KVKK Çalışan Aydınlatma Metni Örneği ve Hukuki Sebep Rehberi

Ne işe yarar?

Metnin birinci işlevi, kanuni bilgilendirme yükümlülüğünü karşılamaktır. KVKK md. 10, kişisel verilerin elde edilmesi sırasında veri sorumlusunun ilgili kişiye; kendi kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebini ve md. 11'deki hakları bildirmesini zorunlu kılar. Bu beş başlıktan biri eksikse metin aydınlatma yükümlülüğünü karşılamaz.

İkinci işlevi, işverenin kendi veri işlemesini denetlemesidir. Metni yazarken her veri kalemi için "bunu neye dayanarak işliyoruz?" sorusu cevaplanmak zorundadır. Cevabı olmayan bir kalem, metinde gizlenecek bir satır değil, işlenmemesi gereken bir veridir. Bu nedenle aydınlatma metni yazımı, çoğu işyerinde ilk gerçek veri envanteri çalışmasıdır.

Üçüncü işlevi, aydınlatma ile açık rızayı birbirinden ayırmaktır. Aydınlatma bir bilgilendirmedir; açık rıza ise KVKK md. 5/1'de sayılan işleme şartlarından yalnızca biridir. İkisi aynı kâğıtta birleştirildiğinde çalışanın attığı imzanın neye ait olduğu belirsizleşir: ne bilgilendirmenin yapıldığı ispatlanabilir, ne de rızanın özgür iradeyle verildiği.

Çalışan aydınlatma metni örneği

Köşeli parantezleri kendi verilerinizle doldurun; işlemediğiniz kalemleri metinden çıkarın. Bu metin bir açık rıza beyanı içermez ve içermemelidir — rıza gerekiyorsa ayrı bir belge düzenleyin.

ÇALIŞAN AYDINLATMA METNİ
(6698 sayılı Kişisel Verilerin Korunması Kanunu md. 10)
Sürüm: [1.0]   Yürürlük tarihi: [gg.aa.yyyy]

1) VERİ SORUMLUSU
Unvan: [Şirket Ticaret Unvanı]
Adres: [.....]   MERSİS / Vergi No: [.....]
Başvuru kanalı: [kvkk@sirket.com] — [KEP adresi] — [posta adresi]

2) İŞLENEN KİŞİSEL VERİ KATEGORİLERİ
Kimlik: ad soyad, T.C. kimlik numarası, doğum tarihi ve yeri, cinsiyet, medeni hâl, nüfus kayıt bilgileri, fotoğraf.
İletişim: adres, cep telefonu, e-posta adresi, acil durumda aranacak kişi bilgisi.
Özlük: sicil numarası, işe giriş-çıkış tarihi, unvan, departman, öğrenim ve sertifika bilgileri, iş sözleşmesi ve ekleri, özgeçmiş, referans bilgileri.
Finans: banka hesap ve IBAN bilgisi, ücret ve yan haklar, bordro, icra ve nafaka kesintileri, avans kayıtları, asgari geçim / vergi indirimi beyanı için aile bilgileri.
Çalışma: puantaj, giriş-çıkış kayıtları, vardiya ve izin kayıtları, fazla çalışma onayı ve kayıtları, performans ve eğitim kayıtları, zimmet kayıtları.
Hukuki işlem: disiplin süreçleri, savunma yazışmaları, ihtar ve fesih belgeleri, uyuşmazlık ve dava dosyaları.
Fiziksel mekân güvenliği: [kamera kayıtları / kartlı geçiş kayıtları] — [alanlar ve süre].
Özel nitelikli veriler: işe giriş ve periyodik sağlık raporu bilgileri, istirahat raporları, iş kazası ve meslek hastalığı kayıtları, [engellilik / eski hükümlü belgesi], [sendika üyeliği kaynaklı kesinti bilgisi].

