Fabrika KVKK kontrol listesi, üretim tesislerinde kişisel veri işleyen beş ana alanı kapsar: çalışan verisi, sağlık ve iş sağlığı ve güvenliği kayıtları, kamera ve giriş sistemleri, tedarikçi ve müşteri verisi, BT ve OT (operasyonel teknoloji) sistemleri. Bu yazıdaki 25 madde, her alanda en sık görülen boşlukları işaretlemenizi sağlar. “Hayır” yanıtları, önce kapatılması gereken uyum açıklarını gösterir.
Fabrikada Kişisel Veri Nerede?
Bir fabrikada kişisel veri yalnızca insan kaynakları biriminde bulunmaz. Turnikeler giriş-çıkış saatlerini, kameralar üretim sahasını, revir sağlık muayenelerini, satın alma birimi tedarikçi temsilcilerini, üretim hattındaki sensörler ise operatörlerin makine kullanımını kayda alır. Bu verilerin her biri farklı bir birimin sorumluluğundadır ve çoğu zaman kimse resmin tamamını görmez.
Bu fabrika KVKK kontrol listesi, üretim tesisinin müdürü, İK ve İSG yöneticisi ile BT ve OT sorumlusunun birlikte doldurabileceği şekilde hazırlandı. Önce beş alanın her birinde nelere bakılacağını anlatıyor, ardından 25 maddelik listeyi ve sonuçlara göre izlenebilecek yolları sunuyoruz.
Çalışan verisi
Üretim tesislerinde çalışan sayısı yüksek, vardiya düzeni karmaşık ve personel devri sıktır. Özlük dosyaları, bordro, vardiya planları, izin kayıtları ve disiplin süreçleri en büyük veri havuzunu oluşturur. Taşeron ve alt işveren çalışanları da bu tabloya eklenir.
Aydınlatma: Çalışan aydınlatma metni, kamera, kartlı geçiş, araç takip ve üretim sistemlerindeki kayıtları da kapsamalıdır. Metin işe girişte verilmeli ve verildiği kanıtlanabilmelidir.
Özlük dosyası erişimi: Fiziksel dosyalar kilitli dolapta, dijital dosyalar rol bazlı yetkiyle tutulmalıdır. Vardiya amirlerinin tüm özlük dosyasına erişimi çoğu zaman gerekli değildir.
Taşeron personel: Alt işveren çalışanlarına ilişkin hangi verinin asıl işverenle paylaşılacağı sözleşmede tanımlanmalıdır. Bu konuyu taşeron personel verisi yazımızda ele aldık.
Biyometrik mesai takibi: Parmak izi veya yüz tanımayla mesai takibi özel nitelikli veri işler. Kurul'un 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı bu konuda ölçülülüğü öne çıkarır; ayrıntılar için biyometrik veri ile mesai takibi yazımıza bakabilirsiniz.
Sağlık ve İSG
Sağlık verisi, KVKK'nın 6. maddesinde özel nitelikli kişisel veri olarak sayılır. 7499 sayılı Kanun'la yapılan değişiklikten sonra 6. maddenin üçüncü fıkrası, istihdam ve iş sağlığı ve güvenliği alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması halinde bu verilerin işlenebileceğini açıkça düzenler. Ayrıca Kurul'un belirlediği yeterli önlemlerin alınması şarttır.
6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15. maddesi, işverene çalışanları sağlık gözetimine tabi tutma ve işe girişte, iş değişikliğinde ve düzenli aralıklarla sağlık muayenelerini yaptırma yükümlülüğü getirir. Aynı maddenin beşinci fıkrasına göre, sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması açısından sağlık bilgileri gizli tutulur.
Revir ve işyeri hekimi kayıtları: Muayene sonuçları ve sağlık raporları işyeri hekimi veya sağlık personelinin kontrolünde tutulmalı; İK'ya yalnızca “çalışmaya elverişli” gibi sonuç bilgisi iletilmelidir.
Yeterli önlemler: Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı, özel nitelikli verilere erişen çalışanların eğitimini, gizlilik taahhüdünü, yetki tanımlarını ve fiziksel ve elektronik ortam güvenliğini ayrıntılı olarak sayar.
İş kazası kayıtları: Kaza tutanakları, tanık ifadeleri ve kamera görüntüleri sağlık bilgisiyle birleştiğinde hassas bir dosya oluşur. Dosyaya erişim sınırlandırılmalıdır.
OSGB ile çalışma: İSG hizmeti bir ortak sağlık ve güvenlik birimi aracılığıyla alınıyorsa, sağlık kayıtlarının kimde tutulacağı ve kimin hangi veriye erişeceği sözleşmede belirlenmelidir.
