KVKK oryantasyon eğitimi, yeni çalışana sistemlere erişim verilmeden önce kişisel verilerle nasıl çalışacağını anlatan kısa bir başlangıç eğitimidir. Bir saatlik oturumda temel kavramlar, şirketin işlediği veriler, parola, temiz masa, e-posta ve cihaz kuralları, olay bildirme kanalı ve kısa bir test yer almalıdır. Katılım tarih ve içerik sürümüyle kayda alınmalı, eğitim belirli aralıklarla tekrarlanmalıdır.
İlk Gün Neden Önemli?
Yeni bir çalışan ilk haftasında e-posta hesabını, müşteri yönetim sistemini ve paylaşılan klasörleri kullanmaya başlar. Kişisel verilerle ilk teması da çoğu zaman bu günlerde olur; üstelik henüz kimin neye erişebildiğini, hangi kanalın güvenli olduğunu ve bir sorun çıktığında kime haber vereceğini bilmeden. Bu nedenle KVKK oryantasyon eğitimi, işe giriş programının en kısa ama en kritik parçalarından biridir.
Bu yazıda bir saate sığan, uygulanabilir bir oryantasyon akışı öneriyoruz: hangi konuların hangi sırayla anlatılacağı, şirkete özel kuralların nasıl aktarılacağı, olay bildirme kanalının nasıl tanıtılacağı ve katılımın nasıl kayda alınacağı. Son bölümde tekrar eğitiminin zamanlamasını ele alıyoruz.
Oryantasyonda KVKK Neden İlk Gün Anlatılmalı?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almakla yükümlü tutar. Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi, çalışanların eğitilmesini ve farkındalık çalışmalarını bu idari tedbirlerin başında sayar.
Rehber üç noktaya ayrıca dikkat çeker: ihlallerin önemli bir kısmı dikkatsizlik, dalgınlık veya tecrübesizlikten doğar; her çalışanın kişisel veri güvenliğine ilişkin rol ve sorumlulukları görev tanımında belirlenmelidir; çalışanlardan işe alınma sürecinin parçası olarak gizlilik anlaşması imzalamaları istenebilir. Bu üç nokta, oryantasyonun neden işe girişle birlikte yapılması gerektiğini açıklar.
Sağlık verisi gibi özel nitelikli kişisel verilerle çalışan birimler için beklenti daha nettir. Kişisel Verileri Koruma Kurulu'nun 31.01.2018 tarihli ve 2018/10 sayılı kararı, bu verilerin işlenmesinde yer alan çalışanlara Kanun ve özel nitelikli veri güvenliği konularında düzenli eğitim verilmesini ve gizlilik sözleşmeleri yapılmasını yeterli önlemler arasında sayar.
Oryantasyon aynı zamanda yeni çalışanın kendi verileriyle ilgili bir andır. Çalışan, işe girişte şirkete pek çok kişisel veri verir. Çalışanlara yönelik aydınlatma metni bu sırada ayrı bir belge olarak sunulmalı, eğitim katılım formuyla ya da açık rıza beyanıyla karıştırılmamalıdır.
60 Dakikalık Akış Önerisi
Aşağıdaki akış, yüz yüze ya da çevrim içi bir oturuma uyarlanabilir. Süreler yol göstericidir; şirketin büyüklüğüne ve çalışanın rolüne göre ayarlanabilir. Önemli olan sıra mantığıdır: önce kavram, sonra şirketin gerçek verisi, sonra kurallar ve en sonunda bir olay anında ne yapılacağı.
Kısa test için KVKK test soruları yazımızdaki senaryo sorularından yararlanabilirsiniz. Testin oturumun sonunda yapılması, katılımcının hangi konuyu kaçırdığını anında gösterir ve eğitmene son beş dakikada düzeltme fırsatı verir.
Bir Saatlik Oryantasyon Akışı
| Süre | Konu | Yöntem ve çıktı |
|---|---|---|
| 0–5 dk | Açılış: neden bu eğitimi yapıyoruz? | Şirketten anonim bir olay örneği; eğitimin amacının cezalandırma değil koruma olduğu mesajı |
| 5–15 dk | Temel kavramlar | Kişisel veri, özel nitelikli veri, veri sorumlusu, veri işleyen, aydınlatma ve açık rıza; her kavram için tek cümlelik örnek |
| 15–25 dk | Şirketimiz hangi verileri işliyor? | Çalışanın biriminin işlediği veri kategorileri, kullanılan sistemler ve erişim yetkisinin sınırı |
| 25–40 dk | Şirkete özel kurallar | Parola, temiz masa, e-posta, cihaz ve yapay zekâ araçları kuralları; kısa gösterim |
| 40–48 dk | Olay bildirme kanalı | Neyin olay sayıldığı, kime ve nasıl bildirileceği; kanalın canlı gösterimi |
| 48–55 dk | Kısa test | 5–10 soruluk senaryo testi ve doğru cevapların birlikte tartışılması |
| 55–60 dk | Kayıt ve sorular | Katılım kaydı, politika belgelerinin teslimi, soru-cevap |
Şirkete Özel Kurallar: Parola, Masa, E-posta, Cihaz
Oryantasyonun en uzun bölümü genel KVKK bilgisine değil, şirketin kendi kurallarına ayrılmalıdır. Yeni çalışanın ilk gün ihtiyaç duyduğu şey Kanun'un madde numaraları değil, “bu şirkette bunu nasıl yapıyoruz?” sorusunun cevabıdır. Her kural, şirketin yazılı bir politikasına dayanmalı ve eğitimden sonra çalışana o politikanın bağlantısı verilmelidir.
