KVKK test soruları, çalışanların kişisel veri kavramını, günlük iş durumlarında doğru davranışı ve veri ihlalinde ne yapacaklarını bilip bilmediklerini ölçmenin pratik bir yoludur. Bu yazıdaki 15 soru üç bölümden oluşur: temel kavramlar, günlük iş senaryoları ve ihlal ile bildirim. Açıklamalı cevap anahtarı ve puan aralıkları, hangi konuda eğitim ihtiyacı olduğunu görmenize yardımcı olur.
Farkındalık Neden Ölçülmeli?
Kişisel veri ihlallerinin önemli bir kısmı karmaşık siber saldırılardan değil, günlük işin içindeki küçük hatalardan doğar: yanlış kişiye gönderilen bir e-posta, açık bırakılan bir ekran ya da telefonda kimliği doğrulanmadan verilen bir bilgi. Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi de dikkatsizlik, dalgınlık veya tecrübesizlikten kaynaklanan bu tür olayları başlıca ihlal nedenleri arasında sayar ve çalışan eğitimini idari tedbirlerin merkezine koyar.
Eğitim verilmiş olması ise çalışanların konuyu gerçekten öğrendiği anlamına gelmez. Bu yazıdaki KVKK test soruları, ekibinizin bugün nerede durduğunu görmeniz için hazırlandı. Soruları bir eğitim öncesinde ön test, sonrasında son test olarak kullanabilir; cevap anahtarındaki açıklamaları kısa bir bilgilendirme notuna dönüştürebilirsiniz.
Testin Amacı ve Kullanımı
Bu test bir sınav değil, bir farkındalık aracıdır. Amacı çalışanları puanlamak ya da cezalandırmak değil, kurumun hangi konularda bilgi açığı taşıdığını görünür kılmaktır. Bu nedenle sonuçların kişi bazında değil, birim ve konu bazında yorumlanması önerilir.
Çalışan farkındalığının uyum programındaki yerini KVKK uyumunda en büyük eksik: çalışan farkındalığı yazımızda, eğitimin hukuki çerçevesini ise KVKK eğitimi zorunlu mu yazımızda ele aldık.
Testi Uygularken İzlenecek Yöntem
Kapsamı belirleyin: Testi yalnızca kişisel veriyle yoğun çalışan birimlere değil, resepsiyondan depoya kadar tüm çalışanlara uygulayın. Müşteri, çalışan ve aday verisi şirketin pek çok noktasından geçer.
Anonim uygulayın: Cevapların isimsiz toplanması, çalışanların bilmediklerini dürüstçe göstermesini sağlar. Kimlik bilgisi toplamanız gerekiyorsa bunun amacını önceden açıklayın; test sonuçları da çalışan hakkında kişisel veridir.
Süre verin: On beş soru için 15–20 dakika yeterlidir. Soruların internetten aranarak yanıtlanması, ölçmek istediğiniz günlük refleksi göstermez.
Sonucu paylaşın: Cevap anahtarını test bittikten sonra açıklamalarıyla birlikte paylaşın. Doğru cevabın gerekçesini öğrenmek, testin en öğretici kısmıdır.
Temel Kavramlar Soruları
İlk beş soru, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) temel kavramlarını ölçer. Bu kavramlar bilinmeden günlük kararların doğru verilmesi zordur. Her soruda tek doğru seçenek vardır.
Temel Kavramlar: Sorular 1–5
| # | Soru | Seçenekler |
|---|---|---|
| 1 | Aşağıdakilerden hangisi kişisel veridir? | A) Şirketin vergi numarası · B) Bir çalışanın aracının plakası · C) Kimseyle ilişkilendirilemeyen toplam satış istatistiği |
| 2 | Aşağıdakilerden hangisi KVKK'ya göre özel nitelikli kişisel veri değildir? | A) Sağlık raporu · B) Sendika üyeliği · C) Banka hesap numarası |
| 3 | Aydınlatma ile açık rıza arasındaki ilişki için hangisi doğrudur? | A) Aydınlatma yalnızca açık rıza alınan işlemlerde yapılır · B) Aydınlatma her durumda yapılır; açık rıza yalnızca başka bir hukuki sebep yoksa istenir · C) Açık rıza alındıysa aydınlatmaya gerek kalmaz |
| 4 | Şirketiniz bordro hizmetini dışarıdaki bir firmadan alıyor. Bu firma KVKK açısından genellikle hangi roldedir? | A) Veri işleyen · B) İlgili kişi · C) Kişisel Verileri Koruma Kurulu |
| 5 | Aşağıdakilerden hangisi, verisi işlenen kişinin (ilgili kişinin) KVKK'dan doğan hakları arasında yer almaz? | A) Eksik veya yanlış verinin düzeltilmesini isteme · B) Verilerinin hangi amaçla işlendiğini öğrenme · C) Bir iş arkadaşının maaş bilgisini öğrenme |
Günlük İş Senaryoları
Sonraki beş soru, çalışanın masasında, telefonda ve e-postada karşılaşabileceği durumları anlatır. Bu sorular bilginin davranışa dönüşüp dönüşmediğini ölçer; farkındalık eğitimlerinin asıl hedefi de budur.
