OSB katılımcı firma KVKK programı, bölgedeki firmaların uyum çalışmasını ortak eğitim, firma bazlı hızlı değerlendirme ve ortak belge şablonlarıyla birlikte yürütmesidir. Program maliyeti ve hazırlık yükünü paylaştırır, bölge ile firmalar arasındaki veri akışlarını tek dile bağlar. Ancak her firma kendi verilerinin veri sorumlusu olmaya devam eder; şablonlar firmanın gerçek süreçlerine uyarlanmadan kullanılmamalıdır. Başlangıç için kontrol listesiyle mevcut durum ölçülür.
Bölge Ölçeğinde Uyum
Bir organize sanayi bölgesinde yüzlerce firma benzer KVKK sorularıyla karşılaşır: çalışan ve aday verisi, kamera kayıtları, ziyaretçi girişleri, tedarikçi sözleşmeleri, VERBİS durumu. Her firmanın bu soruları tek başına, sıfırdan yanıtlaması hem pahalıdır hem de bölge ölçeğinde birbirinden kopuk uygulamalar doğurur. OSB katılımcı firma KVKK programı, bu tekrarı azaltmak için ortak bir çerçeve sunar.
Bu yazıda toplu programın avantajlarını ve sınırlarını, ortak eğitim modelini, firma bazlı hızlı değerlendirmeyi, ortak belge şablonlarını ve uygulama takvimini ele alıyor; sonda indirilebilir bir kontrol listesi sunuyoruz. Bölge ile katılımcılar arasındaki sorumluluk ayrımını OSB KVKK, ortak kamera kayıtlarının yönetimini ise OSB kamera kayıtları yazılarımızda anlattık.
Toplu programın avantajları
Toplu programın temel avantajı ölçektir. Eğitim içerikleri, şablon belgeler ve değerlendirme araçları bir kez hazırlanır, onlarca firmaya uyarlanır. Bu, özellikle uyum için ayrı bir ekip kuramayan küçük ve orta ölçekli üreticiler için erişilebilir bir başlangıç yolu açar.
Maliyet paylaşımı: Ortak eğitim oturumları ve şablon hazırlığı, firma başına düşen hazırlık maliyetini azaltır.
Bölge içi tutarlılık: Giriş kartı listeleri, kamera görüntüsü talepleri ve ortak etkinlik kayıtları gibi OSB ile firmalar arasındaki veri akışları aynı kurallarla yürür.
Ortak dil: Firmaların İK, güvenlik ve satın alma ekipleri aynı kavramları kullanır; bölge müdürlüğüyle yazışmalar kolaylaşır.
Görünür ilerleme: Bölge yönetimi, firma adı vermeden toplu ilerleme göstergelerini izleyebilir ve eğitim ihtiyacını planlayabilir.
Programın sınırları da açık olmalıdır. KVKK md. 12/1, her veri sorumlusunu kendi verileri için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlü tutar; md. 12/3 ise her veri sorumlusunun kendi kurumunda gerekli denetimleri yapmasını veya yaptırmasını öngörür. Toplu program bu yükümlülükleri ortadan kaldırmaz, yalnızca yerine getirilmesini kolaylaştırır. Bir firmanın programa katılması, onu “uyumlu” yapmaz; uyum, firmanın kendi süreçlerinde uygulanan tedbirlerle sağlanır.
Program Seçenekleri
Tablo kvkkrehberi.com tarafından hazırlanmış bir karar aracıdır; seçenekler bölgenin büyüklüğüne ve katılımcı profiline göre birleştirilebilir.
| Seçenek | Nasıl işler? | Uygun olduğu durum | Dikkat edilecek nokta |
|---|---|---|---|
| Yalnızca ortak eğitim | OSB dönemsel eğitimler düzenler; firmalar çalışanlarını gönderir. | Bölgede farkındalık düzeyi düşükse ilk adım olarak | Belge ve süreç eksikleri kapanmaz |
| Eğitim ve şablon seti | Eğitime ek olarak ortak belge şablonları ve kullanım kılavuzu sunulur. | Firmaların temel belgeleri yoksa | Şablonların firmaya uyarlanması firmanın sorumluluğunda kalır |
| Tam program | Eğitim, şablonlar, firma bazlı hızlı değerlendirme ve takip toplantıları birlikte yürür. | Bölge çapında ölçülebilir ilerleme hedefleniyorsa | Firma bulgularının gizliliği ve OSB'nin işlediği verilerin sınırı yazılı olmalı |
Ortak eğitim modeli
KVKK, çalışanlara belirli bir biçimde eğitim verilmesini açıkça düzenlemez; ancak Kurum'un Kişisel Veri Güvenliği Rehberi, çalışanların eğitimi ve farkındalığını idari tedbirler arasında sayar. Kurul'un 18.05.2023 tarihli ve 2023/845 sayılı kararında da personele veri koruma eğitimi verilmemesi, veri güvenliği değerlendirmesinde dikkate alınmıştır (karar özeti). Eğitimin yasal çerçevesini KVKK eğitimi zorunlu mu yazımızda ayrıca ele aldık.