Kurallar anlatılırken yasaklar yerine gerekçe ve doğru davranış öne çıkarılmalıdır. “Kişisel e-postayı kullanmayın” demek yerine şirketin güvenli paylaşım aracının nasıl açılacağını göstermek, kuralın uygulanma ihtimalini artırır. Uzaktan çalışmaya ilişkin riskleri uzaktan çalışmada veri güvenliği, yapay zekâ araçlarına ilişkin kuralları ise AI kullanım politikası yazılarımızda ayrıntılı ele aldık.
Yeni Çalışana Anlatılacak Şirket Kuralları
Parola ve hesap güvenliği: Parolanın kimseyle paylaşılmaması, kişisel bilgilerle ilişkili parolalardan kaçınılması, iki adımlı doğrulamanın nasıl kurulacağı ve hesabın başkası tarafından kullanıldığından şüphelenildiğinde ne yapılacağı.
Temiz masa ve ekran kilidi: Masadan ayrılırken ekranın kilitlenmesi, kişisel veri içeren belgelerin masada bırakılmaması, yazıcıdan çıktıların hemen alınması ve gereksiz belgelerin imha kutusuna atılması.
E-posta ve dosya paylaşımı: Toplu e-postalarda alıcıların gizli kopya alanına yazılması, kişisel veri içeren dosyaların hangi araçla paylaşılacağı, yanlış alıcıya gönderimde yapılacaklar ve kişisel e-posta hesabının iş için kullanılmaması.
Cihaz ve uzaktan çalışma: Şirket cihazlarının kişisel kullanıma ve aile bireylerine açılmaması, kişisel cihazların hangi koşullarla kullanılabileceği, kayıp ve çalınmada bildirim ve halka açık ağlarda dikkat edilecekler.
Yapay zekâ ve çevrim içi araçlar: Müşteri veya çalışan verisinin şirketin onaylamadığı yapay zekâ ve çeviri araçlarına yüklenmemesi; onaylı araçların listesi.
Olay Bildirme Kanalı
KVKK'nın 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Kurul 2019/10 sayılı kararında bu süreyi, veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat olarak yorumlamıştır. Bir çalışanın fark ettiği olayı iki gün sonra söylemesi, bu sürenin önemli bir kısmının harcanması demektir.
Kanalın yalnızca anlatılması yetmez; eğitim sırasında bildirimin nasıl yapılacağı ekranda gösterilmeli, gerekirse örnek bir bildirim birlikte doldurulmalıdır. Kanalın bilgisi, çalışanın kolayca bulabileceği bir yere, örneğin şirket içi portalın ana sayfasına da konmalıdır.
Olay Bildirme Kanalında Yanıtlanacak Dört Soru
Ne bildirilir?: Yanlış alıcıya gönderilen e-posta, kaybolan cihaz veya belge, şüpheli bağlantıya tıklanması, yetkisi olmayan birinin veriye eriştiği izlenimi ve sistemde fark edilen olağandışı durumlar. Çalışandan olayın ihlal olup olmadığına karar vermesi beklenmez.
Kime bildirilir?: Tek ve kolay hatırlanan bir kanal: belirli bir e-posta adresi, dahili telefon veya talep sistemi. Mesai dışında kime ulaşılacağı da belirtilmelidir.
Ne zaman bildirilir?: Fark edildiği anda. “Önce kendim çözeyim” refleksi, kanıtların kaybolmasına ve sürenin dolmasına yol açabilir.
Bildirenin durumu ne olur?: İyi niyetle yapılan bildirimin cezalandırılmayacağı açıkça söylenmelidir. Hatasını saklayan çalışan, hatasını bildiren çalışandan çok daha büyük risk yaratır.
Kayıt ve İmza Süreci
Eğitimin verildiğini gösterebilmek, KVKK'nın idari tedbir yükümlülüğünün ispatı açısından önemlidir. Bir denetimde ya da ihlal incelemesinde “çalışanlarımızı eğittik” beyanı, kayıtla desteklenmediğinde zayıf kalır.
İyi bir katılım kaydında eğitimin tarihi ve süresi, eğitmen, anlatılan içeriğin sürüm numarası, katılımcının adı ve birimi ile varsa test sonucu yer alır. Çevrim içi eğitimlerde platformun ürettiği tamamlama kaydı da kullanılabilir. İçerik sürümünün tutulması, ileride hangi çalışana hangi kuralların anlatıldığını gösterir.
