KVKK eğitim sertifikası tek başına eğitimin verildiğini ispatlamaya yetmez. Denetimde ya da bir ihlal incelemesinde güçlü kanıt; tarihli ve imzalı katılım listesi, eğitimin içeriği ve süresi, ölçme sonuçları, online eğitimlerde erişim ve tamamlama kayıtları ile yeni işe girenleri ve periyodik tekrarı gösteren bir eğitim planından oluşur. Mevzuat sertifikanın biçimini belirlemez; ispat yükü uygulamada veri sorumlusundadır.
Eğitim Verildi mi, Yoksa Verildiği Söyleniyor mu?
Birçok şirket KVKK eğitimini düzenli olarak verir, ancak bir şikâyet incelemesinde ya da veri ihlali sonrasında bunu kanıtlamakta zorlanır. Elde yalnızca eğitim firmasının gönderdiği bir KVKK eğitim sertifikası, birkaç fotoğraf veya bir sunum dosyası vardır. Hangi çalışanın, hangi tarihte, hangi içeriği, ne kadar süreyle aldığı ve ne öğrendiği belgelenmemiştir.
Bu rehberde eğitimin neden idari tedbirlerin parçası olduğunu, ispat için gereken kayıtları, sertifika ve katılım belgesinin içeriğini, online eğitimde kayıt saklamayı, yeni işe girenler ile periyodik tekrarı ve denetimde sunulacak eğitim dosyasını ele alıyor; sonda farklı eğitim modelleri arasında karar vermenize yardımcı olacak bir tablo sunuyoruz.
Eğitim Neden İdari Tedbirlerin Parçasıdır?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almakla yükümlü tutar. Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi, çalışanların eğitimi ve farkındalığını idari tedbirler arasında sayar.
Özel nitelikli kişisel veriler için kural daha açıktır. Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı, bu verilerin işlenmesi süreçlerinde yer alan çalışanlara Kanun ve ilgili yönetmelikler ile veri güvenliği konularında düzenli olarak eğitim verilmesini, gizlilik sözleşmeleri yapılmasını ve erişim yetkilerinin net tanımlanmasını yeterli önlemler arasında sayar. Kurul, 20.04.2021 tarihli ve 2021/407 sayılı kararında bir hastanedeki ihlalin nedenleri arasında çalışanlara yeterli veri koruma eğitimi verilmemesini de saymıştır.
Bu kararlar, eğitimin bir “iyi uygulama” değil, uyumun ölçülen bir parçası olduğunu gösterir. Çalışan hatalarından doğan tipik ihlalleri çalışan kaynaklı veri ihlali yazımızda, eğitimin zorunluluğunu ise KVKK eğitimi zorunlu mu rehberinde ele aldık.
İspat için Gerekli Kayıtlar: Katılım Listesi, İçerik, Süre, Test Sonucu
Mevzuat, KVKK eğitiminin hangi belgeyle ispatlanacağını tek tek saymaz. Bu nedenle kanıt, eğitimin gerçekten yapıldığını, kimlere yapıldığını ve amacına ulaştığını birlikte gösterecek şekilde kurulmalıdır. Aşağıdaki dört kayıt bu üç soruyu karşılar:
Bu kayıtların en zayıf halkası çoğu zaman içeriktir. “KVKK eğitimi verildi” yazan bir liste, içeriği bilinmediği sürece eğitimin şirketin gerçek risklerine yönelip yönelmediğini göstermez. Departmana göre farklılaşan içeriğin önemini rol bazlı KVKK eğitimi yazımızda anlattık; ölçme için hazır bir soru seti arıyorsanız KVKK test soruları yazımıza bakabilirsiniz.
Dört Temel İspat Kaydı
Katılım listesi: Eğitimin tarihi, saati, yeri veya platformu; katılımcının adı, birimi ve imzası ya da elektronik onayı. Katılmayanların listesi ve telafi tarihi de eklenmelidir.
İçerik: Eğitimde kullanılan sunumun sürüm numaralı kopyası ve konu başlıkları. Rol bazlı eğitimlerde hangi modülün hangi departmana verildiği ayrıca gösterilmelidir.
Süre: Planlanan ve gerçekleşen süre. Online eğitimlerde video izleme süresi veya modül tamamlama zamanı.
Ölçme sonucu: Eğitim sonu testi, soru seti ve katılımcı puanları. Başarı eşiğinin altında kalanlar için tekrar eğitimi kaydı.
Sertifika ve Katılım Belgesinin İçeriği
Sertifika veya katılım belgesi, katılımcıya verilen ve eğitimin özetini taşıyan belgedir. Şirket açısından değeri, diğer kayıtlarla tutarlı olmasından gelir. Belgede yazanlar katılım listesi, içerik ve test sonuçlarıyla çelişiyorsa, belge ispat değerini kaybeder.