Günlük İş Senaryoları: Sorular 6–10
| # | Senaryo | Seçenekler |
|---|---|---|
| 6 | Bir kişi arayıp kendini müşterinizin eşi olarak tanıtıyor ve eşinin son siparişinin teslimat adresini soruyor. | A) Kendini tanıttığı için adresi söylerim · B) Kimliği doğrulanmayan üçüncü kişiye bilgi vermem, müşterinin kendisinin başvurabileceği kanalı anlatırım · C) Yalnızca ilçeyi söylerim |
| 7 | Toplantıya çıkıyorsunuz; ekranınızda müşteri kayıtları açık, masanızda çalışan dosyaları var. | A) Ekranı kilitler, dosyaları kilitli dolaba kaldırırım · B) Kısa süreceği için olduğu gibi bırakırım · C) Yan masadaki arkadaşımdan göz kulak olmasını isterim |
| 8 | Evden çalışacağınız için müşteri listesini kişisel e-posta adresinize göndermeyi düşünüyorsunuz. | A) Dosyayı şifrelediğim sürece sorun olmaz · B) Göndermem; şirketin izin verdiği kanal ve cihazlardan erişirim · C) Yalnızca ad ve telefon sütunlarını gönderirim |
| 9 | Kargo firmasından geldiği izlenimi veren bir e-posta, gönderinizi görmek için bağlantıya tıklayıp kurumsal şifrenizi girmenizi istiyor. | A) Bağlantıya tıklar, şifremi girerim · B) Bağlantıyı açmadan e-postayı tanımlı kanaldan bilgi güvenliği birimine bildiririm · C) E-postayı iş arkadaşlarıma ileterek onlara sorarım |
| 10 | Yöneticiniz, işe alınmayan adayların özgeçmişlerinin “belki ileride lazım olur” diyerek süresiz saklanmasını istiyor. | A) Talimat olduğu için süresiz saklarım · B) Şirketin saklama ve imha politikasındaki süreyi uygularım; belirsizlik varsa uyum sorumlusuna danışırım · C) Özgeçmişleri kişisel bilgisayarıma yedeklerim |
Veri İhlali ve Bildirim Soruları
Son beş soru, bir şeyler ters gittiğinde ne yapılacağını ölçer. İhlal anında ilk dakikalarda verilen kararlar, sonradan yapılacak her şeyden daha belirleyicidir. Bu bölümün sonuna, sık karıştırılan ilgili kişi başvurusu sorusu da eklendi.
Veri İhlali ve Bildirim: Sorular 11–15
| # | Soru | Seçenekler |
|---|---|---|
| 11 | Müşteri listesi içeren bir e-postayı yanlışlıkla şirket dışındaki bir kişiye gönderdiniz. | A) Alıcıdan silmesini rica eder, kimseye söylemem · B) Derhal şirketin tanımlı ihlal bildirim kanalına haber veririm · C) Haftalık toplantıda konuyu açarım |
| 12 | Kişisel Verileri Koruma Kurulu, veri ihlalinin Kurul'a bildirimi için hangi süreyi esas alır? | A) Veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat · B) İhlalin olduğu tarihten itibaren 30 gün · C) Herhangi bir süre yoktur |
| 13 | Şirket dizüstü bilgisayarınız taksiden inerken kayboldu. Diskin şifreli olduğunu biliyorsunuz. | A) Şifreli olduğu için bildirmem · B) Durumu derhal bildiririm; riskin değerlendirmesini yetkili ekip yapar · C) Bir hafta bekler, bulunmazsa bildiririm |
| 14 | Bir veri ihlalini Kurul'a kim bildirir? | A) İhlali fark eden çalışan doğrudan · B) Şirket, yani veri sorumlusu, tanımlı süreciyle · C) Bildirim yapılmaz, yalnızca iç kayıt tutulur |
| 15 | Bir müşteri e-postayla, hakkında tutulan verilerin silinmesini istiyor. | A) Talebi görmezden gelirim · B) Talebi kendim hemen silip konuyu kapatırım · C) Talebi şirketin başvuru sürecini yürüten birime iletirim; şirket talebi en geç 30 gün içinde sonuçlandırır |
Cevap Anahtarı ve Açıklamalar
Her doğru cevap 1 puandır. Açıklamaları, çalışanlarla paylaşacağınız bilgilendirme notunun temeli olarak kullanabilirsiniz.
