İnsan kaynaklarında KVKK: çalışan verisi için uyum rehberi

İK'da KVKK uyum süreci hangi adımlardan oluşur?

İK'da KVKK uyumu, hangi veriyi neden işlediğinizi yazıya dökmekle başlar ve bu bilgiyi günlük işe uygulanan kurallara çevirmekle sürer. Envanter, hukuki sebep, aydınlatma, saklama süresi ve erişim yetkisi birbirine bağlıdır; birindeki değişiklik ötekileri de günceller.

1. Envanter çıkarın. Özlük, ücret, izin, PDKS ve aday kayıtlarında hangi veriyi, hangi amaçla, nerede tuttuğunuzu yazın.
2. Hukuki sebebi eşleştirin. Her işlemi Kanun'daki bir işleme şartına bağlayın; açık rızayı başka şartı olmayan işlemlere ayırın.
3. Aydınlatın. Çalışan ve aday için ayrı metin hazırlayın, veriyi toplarken verin ve verdiğinizi kanıtlayın.
4. Özel nitelikli veriyi ayırın. Sağlık, adli sicil ve biyometrik veri için ayrı erişim kuralı koyun.
5. Erişimi daraltın. Her rol yalnız işi için gereken kayda ulaşsın; hassas görüntülemeler kayda geçsin.
6. Saklama ve imhayı planlayın. Veri türüne göre süre koyun; süresi dolanları dönemsel olarak silin ya da anonimleştirin.
7. Başvuru kanalını kurun. Çalışan ya da aday başvurusunu kimin alıp yanıtlayacağını belirleyin.

İK'da hangi kişisel veriler işlenir?

İK, işe alımdan ayrılışa kadar çalışanın iş yaşamını baştan sona kayda alır. Kimlik ve iletişim bilgisinin yanında ücret, banka, aile, sağlık ve giriş-çıkış kayıtları tutulur; sağlık, ceza mahkûmiyeti ve biyometrik veri Kanun'da özel nitelikli sayılır ve daha sıkı korunur.

KVKK çalışan verisi için ne diyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu çalışan verisine de genel kuralları uygular: veri belirli ve meşru amaçla, ölçülü işlenir, gerektiği kadar saklanır ve güvenle korunur. İşveren veri sorumlusudur; İK yazılımı sağlayıcısı ise çoğu durumda veri işleyen konumundadır.

Silme ve imhanın usulünü Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik düzenler. Yönetmeliğe göre sicile kayıt yükümlüsü olan veri sorumluları saklama ve imha politikası hazırlar; dönemsel imha aralığı altı ayı geçemez ve silme, yok etme ile anonimleştirme işlemlerinin kayıtları en az üç yıl saklanır.

Kaynaklar: 6698 sayılı Kanun, Kurum'un aydınlatma, özel nitelikli veri ve VERBİS sayfaları.

KVKK uyumu Excel ve klasörle yürütülünce nerede tıkanır?

Tablo ve klasörle kurulan uyum düzeni ilk hazırlandığı gün doğrudur, sonra iş gerçeğinden kopar. Envanter güncellenmez, imha takvimi unutulur ve kimin hangi dosyayı açtığı sorulduğunda yanıt bulunmaz. Denetimde sorun çoğu zaman kuralın yokluğu değil, uygulandığının gösterilememesidir.

• Envanter ayrı dosyada kalır; yeni bir form alanı eklendiğinde kimse onu güncellemez.
• Ayrılan çalışanların dosyaları süresiz durur; imhayı hatırlatan bir düzen yoktur.
• Özlük belgeleri e-posta ekiyle ve ortak klasörle dolaşır; aynı belgenin kaç kopyası olduğu bilinmez.
• Sağlık raporu izin formuna eklenir; formu gören herkes gerekçeyi öğrenir.
• Tabloda satır düzeyinde yetki yoktur; dosyayı açan kişi ücret sütunu dahil her şeyi görür.

Sora İK'da KVKK uyumu nasıl desteklenir?

Sora İK'da çalışan verisi için müşteri firma veri sorumlusu, Sora İK veri işleyendir. KVKK Uyum Modülü envanter, açık rıza, saklama-imha ve başvuru kayıtlarını kapsar; kullanımdaki diğer modüller ise erişimi rolle sınırlar ve hassas görüntülemeleri denetim kaydına yazar.

İşleme kararlarını işveren verir; Sora İK onları uygulamaya ve kanıtlamaya yardım eder. Bugün çalışan tedbirler:

• Rol bazlı erişim: hazır ve firmaya özel rollerle her kullanıcının ulaşacağı kayıtlar sınırlanır.
• Hassas belge yetkisi: sağlık raporu ile adli sicil belgesini görmek için ayrı bir yetki gerekir; varsayılanda bu yetki firma sahibi ve İK rolündedir.
• Denetim kaydı: değişiklikler alan adlarıyla tutulur; ücret, bordro, aday ve performans kayıtlarının açılması, belge indirme ve dışa aktarma da iz bırakır.
• Kimlik numarası: listelerde ve yetkisiz kullanıcıya görünmez, uygulama günlüklerine girmez.
• Ekip görünümü: yöneticinin gördüğü puantajda raporlu gün ile ücretli mazeret aynı görünür.
• PDKS: biyometrik veri işlenmez; konum yalnız QR kaydı sırasında doğrulama için kullanılır, ham koordinat tutulmaz.
• Firma ayrımı: her firmanın verisi veritabanında satır düzeyi güvenlikle ayrılır.