İmza aşamasında iki belge sık karıştırılır. Birincisi, çalışanın eğitimi aldığını ve şirket politikalarını okuduğunu teyit eden katılım ve taahhüt formu; ikincisi ise çalışanın kendi verilerinin işlenmesine ilişkin belgeler. Katılım formu bir açık rıza beyanı değildir ve öyle adlandırılmamalıdır. Çalışanın verilerinin iş sözleşmesi veya hukuki yükümlülük gibi başka bir sebebe dayanarak işlendiği durumlarda açık rıza istenmesi, aydınlatma ile rızayı karıştıran yaygın bir hatadır.
Katılım kayıtları da çalışana ait kişisel veridir. Bu kayıtların hangi amaçla ve ne kadar süre saklanacağı şirketin saklama ve imha politikasında belirlenmeli, erişimi ilgili birimle sınırlandırılmalıdır.
Tekrar Eğitimi ne Zaman?
Mevzuatta farkındalık eğitimi için genel bir tekrar sıklığı belirlenmemiştir; 2018/10 sayılı kararın özel nitelikli verilerle çalışanlar için kullandığı ifade “düzenli olarak”tır. Uygulamada tekrar zamanını takvimden çok olaylar belirler.
Tekrar eğitimi oryantasyonun aynısı olmamalıdır. Çalışan artık şirketin sistemlerini tanır; bu nedenle tekrar oturumları kavram anlatımı yerine gerçek vakalar ve senaryo tartışması üzerine kurulduğunda daha verimli olur.
Tekrar Eğitimini Tetikleyen Durumlar
| Durum | Önerilen eğitim |
|---|---|
| Yıllık dönem | Tüm çalışanlar için kısa bir hatırlatma ve güncel örneklerle senaryo testi |
| Rol veya birim değişikliği | Yeni rolün eriştiği verilere ve sistemlere özel kısa oturum |
| Yeni sistem veya tedarikçi | Sistemi kullanacak ekiplere erişim ve paylaşım kuralları |
| Bir ihlal veya ramak kala olay | Olayın anonimleştirilmiş özetiyle ilgili birimlere hedefli eğitim |
| Mevzuat veya Kurul kararı değişikliği | Etkilenen süreçlerin sahiplerine güncelleme notu ve gerekiyorsa oturum |
| Test sonuçlarında düşüş | Zayıf çıkan konuya odaklanan tamamlayıcı eğitim |
Sonuç ve Sonraki Adım
KVKK oryantasyon eğitimi uzun olmak zorunda değildir; doğru sırayla kurgulanmış bir saat, yeni çalışanın ilk haftalarındaki en sık hataları önlemeye yeter. Kavramlar kısa tutulmalı, zamanın çoğu şirketin kendi kurallarına ve olay bildirme kanalına ayrılmalı, katılım kayda alınmalı ve eğitim belirli olaylarla tekrarlanmalıdır.
İlk adım olarak mevcut işe giriş programınızı bu akışla karşılaştırın: olay bildirme kanalı canlı olarak gösteriliyor mu, katılım içerik sürümüyle kaydediliyor mu? Çalışan farkındalığının uyumdaki yerini KVKK uyumunda en büyük eksik: çalışan farkındalığı yazımızda ele aldık.
Sık Sorulan Sorular
En iyi sonuç ikisinin birlikte katkı verdiği oturumlardan alınır. Kavramlar ve olay bildirme süreci uyum sorumlusu veya İK tarafından, parola, cihaz ve paylaşım araçları ise bilgi işlem tarafından anlatılabilir. Önemli olan içeriğin tek bir sorumlusunun olması ve güncel tutulmasıdır.
Kişisel veriye erişecek herkesin bu kuralları bilmesi gerekir. Dış kaynak çalışanlar için eğitim yükümlülüğünün kimde olduğu, hizmet sözleşmesinde açıkça düzenlenmelidir.
Video kavram anlatımı için verimlidir, ancak şirkete özel kurallar ve olay bildirme kanalı için soru sorulabilen bir bölüm eklenmesi önerilir. Video tercih ediliyorsa sonunda kısa bir test ve tamamlama kaydı bulunmalıdır.
Sistem erişiminin eğitimin tamamlanmasına bağlanması pratik bir çözümdür. Eğitimin ertelendiği durumlarda en azından olay bildirme kanalı ve temel kurallar ilk gün yazılı olarak verilmelidir.
Yeni çalışanlar için hazır bir başlangıç
Oryantasyondan yıllık tekrar eğitimine kadar KVKK farkındalık eğitimi paketinin kapsamını kendi programınızla karşılaştırın.
Paket kapsamını karşılaştırınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler (Kurul Kararı 2018/10) — Kişisel Verileri Koruma Kurumu (2018-01-31)
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10) — Kişisel Verileri Koruma Kurumu (2019-01-24)
