Birçok şirket KVKK'ya uyumu, internetten bulunan birkaç şablonun şirket adına uyarlanması olarak görüyor: bir aydınlatma metni, bir açık rıza formu, belki bir VERBİS kaydı. Bu belgeler gerekli olsa da, arkasında şirketin gerçek veri akışlarını yansıtan bir analiz yoksa, ilk çalışan başvurusunda veya ilk veri ihlalinde yetersiz kalır. Gerçek bir KVKK uyum projesi, şirketin hangi veriyi neden, nasıl ve ne kadar süre işlediğini ortaya çıkaran ve bunu sürdürülebilir bir yönetim sistemine dönüştüren yapılandırılmış bir çalışmadır.
İK, bu projelerde merkezi bir rol üstlenir. Çünkü bir şirketin işlediği kişisel verilerin önemli bir bölümü çalışanlara, adaylara ve stajyerlere aittir; üstelik özel nitelikli verilerin büyük kısmı (sağlık, biyometrik veri, sendika üyeliği, adli sicil) İK süreçlerinde ortaya çıkar.
Bu yazıda bir KVKK uyum projesini on aşamada ele alıyoruz. Hazır bir kontrol listesi arıyorsanız iş hukuku ve KVKK uyum kontrol listesi yazımız da işinize yarayacaktır; bu yazı ise o listenin arkasındaki proje yönetimi yaklaşımına odaklanıyor.
KVKK Uyum Projesinin 10 Aşaması
| Aşama | Çıktı | Ana sorumlular |
|---|---|---|
| 1. Proje yönetişimi | Proje ekibi, sponsor, takvim | Üst yönetim, hukuk |
| 2. Mevcut durum analizi | Boşluk raporu | Proje ekibi |
| 3. Veri envanteri | Süreç bazlı envanter | Tüm birimler, İK öncelikli |
| 4. Hukuki sebep analizi | Her faaliyet için dayanak | Hukuk |
| 5. Aydınlatma ve rıza belgeleri | Metinler ve formlar | Hukuk, İK |
| 6. Politikalar ve prosedürler | Saklama-imha, güvenlik, başvuru, ihlal prosedürleri | Hukuk, BT, İK |
| 7. Teknik ve idari tedbirler | Erişim matrisi, şifreleme, loglama, sözleşmeler | BT, satın alma |
| 8. Sicil ve dış yükümlülükler | VERBİS kaydı, yurt dışı aktarım güvenceleri | Hukuk |
| 9. Eğitim ve iletişim | Rol bazlı eğitimler | İK |
| 10. Sürdürülebilirlik | İç denetim, periyodik gözden geçirme | Uyum sorumlusu |
Hazırlık: Yönetişim ve Mevcut Durum
İlk iki aşama, projenin kimin sorumluluğunda ve hangi başlangıç noktasından yürütüleceğini belirler.
1. Proje Yönetişimi
Uyum projesi yalnızca hukuk biriminin veya yalnızca BT'nin işi değildir. Bir üst yönetim sponsoru, proje yöneticisi ve İK, BT, hukuk, finans, satış ve operasyondan temsilcilerin yer aldığı bir çalışma grubu oluşturun. Proje kapsamını (tüm şirket mi, belirli lokasyonlar mı), takvimi ve karar alma mekanizmasını baştan netleştirin.
2. Mevcut Durum ve Boşluk Analizi
Var olan belgeleri, sözleşmeleri, sistemleri ve uygulamaları toplayın. Mülakatlar ve saha gözlemleriyle "kâğıt üzerinde olan" ile "fiilen yapılan" arasındaki farkı ortaya çıkarın. Örneğin kamera politikanız ses kaydı yapılmadığını söylüyorken, sahadaki cihazlar ses de kaydediyor olabilir.
Analiz: Envanter ve Hukuki Sebepler
3. Veri Envanteri
Projenin omurgası envanterdir. Her birimle yapılacak çalıştaylarda süreçler tek tek ele alınır. İK için tipik süreçler: işe alım, işe giriş, özlük yönetimi, bordro, izin yönetimi, performans, eğitim, İSG, yan haklar, disiplin, işten ayrılış. Her süreç için veri kategorileri, ilgili kişi grupları, amaç, alıcılar, sistemler, saklama süreleri ve yurt dışı aktarım bilgisi kaydedilir.
