Uyum Yazılımında Veri Nerede Durmalı? KVKK, Veri Merkezi ve Aydınlatma

Uyum yazılımı, doğası gereği kişisel veri işler. İş güvenliği tarafında eğitim ve kaza kayıtları, özel güvenlik tarafında vardiya çizelgeleri ve devriye kayıtları, hepsinin altında personel listesi vardır. Bu veri sıradan bir müşteri listesi değildir; bir kısmı sağlıkla ilgilidir, bir kısmı çalışanın nerede olduğunu gösterir.

Bu yüzden "verim nerede duruyor?" sorusu, teknik bir merak değil sözleşme öncesi bir sorumluluk sorusudur. Bu yazı, o soruyu nasıl soracağınızı ve cevabında neye bakacağınızı anlatıyor.

Önce roller: kim veri sorumlusu, kim veri işleyen?

Çalışanınızın verisi söz konusu olduğunda genellikle siz veri sorumlusu, kullandığınız yazılım sağlayıcısı ise veri işleyen konumundadır. Bunun pratik anlamı önemlidir: verinin hangi amaçla işleneceğine siz karar verirsiniz ve çalışana karşı birincil sorumluluk sizdedir.

Dolayısıyla sağlayıcının "biz KVKK'ya uyumluyuz" demesi tek başına sizi kapsamaz. Sizin de kendi tarafınızda aydınlatma yükümlülüğünüzü yerine getirmiş ve işleme envanterinizi güncellemiş olmanız gerekir.

Verinin coğrafyası neden önemli?

Verinin fiziksel olarak nerede durduğu iki şeyi belirler: hangi hukukun uygulanacağını ve yurt dışına aktarım kurallarının devreye girip girmeyeceğini. Bir yazılım "bulutta" dediğinde bu cümle tek başına hiçbir şey söylemez; asıl soru hangi ülkedeki hangi veri merkezinde olduğudur.

Periyon ailesindeki ürünlerin tamamında veri Avrupa Birliği veri merkezlerinde tutulur ve bu, dört üründe de ortak bir tercihtir — devre değiştirdiğinizde verinin coğrafyası değişmez. Aynı ilke FocusISG, FocusNöbet, FocusHavza ve FocusKarbon için birlikte geçerlidir; ürün başına ayrı bir veri politikası yoktur.

Sözleşmeden önce sorulacak yedi soru

1. Veri hangi ülkede, hangi veri merkezinde tutuluyor? Cevap bir ülke adı olmalı, "bulut" değil.
2. Yedekler nerede tutuluyor? Asıl veri bir yerde, yedeği başka bir kıtada olabiliyor; ikisi ayrı ayrı sorulmalı.
3. Alt işleyenler kimler? Sağlayıcının kullandığı altyapı ve hizmetler de zincire dâhildir.
4. Hangi veri ne kadar süre saklanıyor? Saklama süresi, amaçla sınırlı olmalı ve yazılı olmalı.
5. Silme talebi nasıl işliyor? Bir çalışan ayrıldığında ya da talep ettiğinde süreç nedir?
6. Erişim kayıtları tutuluyor mu? Kimin hangi kaydı ne zaman gördüğü izlenebiliyor mu?
7. Sözleşme bittiğinde verim ne oluyor? Dışa aktarım hangi formatta, ne kadar sürede?

Bu soruların cevaplarını sözleşme ekine yazdırmak, sonradan yaşanacak tartışmaların çoğunu baştan bitirir.

Kendi tarafınızda yapılacaklar

Sağlayıcı seçimi işin yarısıdır. Diğer yarısı sizde:

• Aydınlatma metnini güncelleyin. Çalışana, hangi verisinin hangi amaçla işlendiği açıkça anlatılmalı. Konum ya da sağlık verisi söz konusuysa bu ayrıca belirtilmeli.
• İşleme envanterine ekleyin. Yeni bir sistem devreye aldığınızda envanter de güncellenmeli; denetimde ilk bakılan belgelerden biri budur.
• Yetkiyi rol bazlı kurun. Herkesin her kaydı görmesi gerekmez; en az yetki ilkesi hem KVKK hem de operasyon açısından doğrudur.
• Ayrılan çalışanın erişimini kapatın. Dört ayrı sistemde bu dört ayrı işlemdir ve genellikle biri unutulur — tek çekirdeğin somut faydalarından biri budur.

Kayıt tutmak ile veri biriktirmek aynı şey değil

Uyum yazılımlarında sık görülen bir hata, "ne olur ne olmaz" diye gereğinden fazla veri toplamaktır. Oysa toplanan her ek veri, korunması ve gerektiğinde silinmesi gereken bir yükümlülüktür. Amaçla sınırlılık ilkesi burada hem hukuki hem pratik bir koruma sağlar.

Denetimde işinize yarayacak olan verinin çokluğu değil, kaydın izlenebilirliğidir.

