KVKK çalışan aydınlatma metni iskeleti

Bu bir iskelet, hazır metin değil

Aydınlatma metni şirketin gerçekten ne yaptığını anlatmak zorundadır: hangi veriyi hangi amaçla işlediğinizi, kime aktardığınızı. İnternetten kopyalanan bir metin bu yüzden işe yaramaz — Kurul denetiminde "metinde yazan ile yapılan" arasındaki fark yaptırım sebebidir. Aşağıdaki başlıklar Tebliğ'in zorunlu tuttuğu içerik; her birinin altındaki not, o başlığı sizin için nasıl dolduracağınızı söyler.

Metni tamamladıktan sonra bir KVKK/iş hukuku danışmanına gösterin. Bu şablon hukuki görüş değildir.

Başlık ve veri sorumlusu

[Şirket unvanı] Çalışan Kişisel Verilerinin İşlenmesine İlişkin Aydınlatma Metni

Veri sorumlusu: [tam ticari unvan], [adres], [MERSİS no], [e-posta / KEP].

Not: Grup şirketiyseniz her tüzel kişilik ayrı veri sorumlusudur; çalışanın sözleşmesinin hangi şirketle olduğuna göre ayrı metin gerekebilir.

1. İşlenen kişisel veriler

Veri kategorilerini ve her kategori altındaki veri türlerini listeleyin. Genel ifade ("her türlü veri") kabul edilmez.

• Kimlik: ad soyad, TC kimlik no, doğum tarihi, [__]
• İletişim: adres, telefon, e-posta, [__]
• Özlük: bordro bilgileri, SGK sicil no, izin kayıtları, disiplin kayıtları, performans değerlendirmeleri, [__]
• Mesleki deneyim: diploma, sertifika, önceki iş yerleri, [__]
• Finans: banka hesap numarası (maaş ödemesi için), [__]
• Görsel ve işitsel: fotoğraf (intranet profili, kartlı geçiş), kamera kaydı, [__]
• İşlem güvenliği: kullanıcı adı, giriş kayıtları (log), IP adresi, [__]
• Fiziksel mekân güvenliği: giriş-çıkış kayıtları, [__]
• Özel nitelikli veriler (varsa): sağlık raporu, engellilik durumu, ceza mahkûmiyeti (adli sicil), sendika üyeliği — her biri için ayrı hukuki sebep ve çoğu için açık rıza ya da kanuni yükümlülük gerekir

Not: İntranette tuttuğunuz şeyleri buraya yazmayı unutmayın: profil fotoğrafı, yetkinlik etiketleri, doğum günü kutlaması için doğum tarihi, acil durum yoklaması için konum bilgisi (varsa).

2. İşleme amaçları

Her amaç somut olsun; "iş süreçlerinin yürütülmesi" tek başına yetmez.

• İş sözleşmesinin kurulması ve ifası (bordro, izin, özlük)
• Kanuni yükümlülüklerin yerine getirilmesi (SGK, vergi, İSG)
• İş yeri güvenliği ve erişim yönetimi
• İç iletişim ve kurumsal duyuruların iletilmesi (intranet, e-posta, mobil bildirim)
• Performans ve kariyer gelişiminin yönetilmesi
• Eğitim ve oryantasyon süreçlerinin yürütülmesi
• Acil durumlarda çalışan güvenliğinin sağlanması
• [__]

3. Hukuki sebepler (KVKK m. 5 ve 6)

Her amacın karşısına dayandığı sebep yazılmalıdır.

• Sözleşmenin kurulması/ifası için zorunlu olması — m. 5/2-c
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi — m. 5/2-ç
• Bir hakkın tesisi, kullanılması veya korunması — m. 5/2-e
• Meşru menfaat (temel hak ve özgürlüklere zarar vermemek kaydıyla) — m. 5/2-f
• Açık rıza — yalnızca yukarıdakilerin hiçbiri uygulanamıyorsa; iş ilişkisinde açık rıza serbest iradeye dayanmadığı gerekçesiyle geçersiz sayılabilir, bu yüzden son çare olarak kullanın
• Özel nitelikli veriler için m. 6'daki sebepler (kanunlarda öngörülme, sağlık verisinde sır saklama yükümlülüğü altındaki kişiler vb.)