3) İŞLEME AMAÇLARI
- İş sözleşmesinin kurulması, ifası ve sona erdirilmesi; özlük dosyasının oluşturulması.
- Ücret, yan hak ve tazminatların hesaplanması ve ödenmesi; bordro ve muhasebe süreçleri.
- Sosyal güvenlik, vergi ve çalışma mevzuatından doğan bildirim ve yükümlülüklerin yerine getirilmesi.
- İş sağlığı ve güvenliği yükümlülüklerinin yerine getirilmesi; sağlık gözetimi, eğitim ve kaza kayıtlarının tutulması.
- Çalışma sürelerinin, izinlerin ve vardiyaların planlanması ve takibi.
- İşyeri, çalışan ve bilgi güvenliğinin sağlanması.
- Denetim, hukuki uyuşmazlıklarda savunma hakkının kullanılması ve yasal talep taleplerinin karşılanması.

4) TOPLAMA YÖNTEMİ VE HUKUKİ SEBEP
Verileriniz; beyanınız, ibraz ettiğiniz belgeler, işe giriş ve periyodik sağlık muayeneleri, [giriş-çıkış sistemi], [kamera sistemi], kurumsal iletişim araçları ve kamu kurumlarının elektronik sistemleri aracılığıyla, kısmen otomatik ve otomatik olmayan yollarla elde edilmektedir.
Hukuki sebepler kalem bazında şu şekildedir:
- Kimlik, iletişim, özlük ve çalışma verileri: Sözleşmenin kurulması ve ifasıyla doğrudan doğruya ilgili olması (md. 5/2-c).
- Bordro, SGK, vergi ve resmî bildirim verileri: Kanunlarda açıkça öngörülme (md. 5/2-a) ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (md. 5/2-ç).
- İş sağlığı ve güvenliği kayıtları ile sağlık raporlarına ilişkin bilgiler: Hukuki yükümlülüğün yerine getirilmesi (md. 5/2-ç) ve özel nitelikli veriler bakımından Kanunun md. 6'da öngördüğü şartlar.
- Disiplin, savunma ve fesih süreçlerine ilişkin veriler: Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (md. 5/2-e).
- İşyeri ve bilgi güvenliğine ilişkin kayıtlar: Temel hak ve özgürlüklerinize zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (md. 5/2-f).
- [Yalnızca açık rızaya dayanan kalemler varsa buraya yazılır ve ayrı bir belgeyle rıza alınır: örneğin tanıtım materyalinde fotoğraf kullanımı.]

5) AKTARILAN TARAFLAR VE AKTARIM AMACI
- Sosyal Güvenlik Kurumu, Gelir İdaresi Başkanlığı, Çalışma ve Sosyal Güvenlik Bakanlığı ve diğer yetkili kamu kurumları: kanuni bildirim yükümlülükleri.
- [Mali müşavir / bordro hizmeti sağlayıcısı]: ücret ve muhasebe süreçleri.
- [Banka adı]: ücret ödemesi.
- [Ortak sağlık ve güvenlik birimi / işyeri hekimi]: iş sağlığı ve güvenliği yükümlülükleri.
- [Özel sağlık sigortası / BES şirketi]: sağlanan yan haklar kapsamında ve yalnızca gerekli veriyle sınırlı olarak.
- [İK / bordro yazılımı sağlayıcısı]: sistemin işletilmesi (veri işleyen sıfatıyla, sözleşmeye dayalı olarak).
- [Avukat / bağımsız denetçi]: uyuşmazlık ve denetim süreçleri.

6) SAKLAMA SÜRESİ
Verileriniz, ilgili mevzuatta öngörülen süreler ile işlendikleri amaç için gerekli olan süre boyunca saklanır. Özlük dosyası kapsamındaki belgeler iş ilişkisi süresince ve sona ermesinden sonra ilgili zamanaşımı ve mevzuattaki asgari saklama süreleri boyunca muhafaza edilir; süre sonunda silinir, yok edilir veya anonim hâle getirilir. [Kamera kayıtları: ..... gün.]