OSB ölçeğinde verimli bir model, eğitimi üç katmanda kurmaktır:
Temel farkındalık (tüm çalışanlar): Kişisel veri nedir, yanlış kişiye e-posta, oltalama, kişisel cihaz kullanımı, ihlal fark edildiğinde kime haber verilir? Kısa, örnek olaylarla ve fabrika ortamına uygun dille.
Rol bazlı eğitim: İK, güvenlik, bilgi işlem, satın alma ve satış ekipleri için kendi süreçlerine odaklanan oturumlar. Kamera operatörleri ve giriş güvenliği personeli için ayrı bir modül özellikle değerlidir.
Yönetici ve irtibat kişisi oturumu: Firma yöneticileri ve KVKK sorumluları için yükümlülükler, ihlal bildirimi, ilgili kişi başvuruları ve VERBİS durumu.
Eğitimin ispat değeri, kaydına bağlıdır. Her oturum için katılımcı listesi, eğitim içeriği, tarih ve eğitmen bilgisi saklanmalıdır. Bu kayıtlar katılımcı firma çalışanlarına ilişkin kişisel veri içerdiği için OSB, katılım listelerini yalnızca programın yürütülmesi amacıyla kullanmalı ve firmalara yalnızca kendi çalışanlarının kaydını iletmelidir. Rol bazlı içeriğin nasıl tasarlanacağını rol bazlı KVKK eğitimi yazımızda, kurumsal eğitim seçeneklerini ise KVKK eğitimi hizmet sayfamızda bulabilirsiniz.
Firma bazlı hızlı değerlendirme
Ortak eğitim herkesin aynı noktadan başladığını varsayar; oysa bölgedeki firmalar çok farklı olgunluk düzeylerindedir. Firma bazlı hızlı değerlendirme, her firmanın kendi durumunu kısa sürede görmesini sağlar. Değerlendirme kapsamlı bir denetim değildir; öncelikli eksikleri bulmaya yöneliktir.
Pratik bir değerlendirme şu adımlardan oluşur: firma KVKK sorumlusuyla bir ön görüşme, standart soru setinin İK, güvenlik ve bilgi işlem temsilcileriyle birlikte doldurulması, birkaç örnek belgenin incelenmesi (aydınlatma metni, kamera levhası, tedarikçi sözleşmesi) ve kısa bir öncelik raporu. Soru setinin temel mantığını KVKK uyum kontrolü yazımızdaki öz değerlendirme ile benzerdir.
Hızlı Değerlendirmede Gizlilik Kuralları
Firma bulguları firmaya aittir: Bir firmanın eksik listesi diğer firmalarla veya bölge yönetim kuruluyla firma adıyla paylaşılmamalıdır.
Toplu raporlama anonim olmalı: Bölge yönetimine yalnızca “firmaların yüzde kaçında ihlal müdahale planı var” gibi toplu göstergeler raporlanmalıdır.
Kişisel veri görülmez, örneklenir: Değerlendirmede çalışan dosyaları veya kamera kayıtları kopyalanmaz; süreç ve belge yapısı incelenir.
Değerlendiricinin sıfatı yazılı olmalı: Değerlendirmeyi yapan danışman veya OSB personeli, firma verisine erişiyorsa gizlilik ve veri işleme kuralları sözleşmeyle belirlenmelidir.
Ortak belge şablonları
Şablonlar programın en çok talep gören, ama en dikkatli kullanılması gereken bileşenidir. Kurul kararlarında sıklıkla görülen sorunlardan biri, metnin şirketin gerçek süreçleriyle örtüşmemesidir. Bu nedenle her şablon, hangi alanların firmaya göre doldurulacağını gösteren bir kullanım notuyla birlikte verilmelidir.
VERBİS'e kayıt yükümlülüğü her firma için ayrıca hesaplanır. Kurul kararlarına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan ve ana faaliyeti özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan istisnadır (Sorularla VERBİS). İstisna, KVKK'nın diğer yükümlülüklerini ortadan kaldırmaz; ayrıntıları VERBİS istisnası yazımızda bulabilirsiniz.
