Çalışan Verisini Tedarikçiyle Paylaşırken KVKK: Veri İşleme Sözleşmesi, Minimizasyon ve Kontrol Kaydı

İç İletişim · 8 dk okuma · İç İletişim Editör Ekibi

Kısaca: Kurumlar çalışan listelerini yan hak, sağlık sigortası, eğitim, etkinlik, anket ya da hediye gönderimi için düzenli olarak dış tedarikçilerle paylaşır. KVKK açısından bu paylaşımın dört dayanağı vardır: tedarikçinin rolünü (veri işleyen mi, ayrı bir veri sorumlusu mu) netleştiren yazılı bir sözleşme, amaç için gerekenden fazla alan göndermemek, listenin akıbetini izleyen bir kontrol kaydı (kanarya kayıt) ve tedarikçinin listeyi kendi tanıtım mesajları için kullanmasının önüne geçmek. Bu yazı, banka, sigorta ve holding yapılarındaki İK, iç iletişim ve bilgi güvenliği ekipleri için pratik bir çerçeve sunar. Hukuki danışmanlık değildir; kendi durumunuz için hukuk biriminizin görüşünü alın.

Çalışan Listesi Kimin Elinde, Hangi Rolle?

6698 sayılı Kişisel Verilerin Korunması Kanunu iki temel rol tanımlar. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir; çalışan verileri söz konusu olduğunda bu genellikle işveren kurumdur. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir (m.3).

Bir tedarikçi listeyi yalnızca sizin talimatınızla ve sizin belirlediğiniz iş için kullanıyorsa çoğu durumda veri işleyen konumundadır. Listeyi kendi amaçları için de kullanıyorsa (örneğin kendi müşteri kaydını oluşturuyorsa) artık kendi başına bir veri sorumlusu gibi davranıyordur ve bu, paylaşımın hukuki dayanağını baştan sorgulatır. Rolü sözleşmeye yazmak bu yüzden ilk adımdır.

Kanunun 12. maddesi bu konuda açıktır: veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde gerekli güvenlik tedbirlerinin alınmasından o kişiyle birlikte müştereken sorumludur (m.12/2). Yani liste kurumdan çıktıktan sonra da sorumluluk kurumda kalır.

Aktarımın Dayanağı ve Çalışanın Aydınlatılması

Kanuna göre kişisel veriler kural olarak açık rıza olmadan aktarılamaz; ancak m.5/2'de sayılan şartlardan birinin (örneğin sözleşmenin ifası, hukuki yükümlülük ya da çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat) bulunması hâlinde açık rıza aranmadan aktarım yapılabilir (m.8). Hangi aktarımın hangi şarta dayandığı, kurumun hukuk ve KVKK ekiplerinin değerlendirmesi gereken bir konudur.

Dayanak ne olursa olsun, çalışanın aydınlatılması gerekir: aydınlatma metninde işlenen verilerin kimlere ve hangi amaçla aktarılabileceği yer almalıdır (m.10). Yeni bir tedarikçi türüyle çalışmaya başlarken aydınlatma metninizin bu alıcı grubunu kapsayıp kapsamadığını kontrol edin. Tedarikçinin sunucuları ya da alt hizmet sağlayıcıları yurt dışındaysa m.9'daki yurt dışına aktarım şartları ayrıca devreye girer; bu, 2024 değişikliğiyle yeniden düzenlenmiş ve standart sözleşme gibi araçlar tanımlanmış bir alandır.

Veri İşleme Sözleşmesinde Olması Gerekenler

Kişisel Verileri Koruma Kurumunun veri güvenliği rehberi, veri sorumlusu ile veri işleyen arasındaki sözleşmeleri ve gizlilik taahhütlerini idari tedbirler arasında sayar. Kanun ayrıca veri sorumlusuna gerekli denetimleri yapma veya yaptırma yükümlülüğü verir (m.12/3). Çalışan listesi paylaşılan bir tedarikçiyle yapılacak sözleşmede en az şu başlıkların karşılığı olmalıdır:

Amaç ve kapsam: Liste yalnızca belirtilen hizmet için kullanılır; başka amaçla işlenemez, üçüncü kişilere verilemez.
Talimatla işleme: Tedarikçi, kurumun yazılı talimatı dışında işlem yapmaz.
Alt işleyenler: Tedarikçinin listeyi başka bir hizmet sağlayıcıya (örneğin toplu SMS ya da kargo firmasına) aktarması önceden yazılı izne bağlıdır.
Güvenlik tedbirleri: Erişim yetkileri, şifreleme, kayıt tutma gibi tedbirlerin asgari düzeyi.
İhlal bildirimi: Tedarikçinin bir sızıntıyı fark ettiğinde kuruma ne kadar sürede ve hangi bilgilerle haber vereceği.
Saklama ve imha: Hizmet bitince listenin silineceği ya da iade edileceği ve bunun yazılı olarak teyit edileceği.
Denetim hakkı: Kurumun denetim yapma ya da denetim raporu isteme hakkı.
Kontrol kayıtları: Paylaşılan listelerde kurum kontrolündeki kontrol kayıtları bulunabileceği ve bunlara iletişim yapılmasının amaç dışı kullanım göstergesi sayılacağı.

