İnsan kaynakları departmanları, bir şirketteki en yoğun kişisel veri işleyen birimdir. Ad, soyad, T.C. kimlik numarası, banka hesabı, sağlık raporu, disiplin kaydı, performans değerlendirmesi... Bunların tamamı 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında işlenen kişisel veri; büyük bölümü ise özel nitelikli veri kategorisine giriyor.
KVKK denetimleri artık her sektörde yoğunlaşıyor. 2024 sonu itibarıyla yalnızca VERBİS kaydı bulunmayan veri sorumlularına kesilen idari para cezalarının toplamı 500 milyon TL'yi aştı. 2025 yılı için VERBİS yükümlülüğünü ihlal edenlere uygulanabilecek ceza üst sınırı 13.620.402 TL olarak belirlendi.
Bu rakamlar aynı zamanda bir öncelik sinyali. Peki İK yazılımınız KVKK denetimine gerçekten hazır mı?
İK yazılımları genellikle varsayılan olarak geniş erişim yetkileriyle kurulur: tüm İK ekibi tüm verileri görebilir. Ama KVKK'nın veri minimizasyonu ilkesi farklı bir zorunluluk getiriyor: kişisel veriye yalnızca bu veriye gerçekten ihtiyaç duyan kişi erişebilmelidir.
Kontrol noktası: Sistemde kimin hangi çalışanın hangi verisine erişebildiği kayıt altında mı? Rol tabanlı yetkilendirme uygulanıyor mu? Örneğin sağlık raporlarına yalnızca İSG sorumlusu ve ilgili İK yöneticisinin erişmesi gerekir; tüm bordro ekibinin değil.
Bunu göz ardı etmenin maliyeti hem hukuki hem de organizasyonel: bir veri ihlali yaşandığında "kim erişti" sorusunu yanıtlayamayan şirket, denetimde çok daha kırılgan bir konumda yer alır.
KVKK, kişisel verilerin işlenme amacı ortadan kalktığında silinmesini, yok edilmesini ya da anonim hale getirilmesini zorunlu kılıyor. İşten ayrılan bir çalışanın verisi sonsuz süre sistemde kalamaz.
Kontrol noktası: İK yazılımınızda işten ayrılan çalışanların verisi için bir saklama süresi tanımlanmış mı? Bu süre dolduğunda sistem otomatik uyarı ya da silme işlemi yapıyor mu? İş Kanunu kapsamındaki dava zamanaşımı süreleri göz önünde bulundurulduğunda işten çıkış sonrası on yıllık saklama genel bir referans noktası olarak değerlendirilebilir; ancak bu sürenin hukuki danışmanlıkla şirkete özgü belirlenmesi gerekir.
Otomatik silme mekanizması olmayan sistemlerde veri birikimi kaçınılmaz hale geliyor. Bu birikimin düzenli olarak temizlenmesi manuel süreçle yönetildiğinde ise atlanma riski yüksek.
KVKK, veri sorumlusunun kişisel verileri işlemeden önce ilgili kişiyi aydınlatma yükümlülüğü getiriyor. İşveren açısından bu yükümlülük hem işe alım sürecinde hem de sonrasında devam ediyor.
Kontrol noktası: Çalışanın aydınlatma metnini okuduğuna ve anladığına dair onay kaydı sistemde tutuluyor mu? Bu onay, e-posta ekinde gönderilip "tamam" yanıtı beklenen bir belge mi; yoksa sisteme entegre, tarih ve saat damgalı bir kayıt mı?
Denetimde fark yaratan tam da bu ayrım. Kağıt imzalı ya da e-posta üzerinden alınan onaylar ispat değeri taşısa da sistematik ve izlenebilir kayıt, denetim sürecini çok daha yönetilebilir kılıyor.
KVKK, sağlık verisi, sendika üyeliği, cezai mahkumiyet ve biyometrik veri gibi özel nitelikli kişisel verilerin işlenmesi için ek şartlar öngörüyor. Bu verilerin açık rıza olmadan ya da kanunda sayılan istisnalar dışında işlenmesi yasak.
Kontrol noktası: İK yazılımınızda sağlık raporları, engel durumu bilgisi ya da biyometrik devam takibi verileri diğer verilerden ayrıştırılmış mı? Bu verilere erişim ek yetkilendirme gerektiriyor mu? Sistemde açık rıza kaydı tutulabiliyor mu?
Bu veriler çoğunlukla İK sistemlerinde "diğer belgeler" klasöründe ya da genel notlar alanında tutuluyor. Ayrıştırılmamış ve ek koruma sağlanmamış özel nitelikli veri, denetimde en yüksek risk oluşturan alan.
KVKK, veri ihlalinin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirim yapılmasını zorunlu kılıyor. Bu sürenin kısalığı, olayı fark ettiğinizde hazır bir sürecinizin olmasını zorunlu hale getiriyor.
Kontrol noktası: İK sistemine yetkisiz erişim yaşandığında bunu kim nasıl tespit eder? Bildirim süreci kimin sorumluluğunda? Sisteminiz erişim loglarını kaydediyor ve bu loglar izlenebilir mi?
Bu maddeyi "İK yazılımı kontrolü" başlığı altında değerlendirmek şaşırtıcı gelebilir; ama İK verilerinin büyük bölümü dijital ortamda tutulduğundan yazılımın erişim kayıtları tutması ve ihlal anında bildirim sürecini desteklemesi kritik bir altyapı gerekliliği haline geliyor.
Yukarıdaki beş maddenin tamamına "evet" demek zor olabilir; çünkü çoğu şirketin mevcut sistemi bu kontrol noktaları düşünülerek kurgulanmamış. Ama "hazır değiliz" cevabı aynı zamanda denetimde riskin nerede biriktiğini gösteriyor.
KVKK uyumu bir kez tamamlanan bir proje değil; yazılım seçiminden süreç tasarımına kadar sürekli yönetilmesi gereken bir alan. En etkili başlangıç noktası ise yukarıdaki beş soruyu şu an kullandığınız sisteme sormak.
Ming, rol tabanlı yetkilendirme, belge yönetimi ve erişim kayıtları gibi KVKK uyumunu destekleyen altyapı unsurlarını İK ve bordro süreçleriyle entegre biçimde sunuyor. Bu yapı, yukarıdaki kontrol noktalarının çoğunu teknik bir çözüme dönüştürüyor.
Kaynaklar
