olasılık ve etki kriterleri.
Kişisel veri envanteri: Tek kaynak olarak tutulan, diğer dokümanların atıf yaptığı envanter.
Uygulanabilirlik bildirgesi: A.1, A.2 ve A.3 kontrolleri için dahil etme veya hariç tutma gerekçeleri.
Süreç prosedürleri: İlgili kişi başvuruları, ihlal yönetimi, etki değerlendirmesi, saklama ve imha, veri işleyen yönetimi.
Kayıt şablonları: Başvuru takip formu, ihlal kayıt formu, etki değerlendirme formu, imha tutanağı.

Denetimde Sık Görülen Doküman Bulguları

Kapsamda veri sorumlusu ve veri işleyen rollerinin ayrılmaması
Kişisel veri envanterinin gerçek süreçlerle uyuşmaması veya güncel olmaması
Gizlilik risk değerlendirmesinin bilgi güvenliği risk değerlendirmesinin kopyası olması
Uygulanabilirlik bildirgesinde veri işleyen kontrollerinin gerekçesiz hariç tutulması
İlgili kişi başvurularının yanıt sürelerinin takip edilmemesi
Alt veri işleyenlerin listelenmemesi veya müşterilere bildirilmemesi
Saklama süreleri dolan verilerin imha edilmediğinin görülmesi

2019 Baskısından Geçiş Yapanlar İçin Not

ISO 27701:2019’a göre belgeli işletmelerin 2025 baskısına geçişi, belgelendirme kuruluşunun akreditasyon geçişiyle birlikte planlanır. Geçişte en çok emek gerektiren alanlar; PIMS’in kendi yönetim sistemi dokümanlarının (kapsam, politika, hedefler, risk süreci) bağımsız hale getirilmesi ve uygulanabilirlik bildirgesinin yeni kontrol yapısına göre yeniden düzenlenmesidir. DSR Belgelendirme’nin geçiş takvimini geçiş duyurumuzda paylaştık.

Sık Sorulan Sorular

ISO 27701:2025 için ISO 27001 belgesi gerekli mi?

Hayır. ISO/IEC 27701:2025 bağımsız bir yönetim sistemi standardıdır ve ISO 27001 belgesi olmadan da uygulanıp belgelendirilebilir. ISO 27001 belgesi olan işletmeler ise ortak süreçleri birlikte kullanarak entegre bir yapı kurabilir.

ISO 27701 için zorunlu dokümanlar nelerdir?

Kapsam, gizlilik politikası, gizlilik risk değerlendirme ve risk işleme süreçleri ile sonuçları, uygulanabilirlik bildirgesi ve hedefler zorunlu dokümanlardır. Yetkinlik, izleme ve ölçme, iç tetkik, yönetimin gözden geçirmesi ve uygunsuzluk kayıtlarının da saklanması gerekir.

ISO 27701’de uygulanabilirlik bildirgesi zorunlu mu?

Evet. Ek A’daki veri sorumlusu, veri işleyen ve ortak kontroller için hangilerinin uygulandığı ve hariç tutulanların gerekçesi uygulanabilirlik bildirgesinde gösterilmelidir.

KVKK dokümanları ISO 27701 için kullanılabilir mi?

Evet. Kişisel veri işleme envanteri, aydınlatma ve açık rıza metinleri, saklama ve imha politikası, başvuru usulü ve ihlal süreci ISO 27701 dokümantasyonunun temelini oluşturabilir. Ancak bunların yönetim sistemine bağlanması, risk değerlendirmesi ve iç tetkikle desteklenmesi gerekir.

ISO 27701 belgesi KVKK uyumunu kanıtlar mı?

Hayır. ISO 27701 belgesi bir yönetim sisteminin varlığını ve işlerliğini gösterir; KVKK yükümlülüklerinin yerine geçmez ve yasal uyumu tek başına kanıtlamaz. Ancak uyumun sistematik biçimde yönetildiğini gösteren güçlü bir kanıttır.

Veri işleyen bir yazılım firması hangi kontrolleri uygular?

Müşterileri adına kişisel veri işleyen bir yazılım veya bulut firması Tablo A.2’deki veri işleyen kontrollerini ve Tablo A.3’teki ortak kontrolleri uygular. Kendi çalışanları ve müşteri iletişim verileri için ise veri sorumlusu olarak Tablo A.1 kontrolleri de kapsama girebilir.