Çalışan uygulaması gibi iç iletişim araçlarının tedarikçisine özellikle sorulması gerekenleri çalışan uygulaması ve KVKK: sorulacak 8 soru ve çalışan uygulamasında veri güvenliği yazılarımızda ayrıca ele aldık.

İç iletişim platformu tedarikçisini kimlik doğrulama, veri yerleşimi, şifreleme, denetim izi ve KVKK başlıklarında değerlendirmek için bilgi güvenliği ve uyum değerlendirme listemizi (PDF) kullanabilirsiniz.

Veri Minimizasyonu: Listeye Ne Girmeli?

Kanunun genel ilkelerinden biri, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır (m.4/2-ç). Bir diğeri, verilerin gerekli olan süre kadar muhafaza edilmesidir (m.4/2-d). Uygulamada bu, her paylaşımdan önce sorulacak üç soruya dönüşür:

Bu alan olmadan iş yapılamaz mı? Bir eğitim platformu için ad ve kurumsal e-posta yeterli olabilir; T.C. kimlik numarası, doğum tarihi ya da kişisel cep telefonu çoğu zaman gerekmez.
Kişisel iletişim bilgisi yerine kurumsal bilgi kullanılabilir mi? Kişisel telefon ve ev adresi, kurumsal e-posta ya da teslimat için şube adresiyle değiştirilebiliyorsa tercih kurumsal bilgiden yana olmalıdır.
Tedarikçinin listeye hiç ihtiyacı var mı? Anket bağlantısı, etkinlik daveti ya da kampanya duyurusu gibi işlerde mesajı kurumun kendi kanalından göndermek, listeyi hiç paylaşmamak anlamına gelir. En iyi korunan liste, kurumdan çıkmayan listedir.

Paylaşılan her listenin ne zaman, hangi tedarikçiye, hangi alanlarla gönderildiğini kayıt altına almak, hem minimizasyonu denetlemeyi hem de olası bir sorunda geriye dönük incelemeyi kolaylaştırır.

Kontrol Kaydı (Kanarya Kayıt) ile Sızıntıyı Fark Etmek

Kontrol kaydı, tedarikçiye verilen listeye eklenen ve yalnızca o listede bulunan bir iletişim kaydıdır. Bu kayda o tedarikçinin sözleşmeli işi dışında bir ileti gelirse, liste amaç dışında kullanılmış ya da başka ellere geçmiş olabilir. Yöntem basittir ama doğru kurulmazsa kendisi yeni bir sorun yaratır.

Kontrol kaydı nasıl kurulur?

Gerçek bir çalışanın verisi kullanılmaz. Kontrol kaydına bir çalışanın kişisel telefonu ya da e-postası yazmak, o kişinin verisini ek bir amaçla aktarmak ve onu istenmeyen iletilere açık hâle getirmek demektir. Kayıt, kurumun kontrolündeki bir iletişim noktasına bağlanmalıdır.
İletişim noktası kurumundur ve gerçektir. Örneğin kurumsal alan adı altında bu iş için açılmış bir e-posta adresi ya da kurum adına tahsisli bir hat. Adres çalışmıyorsa ileti ulaşmaz ve kayıt hiçbir şey göstermez.
Her liste için ayrı kayıt. Aynı kontrol adresini birden fazla tedarikçiye vermek, sinyal geldiğinde kaynağı ayırt etmeyi imkânsızlaştırır. Tahmin edilmesi zor, listeye özgü adresler kullanın.
Kayıt defteri tutulur. Hangi kontrol kaydının hangi tedarikçiye, hangi tarihte, hangi listeyle verildiği; kutuyu kimin izlediği yazılı olmalıdır. Bu kayıt da erişimi sınırlı bir bilgi olarak saklanmalıdır.
Sözleşmede belirtilir. Kontrol kayıtlarının kullanılabileceğini sözleşmeye yazmak, yöntemi bir tuzak olmaktan çıkarıp bilinen bir denetim tedbirine dönüştürür.

