KVKK uyumlu intranet: çalışan verisinde nelere dikkat edilmeli?

Bir intranet, doğası gereği çalışanların kişisel verisini işler: ad, unvan, iletişim bilgisi, departman, izin talepleri, bazen doğum tarihi ve fotoğraf. Bu veriler KVKK kapsamındadır ve intranet seçimi teknik olduğu kadar hukuki bir karardır.

Bu yazı genel bilgi amaçlıdır; şirketinize özel yükümlülükler için hukuk danışmanınıza başvurun.

Veri minimizasyonu ile başlayın

En sağlam uyum stratejisi, işlemediğiniz veridir. Kurulum sırasında sorulacak soru şu olmalı: bu alan gerçekten gerekli mi? Doğum tarihi kutlama için gerekliyse yıl bilgisi olmadan gün-ay yeterlidir. Kişisel cep telefonu numarası, kurumsal bir hat varken toplanmamalıdır.

Aynı ilke bildirim kanalları için de geçerlidir: kişisel numara gerektiren kanallar (örneğin WhatsApp) varsayılan olarak kapalı ve açık rızaya bağlı olmalı; kurumsal kanallar ise çalışanın çıkabileceği bir modelle çalışabilir.

Aydınlatma metni ve sürüm takibi

Çalışanların hangi verilerinin, hangi amaçla işlendiğini bilmesi gerekir. Intranetin bunu iki şekilde desteklemesi beklenir: metnin uygulama içinde erişilebilir olması ve sürümlenmesi. Metin güncellendiğinde kimin hangi sürümü gördüğü kayıt altına alınmalıdır; aksi hâlde "bilgilendirildi" iddiası kanıtlanamaz.

Veri sahibi başvuruları

Çalışan; verisine erişme, düzeltme ve belirli koşullarda silinmesini talep etme hakkına sahiptir. Bu başvuruların e-posta kutusunda kaybolmaması için intranet içinde takip edilebilir bir kanal bulunması pratik bir gerekliliktir: başvuru kaydı, sorumlu, durum ve yanıt süresi görünür olmalıdır.

Erişim yetkileri: gizlemek yeterli değil

En sık yapılan teknik hata, bir alanı yalnızca arayüzde gizlemektir. Gerçek kısıt veri katmanında uygulanmalıdır; aksi hâlde yetkisiz bir kullanıcı doğrudan veri isteğiyle o bilgiye ulaşabilir. Bir tedarikçiyi değerlendirirken sorulacak soru nettir: "Bu alanı kim göremiyor ve bu kısıt nerede uygulanıyor?" Cevap yalnızca arayüzü işaret ediyorsa yetersizdir. Bizim yaklaşımımızı güvenlik sayfamızda anlattık.

Aynı mantık kiracı izolasyonu için de geçerlidir: çok kiracılı bir üründe başka bir şirketin verisine erişimin imkânsız olduğunun veritabanı seviyesinde garanti altına alınması gerekir.

Anonimlik gerektiren akışlar

Etik ihbar hattı gibi bileşenlerde anonimlik bir tercih değil, kullanılabilirliğin ön koşuludur. Burada kritik ayrıntı şudur: anonimlik istemciye bırakılamaz. "Kimliği gönderme" kararı tarayıcıda alınıyorsa, kayıt yine de kimlikle ulaşabilir. Doğru tasarımda kimlik bilgisi sunucu tarafında, yazma anında zorunlu olarak temizlenir.

Nabız anketleri ve ruh hâli ölçümleri için de benzer bir eşik geçerlidir: sonuçlar yalnızca yeterli katılımcı sayısının üzerinde toplulaştırılarak gösterilmeli, küçük ekiplerde tek tek yanıtların tahmin edilebilir hâle gelmesi engellenmelidir.

Saklama süreleri ve çıkış süreci

Verinin ne kadar saklanacağı yazılı olmalıdır. İşten ayrılan çalışanın hesabı kapatıldığında geride ne kalır — yazdığı duyurular, aldığı takdirler, zimmet kayıtları? Bu soruların cevabı çıkış sürecinin bir parçası olmalı ve intranet bu adımları takip edebilmelidir.

Barındırma ve alt işleyenler

Verinin nerede tutulduğu, hangi alt işleyenlerin devrede olduğu ve yurt dışı aktarım olup olmadığı satın alma öncesinde yazılı olarak alınmalıdır. Bu bilgiler seçim rehberimizdeki güvenlik sorularının ayrılmaz parçasıdır.

Kanıtlanabilirlik: denetim kaydı

Uyumun çoğu zaman gözden kaçan boyutu, yapılan işin kanıtlanabilir olmasıdır. Bir denetimde "aydınlatma metnini yayımladık" demek yetmez; kimin hangi sürümü ne zaman gördüğünü, bir veri sahibi başvurusunun ne zaman geldiğini ve kaç günde yanıtlandığını gösterebilmek gerekir.

Bu yüzden intranette tutulan denetim kaydının kapsamı önemlidir: yetki değişiklikleri, hassas verilere erişim, kişisel veri içeren dışa aktarmalar ve kayıt silme işlemleri en azından kayıt altına alınmalıdır. Kaydın kendisinin de değiştirilemez olması beklenir; sonradan düzenlenebilen bir günlük kanıt değeri taşımaz.

Dışa aktarma özelliği ayrı bir dikkat alanıdır: tüm çalışan listesini indirebilen bir yetki, pratikte bir veri sızıntısı riskidir ve yalnızca gerekli rollere açılmalıdır.

Kısa kontrol listesi

• Toplanan her alanın bir gerekçesi var mı?
• Aydınlatma metni sürümlü ve erişilebilir mi?
• Veri sahibi başvurusu için takip edilebilir bir kanal var mı?
• Yetki kısıtları veri katmanında mı uygulanıyor?
• Anonim akışlarda kimlik sunucu tarafında mı temizleniyor?
• Saklama süreleri ve çıkış süreci tanımlı mı?

Uyumla ilgili sorularınız için bize yazabilirsiniz.

Kimin hangi veriyi görebileceği, uyumun günlük hayattaki karşılığıdır; rol tasarımını ve en az yetki ilkesini çalışan verisi ve yetki modeli yazısında ele aldık.

Uyumun teknik önlemler kadar önemli ikinci ayağı, çalışan davranışıdır: veri sızıntılarının büyük kısmı sistem açığından değil oltalama ve dikkatsizlikten doğar. Programın nasıl kurulduğunu bilgi güvenliği farkındalık eğitimi yazısında anlattık.

Özel nitelikli verinin yoğun olduğu iki alanda sınırın nereye çizildiğini sağlık kuruluşu için intranet ve eğitim kurumu için intranet yazılarında ayrıntılandırdık.