Belgenin kendisi de kişisel veri içerir. Katılımcının yalnızca adı ve birimi yeterlidir; doğum tarihi veya kimlik numarası gibi gereksiz bilgilerin belgeye eklenmesi ölçülülük ilkesiyle bağdaşmaz. Dış eğitim firması belge düzenliyorsa, katılımcı verisini hangi amaçla ve ne kadar süre sakladığı sözleşmede yazılmalıdır.
Sertifika ve Katılım Belgesinde Bulunması Önerilen Alanlar
| Alan | Neden gerekli? |
|---|---|
| Katılımcının adı ve birimi | Belgenin kime ait olduğunu gösterir; T.C. kimlik numarası gerekmez |
| Eğitimin adı ve sürüm numarası | Hangi içeriğin verildiğini katılım listesiyle eşleştirir |
| Tarih ve süre | Eğitimin ne zaman ve ne kadar süreyle yapıldığını gösterir |
| Konu başlıkları | Rol bazlı içeriğin kapsamını özetler |
| Eğitimi veren kişi veya kurum | Eğitmenin yetkinliğinin sorgulanabilmesini sağlar |
| Ölçme sonucu veya başarı durumu | Eğitimin amacına ulaştığını gösterir |
| Belge numarası ve doğrulama yöntemi | Belgenin şirket kayıtlarıyla eşleştirilmesini sağlar |
Online Eğitimde Kayıt ve Log Saklama
Online eğitim, ispat açısından yüz yüze eğitimden daha güçlü kayıt üretir; ancak bu kayıtlar ancak doğru yapılandırılırsa işe yarar. Öğrenme yönetim sistemi (LMS), kimin hangi modülü ne zaman açtığını, ne kadar sürede tamamladığını ve testte hangi sonucu aldığını kaydedebilir.
Eğitim kayıtları için mevzuatta özel bir saklama süresi bulunmaz. Süreyi belirlerken eğitimin geçerli sayıldığı dönem, olası bir denetim veya ihtilafta kayda ihtiyaç duyulabilecek süre ve iş ilişkisinin sona ermesi birlikte değerlendirilmelidir. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Online Eğitim Kayıtları İçin Beş Kural
Bireysel hesap: Ortak kullanıcı hesabıyla tamamlanan eğitim kişiye bağlanamaz; her çalışan kendi hesabıyla giriş yapmalıdır.
Tamamlama kuralı: Videonun sonuna atlanarak tamamlanmasını engelleyen ayarlar ve modül sonu soruları kullanılmalıdır.
Dışa aktarım: Denetimde sunulmak üzere kayıtlar düzenli olarak raporlanıp şirket arşivine alınmalıdır; platform aboneliği sona erdiğinde kayıtların kaybolmaması gerekir.
Log saklama süresi: Eğitim kayıtları da kişisel veridir. Ne kadar süre saklanacağı saklama ve imha politikasında yazılmalı, süre sonunda imha edilmelidir.
Platform sağlayıcısı: Eğitim platformu yurt dışında barındırılıyorsa çalışan verisinin yurt dışına aktarımı söz konusudur ve KVKK md. 9 kapsamında değerlendirilmelidir.
Yeni İşe Girenler ve Periyodik Tekrar
Denetimde sık görülen bir boşluk, yıllık eğitimin yapılmış ancak yıl içinde işe başlayanların eğitimsiz kalmış olmasıdır. Yeni çalışan, kişisel veriye erişim yetkisi aldığı ilk günden itibaren risk taşır.
Bu takvim kvkkrehberi.com'un önerisidir; mevzuat belirli bir sıklık öngörmez. 2018/10 sayılı karardaki “düzenli olarak” ifadesi ise bir kerelik eğitimin yeterli görülmeyeceğine işaret eder.
Eğitim Takvimi İçin Beş Tetikleyici
İşe başlarken temel eğitim: Sistem erişimi verilmeden önce kısa bir KVKK oryantasyonu tamamlanır ve kaydı alınır.
İlk ay içinde rol eğitimi: Çalışanın departmanına özgü modül, işe başlamayı izleyen ilk haftalarda verilir.
Yıllık tekrar: Tüm çalışanlar için eğitim yılda en az bir kez güncellenmiş içerikle tekrarlanır.
Olay sonrası eğitim: Bir ihlal, ramak kala olay veya mevzuat değişikliği sonrası ilgili birimlere hedefli eğitim verilir.
Görev değişikliği: Departman değiştiren çalışan, yeni rolünün modülünü alır.
Denetimde Sunulacak Eğitim Dosyası
Dosyanın denetim raporunda nasıl değerlendirildiğini KVKK denetim raporu yazımızda ele aldık. Eğitim dosyası, şirketin diğer idari tedbirleriyle birlikte değerlendirilir; erişim yetkileri, gizlilik taahhütleri ve politikalarla tutarlı olması gerekir.