Sağlık verisinin genel riskleri için sağlık sektöründe özel nitelikli veri riski yazımıza göz atabilirsiniz.
Kamera ve giriş sistemleri
Fabrikalarda kamera kullanımı güvenlik, hırsızlığın önlenmesi ve iş sağlığı ve güvenliği gibi meşru amaçlara dayanabilir. Kişisel Verileri Koruma Kurumu'nun 8 Haziran 2026 tarihli iş yerlerinde güvenlik kamerası kullanımına ilişkin duyurusu ise sınırları netleştirir: Çalışanların verimliliğini ölçmek, disiplini artırmak veya genel denetim amacıyla kamera kullanımı meşru amaç olarak kabul edilmez; tuvalet, soyunma odası, ibadet ve dinlenme alanlarına kamera konulmaz; tüm alanları kapsayan geniş açılı veya yüz odaklı kayıt yapılmaz.
Kamera envanteri: Her kameranın yeri, açısı, amacı, ses kaydı yapıp yapmadığı ve saklama süresi listelenmelidir.
Ses kaydı: Kurul, 2023/2007 sayılı kararında işyerinde görüntüye ek olarak ses kaydı alınmasında veri sorumlusunun meşru menfaatinin bulunmadığını değerlendirmiştir.
Kartlı geçiş ve turnike: Giriş-çıkış kayıtları güvenlik ve puantaj için kullanılabilir; ancak amaç ve saklama süresi aydınlatma metninde ve envanterde yer almalıdır.
Plaka tanıma: Personel ve ziyaretçi otoparklarındaki plaka kayıtları da kişisel veridir. Organize sanayi bölgelerinde ortak kayıtlara erişim için OSB'de ortak kamera ve plaka kayıtları yazımıza bakabilirsiniz.
Kamera sistemlerinin genel riskleri için güvenlik kamerası KVKK riski yazımız yol gösterici olacaktır.
Tedarikçi ve müşteri verisi
Üretim şirketleri genellikle kurumsal müşterilerle çalıştığı için müşteri verisinin önemsiz olduğu düşünülür. Oysa kurumsal ilişkilerde de satın alma uzmanlarının, kalite sorumlularının, sevkiyat şoförlerinin ve teknik servis personelinin adı, telefonu ve e-posta adresi işlenir. Bunlar gerçek kişilere ait kişisel verilerdir.
Tedarikçi denetimleri: Müşteri denetimlerinde veya sertifikasyon süreçlerinde personel listeleri, eğitim kayıtları ve sağlık raporları talep edilebilir. Yalnızca amaca yetecek veri, tercihen anonim veya özet olarak paylaşılmalıdır.
Veri işleyen tedarikçiler: Bordro, İSG yazılımı, kamera bakımı, bulut ve ERP hizmeti veren tedarikçilerle veri işleyen sözleşmesi veya ek protokol yapılmalıdır. KVKK'nın 12. maddesine göre veri sorumlusu, veri işleyenle birlikte güvenlik tedbirlerinden müştereken sorumludur. Rol belirleme için veri sorumlusu mu, veri işleyen mi yazımıza bakabilirsiniz.
Grup içi ve yurt dışı aktarım: Yabancı ortaklı fabrikalarda İK, İSG veya kalite raporlarının yurt dışındaki merkeze iletilmesi bir yurt dışı aktarımdır ve Kanun'un 9. maddesindeki mekanizmalardan birine dayanmalıdır. Standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kurum'a bildirilir.
Ticari ileti: Kurumsal müşteri temsilcilerine gönderilen tanıtım e-postaları, 6563 sayılı Kanun kapsamında ayrıca değerlendirilmelidir.
BT ve OT sistemleri
Operasyonel teknoloji (OT), üretim hattını yöneten PLC, SCADA ve makine kontrol sistemlerini ifade eder. Bu sistemler genellikle kişisel veri işlemediği varsayılarak tasarlanır; ancak operatör kimlik kartıyla makineye giriş, vardiya bazlı üretim raporları ve hata kayıtları, makine verisini belirli bir çalışana bağlar. Bu dönüşümü Endüstri 4.0 ve IoT sensörleri yazımızda ayrıntılı anlattık.
Operatör verisinin amacı: Makine kayıtlarının bakım ve kalite için mi, yoksa bireysel performans değerlendirmesi için mi kullanıldığı belirlenmeli ve çalışanlara açıklanmalıdır.
Erişim ve kayıt: BT ve OT sistemlerinde ortak kullanıcı hesapları kaldırılmalı; erişim kayıtları tutulmalı. Kayıtların saklanması için log kayıtları ve saklama süresi yazımıza bakabilirsiniz.