7) KVKK MADDE 11 KAPSAMINDAKİ HAKLARINIZ
Kişisel verilerinizin işlenip işlenmediğini öğrenme; işlenmişse buna ilişkin bilgi talep etme; işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme; yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme; eksik veya yanlış işlenmişse düzeltilmesini isteme; Kanunun 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme; düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme; münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme; kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.
Taleplerinizi yukarıdaki başvuru kanallarından iletebilirsiniz; başvurunuz en kısa sürede ve en geç otuz gün içinde sonuçlandırılır.

Tarih: [gg.aa.yyyy]
[Şirket Ticaret Unvanı] adına — Ad Soyad / Unvan: [.....]   İmza:

TESLİM VE BİLGİLENDİRME KAYDI
İşbu Çalışan Aydınlatma Metninin bir örneğini teslim aldım ve içeriği hakkında bilgilendirildim.
Ad Soyad: [.....]   Sicil No: [.....]   Tarih: [gg.aa.yyyy]   İmza:
(Bu imza bir açık rıza beyanı değildir; yalnızca bilgilendirmenin yapıldığını gösterir.)

Hukuki dayanak

• 6698 sayılı KVKK md. 10 — Aydınlatma yükümlülüğüKişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile 11 inci maddede sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.
• 6698 sayılı KVKK md. 3 — Açık rızanın tanımıAçık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Tanımdaki üç unsurdan biri eksikse ortada geçerli bir açık rıza yoktur. İş ilişkisinde tartışma tam olarak "özgür irade" unsurunda çıkar: işe girmenin ya da işte kalmanın koşulu hâline getirilen bir onay, özgür iradeye dayandığı gerekçesiyle savunulamaz.
• 6698 sayılı KVKK md. 5 — İşleme şartlarıKişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak; kanunlarda açıkça öngörülmesi (5/2-a), fiili imkânsızlık hâli (5/2-b), bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla gerekli olması (5/2-c), veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (5/2-ç), ilgili kişinin kendisi tarafından alenileştirilmiş olması (5/2-d), bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (5/2-e) ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması (5/2-f) hâllerinde açık rıza aranmaz.
• 6698 sayılı KVKK md. 6 — Özel nitelikli kişisel verilerKişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Kanunda 2024'te yürürlüğe giren değişiklikle bu veriler, açık rıza dışında sayılan şartların varlığı hâlinde de işlenebilir; istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olma hâli bunlardan biridir. Bu verilerin işlenmesinde Kurulca belirlenen yeterli önlemlerin alınması ayrıca gerekir.
• 6698 sayılı KVKK md. 4 — Genel ilkelerKişisel veriler; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun olarak işlenir. Aydınlatma metnine yazılan her amaç, bu ölçülülük testine tabidir: metne yazmak, ölçüsüz bir işlemeyi hukuka uygun hâle getirmez.
• 6698 sayılı KVKK md. 11, 13 ve 14 — Haklar, başvuru ve şikâyetİlgili kişi; verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme, bu işlemlerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç doğmasına itiraz etme ve kanuna aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme haklarına sahiptir. Başvuru veri sorumlusuna yapılır ve en kısa sürede, en geç otuz gün içinde sonuçlandırılır; başvurunun reddi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi Kurula şikâyette bulunabilir.
• 6098 sayılı Türk Borçlar Kanunu md. 419 — İşçinin kişisel verilerinin kullanılmasıİşveren, işçiye ait kişisel verileri, ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Bu hüküm, KVKK'daki ölçülülük ilkesinin iş ilişkisine özgü karşılığıdır ve "topladım, bir gün lazım olur" mantığını doğrudan dışlar.
• 4857 sayılı İş Kanunu md. 75 — Özlük dosyası ve gizlilikİşveren çalıştırdığı her işçi için bir özlük dosyası düzenler; bu dosyada işçinin kimlik bilgilerinin yanında, kanun uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklar ve bunları istendiği zaman yetkili memur ve mercilere gösterir. İşveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür.
• 5510 sayılı Kanun md. 86 — Kayıtların saklanmasıİşverenler, işyeri defter, kayıt ve belgelerini ilgili olduğu yılı takip eden yılbaşından başlamak üzere on yıl süreyle saklamak zorundadır. Saklama süresi belirlenirken KVKK md. 4'teki "gerekli olan süre kadar muhafaza" ilkesi ile mevzuattan doğan bu tür asgari saklama süreleri birlikte değerlendirilir; aydınlatma metnindeki süre beyanı bu iki ölçütün sonucudur.
• 6698 sayılı KVKK md. 12 ve md. 16 — Veri güvenliği ve SicilVeri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır; veri ihlali hâlinde Kurula ve ilgili kişiye bildirim yükümlülüğü doğar. Ayrıca kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmakla yükümlüdür; Kurul, çalışan sayısı ve mali büyüklük gibi ölçütlerle bazı veri sorumlularını bu yükümlülükten istisna tutmuştur, işletmenizin kapsamda olup olmadığını güncel Kurul kararlarından teyit edin.