Ortak Şablon Seti
Şablonlar başlangıç noktasıdır; hukuki tavsiye yerine geçmez. Somut olay özelinde hukuki değerlendirme alınmalıdır.
| Şablon | Kim için? | Firmanın uyarlaması gereken alanlar |
|---|---|---|
| Çalışan ve aday aydınlatma metni | Tüm firmalar | İşlenen veri kategorileri, aktarılan taraflar (bordro, İSG hizmeti, OSB giriş kartı), saklama süreleri |
| Kamera aydınlatma levhası ve metni | Kendi kamerası olan firmalar | Kamera konumları, ses kaydı yapılıp yapılmadığı, başvuru kanalı |
| Ziyaretçi ve tedarikçi giriş aydınlatması | Tesis girişinde kayıt tutan firmalar | Toplanan bilgiler, kayıt süresi |
| Kişisel veri envanteri çalışma dosyası | Tüm firmalar | Departmanlar, süreçler, sistemler, hukuki sebepler |
| Saklama ve imha politikası | VERBİS kayıt yükümlüsü firmalar | Veri kategorilerine göre süreler, periyodik imha dönemi |
| Veri işleyen sözleşmesi eki | Bordro, bulut, güvenlik ve yazılım tedarikçisi olan firmalar | Hizmet kapsamı, alt işleyenler, sunucu konumu |
| İlgili kişi başvuru formu ve yanıt şablonları | Tüm firmalar | Başvuru kanalları, sorumlu birim |
| Veri ihlali müdahale prosedürü | Tüm firmalar | Ekip, iletişim zinciri, 72 saatlik bildirim takvimi |
Uygulama takvimi
Aşağıdaki takvim, orta büyüklükte bir bölge için altı aylık bir öneridir. Süreler katılımcı sayısına ve firmaların başlangıç düzeyine göre uzatılabilir veya kısaltılabilir.
Programın sürdürülebilirliği için yılda en az bir kez tekrar eğitimi ve kontrol listesinin yenilenmesi önerilir. Yeni katılan firmalar için kısa bir başlangıç paketi, programın bölgedeki standardı korumasını sağlar.
Altı Aylık Uygulama Takvimi
Takvim kvkkrehberi.com tarafından hazırlanmış bir öneridir; mevzuattan doğan bir süre değildir.
| Dönem | Faaliyet | Çıktı |
|---|---|---|
| Hazırlık (0. ay) | Yönetim kurulu kararı, program kapsamı, katılım duyurusu, OSB'nin işleyeceği verilerin ve gizlilik kurallarının yazılması | Program tanımı ve katılım formu |
| 1. ay | Açılış toplantısı, temel farkındalık eğitimleri, kontrol listesinin firmalara dağıtılması | Doldurulmuş kontrol listeleri |
| 2.–3. ay | Firma bazlı hızlı değerlendirmeler, rol bazlı eğitimler | Firma öncelik raporları |
| 3.–4. ay | Şablon setinin dağıtımı, uyarlama atölyeleri, OSB–katılımcı veri paylaşım protokolü | Uyarlanmış belgeler |
| 5. ay | İhlal müdahale tatbikatı, kamera ve giriş süreçlerinin gözden geçirilmesi | Tatbikat notları |
| 6. ay | Takip toplantısı, kontrol listesinin yeniden doldurulması, toplu ilerleme raporu | Anonim ilerleme raporu ve sonraki dönem planı |
Kontrol listesi (indirilebilir)
Kontrol listesi, her katılımcı firmanın programa başlarken ve altı ay sonunda dolduracağı kısa bir ölçüm aracıdır. Her madde için “Evet”, “Kısmen” veya “Hayır” işaretlenir ve kanıt sütunu doldurulur.
Listedeki 12. ve 13. maddeler doğrudan Kanun'daki sürelere dayanır: KVKK md. 13 başvuruların en geç otuz gün içinde sonuçlandırılmasını öngörür; Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararı ise md. 12/5'teki “en kısa süre” ifadesini 72 saat olarak yorumlamıştır (karar).