Cevap Anahtarı
| # | Doğru | Açıklama |
|---|---|---|
| 1 | B | KVKK md. 3, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her bilgiyi kişisel veri sayar. Kurul da plakanın kişisel veri olduğunu kararlarında belirtmiştir. Tüzel kişiye ait vergi numarası ve kişiyle ilişkilendirilemeyen toplam istatistik kapsam dışıdır. |
| 2 | C | Özel nitelikli veriler md. 6'da sayılmıştır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler. Banka bilgisi hassas olsa da bu listede yoktur. |
| 3 | B | Aydınlatma yükümlülüğü (md. 10) hangi hukuki sebebe dayanılırsa dayanılsın yerine getirilir. Açık rıza ise sözleşme veya hukuki yükümlülük gibi başka bir sebep bulunmadığında istenir; ikisi ayrı ayrı yapılır. |
| 4 | A | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen dış firma veri işleyendir. Veri sorumlusu, veri işleyenle birlikte güvenlik tedbirlerinden sorumludur (md. 12/2). |
| 5 | C | md. 11 ilgili kişiye kendi verileri hakkında haklar tanır. Başka bir çalışanın maaş bilgisi o kişinin kişisel verisidir ve iş gereği yetkisi olmayanla paylaşılmaz. |
| 6 | B | Telefonda kendini tanıtmak kimlik doğrulaması değildir. Üçüncü kişiye bilgi vermek hukuka aykırı aktarım riski doğurur; kişi kendi verisi için tanımlı başvuru kanalını kullanabilir. |
| 7 | A | Ekran kilitleme ve temiz masa uygulaması, yetkisiz erişimi önlemeye yönelik basit ama etkili idari tedbirlerdir. |
| 8 | B | Kişisel e-posta hesabı şirketin güvenlik kontrolü dışındadır. Şifreleme tek başına yetkisiz kanal kullanımını meşru hâle getirmez; şirketin onayladığı uzaktan erişim yöntemleri kullanılmalıdır. |
| 9 | B | Bu bir oltalama (phishing) belirtisidir. Bağlantıyı açmadan bildirmek, diğer çalışanların da korunmasını sağlar; e-postayı iletmek riski yayar. |
| 10 | B | KVKK md. 4, verinin işlendiği amaç için gerekli olan süre kadar saklanmasını öngörür. Süresi dolan veriler şirketin saklama ve imha politikasına göre silinir, yok edilir veya anonim hâle getirilir. |
| 11 | B | Yanlış alıcıya gönderim bir veri ihlali olabilir. Değerlendirmeyi ve gerekiyorsa bildirimi şirket yapar; bunun için olayın gecikmeden iç kanala iletilmesi gerekir. |
| 12 | A | md. 12/5 ihlalin “en kısa sürede” bildirilmesini ister; Kurul 2019/10 sayılı kararında bu süreyi, veri sorumlusunun ihlali öğrenmesinden itibaren 72 saat olarak yorumlamıştır. |
| 13 | B | Şifreleme riski azaltabilir, ancak bildirim gerekip gerekmediğine olayın tüm koşullarını bilen ekip karar verir. Çalışanın görevi bekletmeden haber vermektir. |
| 14 | B | Bildirim yükümlülüğü veri sorumlusuna aittir. Çalışanın görevi olayı iç kanala bildirmek, şirketin görevi ise değerlendirip gerekirse Kurul'a ve ilgili kişilere bildirmektir. |
| 15 | C | md. 13, başvuruların talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırılmasını öngörür. Kimlik doğrulaması ve yanıtın kayıt altına alınması için başvuru tanımlı birim üzerinden yürütülmelidir. |
Sonuçlara Göre Eğitim İhtiyacı
Toplam puanı kişi bazında değil, birim ve konu bazında okuyun. Örneğin bir birim temel kavramlarda yüksek, senaryolarda düşük puan alıyorsa sorun bilgi değil uygulamadır; bu durumda vaka çalışması ağırlıklı kısa oturumlar daha etkili olur.