Sinyal gelirse ne yapılır?

Kontrol kaydına gelen bir ileti tek başına kimin hata yaptığını kanıtlamaz; listenin tedarikçiden, onun alt işleyeninden ya da başka bir noktadan çıkmış olabileceğini gösteren bir uyarıdır. İletinin içeriğini, gönderenini ve tarihini saklayın, bilgi güvenliği ve KVKK ekiplerini aynı anda devreye alın, tedarikçiden yazılı açıklama isteyin. Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiği sonucuna varılırsa veri sorumlusu bunu en kısa sürede ilgili kişilere ve Kurula bildirmekle yükümlüdür (m.12/5). Kurul kararlarında bu "en kısa süre" 72 saat olarak uygulanmaktadır. Değerlendirmeyi bu süreyi göz önünde tutarak yapın.

İYS ile İlişkisi: Liste Pazarlama İzni Değildir

İleti Yönetim Sistemi (İYS), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik çerçevesinde ticari elektronik ileti onaylarının kaydedildiği sistemdir. Kanuna göre ticari elektronik iletiler alıcılara ancak önceden onayları alınmak kaydıyla gönderilebilir (6563 s. K. m.6); yönetmeliğe göre ticari ileti göndermek isteyenler İYS'ye kaydolur ve İYS'de onayı bulunmayan alıcılara ticari elektronik ileti gönderilemez.

Çalışan listesi açısından bunun iki sonucu vardır:

Kurumun çalışana işle ilgili gönderdiği duyurular, ticari amaçla gönderilmediği sürece genel olarak ticari elektronik ileti kapsamında değerlendirilmez; ancak bu duyuruları tedarikçi kurum adına gönderiyorsa yine KVKK'daki veri işleyen kurallarına tabidir.
Tedarikçi aynı listeye kendi ürün ve kampanyalarını tanıtan mesaj gönderirse bu, ticari elektronik ileti olur. Kurumun listeyi vermiş olması tedarikçi adına onay yerine geçmez; aynı zamanda KVKK açısından amaç dışı kullanımdır (m.12/4).

Bu nedenle kontrol kaydına gelen bir tanıtım iletisi; sözleşmenin, KVKK'nın ve ticari ileti kurallarının birlikte gözden geçirilmesini gerektirir.

Sıkça Sorulan Sorular

Tedarikçiyle veri işleme sözleşmesi yapmak zorunlu mu?

Kanun belirli bir sözleşme şablonu öngörmez; ancak veri sorumlusunu veri işleyenle birlikte güvenlik tedbirlerinden müştereken sorumlu tutar (m.12/2) ve Kurumun veri güvenliği rehberi bu sözleşmeleri idari tedbirler arasında sayar. Yazılı bir sözleşme, tedbirlerin alındığını gösterebilmenin en pratik yoludur.

Kontrol kaydı için bir çalışanın numarası kullanılabilir mi?

Önerilmez. Bu, çalışanın verisinin ayrı bir amaçla aktarılması anlamına gelir ve o kişiyi istenmeyen iletilere açık bırakır. Kontrol kaydı, kurumun tahsis ettiği ve izlediği bir adres ya da hat üzerine kurulmalıdır.

Tedarikçi listeyi iş bitince silmezse ne olur?

Verilerin gerekli olan süre kadar saklanması bir genel ilkedir (m.4/2-d). Sözleşmeye imha ve yazılı teyit hükmü koyun, hizmet bitiminde teyidi isteyin; kontrol kaydını bir süre izlemeye devam etmek, silmenin gerçekten yapılıp yapılmadığına dair dolaylı bir gösterge sunar.

Listeyi hiç paylaşmadan tedarikçiyle çalışmak mümkün mü?

Birçok işte mümkündür. Anket, etkinlik kaydı ya da eğitim duyurusu gibi işlerde bağlantıyı kurumun kendi kanalıyla çalışanlara ulaştırmak, tedarikçinin yalnızca katılım sırasında çalışanın kendi verdiği bilgiyi almasını sağlar.

Duyuru, anket ve etkinlik davetlerini çalışan listesini dışarı vermeden kurumun kendi kanalından ulaştırmak için kurum içi iletişim uygulaması sayfamızı, veri ve erişimin kurumda kaldığı kurulum seçenekleri için KVKK uyumlu çalışan uygulaması sayfamızı inceleyebilirsiniz. Banka ve sigorta şirketlerine özel kullanım için banka ve sigorta için iç iletişim sayfamıza da göz atabilirsiniz.