Denetime Hazır Eğitim Dosyasının İçeriği
Denetimde veya bir şikâyet incelemesinde aranan belgeleri tek bir dosyada toplamak, yanıt süresini kısaltır ve tutarsızlıkları önceden görmenizi sağlar. Önerilen içerik şöyledir:
| # | Belge | Ne gösterir? |
|---|---|---|
| 1 | Yıllık eğitim planı ve takvimi | Eğitimin plana bağlı ve düzenli olduğunu |
| 2 | Eğitim içeriklerinin sürüm numaralı kopyaları | Hangi tarihte hangi içeriğin verildiğini |
| 3 | Katılım listeleri veya LMS tamamlama raporları | Kimin eğitim aldığını |
| 4 | Ölçme sonuçları ve tekrar eğitim kayıtları | Eğitimin etkisini |
| 5 | Yeni işe girenlerin oryantasyon kayıtları | Eğitimde boşluk olmadığını |
| 6 | Eğitmen bilgileri ve dış eğitim sözleşmesi | Eğitimin yetkin kişilerce verildiğini |
| 7 | Katılım oranı özeti (departman bazında) | Kapsamın genişliğini |
| 8 | Olay sonrası verilen hedefli eğitimlerin kaydı | İhlallerden ders çıkarıldığını |
Eğitim Modeli Karar Tablosu
| Model | Uygun olduğu durum | İspat açısından dikkat |
|---|---|---|
| Kurum içi eğitim | Yetkin bir uyum ekibi ve az sayıda çalışan varsa | İçerik güncelliği ve ölçme kayıtları çoğu zaman eksik kalır |
| Hazır online platform | Dağınık ekipler ve yüksek çalışan sayısı varsa | Rol bazlı içerik sınırlı olabilir; kayıtların dışa aktarılabildiği kontrol edilmeli |
| Dış eğitim ve danışmanlık | Rol bazlı program, ölçme ve raporlama birlikte isteniyorsa | Katılımcı verisinin eğitim firmasındaki saklama koşulları sözleşmeye yazılmalı |
| Paket eğitim | Tüm çalışanlar için standart farkındalık eğitimi yeterliyse | Örnek kapsam için KVKK Farkındalık Eğitimi paketi |
Sonuç ve Sonraki Adım
KVKK eğitim sertifikası, ispat zincirinin yalnızca son halkasıdır. Denetimde güven veren şey; plana bağlı, rol bazlı içerikle verilen, katılımı ve sonucu ölçülen, yeni çalışanları ve periyodik tekrarı kapsayan ve tek bir dosyada toplanan eğitim kayıtlarıdır.
Mevcut durumunuzu görmek için yukarıdaki sekiz belgelik eğitim dosyasını bugünkü kayıtlarınızla karşılaştırın. Eksik kalan belgeler, eğitim programınızda neyin yeniden yapılandırılması gerektiğini gösterir. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Sık Sorulan Sorular
KVKK mevzuatında eğitim verecek kişi veya kurum için bir yetki belgesi şartı bulunmaz. Ancak eğitmenin konuya hâkimiyeti, içeriğin doğruluğu ve güncelliği eğitimin etkinliğini doğrudan etkiler; eğitmen bilgisini dosyada tutmak bu nedenle önemlidir.
Katılmama nedeni ve telafi tarihi kayda geçirilmeli, telafi eğitimi en kısa sürede yapılmalıdır. Kişisel veriye erişen bir çalışanın uzun süre eğitimsiz kalması, denetimde açık bir bulgu olarak görülür.
Fotoğraf, eğitimin yapıldığını destekleyen zayıf bir kanıttır; kimin katıldığını ve ne öğrendiğini göstermez. Ayrıca katılımcıların görüntüsü kişisel veridir ve paylaşılacaksa ayrıca değerlendirilmelidir. İmzalı katılım listesi ve test sonuçları daha güçlü kanıttır.
Kişisel veriye erişen herkes eğitim kapsamına alınmalıdır. Stajyer, geçici çalışan ve şirket adına veri işleyen dış kaynak personeli için en azından temel eğitim ve gizlilik taahhüdü kaydı tutulması önerilir.
Eğitimi verin, ispatını da hazır tutun
Rol bazlı içerik, ölçme ve değerlendirme, katılım raporları ve sertifika süreçlerini kapsayan KVKK eğitim programımızı inceleyin.
Danışmanlık teklifi alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (md. 12) — Mevzuat Bilgi Sistemi
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler (Kurul Kararı 2018/10) — Kişisel Verileri Koruma Kurumu (2018-01-31)
- Bir hastanenin veri ihlal bildirimi hakkında Kurul Karar Özeti (2021/407) — Kişisel Verileri Koruma Kurumu (2021-04-20)
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu (2025-04)
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik — Kişisel Verileri Koruma Kurumu (2017-10-28)