Sora İK VERBİS'e veri göndermez; sicil kaydını veri sorumlusu kendisi yapar. Paketler için Sora İK fiyatları bölümüne bakabilirsiniz. Ayrıntılı kapsam: KVKK Uyum Modülü'nün tüm özellikleri.

BT ve kurumsal açıdan İK verisinde hangi teknik tedbirler öne çıkar?

Kişisel Verileri Koruma Kurumu veri güvenliği için tek bir model öngörmez; tedbir, verinin niteliğine ve şirketin risklerine göre seçilir. İK verisinde öncelik kimlik doğrulamayı güçlendirmek, erişimi daraltmak, dışa aktarımı izlemek ve sistem dışında kalan kopyaları azaltmaktır.

• İK ve bordro kullanıcıları için iki adımlı doğrulamayı zorunlu tutun; ortak hesap kullanmayın.
• Ayrılan çalışanın hesabını çıkış günü kapatın; rol değişikliğinde eski yetkiyi geri alın.
• Denetim kaydını düzenli inceleyin; önce mesai dışı dışa aktarımlara bakın.
• Bordro ve özlük belgelerini e-posta ekiyle göndermeyin.
• Yazılım sağlayıcısıyla veri işleme sözleşmesi imzalayın, alt işleyen listesini isteyin.

Firewall, log, erişim ve yedekleme tedbirlerini KVKK teknik tedbirler kontrol listesi yazımızda topladık; İK verisi için erişim ve log maddeleri önceliklidir. Yetki tasarımı İK yazılımı güvenliği rehberinde, dayanak Kurum'un veri güvenliğine ilişkin yükümlülükler sayfasındadır.

KVKK uyumuyla birlikte çalışan modüller

KVKK uyumu tek modülde bitmez; erişim kuralları, özlük kayıtları, belge yönetimi ve giriş-çıkış verisi aynı politikaya bağlıdır. Aşağıdaki rehberler bu parçaları ayrı ayrı ele alır.

• İK yazılımı güvenliği rehberi: Rol bazlı yetki, iki adımlı doğrulama ve denetim kaydı için satıcıdan bağımsız BT kontrol listesi.
• Dijital özlük dosyası rehberi: Belge grupları, kâğıttan dijitale geçiş adımları ve erişim kurallarıyla özlük dosyası yönetimi.
• Personel evrak ve sözleşme takibi rehberi: Belge türleri, sürümleme, geçerlilik tarihi takibi ve erişim kurallarıyla personel evrakı yönetimi.
• PDKS rehberi: PDKS yöntemleri, biyometrik veri ve KVKK, eksik kayıt yönetimi.

Sık sorulan sorular

Çalışandan her veri için açık rıza almak gerekir mi?

Hayır. 6698 sayılı Kanun'un 5. maddesi açık rızayı işleme şartlarından yalnız biri olarak sayar; iş sözleşmesinin kurulması ve ifası, işverenin hukuki yükümlülüğü ve meşru menfaat ayrı şartlardır. Başka bir şarta dayanan işlem için rıza istemek, çalışana gerçekte olmayan bir seçim hakkı varmış izlenimi verir. Rıza alınmasa da çalışan her durumda aydınlatılır.

İşten ayrılan çalışanın verisi ne zaman silinir?

Kanun tek bir süre vermez; işleme sebebi ortadan kalktığında veri silinir, yok edilir ya da anonim hâle getirilir. Çalışma, sosyal güvenlik ve vergi kuralları belgeye göre değişen saklama gerekçeleri doğurur; bu yüzden süreyi veri türüne göre saklama ve imha politikanıza yazın. Politika hazırlamakla yükümlü işverende dönemsel imha aralığı altı ayı geçemez.

İK yazılımı sağlayıcısı veri sorumlusu mudur?

Genellikle hayır. Kanun'un 3. maddesine göre işleme amaçlarını ve vasıtalarını belirleyen veri sorumlusudur; çalışan verisinde bu işverendir. Sağlayıcı veriyi işverenin talimatıyla ve onun adına işlediğinde veri işleyendir. Rolü sözleşme netleştirir; veri işleme sözleşmesini ve alt işleyen listesini isteyin. Sora İK'da müşteri firma veri sorumlusu, Sora İK veri işleyendir.

Sağlık raporları özlük dosyasında tutulabilir mi?

Sağlık verisi Kanun'un 6. maddesinde özel nitelikli sayılır. İstihdam ile iş sağlığı ve güvenliği alanındaki hukuki yükümlülük için zorunluysa işlenebilir; ancak Kurul'un belirlediği yeterli önlemler de alınmalıdır. Uygulamada rapor ayrı bir belge türü olarak, yalnız yetkili kişinin açabileceği biçimde tutulur ve izin akışında gerekçe ekip yöneticisine gösterilmez.

Sora İK'nın KVKK Uyum Modülü neleri kayıt altına alır?

KVKK Uyum Modülü dört alanı kapsar: veri envanteri, rızaya dayanan işlemlerde rıza kaydı, süresi dolan verinin imha takibi ve çalışan başvuruları. Hassas veri görüntülemeleri ise Rol, Yetki ve Güvenlik modülündeki denetim kaydında tutulur. Hangi verinin hangi sebeple işleneceğine ve saklama sürelerine Sora İK değil, veri sorumlusu olarak işveren karar verir.