Her veri aynı hassasiyette değil

Uyum yazılımlarında işlenen verinin bir kısmı sıradan, bir kısmı ise özel nitelikli kişisel veridir. KVKK bu ayrımı yapar ve özel nitelikli veriler için daha sıkı bir işleme rejimi öngörür. Pratikte bu ayrım şuralarda karşınıza çıkar:

• Sağlıkla ilgili kayıtlar. İş kazası ayrıntıları, sağlık raporu bilgileri, işe giriş muayenesi çıktıları. Bunlar özel nitelikli veridir ve erişimi dar tutulmalıdır.
• Konum bilgisi. Devriye ve saha kayıtlarında toplanan konum verisi kişiyi izler hale gelebilir. Amaç "turun tamamlandığını doğrulamak" ise, sürekli konum takibi bu amacı aşar.
• Disiplin ve olay kayıtları. Kişiye atfedilen olumsuz kayıtlar, erişimi en dikkatli sınırlanması gereken gruptur.

Bu üç grup için pratik kural aynıdır: gerekmiyorsa toplama, topluyorsan dar yetkiyle sakla, süresi dolduğunda sil.

Yetkiyi rol üzerinden kurun, kişi üzerinden değil

Erişim yetkisi kişi kişi verildiğinde birkaç ay içinde kimsenin yönetemediği bir listeye dönüşür. Rol bazlı kurulum hem sürdürülebilir hem de denetlenebilirdir. Tipik bir ayrım şöyledir:

• Saha kullanıcısı — yalnızca kendi girdiği kayıtları ve kendisine atanan görevleri görür.
• Birim sorumlusu — kendi biriminin tüm kayıtlarını görür, raporlayabilir.
• Uyum sorumlusu — tesis genelini görür; özel nitelikli verilere erişimi ayrıca tanımlanır.
• Yönetici — özet ve raporları görür; ham kişisel veriye erişmesi çoğu zaman gerekmez.

Son madde sıklıkla atlanır: yöneticinin her kaydı görmesi bir yetki değil, gereksiz bir risktir.

Sözleşme ekinde bakılacaklar

Sağlayıcıyla imzalanan veri işleme ekinin en az şu beş başlığı açıkça içermesi beklenir: işlemenin konusu ve süresi, veri kategorileri ve ilgili kişi grupları, sağlayıcının alacağı teknik ve idari tedbirler, alt işleyen kullanımına ilişkin kurallar, sözleşme bitiminde verinin iadesi ya da silinmesi.

Bu başlıklar sözleşmede yoksa, sözlü verilen güvenceler denetimde bir işe yaramaz. Ek metnini imzadan önce kendi hukuk tarafınıza okutun.

Sık sorulan sorular

Veriler AB'de tutuluyorsa KVKK yükümlülüğümüz kalkar mı?

Hayır. Verinin nerede tutulduğu aktarım rejimini ilgilendirir; veri sorumlusu olarak yükümlülükleriniz devam eder — aydınlatma, işleme envanteri, saklama ve imha politikası hâlâ sizdedir.

Çalışandan açık rıza almak zorunda mıyız?

Her işleme açık rızaya dayanmaz; iş ilişkisinden ve kanuni yükümlülükten doğan işlemeler için başka hukuki sebepler söz konusu olabilir. Üstelik iş ilişkisinde rızanın "özgür irade" tartışması nedeniyle her zaman en sağlam dayanak olmadığı kabul edilir. Hangi işlemenin hangi sebebe dayandığını envanterinizde ayrı ayrı belirtin ve tereddütte uzman görüşü alın.

Yedekler de silme talebine dâhil mi?

Bu, sağlayıcıya sorulması gereken somut sorulardan biridir. Yedeklerde verinin ne kadar süre kaldığı ve silme talebinin yedeklere nasıl yansıdığı sözleşme ekinde yazılı olmalıdır.

Bir ihlal yaşanırsa hazır mısınız?

Veri güvenliği tartışmalarının çoğu önleme üzerine kuruludur; oysa hazırlığın yarısı olduktan sonra ne yapılacağıdır. Bir veri ihlali yaşandığında saat işlemeye başlar ve o anda kurulacak bir süreç yoktur — önceden kurulmuş olması gerekir.

Asgari olarak şu dört sorunun cevabı bugünden belli olmalıdır:

• Kim haber verecek? Sağlayıcınız bir olayı size hangi süre içinde, hangi kanaldan bildirmekle yükümlü? Bu, sözleşme ekinde yazılı olması gereken bir taahhüttür.
• Sizde kim karar verir? İhlal değerlendirmesini yapacak kişi ya da ekip önceden belli olmalı; olay anında sahibi aranan bir süreç yavaş işler.
• Hangi veri etkilendi, nasıl anlarsınız? Erişim kayıtları tutulmuyorsa bu sorunun cevabı yoktur — ihlalin kapsamını belirleyemezsiniz.
• İlgili kişilere nasıl ulaşılır? Çalışanlara bildirim gerekiyorsa iletişim bilgileri güncel mi?

Bu dört başlık kısa bir sayfada yazılıysa, olay anında yapılacak iş bellidir. Yazılı değilse, ihlalin kendisinden çok yönetimi zarar verir.