Zorunlu alanlar

• Veri sorumlusunun kimliği ve iletişim bilgisiŞirketin ticaret unvanı, adresi, vergi veya MERSİS numarası ve başvuruların yapılacağı iletişim kanalı. Grup şirketlerinde çalışanın hukuken kime bağlı olduğu net yazılmalı; "grubumuz" ifadesi veri sorumlusunu göstermez.
• İşlenen kişisel veri kategorileriKimlik, iletişim, özlük, finans, çalışma bilgileri, hukuki işlem, fiziksel mekân güvenliği gibi kategoriler ve her kategorinin altındaki somut kalemler. "Kişisel verileriniz" gibi tek satırlık ifade aydınlatma sayılmaz.
• İşleme amaçlarıHer kategori için ayrı ayrı: iş sözleşmesinin kurulması ve ifası, ücret ve yan hakların ödenmesi, SGK ve vergi yükümlülükleri, iş sağlığı ve güvenliği, iş yerinin ve verinin güvenliği, uyuşmazlıkta savunma hakkının kullanılması.
• Hukuki sebep — kalem kalemMetnin belkemiği. Her veri kalemi KVKK md. 5/2'deki hangi bende dayanıyorsa o bent yazılır. Açık rıza yalnızca gerçekten başka bir sebebe dayanmayan, çalışanın gerçekten hayır diyebileceği kalemler için kullanılır.
• Toplama yöntemiVerinin nereden geldiği: çalışanın beyanı, ibraz ettiği belgeler, işe giriş sağlık muayenesi, giriş-çıkış sistemi, kamera, kurumsal e-posta ve cihazlar, kamu kurumlarının sistemleri. Yöntem, hukuki sebeple birlikte bildirilir.
• Aktarılan taraflar ve aktarım amacıSGK ve diğer kamu kurumları, mali müşavir veya muhasebe hizmeti sağlayıcısı, banka, özel sağlık sigortası ve BES şirketi, ortak sağlık ve güvenlik birimi, avukat, denetçi, kullanılan yazılımların sağlayıcıları. Taraf adı yerine "yetkili kişi ve kuruluşlar" demek, md. 10/1-c'yi karşılamaz.
• Saklama süresi ve imhaHer kategori için süre veya sürenin belirlenme ölçütü: mevzuattaki asgari saklama süreleri, zamanaşımı süreleri ve amacın ortadan kalkması. Sürenin sonunda verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi periyodik olarak yapılır.
• KVKK md. 11 hakları ve başvuru yoluHakların tam listesi ile başvurunun hangi adrese, hangi yöntemle (yazılı, KEP, kayıtlı e-posta) yapılacağı ve cevap süresi. Başvuru kanalı yazılmayan metin, hakkı kâğıt üzerinde bırakır.
• Metnin tarihi, sürümü ve tebliğ kaydıMetnin yürürlük tarihi ve sürüm numarası ile çalışanın "bir örneğini teslim aldım, bilgilendirildim" kaydı, tarih ve imza. İmza bir onay değil, bilgilendirmenin yapıldığının ispatıdır.