En sık yanlış yapılan soruları ayrıca listeleyin. On bir, on üç ve on dördüncü sorulardan biri birden fazla birimde yanlış cevaplanıyorsa, ihlal anında bilginin doğru kişiye ulaşmama riski var demektir. Bu risk, veri sızıntısının itibar etkisi yazımızda anlattığımız sonuçların en sık nedenlerinden biridir.
Bu test ve puan aralıkları kvkkrehberi.com tarafından farkındalık amacıyla hazırlanmıştır. Resmî bir ölçme aracı değildir ve hukuki değerlendirmenin yerini tutmaz. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Puan Aralıklarına Göre Öneriler
| Puan | Durum | Önerilen adım |
|---|---|---|
| 13–15 | Güçlü farkındalık | Yılda bir tekrar eğitimi ve yeni risklere (ör. yapay zekâ araçları, yeni oltalama türleri) odaklanan kısa güncellemeler yeterli olabilir. |
| 9–12 | Bilgi var, uygulamada boşluk var | Yanlış cevapların yoğunlaştığı bölüme göre senaryo tabanlı tamamlayıcı eğitim planlayın; ihlal bildirim kanalını yeniden duyurun. |
| 0–8 | Temel eğitim ihtiyacı | Kavramlardan başlayan, şirketin kendi süreçleriyle örneklendirilmiş bir eğitim planlayın; eğitimden sonra testi tekrarlayarak gelişimi ölçün. |
Sonuç ve Sonraki Adım
KVKK test soruları, eğitimin gerçekten işe yarayıp yaramadığını görmenin en kısa yoludur. On beş soruluk bu test; kavram bilgisini, günlük iş refleksini ve ihlal anındaki davranışı ayrı ayrı ölçtüğü için hangi konuda ne tür bir eğitim gerektiğini de gösterir.
İlk adım olarak testi bir birimde deneyin, sonuçları konu bazında inceleyin ve en zayıf alan için kısa bir bilgilendirme yapın. Birkaç ay sonra aynı testi tekrarlamak, farkındalığın kalıcı olup olmadığını gösterir. Kurul kararlarında yaptırıma konu olan pek çok olayın çalışan hatasıyla başladığını hatırlatmak için 2026 idari para cezaları yazımıza da göz atabilirsiniz.
Sık Sorulan Sorular
Önerilmez. Testin amacı bilgi açığını görmektir; sonuçların performansa bağlanması çalışanları dürüst cevap vermekten uzaklaştırır. Kişi bazında sonuç tutulacaksa bu da bir kişisel veri işleme faaliyetidir; amacı önceden belirlenmeli ve çalışanlar aydınlatılmalıdır.
İşe girişte, yılda en az bir kez ve önemli bir süreç ya da sistem değişikliğinden sonra uygulanması pratik bir yaklaşımdır. Soruların bir kısmını her seferinde değiştirmek, ezber cevapları önler.
Evet, değiştirmeniz önerilir. Senaryo sorularını şirketinizin gerçek süreçlerinden, örneğin çağrı merkezi, mağaza veya üretim sahasındaki tipik durumlardan seçmek testin ölçme gücünü artırır.
Aracın hangi verileri topladığını, verilerin nerede barındırıldığını ve yurt dışına aktarım olup olmadığını kontrol edin. Mümkünse ad, e-posta gibi kimlik bilgisi toplamadan anonim yanıt seçeneğini kullanın.
Farkındalığı ölçün, eğitimi ihtiyaca göre planlayın
Temel kavramlardan ihlal anındaki davranışa kadar çalışanlarınıza yönelik KVKK farkındalık eğitiminin kapsamını inceleyin.
Paket kapsamını inceleyinKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10) — Kişisel Verileri Koruma Kurumu (2019-01-24)
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ — Resmî Gazete (2018-03-10)