Uzaktan bakım: Makine üreticilerinin uzaktan bağlantısı kontrollü, kayıt altında ve süreli olmalıdır; bağlantı aynı ağdaki İK veya kamera sistemlerine erişim sağlamamalıdır.
Ağ ayrımı ve fidye yazılımı: BT ile OT ağlarının ayrılması, bir fidye yazılımı saldırısının hem üretimi hem de kişisel verileri aynı anda etkilemesini zorlaştırır. Saldırının KVKK boyutunu fidye yazılımı ve KVKK ihlali yazımızda ele aldık.
İhlal planı: Bir veri ihlali halinde veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat içinde Kurul'a bildirim yapması beklenir (Kurul'un 2019/10 sayılı kararı). Fabrikanın vardiyalı yapısında kimin kime haber vereceği önceden yazılmalıdır.
25 maddelik liste (indirilebilir)
Her maddeyi tesisinizin bugünkü durumuna göre Evet, Kısmen veya Hayır olarak işaretleyin. Listeyi tek bir kişi yerine ilgili birimlerin temsilcileriyle birlikte doldurmak en gerçekçi sonucu verir. Liste ve eşikler kvkkrehberi.com tarafından farkındalık ve önceliklendirme amacıyla hazırlanmıştır; resmî bir uyum ölçütü değildir. Somut olay özelinde hukuki değerlendirme alınmalıdır.
| # | Alan | Kontrol maddesi |
|---|---|---|
| 1 | Çalışan verisi | Departman bazında güncel bir kişisel veri envanteri var. |
| 2 | Çalışan verisi | Çalışan ve aday aydınlatma metni kamera, geçiş ve üretim sistemlerini de kapsıyor ve verildiği kanıtlanabiliyor. |
| 3 | Çalışan verisi | Özlük dosyalarına erişim rol bazlı sınırlandırılmış; fiziksel dosyalar kilitli tutuluyor. |
| 4 | Çalışan verisi | Taşeron ve alt işveren çalışanlarının verilerinin paylaşım kapsamı sözleşmede tanımlı. |
| 5 | Çalışan verisi | İşten ayrılan çalışanların sistem erişimleri ve kartları aynı gün kapatılıyor. |
| 6 | Sağlık ve İSG | Muayene ve sağlık raporları işyeri hekimi kontrolünde ayrı tutuluyor; İK yalnızca sonuç bilgisini görüyor. |
| 7 | Sağlık ve İSG | Özel nitelikli verilere erişen çalışanlar için 2018/10 sayılı karardaki yeterli önlemler uygulanıyor. |
| 8 | Sağlık ve İSG | İş kazası dosyalarına erişim sınırlı ve paylaşım kaydı tutuluyor. |
| 9 | Sağlık ve İSG | OSGB veya dış sağlık hizmetiyle rol ve erişim sözleşmede belirlenmiş. |
| 10 | Sağlık ve İSG | Biyometrik mesai takibi kullanılmıyor ya da kullanılıyorsa ilke kararı çerçevesinde alternatifli ve ölçülü. |
| 11 | Kamera ve giriş | Her kameranın yeri, amacı ve saklama süresi kayıtlı bir kamera envanteri var. |
| 12 | Kamera ve giriş | Tuvalet, soyunma, ibadet ve dinlenme alanlarında kamera yok. |
| 13 | Kamera ve giriş | Kameralarda ses kaydı kapalı ya da ayrıca gerekçelendirilmiş. |
| 14 | Kamera ve giriş | Kamera kayıtları otomatik siliniyor; olay kayıtları ayrılarak saklanıyor. |
| 15 | Kamera ve giriş | Girişlerde uyarı levhası ve ayrıntılı aydınlatma metnine erişim sağlanıyor. |
| 16 | Tedarikçi ve müşteri | Veri işleyen tüm tedarikçilerle veri işleme sözleşmesi veya ek protokol var. |
| 17 | Tedarikçi ve müşteri | Müşteri ve sertifikasyon denetimlerinde personel verisi asgari düzeyde paylaşılıyor. |
| 18 | Tedarikçi ve müşteri | Yurt dışındaki merkeze veya hizmetlere yapılan aktarımlar belirlenmiş ve bir md. 9 mekanizmasına dayanıyor. |
| 19 | Tedarikçi ve müşteri | Kurumsal müşteri temsilcilerinin verileri için aydınlatma yapılıyor ve ticari ileti onayları yönetiliyor. |
| 20 | Tedarikçi ve müşteri | Ziyaretçi ve tedarikçi personeli girişlerinde açık defter yerine kapalı kayıt yöntemi kullanılıyor. |
