Çalışanlara KVKK eğitimi neden zorunlu?

Kişisel Verilerin Korunması Kanunu'nda (6698 sayılı Kanun) "çalışanlara eğitim verilecektir" diye açık bir cümle ararsanız bulamazsınız. Buna rağmen uygulamada çalışan farkındalık eğitimi, veri sorumlusunun en temel yükümlülüklerinden biri olarak kabul edilir. Nedenini adım adım açıklayalım.

Dayanak: Kanunun 12. maddesi

Kanunun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak yükümlülüğü getirir.

Kişisel Verileri Koruma Kurumu'nun yayımladığı Kişisel Veri Güvenliği Rehberi, bu idari tedbirlerin başında "çalışanların eğitilmesi ve farkındalık çalışmaları" sayar. Rehbere göre çalışanlar, kişisel verilerin hukuka aykırı açıklanmaması ve paylaşılmaması gibi konular hakkında eğitim almalı, bu eğitimler belirli aralıklarla tekrarlanmalıdır.

Kurul kararlarındaki karşılığı

Kurul, veri ihlali incelemelerinde ve şikâyet dosyalarında veri sorumlusunun aldığı tedbirleri değerlendirirken çalışan eğitimlerini düzenli olarak sorar. İhlalin insan hatasından kaynaklandığı vakalarda, eğitim verilmemiş ya da belgelenememiş olması idari para cezasının gerekçeleri arasında yer alabilmektedir. Tersine, düzenli ve belgelenmiş bir eğitim programı, kusur değerlendirmesinde veri sorumlusu lehine dikkate alınabilir.

Kimler eğitilmeli?

Kısa cevap: kişisel veriye teması olan herkes. Uygulamada kapsam çoğu zaman "beyaz yakalı kadro" ile sınırlı tutulur; oysa veriye asıl temas eden roller çoğu şirkette listenin dışında kalanlardır.

Kapsamda unutulmaması gerekenler:

• Yeni işe başlayanlar. Yılda bir yapılan eğitimden sonra işe giren çalışan, bir sonraki eğitime kadar kapsam dışında kalır. Oryantasyona bir KVKK modülü konulması bu boşluğu kapatır.
• Saha ve operasyon personeli. Kargo, güvenlik, mağaza ve çağrı merkezi çalışanları günlük olarak kimlik ve iletişim verisi görür.
• Stajyer ve geçici personel. Süreleri kısa olsa da yetkileri gerçektir.
• Alt işveren personeli. Sözleşmesel olarak eğitim yükümlülüğü alt işverende olsa da, denetimde sorumluluk veri sorumlusuna yönelir; eğitimin yapıldığının sözleşmeyle güvence altına alınması ve kaydının istenmesi gerekir.

Ayrıca eğitim herkese aynı derinlikte verilmez. İK, bilgi işlem, satış ve pazarlama gibi yoğun veri işleyen birimler için genel farkındalığın üzerine role özgü bir katman eklenmesi beklenir.

Eğitimde neler anlatılmalı?

Genel bir "KVKK nedir" anlatımı, davranış değiştirmediği için idari tedbir işlevini de görmez. Etkili bir programın çalışanın günlük işine dokunması gerekir:

• Kişisel veri ve özel nitelikli veri ayrımı, somut örneklerle,
• Veriyi kiminle paylaşabileceği, kiminle paylaşamayacağı,
• Temiz masa ve ekran kilidi gibi gündelik tedbirler,
• E-posta ile veri gönderirken dikkat edilecekler (yanlış alıcı, açık "kime" alanında toplu gönderim),
• Bir hatayı fark ettiğinde kime, ne kadar sürede haber vereceği,
• Kendisine ulaşan bir ilgili kişi başvurusunu tanıyabilmek ve doğru birime yönlendirmek.

Son iki madde özellikle önemlidir: veri ihlallerinin önemli bölümü insan hatasıyla başlar ve hatanın gizlenmesiyle büyür. Bildirim kültürü kurulmamışsa 72 saatlik süre farkında olunmadan tüketilir.

Ne sıklıkla tekrarlanmalı?

Kurum rehberi eğitimlerin "belirli aralıklarla tekrarlanmasını" arar; sabit bir süre belirtmez. Uygulamada yerleşmiş yaklaşım yıllık tekrardır; buna ek olarak mevzuatta veya şirket süreçlerinde önemli bir değişiklik olduğunda, ya da bir ihlal yaşandığında ara eğitim yapılması beklenir.