4. Aktarım

Kime, hangi amaçla, hangi hukuki sebeple. Yurt dışı aktarım varsa (bulut hizmeti, grup şirketi) m. 9 kapsamında ayrıca belirtin.

• SGK, Gelir İdaresi, İŞKUR, mahkemeler — kanuni yükümlülük
• Bankalar — maaş ödemesi
• Özel sağlık sigortası / BES şirketi — [__]
• Bilişim hizmet sağlayıcıları (intranet, e-posta, bordro yazılımı) — veri işleyen sıfatıyla, sözleşmeyle; sunucu konumu: [Türkiye / __]
• Grup şirketleri — [__]
• Denetim ve danışmanlık firmaları — [__]

Not: İntranet sağlayıcınızın verileri nerede barındırdığını yazın. Wepilot Türkiye pazarı için Türkiye'de barındırır; başka sağlayıcı kullanıyorsanız sözleşmesinden okuyun.

5. Toplama yöntemi

Fiziksel form, e-posta, intranet/self-servis ekranı, kartlı geçiş sistemi, kamera, bordro yazılımı, [__]. Otomatik yollarla toplanan veriler (log, kamera) ayrıca anılmalı.

6. Saklama süresi

Veri kategorisi bazında süre ve gerekçe. "Gerektiği kadar" ifadesi yeterli değildir.

• Özlük dosyası: iş ilişkisi sona erdikten sonra [10] yıl (İş Kanunu ve SGK mevzuatı zamanaşımı)
• Bordro ve ücret kayıtları: [5 / 10] yıl (Vergi Usul Kanunu / Sosyal Sigortalar mevzuatı)
• İSG kayıtları: [15] yıl (İSG mevzuatı — bazı kayıtlar için daha uzun)
• Kamera kayıtları: [30] gün
• Giriş-çıkış logları: [2] yıl (5651 sayılı Kanun kapsamındaysa)
• İntranet içerikleri (yorum, takdir, anket cevabı): [iş ilişkisi + __]
• [__]

7. Haklarınız (KVKK m. 11)

Standart hak listesi; her birini yazın:

• Kişisel verinizin işlenip işlenmediğini öğrenme
• İşlenmişse bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde / yurt dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme
• Silinmesini veya yok edilmesini isteme (m. 7 şartlarında)
• Düzeltme / silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Otomatik sistemlerle analiz sonucu aleyhe bir sonuca itiraz etme
• Kanuna aykırı işleme nedeniyle zarara uğrarsanız tazminat talep etme

8. Başvuru yolu

Veri Sorumlusuna Başvuru Usul ve Esasları Tebliği'ne uygun: yazılı başvuru adresi, KEP adresi, sistemde kayıtlı e-posta, [intranet başvuru formu bağlantısı]. Cevap süresi: en geç 30 gün.

Not: Başvuruyu intranetten alıyorsanız kayıt tarihi ve cevap süresi otomatik takip edilmeli; 30 günün aşılması Kurul'a şikâyet yolunu açar.

Sık yapılan hatalar

• Aydınlatma metnine "onaylıyorum" kutusu koymak — aydınlatma rıza değildir; ikisi ayrı belgedir
• Metni işe girişten aylar sonra imzalatmak — veri işlenmeye başlamadan önce ya da en geç ilk elde etme anında yapılmalı
• Kamera ve log kaydını metinde anmamak
• Saklama sürelerini yazmamak ya da "süresiz" demek
• Metnin sürümünü takip etmemek — değiştiğinde çalışana yeniden bildirim gerekir; hangi çalışanın hangi sürümü gördüğü kayıtlı olmalı