4. Hukuki Sebep Analizi
Envanterdeki her faaliyet için KVKK md. 5 veya özel nitelikli veriler için md. 6 kapsamında bir dayanak belirlenir. Bu aşamada en sık yapılan düzeltme, gereksiz yere açık rızaya dayandırılmış faaliyetlerin doğru hukuki sebebe taşınmasıdır. 2024 yılında yürürlüğe giren değişikliklerle özel nitelikli veriler ve yurt dışı aktarım kuralları yeniden düzenlendiğinden, eski analizlerin güncellenmesi de bu aşamanın parçasıdır.
Uygulama: Belgeler, Politikalar ve Tedbirler
5. Aydınlatma ve Rıza Belgeleri
Analiz sonuçlarına göre çalışan, aday, ziyaretçi ve diğer ilgili kişi grupları için aydınlatma metinleri hazırlanır; açık rıza gerçekten gereken faaliyetler için ayrı formlar oluşturulur. Aydınlatma metinlerinin envanterle birebir uyumlu olması şarttır.
6. Politikalar ve Prosedürler
Asgari politika ve prosedür seti şunları içermelidir:
- Kişisel veri saklama ve imha politikası (periyodik imha süresi 6 ayı geçmeyecek şekilde),
- Kişisel verilerin korunması ve işlenmesi politikası,
- Özel nitelikli veriler politikası,
- Bilgi güvenliği ve cihaz kullanım politikası,
- İlgili kişi başvuru prosedürü (en geç 30 gün içinde yanıt),
- Veri ihlali müdahale prosedürü (Kurul'a en geç 72 saat içinde bildirim).
7. Teknik ve İdari Tedbirler
Erişim yetkilerini rol bazlı yeniden tanımlayın, şifreleme ve loglama gibi teknik önlemleri hayata geçirin, fiziksel arşivleri düzenleyin. Veri işleyen konumundaki tüm tedarikçilerle (bordro hizmeti, İK yazılımı, PDKS, işyeri hekimliği hizmeti gibi) sözleşmeleri gözden geçirin ve eksik maddeleri tamamlayın.
Kalıcılık: Sicil, Eğitim ve Sürdürülebilirlik
8. Sicil ve Dış Yükümlülükler
Kayıt yükümlülüğünüz varsa VERBİS kaydını envanterle uyumlu şekilde yapın veya güncelleyin. Kayıt eşikleri Kurul kararlarıyla belirlendiği için güncel kararları kontrol edin. Yurt dışına düzenli veri aktarımı varsa uygun güvenceleri (örneğin standart sözleşme) kurun ve gerekli bildirimleri yapın.
9. Eğitim ve İletişim
Politikalar ancak çalışanlar tarafından bilinip uygulandığında anlam kazanır. Tüm çalışanlar için temel farkındalık eğitimi, İK, BT ve yöneticiler için role özgü eğitimler planlayın ve kayıt altına alın.
10. Sürdürülebilirlik
Uyum, proje bittiğinde sona ermez. Bir uyum sorumlusu belirleyin, yıllık iç denetim takvimi oluşturun, yeni bir sistem veya süreç devreye alınırken "tasarımdan itibaren veri koruma" kontrolü yapın ve envanteri yılda en az bir kez güncelleyin.
Gerçekçi Bir Takvim Nasıl Kurulur?
Projenin süresi şirketin büyüklüğüne, lokasyon sayısına ve mevcut olgunluk düzeyine göre değişir. Takvim kurarken şu ilkeler işe yarar:
- Envanter aşamasına en fazla zamanı ayırın; sonraki tüm aşamalar onun kalitesine bağlıdır.
- Yüksek riskli alanlara (sağlık verileri, biyometrik sistemler, yurt dışı aktarım) öncelik verin.
- Hızlı kazanımları (temiz masa, erişim temizliği, aydınlatma metni güncellemesi) erken uygulayarak projeye ivme kazandırın.
- Her aşamanın sonunda üst yönetime kısa bir durum raporu sunun.
Uyum Projenizi Birlikte Planlayalım
İyi kurgulanmış bir KVKK uyum projesi, yalnızca yaptırım riskini azaltmakla kalmaz; süreçlerinizi sadeleştirir ve çalışanlarınızın güvenini artırır. İK Partner, özellikle İK süreçlerine odaklanan uyum projelerinde envanter çalıştaylarından politika setine ve eğitimlere kadar uçtan uca destek sağlar. İş hukuku ve mevzuat uyumu hizmetimiz kapsamında ücretsiz ilk görüşmede projenizin kapsamını birlikte belirleyebiliriz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat ve Kurul uygulamaları değişebilir. Somut durumlar için hukuk danışmanınıza başvurmanızı öneririz.