Tekrarın kâğıt üzerinde kalmaması için yenileme döneminin takvime bağlanması ve tamamlamayanların izlenebilmesi gerekir.

Neden belgelendirme kritik?

Eğitimi vermek kadar verildiğini ispatlayabilmek de önemlidir. Denetim veya ihlal incelemesi sırasında "çalışanlarımıza anlattık" beyanı tek başına yeterli görülmez. Aranan tipik belgeler şunlardır:

• Eğitimin içeriği ve tarihi,
• Katılımcı listesi (kimin tamamladığı),
• Ölçme değerlendirme sonucu (sınav/quiz),
• Tamamlama sertifikası veya katılım tutanağı.

Video tabanlı bir eğitim platformunda bu kayıtların otomatik oluşması — kim, hangi videoyu, ne kadar izledi; sınavdan kaç aldı; sertifikası ne zaman üretildi — belgelendirme yükünü ortadan kaldırır. KVKK farkındalık eğitimi hizmetimiz bu kayıtları eğitimin doğal çıktısı olarak üretir.

Sık yapılan hatalar

1. İmza föyü toplayıp geçmek. Salonda bir saat anlatıp imza listesi dolaştırmak, kimin ne öğrendiğini göstermez. Ölçme olmadan eğitimin etkinliği ispatlanamaz.
2. Tek seferlik eğitim. İlk yıl yapılıp bırakılan program, ikinci yılın sonunda hem güncelliğini hem delil değerini yitirir.
3. Yeni işe girenlerin atlanması. Kapsam dışı kalan her çalışan, denetimde somut bir eksiklik olarak görünür.
4. Kayıtların dağınık tutulması. Katılım listesi İK'da, sınav sonucu bir Excel'de, sertifika bir klasörde duruyorsa; "bu çalışan eğitimini tamamladı mı?" sorusuna dakikalar içinde cevap verilemez.
5. İçeriğin role uyarlanmaması. Muhasebe personeline anlatılan örneklerle çağrı merkezi çalışanına anlatılanlar aynı olduğunda, eğitim günlük işe dokunmaz.
6. Eğitimi tek başına uyum sanmak. En yaygın ve en maliyetli hata budur; aşağıda ele alıyoruz.

Eğitim tek başına uyum değildir

Farkındalık eğitimi, idari tedbirlerin başında gelir — ama tek başına alındığında eksik kalır. Kurul bir inceleme yaptığında eğitim kayıtlarının yanında şunları da sorar: kişisel veri envanteriniz güncel mi, aydınlatma metinleriniz gerçek süreçlerinizle örtüşüyor mu, açık rıza yapınız Kanun'un aradığı unsurları taşıyor mu, saklama ve imha politikanız işletiliyor mu, VERBİS kaydınız envanterinizle tutarlı mı?

Bu belgeler birbirine bağlıdır: birinde yapılan değişiklik diğerlerinde karşılık bulmadığında ortaya, denetimde ilk fark edilen türden çelişkiler çıkar. Bu nedenle eğitimi tek başına bir çözüm olarak değil, bütüncül bir uyum çalışmasının parçası olarak kurgulamanızı ve süreci hukuki destek alarak yürütmenizi öneririz.

Genç Partners, 2016'dan bu yana yürüttüğü KVKK uyum projelerindeki deneyimiyle bu bütünü kurmayı kolaylaştırır; kisiselverilerim.com ise eğitimden belge yayınına, aydınlatma gönderiminden açık rıza yönetimine kadar günlük işletimi ispatlanabilir kayıtlarla üstlenir.

Özet

• KVKK m.12, veri güvenliği için idari tedbir almayı zorunlu kılar; Kurum rehberleri bu tedbirlerin başında çalışan eğitimini sayar.
• Kurul uygulamasında eğitim, hem kusur değerlendirmesinde hem ihlal incelemelerinde düzenli olarak aranan bir unsurdur.
• Kapsam, kişisel veriye teması olan herkestir: yeni girenler, saha personeli, stajyerler ve alt işveren çalışanları dahil.
• Tekrar beklenir; yerleşik uygulama yıllık yenilemedir, mevzuat veya süreç değişikliğinde ara eğitim yapılır.
• Eğitim kadar belgelendirme de önemlidir; izleme ve sınav kayıtları ile sertifika üretimi bu ihtiyacı karşılar.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Şirketinize özgü uyum programı için hukuki destek alınız.