| 21 | BT ve OT | Makine ve üretim sistemlerinde operatör verisinin hangi amaçla kullanıldığı tanımlı ve çalışanlara açıklanmış. |
| 22 | BT ve OT | BT ve OT sistemlerinde ortak kullanıcı hesabı yok; erişim kayıtları tutuluyor. |
| 23 | BT ve OT | Makine üreticilerinin uzaktan bakım bağlantıları kontrollü ve süreli. |
| 24 | BT ve OT | BT ve OT ağları ayrılmış; yedekler düzenli alınıp geri yükleme test ediliyor. |
| 25 | BT ve OT | 72 saat içinde bildirim yapılmasını sağlayacak yazılı bir veri ihlali müdahale planı var. |
Sonuca Göre Sonraki Adım
| “Hayır” sayısı | Durum | Önerilen yol |
|---|---|---|
| 0–5 | Temel kurulmuş, iyileştirme alanları var | Eksik maddeleri iç ekiple kapatın; yılda bir bağımsız kontrolle doğrulayın. |
| 6–12 | Belirli alanlarda sistematik boşluk var | En çok “Hayır” çıkan alandan başlayarak odaklı bir danışmanlık çalışması planlayın. |
| 13 ve üzeri | Uyum çalışması bütüncül ele alınmalı | Envanterden başlayan, belge seti ve süreçleri birlikte kuran kapsamlı bir uyum programı değerlendirin. |
Sonuç ve Sonraki Adım
Fabrika KVKK kontrol listesi, üretim tesisindeki dağınık veri akışlarını tek bir tabloda görünür kılar. Çalışan verisi ve sağlık kayıtları en hassas alanlardır; kamera ve giriş sistemleri en görünür risklerdir; tedarikçi zinciri ve BT-OT sistemleri ise çoğu zaman gözden kaçan halkalardır. Listeyi birimlerle birlikte doldurmak, hangi alanın öncelikli olduğunu netleştirir.
Sonuçlarınıza göre eksikleri iç ekibinizle kapatabilir, odaklı bir KVKK danışmanlığı çalışması planlayabilir ya da çok lokasyonlu yapılar için standart KVKK uyum paketini değerlendirebilirsiniz. Üretim sektörüne özgü çerçeveyi sektör sayfamızda bulabilirsiniz.
Sık Sorulan Sorular
Fabrika müdürünün koordinasyonunda İK, İSG, güvenlik, satın alma ve BT-OT sorumlularının birlikte doldurması önerilir. Bir birimin “Evet” dediği maddeye diğerinin “Hayır” demesi, en değerli bulgulardan biridir.
OSB yönetimine ait kameralarda veri sorumlusu kural olarak OSB yönetimidir. Ancak bu kayıtlara erişiminiz varsa veya kendi kameralarınız ortak sisteme bağlıysa rol ve erişim kuralları yazılı olarak belirlenmelidir.
İş sağlığı ve güvenliği amacıyla kamera kullanımı meşru bir amaç olabilir. Ancak aynı kayıtların bireysel verimlilik ölçümüne dönüştürülmemesi, amaç ve saklama süresinin çalışanlara açıklanması gerekir.
Yılda en az bir kez ve yeni bir hat, sistem, tedarikçi veya lokasyon devreye alındığında tekrarlanması önerilir. Önceki sonuçlarla karşılaştırmak ilerlemeyi ölçmeyi kolaylaştırır.
Fabrikanızdaki boşlukları önceliklendirin
Çalışan, İSG, kamera, tedarikçi ve OT alanlarında 25 maddelik kontrolün sonuçlarına göre tesisinize özel bir uyum kapsamı hazırlayalım.
Listeyi indirin, teklif alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (md. 6, 9, 10, 12) — Mevzuat Bilgi Sistemi
- 6331 sayılı İş Sağlığı ve Güvenliği Kanunu (md. 15) — Mevzuat Bilgi Sistemi
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler (Kurul Kararı 2018/10) — Kişisel Verileri Koruma Kurumu (2018-01-31)
- İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu — Kişisel Verileri Koruma Kurumu (2026-06-08)
- Kurul Kararı 2023/2007 — İşyerinde kamera ile görüntü ve ses kaydı alınması — Kişisel Verileri Koruma Kurumu (2023-11-30)
- Mesai takibi amacıyla biyometrik veri işlenmesi hakkında 2026/921 sayılı ilke kararına ilişkin kamuoyu duyurusu — Kişisel Verileri Koruma Kurumu (2026-04-29)