Opsiyonel alanlar

• Özel nitelikli veriler için ayrı bölümİşe giriş ve periyodik sağlık raporları, istirahat raporları, engellilik ve eski hükümlü belgeleri, varsa sendika üyeliğine ilişkin kesinti bilgisi. Bu bölümde hangi verinin hangi şart kapsamında işlendiği ayrıca gösterilir.
• Kamera ve giriş-çıkış (PDKS) bilgilendirmesiKameraların hangi alanlarda bulunduğu, hangi amaçla kayıt yapıldığı, kayıt süresi ve kimin eriştiği; giriş-çıkış kaydının hangi yöntemle tutulduğu. Dinlenme alanı, soyunma odası ve tuvalet gibi mahremiyet alanları kapsam dışıdır.
• Biyometrik yöntem kullanılıyorsa ayrı bölümParmak izi veya yüz tanıma özel nitelikli veri işlemedir; ölçülülük değerlendirmesi, alternatif yöntem sunulup sunulmadığı ve alınan ek güvenlik tedbirleri ayrıca açıklanmalıdır.
• Şirket cihazı, kurumsal e-posta ve internet kullanımıDenetimin kapsamı, yöntemi ve sınırı ile denetimin önceden bildirilmiş olması. Habersiz içerik incelemesi, hem çalışanın haberleşme özgürlüğü hem de KVKK bakımından risklidir.
• Yurt dışına aktarım bölümüBulut tabanlı bir sistem kullanılıyorsa verinin nerede barındırıldığı ve aktarımın hangi mekanizmaya dayandığı. Yurt dışına aktarım rejimi Kanunda ayrı düzenlenmiştir; uygulamanızı güncel mevzuata göre kurgulayın.
• Acil durumda aranacak yakın bilgisiÜçüncü kişiye ait veri işlendiği için ayrı bir dikkat gerektirir: bilgiyi veren çalışan, yakınını bilgilendirmekle görevlendirilir ve kapsam yalnızca acil durumla sınırlı tutulur.
• Fotoğraf, video ve tanıtım kullanımıÇalışanın fotoğrafının kurumsal internet sitesinde, sosyal medyada veya tanıtım materyalinde kullanılması iş sözleşmesinin ifası için zorunlu değildir; bu kalem gerçek bir açık rıza konusudur ve reddedilebilir olmalıdır.
• Aday sürecinden gelen verilerİşe alım sırasında toplanan başvuru verisinin çalışan dosyasına hangi kapsamda aktarıldığı; aday aydınlatma metniyle çalışan aydınlatma metni arasındaki geçişin açıklanması.
• Uzaktan çalışma ve araç takibiUzaktan çalışmada kullanılan izleme araçları ve şirket aracında konum takibi varsa kapsamı, mesai dışı davranışı ve amacı. Mesai dışında da çalışan izlenmiyorsa bu açıkça yazılmalıdır.