Katılımcı Firma KVKK Kontrol Listesi
Liste farkındalık ve önceliklendirme amaçlıdır; resmî bir uyum ölçütü değildir.
| # | Kontrol sorusu | Örnek kanıt |
|---|---|---|
| 1 | Firmada KVKK'dan sorumlu bir kişi veya birim belirlendi mi? | Görevlendirme yazısı |
| 2 | Departman bazında kişisel veri envanteri var mı? | Envanter dosyası |
| 3 | Çalışan ve aday aydınlatma metinleri güncel mi? | İmzalı veya tebliğ edilmiş metinler |
| 4 | Kamera levhaları ve kamera aydınlatma metni var mı? | Levha fotoğrafı, metin |
| 5 | Açık rıza yalnızca başka hukuki sebep bulunmayan işlemler için mi isteniyor? | Rıza metinleri listesi |
| 6 | VERBİS kayıt yükümlülüğü hesaplandı mı; gerekiyorsa kayıt yapıldı mı? | Hesap tablosu, kayıt ekranı |
| 7 | Saklama süreleri belirlendi mi ve imha düzenli yapılıyor mu? | Politika, imha tutanağı |
| 8 | Bordro, bulut ve güvenlik tedarikçileriyle veri işleyen sözleşmeleri var mı? | Sözleşme ekleri |
| 9 | Yurt dışında barındırılan hizmetler belirlendi mi? | Hizmet listesi, aktarım mekanizması |
| 10 | Erişim yetkileri görev bazında ve ayrılan çalışanın erişimi aynı gün kapatılıyor mu? | Yetki matrisi, işten çıkış formu |
| 11 | Çalışanlar son bir yıl içinde KVKK eğitimi aldı mı? | Katılım listeleri |
| 12 | İlgili kişi başvurularını en geç 30 gün içinde yanıtlayacak süreç var mı? | Başvuru formu, kayıt tablosu |
| 13 | Veri ihlalini 72 saat içinde Kurul'a bildirmeyi sağlayacak yazılı prosedür var mı? | Müdahale prosedürü, iletişim listesi |
| 14 | OSB ile paylaşılan çalışan listeleri ve kamera talepleri için yazılı kural var mı? | Protokol veya yazışma |
Sonuç ve sonraki adım
OSB katılımcı firma KVKK programı, bölge ölçeğinde tekrar eden uyum işlerini paylaştırarak firmaların başlangıç maliyetini düşürür ve OSB ile firmalar arasındaki veri akışlarını ortak kurallara bağlar. Programın başarısı, şablonların firmalara gerçekten uyarlanmasına, firma bulgularının gizli tutulmasına ve ilerlemenin altı ayda bir ölçülmesine bağlıdır.
Karar aşamasında bölgeniz için üç seçenekten birini belirleyin: yalnızca ortak eğitim, eğitim ve şablon seti ya da tam program. Eğitim tarafının kapsamını KVKK farkındalık eğitimi paketinde, çalışan farkındalığının neden belirleyici olduğunu çalışan farkındalığı yazımızda, bölgeye özgü diğer başlıkları ise organize sanayi bölgeleri KVKK çözüm sayfamızda inceleyebilirsiniz.
Sık Sorulan Sorular
Hayır. Eğitim, şablon veya değerlendirme desteği sağlamak OSB'yi firmaların veri işleme faaliyetlerinin sorumlusu yapmaz. Her firma kendi çalışanları, müşterileri ve kameraları için veri sorumlusu olmaya devam eder. OSB yalnızca program kapsamında kendisinin topladığı veriler için sorumludur.
KVKK, bir OSB'ye katılımcılarını böyle bir programa zorlama yetkisi vermez. Katılımın teşvik edilmesi, örneğin eğitimlerin bölge içinde ve uygun maliyetle sunulması, zorunluluktan daha etkili bir yoldur. Bölge iç düzenlemelerine ilişkin sorular için hukuki değerlendirme alınmalıdır.
Firma adıyla kıyaslama yapılmamalıdır. Bölge geneli için anonim ve toplu göstergeler kullanılabilir; her firma ise yalnızca kendi sonucunu ve bölge ortalamasını görebilir.
Şablonlar iyi bir başlangıçtır, ancak firmanın gerçek süreçlerine uyarlanmadığında metin ile uygulama arasında çelişki doğar. Küçük firmalar için de envanterin çıkarılması ve şablonların bu envantere göre doldurulması gerekir.
Bölgeniz için toplu KVKK programı
Ortak eğitim, şablon seti, firma bazlı hızlı değerlendirme ve indirilebilir kontrol listesiyle bölgenizdeki firmaların uyum çalışmasını birlikte planlayalım.
Listeyi indirin, teklif alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu (2025-04)
- Sorularla VERBİS — Kişisel Verileri Koruma Kurumu
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10) — Kişisel Verileri Koruma Kurumu (2019-01-24)
- Kurul Kararı 2023/845 — kargo çalışanının teslimat sonrası kısa mesaj göndermesi — Kişisel Verileri Koruma Kurumu (2023-05-18)
- 4562 sayılı Organize Sanayi Bölgeleri Kanunu — Mevzuat Bilgi Sistemi
