KVKK veri işleme envanteri: İK verisini haritalamak

KVKK uyumunun temelinde tek bir çalışma var: neyi, neden, ne kadar süreyle işlediğinizi bilmek. Veri işleme envanteri bu bilgiyi yazılı hâle getiriyor.

Envanteri olmayan bir şirket, aydınlatma metnini de saklama politikasını da tahminle yazıyor — ve ikisi de denetimde tutmuyor.

Envanterde ne var?

Her veri işleme faaliyeti için şu bilgiler:

• Hangi kişi grubu (çalışan, aday, ziyaretçi, tedarikçi çalışanı)
• Hangi veri kategorileri (kimlik, iletişim, özlük, sağlık, finans, görsel)
• İşleme amacı — neden topluyorsunuz?
• Hukuki sebep — kanunda açıkça öngörülme, sözleşmenin kurulması, hukuki yükümlülük, meşru menfaat, açık rıza
• Saklama süresi ve süre sonunda ne olacağı
• Aktarım — kime aktarılıyor (mali müşavir, sigorta şirketi, yazılım sağlayıcısı), yurt dışına aktarım var mı
• Teknik ve idari tedbirler

İK'da tipik veri kategorileri

İK, bir şirketteki en yoğun kişisel veri işleyen birim:

İşe alım: CV, mülakat notları, referans bilgileri, varsa test sonuçları. Kritik soru: işe alınmayan adayların verileri ne kadar süre saklanıyor?

Özlük: Kimlik, adres, iletişim, aile durumu, eğitim, sözleşme, bordro. Çoğu için hukuki sebep açık: kanunda öngörülme ve sözleşme.

Sağlık verisi — özel nitelikli. İşe giriş muayenesi, periyodik muayene, istirahat raporu, engellilik durumu. Bu kategori özel koruma gerektiriyor: erişimi işyeri hekimi ve sınırlı sayıda yetkiliyle kısıtlı olmalı. Rapor sürecini istirahat raporu ve iş göremezlik ödeneği yazısında ele aldık.

Performans ve disiplin: Değerlendirme formları, uyarılar, savunmalar. Süreci disiplin süreci ve savunma istemi yazısında anlattık.

Erişim ve kullanım kayıtları: Giriş-çıkış, sistem log'ları, kamera. Bu grupta ölçülülük en çok sorgulanan konu.

Hukuki sebep seçimi: açık rızaya kaçmayın

En sık yapılan hata, her şey için çalışandan açık rıza almak.

İki sorunu var. Birincisi, iş ilişkisinde rızanın özgür iradeyle verilip verilmediği tartışmalı — çalışan ile işveren arasında güç dengesizliği var. İkincisi, rıza her zaman geri alınabilir; bordro verisini rızaya dayandırırsanız, rıza geri alındığında kanuni yükümlülüğünüzü yerine getiremez hâle gelirsiniz.

Doğru yaklaşım: kanuni yükümlülük ve sözleşme gereği işlenen veriler için o sebepleri kullanmak, açık rızayı yalnızca gerçekten isteğe bağlı işlemler için saklamak (örneğin şirket sosyal medyasında fotoğraf paylaşımı).

Örnek: envanterin ortaya çıkardıkları

Bir şirket envanter çalışması yapıyor. Beklenmedik üç bulgu çıkıyor:

Birinci: İşe alınmayan adayların CV'leri, işe alım e-posta kutusunda yıllardır duruyor. Saklama süresi tanımlı değil, imha edilmemiş. Adaylara verilen aydınlatmada "6 ay" yazıyor.

İkinci: Ziyaretçi defteri kâğıt ve arşivde üç yıllık kayıt var; ne aydınlatma yapılmış ne saklama süresi belirlenmiş. Dijitalleştirmenin neden gerekli olduğunu ziyaretçi yönetimi yazısında ele aldık.

Üçüncü: Bir departman, çalışanların doğum günlerini ve aile bilgilerini kendi tuttuğu bir tabloda saklıyor. Amaç iyi niyetli (kutlama), ama envanterde yok, dayanağı belirsiz ve erişim kontrolsüz.

Üçünün ortak noktası: hiçbiri kötü niyetli değil, hepsi görünmezdi. Envanterin asıl değeri bu — gölgede kalan işlemeleri ortaya çıkarmak. Kutlama gibi meşru ihtiyaçların doğru yolu, dağınık tablolar değil, erişimi tanımlı bir sistem; yaklaşımı doğum günü ve yıldönümü kutlamaları yazısında ele aldık.

VERBİS ile ilişkisi

Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü, belirli ölçütleri aşan veri sorumluları için geçerli. VERBİS bildirimi, envanterden türetiliyor: bildirdiğiniz kategoriler ve süreler envanterle tutarlı olmalı.

Envanter güncellendiğinde VERBİS kaydının da güncellenmesi gerekiyor; bu, çoğu şirkette unutulan bir adım.

Envanteri güncel tutmak

Envanter bir kez yazılıp rafa kalkan bir belge değil. Güncellemeyi tetikleyen durumlar: yeni bir sistem devreye alınması, yeni bir hizmet sağlayıcısı, yeni bir süreç, mevzuat değişikliği ve organizasyon değişikliği.

Pratik yöntem, yeni sistem/tedarikçi devreye alma kontrol listesine "envanter güncellendi mi" maddesini eklemek. Genel uyum çerçevesini KVKK uyumlu intranet, aydınlatma metni ve başvuru takibini KVKK modülü yazısında ele aldık.

Sık sorulan sorular

Envanter kim tarafından hazırlanır? Veri sorumlusu (şirket) sorumlu; pratikte İK, BT ve hukuk birlikte çalışır. Her birimin kendi süreçlerini anlatması gerekiyor — merkezden yazılan envanter eksik kalıyor.

Yazılım sağlayıcım veri işleyen mi? Genellikle evet ve aranızda bir veri işleme sözleşmesi bulunması gerekiyor. Sağlayıcının verileri nerede sakladığı da envanterde yer almalı; bulut mu sunucu mu yazısında bu ayrımı ele aldık.

Saklama süresini neye göre belirlerim? Mevzuattaki asgari süreler (İş Kanunu, SGK, vergi) taban oluşturuyor; üzerine iş ihtiyacı ve olası uyuşmazlık zamanaşımı ekleniyor. Yöntemi doküman saklama politikası yazısında anlattık.

İmha nasıl kanıtlanır? İmha tutanağı ve periyodik imha süreci. Otomatik silme yapan sistemlerde log kaydı da delil oluşturuyor.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Envanter ve VERBİS çalışmanızı hukuk danışmanınızla yürütün.