Doldurma adımları

Sık yapılan hatalar

• Bütün veri işlemeyi açık rızaya dayandırmakEn yaygın ve en maliyetli hata budur. Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. İş ilişkisinde çalışan ile işveren arasında bir bağımlılık bulunduğu için, işe girmenin veya işte kalmanın koşulu hâline getirilen bir onayın özgür iradeye dayandığı savunulamaz. Doğru yol, her kalem için md. 5/2'deki uygun hukuki sebebi seçmektir: bordro ve SGK verisi kanuni yükümlülüğe, özlük ve çalışma verisi sözleşmenin ifasına, disiplin kayıtları hakkın korunmasına dayanır. Bunlar için rıza istemek, hem gereksizdir hem de işlemeyi geçersiz bir temele oturtur.
• Aydınlatma ile açık rızayı tek belgede birleştirmekAlt alta yazılmış "bilgilendirildim ve tüm işlemelere açık rıza veriyorum" cümlesi ikisini birden sakatlar: aydınlatmanın rızadan bağımsız yapılması gerekir, rızanın da hangi işlemeye ilişkin olduğu ayrıca belirli olmalıdır. İki ayrı belge düzenleyin, ikisini aynı gün imzalatsanız bile ayrı kâğıtlarda tutun.
• Metni "okudum, kabul ediyorum" diye imzalatmakAydınlatma bir sözleşme değildir; kabul edilecek bir şey yoktur. Doğru ifade "bir örneğini teslim aldım, bilgilendirildim"dir. "Kabul ediyorum" ifadesi, metni farkında olmadan bir rıza beyanına dönüştürür ve çalışanın imzasının neye ait olduğunu tartışmalı hâle getirir.
• Veri kategorilerini ve amaçları genel geçer yazmak"Kişisel verileriniz mevzuata uygun şekilde işlenmektedir" tipi cümleler aydınlatma yükümlülüğünü karşılamaz. Md. 10, verinin hangi amaçla işleneceğinin ve kimlere aktarılabileceğinin bildirilmesini arar; bunun için kategori ve amaçların somut yazılması gerekir.
• Aktarılan tarafları saymamakMali müşavir, bordro yazılımı, ortak sağlık ve güvenlik birimi, banka, sigorta şirketi ve arşiv firması fiilen veri aktardığınız taraflardır. Metinde yer almayan bir aktarım, denetimde ilk sorulan başlıklardandır. Aktarımın amacını da yanına yazın.
• Saklama süresini "gerektiği kadar" diye geçiştirmekKVKK md. 4, verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. Kategori bazında süre veya sürenin belirlenme ölçütü yazılmalı, süre sonunda imhanın nasıl yapılacağı da açıklanmalıdır. Süresiz saklama, ilkenin doğrudan ihlalidir.
• Sağlık verisini sıradan veri gibi ele almakİşe giriş raporu, istirahat raporu, iş kazası kaydı ve engellilik belgesi özel nitelikli kişisel veridir; ayrı bir işleme rejimine ve ek güvenlik tedbirlerine tabidir. Bu belgelerin İK dolabında herkesin erişebildiği bir klasörde durması, metinde ne yazdığından bağımsız olarak bir veri güvenliği eksikliğidir.
• Kamera, giriş-çıkış ve cihaz denetimini metne hiç koymamakFiilen yapılan ama metinde yer almayan her işleme, aydınlatma yapılmamış işlemedir. Kamera kayıtları, kartlı veya biyometrik giriş-çıkış, kurumsal e-posta ve araç takibi uygulamalarınız varsa kapsamı, amacı ve süresiyle birlikte yazılmalıdır. Ayrıca metne yazmak, ölçüsüz bir izlemeyi meşrulaştırmaz: dinlenme alanı ve soyunma odası gibi mahremiyet alanları her hâlükârda kapsam dışıdır.
• Metni bir kez verip hiç güncellememekYeni bir yazılım, yeni bir tedarikçi veya yeni bir izleme yöntemi eklendiğinde metin eskir. Sürüm ve tarih taşımayan, yıllardır güncellenmemiş bir metin, güncel işlemenizi açıklamadığı gibi eski hâliyle aleyhinize delil olur.
• İş ilişkisi bitince ya her şeyi silmek ya da hiçbir şeyi silmemekİki uç da hatalıdır. Çıkıştan sonra bordro, SGK ve özlük belgelerinin mevzuattaki asgari saklama süreleri ile olası uyuşmazlıklarda savunma hakkı bakımından belirli bir süre saklanması gerekir; buna karşılık amacı sona ermiş veriler (örneğin özel sağlık sigortası için toplanan aile bilgileri) süresi dolduğunda imha edilmelidir. Ölçü, kalem bazında belirlenir.