KVKK modülü: aydınlatma metni sürümleri ve başvuru takibi

KVKK uyumunun teknik tarafını genel bir yazıda ele almıştık: veri minimizasyonu, erişim yetkileri, anonimlik. Bu yazı ise günlük işleyişe bakıyor — aydınlatma metnini kim yayımlar, kim okur, başvurular nereye düşer ve bunların kaydı nasıl tutulur.

İki somut yükümlülük

İntranet açısından KVKK iki pratik iş üretir.

Aydınlatma yükümlülüğü: çalışanın hangi verisinin, hangi amaçla işlendiğini bilmesi ve bunun kanıtlanabilir olması.

Veri sahibi başvuruları: çalışanın verisine erişme, düzeltme ve belirli koşullarda silinmesini talep etme hakkının işletilebilir bir kanala bağlanması.

Modülün tamamı bu ikisinin etrafında kurulur; gerisi süstür.

Sürümleme neden zorunlu?

"Aydınlatma metnini yayımladık" cümlesi bir denetimde yetmez. Gösterilmesi gereken şudur: kim, hangi sürümü, ne zaman gördü.

Metin güncellendiğinde eski onayların geçerliliğini yitirmesi gerekir. Aksi hâlde iki yıl önceki metni okumuş bir çalışan, bugünkü işleme faaliyetleri hakkında bilgilendirilmiş sayılır — ki sayılmaz.

Bu, doküman merkezindeki sürüm mantığının aynısıdır ve aynı sebeple vardır: onay, belgenin kendisine değil sürümüne bağlanmalıdır. Doküman yazımızda ayrıntılandırdık.

Metin nerede durmalı?

Aydınlatma metninin bir dosya olarak indirilmesi yeterli değildir; uygulama içinde erişilebilir olması ve okundu kaydının orada alınması gerekir.

Pratik akış şudur: yeni sürüm yayımlandığında çalışan bir sonraki girişinde metni görür, okuduğunu onaylar ve devam eder. Onay kaydı sürüm numarası ve zaman damgasıyla tutulur.

Burada bir denge var: her küçük düzeltmede tüm şirketten yeniden onay istemek, onayı anlamsız bir tıklamaya dönüştürür. Esaslı değişiklik (yeni bir veri türü, yeni bir amaç, yeni bir alıcı) ile düzeltme (yazım hatası, biçim) ayrımının yapılabilmesi gerekir; yalnızca birincisi yeniden onay tetiklemelidir.

Başvuru kanalı

Veri sahibi başvurularının e-posta kutusunda kaybolmaması için takip edilebilir bir kanal gerekir. Kayıt altına alınması gerekenler: başvuru tarihi, talebin türü, sorumlu, durum ve yanıt tarihi.

Yanıt sürelerinin mevzuatta belirli sınırları vardır; sürenin sistem tarafından izlenmesi ve yaklaşan başvuruların görünür olması, uyum riskini yönetmenin en basit yoludur. Yönetim panelinde bekleyen işleri gösteren bir şerit bu takibi günlük rutine sokar.

Kimler görmeli?

Başvuru kayıtları hassastır. Bunları yalnızca KVKK sorumlusu ve gerektiğinde hukuk ekibi görmelidir — çalışanın yöneticisi değil.

Bu kısıtın veri katmanında uygulanması gerekir. Bir kaydı arayüzde gizlemek yeterli değildir; yetkisiz bir kullanıcının doğrudan bir veri isteğiyle o kayda ulaşamaması gerekir. Aynı ilkeyi etik hat kayıtlarında da uyguluyoruz — etik hat yazımızda ele aldık.

Çıkış süreciyle bağ

Çalışan ayrıldığında hangi verinin ne kadar saklanacağı yazılı olmalıdır. Bu karar, çıkış kontrol listesinin bir maddesi hâline geldiğinde uygulanabilir olur: hesabın kapatılması, zimmetin iadesi, erişimlerin sonlandırılması ve saklama süresi başlangıcının kaydı.

Süreci oryantasyon ve çıkış yazımızda ele aldık; zimmet tarafını ayrı bir yazıda bulabilirsiniz.

Denetim kaydı

Uyumun kanıtlanabilir olması için değiştirilemez bir kayıt gerekir. Asgari düzeyde kaydedilmesi gerekenler: yetki değişiklikleri, hassas verilere erişim, kişisel veri içeren dışa aktarmalar ve kayıt silme işlemleri.

Kaydın kendisinin sonradan düzenlenebilir olmaması beklenir; düzenlenebilen bir günlük, kanıt değeri taşımaz.

Dışa aktarma yetkisi

Sık gözden kaçan bir risk: tüm çalışan listesini indirebilen bir yetki, pratikte bir sızıntı kapısıdır. Bu yetkinin yalnızca gerçekten ihtiyacı olan rollere açılması ve her dışa aktarmanın kayıt altına alınması gerekir.

Modül bayrağı yok — ve bu bilinçli

Bu modül, diğerlerinin aksine açılıp kapatılabilir bir özellik değildir. Yasal bir yükümlülüğün karşılığı olduğu için admin panelinde her zaman açık durur.

Aynı yaklaşımı denetim kaydı, personel servisi ve çıkış süreci için de uyguluyoruz: bir işin yasal ya da operasyonel olarak zorunlu olduğu yerde, "kapatılabilir modül" kurgusu yanlış bir esneklik sunar.

Ölçüm

• Onay oranı — güncel sürümü onaylamış çalışan yüzdesi.
• Ortalama yanıt süresi — başvurudan sonuçlanmaya kadar geçen gün.
• Süresi yaklaşan başvuru sayısı — mevzuat süresine yaklaşan açık kayıtlar.

İkincisi denetimde en çok sorulan rakamdır ve elle tutulan bir tabloda güvenilir biçimde üretilemez.