Çalışan Uygulaması Seçerken KVKK Açısından Sorulacak 8 Soru

İç İletişim · 7 dk okuma · İç İletişim Editör Ekibi

Kısaca: Çalışan uygulaması; ad, telefon, departman, lokasyon, fotoğraf ve kullanım verileri gibi kişisel verileri işler. Bu nedenle uygulama seçerken verinin nerede tutulduğu, kimlerin erişebildiği, çalışanların nasıl bilgilendirildiği, verilerin ne kadar süre saklandığı ve tedarikçiyle sözleşmede hangi güvencelerin yer aldığı 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından değerlendirilmelidir.

Bu yazı hukuki görüş değildir; İK, iç iletişim ve BT ekiplerinin seçim sürecinde hukuk ve bilgi güvenliği birimleriyle birlikte ele alabileceği soruları bir araya getirir.

Çalışan Uygulamasında Hangi Kişisel Veriler İşlenir?

Kimlik ve iletişim: Ad soyad, sicil numarası, telefon, kurumsal e-posta
Organizasyon bilgisi: Departman, unvan, lokasyon, vardiya, yönetici
Görsel içerik: Profil fotoğrafı, paylaşılan fotoğraf ve videolar
Kullanım verileri: Giriş kayıtları, okunma bilgisi, cihaz bilgisi
Kullanıcı içerikleri: Yorumlar, anket yanıtları, öneriler

KVKK Açısından Sorulacak 8 Soru

Veri nerede tutuluyor? Kurumun kendi sunucularında (On-Premise) mı, tedarikçinin bulutunda mı? Bulutsa veri merkezi hangi ülkede?
Yurt dışına veri aktarımı var mı? Varsa hangi hizmetler (bildirim, e-posta, analitik) için ve hangi güvencelerle yapılıyor?
Roller net mi? Kurum veri sorumlusu, tedarikçi veri işleyen olarak hangi yükümlülükleri üstleniyor; sözleşmede bu nasıl tanımlanmış?
Çalışanlar nasıl bilgilendirilecek? Uygulamada hangi verilerin hangi amaçla işlendiğini anlatan aydınlatma metni nerede gösterilecek?
Erişim nasıl sınırlandırılıyor? Rol bazlı yetkilendirme, yönetici paneline erişim, içerik görünürlüğünün gruplara göre ayrılması mümkün mü?
Kimlik doğrulama nasıl? LDAP / Active Directory ile tek oturum açma, çalışan ayrıldığında hesabın otomatik kapanması destekleniyor mu?
Saklama ve silme: Veriler ne kadar süre tutuluyor; işten ayrılan çalışanın verileri nasıl siliniyor ya da anonimleştiriliyor?
Güvenlik ve kayıt: İletişim şifreli mi, erişim kayıtları tutuluyor mu, düzenli güvenlik testleri yapılıyor mu?

Tedarikçiden İstenebilecek Belgeler

Veri işleme ve gizlilik hükümlerini içeren sözleşme ya da ek protokol
Verinin tutulduğu yer, alt hizmet sağlayıcılar ve yurt dışı aktarım bilgisi
Bilgi güvenliği politikası ve varsa sertifikalar (ör. ISO 27001)
Düzenli güvenlik testlerinin yapıldığına dair özet bilgi
Rol ve yetki yapısını, erişim kayıtlarını gösteren yönetim paneli açıklaması
Veri saklama, silme ve sözleşme sonunda veri iadesi süreci

Devreye Alma Sırasında KVKK Kontrol Listesi

Uygulamada işlenecek veri alanlarını belirleyin; ihtiyaç olmayan alanları toplamayın.
Aydınlatma metnini hazırlayın ve uygulamada erişilebilir hâle getirin.
Yönetici ve içerik editörü yetkilerini en az yetki ilkesine göre tanımlayın.
İşten ayrılan çalışanların hesaplarının kapatılma sürecini İK süreçlerine bağlayın.
Anketlerde anonimlik vaat ediliyorsa raporlamanın kişileri tanınmaz kıldığından emin olun.
Veri işleme envanterini yeni uygulamayı kapsayacak şekilde güncelleyin.

Kişisel Mesajlaşma Uygulamalarında Durum

Şirket duyurularının kişisel mesajlaşma gruplarından yapılması; çalışanların kişisel telefon numaralarının ekip içinde paylaşılmasına, kurumsal bilgilerin kurumun kontrolü dışındaki bir platformda tutulmasına ve işten ayrılan kişilerin gruplarda kalmasına yol açabilir. Ayrıntılar için iş WhatsApp grubu kuralları yazımıza bakabilirsiniz.

Kurulum Modeli ve KVKK

Kurumun kendi sunucularında kurulum, verinin kurum altyapısında kalmasını sağlar ve özellikle bankacılık, kamu ve savunma gibi denetim gereksinimi yüksek sektörlerde tercih edilir. Bulut kurulumda ise veri merkezinin yeri, yurt dışı aktarımı ve sözleşme güvenceleri önem kazanır. Karşılaştırma için On-Premise mi Cloud mu? yazımıza, platform özellikleri için güvenlik ve KVKK sayfamıza bakabilirsiniz.

Sıkça Sorulan Sorular

Çalışan uygulaması kullanmak KVKK'ya aykırı mı?

Hayır. Önemli olan verilerin belirli ve meşru amaçlarla işlenmesi, çalışanların bilgilendirilmesi, erişimin sınırlandırılması ve gerekli güvenlik önlemlerinin alınmasıdır. Ayrıntılı değerlendirme için kurumun hukuk birimine danışılmalıdır.

Çalışan uygulamasında veri sorumlusu kimdir?

Genel olarak uygulamayı kendi çalışanları için kullanan kurum veri sorumlusu, hizmeti sağlayan tedarikçi ise veri işleyen konumundadır. Rollerin sözleşmede açıkça tanımlanması gerekir.

On-Premise kurulum KVKK için zorunlu mu?

Zorunlu değildir; ancak verinin kurum altyapısında kalması, yurt dışı aktarım ve denetim konularını sadeleştirdiği için bazı kurumlar tarafından tercih edilir.

İşten ayrılan çalışanın verilerine ne olur?

Hesap kapatılmalı, veriler kurumun saklama politikasına uygun süre sonunda silinmeli ya da anonimleştirilmelidir. Uygulamanın bunu desteklediği seçim aşamasında doğrulanmalıdır.