Rol Bazlı KVKK Eğitimi: İK, Satış ve Çağrı Merkezine Neden Ayrı Program Gerekir?

Herkese aynı eğitim, herkese yetmeyen eğitim demektir

Birçok şirkette KVKK eğitimi, yılda bir kez tüm çalışanların katıldığı bir sunumdan ibarettir. Bu sunum Kanun'un temel kavramlarını anlatır, katılım listesi imzalanır ve konu bir sonraki yıla kadar kapanır. Ancak bir İK uzmanının karşılaştığı riskle bir çağrı merkezi temsilcisinin karşılaştığı risk aynı değildir. Rol bazlı KVKK eğitimi, bu farkı eğitim içeriğine yansıtmanın yoludur.

Bu rehberde genel farkındalık eğitiminin neden tek başına yetmediğini, departmanlara göre bir risk haritasının nasıl çıkarılacağını, İK, satış, çağrı merkezi ve bilgi teknolojileri (BT) için örnek modülleri, yöneticilere yönelik eğitimi, etkinliğin nasıl ölçüleceğini ve yıllık bir eğitim takvimini adım adım ele alıyoruz.

Genel farkındalık eğitiminin sınırları

Genel farkındalık eğitimi gereklidir; kişisel veri, özel nitelikli veri, aydınlatma, açık rıza ve veri ihlali gibi kavramları herkesin aynı dille konuşmasını sağlar. Sorun, bu eğitimin çalışanın “benim işimde bu ne anlama geliyor?” sorusunu yanıtlamamasıdır.

Kişisel Verileri Koruma Kurulu (Kurul) kararlarına bakıldığında, ihlallerin büyük kısmının kavram bilgisizliğinden değil, belirli bir iş adımındaki yanlış alışkanlıktan doğduğu görülür: yanlış adrese gönderilen bir ekstre, mesajlaşma grubunda paylaşılan kimlik fotoğrafları ya da paylaşılan bir sistem şifresiyle yapılan sorgu. Bu hataların yedi tipik biçimini çalışan kaynaklı veri ihlali yazımızda Kurul kararlarıyla birlikte ele aldık.

Mevzuat da bu yönde işaret verir. Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı, özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara Kanun, ilgili mevzuat ve veri güvenliği konularında düzenli eğitim verilmesini öngörür. 20.04.2021 tarihli ve 2021/407 sayılı kararda ise Kurul, bir hastanedeki ihlalin nedenleri arasında çalışanlara yeterli veri koruma eğitimi verilmemesini de saymıştır. Eğitimin zorunluluğu tartışmasını KVKK eğitimi zorunlu mu yazımızda ayrıca ele aldık.

Departmanlara göre risk haritası

Rol bazlı programın ilk adımı, her departmanın hangi veriyi hangi kanaldan işlediğini ve en olası hatanın ne olduğunu gösteren bir risk haritasıdır. Bu harita, şirketin veri işleme envanterinden türetilebilir. Aşağıdaki tablo tipik bir orta ölçekli şirket için başlangıç noktası sunar.

Haritayı hazırlarken her departmanın yöneticisiyle kısa bir görüşme yapmak, geçmişte yaşanan olayları ve yakın kalma durumlarını (neredeyse yaşanan hataları) da ortaya çıkarır. Bu olaylar, eğitimdeki en etkili örnekler olur.

Departman bazlı KVKK risk haritası (örnek)

İK, satış, çağrı merkezi ve BT için örnek modüller

Her modül, departmanın gerçek iş akışı üzerinden kurgulanmalıdır. Aşağıdaki örnekler 45–90 dakikalık oturumlar için tasarlanmıştır.

İnsan kaynakları modülü: İşe alımdan işten çıkışa kadar çalışan veri yaşam döngüsü ele alınır: ilan ve başvuru aşamasında aydınlatma, işe alınmayan adayların verilerinin saklama süresi, referans kontrolünün sınırları, sağlık raporlarının ve diğer özel nitelikli verilerin ayrı ve erişimi kısıtlı ortamda tutulması, özlük dosyasına kimlerin erişebileceği ve işten ayrılan çalışanın verilerinin akıbeti. Uygulama örneği olarak bir aday veri tabanının temizlenmesi birlikte yapılır.

Satış ve pazarlama modülü: Müşteri adaylarının iletişim bilgilerinin nereden ve hangi izinle elde edildiği, ticari elektronik ileti izni ile KVKK kapsamındaki açık rızanın farkı, kampanya listelerinin kişisel cihazlarda veya kişisel e-posta hesaplarında tutulmaması ve bir kişi iletişimi reddettiğinde yapılması gerekenler anlatılır. İzin yönetiminin ayrıntılarını pazarlamada izin yönetimi yazımızda ele aldık.

Çağrı merkezi modülü: Arayan kişinin kimliği doğrulanmadan hesap veya sipariş bilgisi verilmemesi, ses kaydı öncesi yapılan aydınlatma, üçüncü kişi adına arayanlara nasıl yanıt verileceği, ilgili kişi başvurularının tanınması ve doğru birime yönlendirilmesi ele alınır. Rol canlandırma, bu modülün en etkili yöntemidir: “Eşimin siparişini öğrenmek istiyorum” diyen bir arayana verilecek yanıt birlikte çalışılır.

Bilgi teknolojileri modülü: Görev bazlı yetkilendirme, ayrılan çalışanın hesaplarının kapatılması, erişim loglarının tutulması ve incelenmesi, test ortamlarında gerçek veri kullanılmaması, yedeklerin şifrelenmesi ve ihlal anında ilk 72 saatte yapılacaklar ele alınır. Kurul, 2019/10 sayılı kararıyla veri ihlalinin öğrenildiği andan itibaren 72 saat içinde bildirilmesini beklediğinden, BT ekibinin ihlali tanıması ve hemen uyum sorumlusuna iletmesi kritik önemdedir.

Yöneticiler için karar alma odaklı eğitim

Yöneticilerin ihtiyacı operasyonel kurallardan çok, doğru soruyu doğru anda sormaktır. Yeni bir yazılım satın alırken, bir tedarikçiyle sözleşme imzalarken, bir kamera veya giriş sistemi kurarken ya da bir veri ihlali haberi aldıklarında verecekleri kararlar KVKK uyumunu doğrudan etkiler.

Yönetici modülü bu nedenle vaka tabanlı kurgulanmalıdır. Örneğin: “Mesai takibi için yüz tanıma sistemi önerildi; onaylıyor musunuz?”, “Bir çalışanın kişisel telefonunda müşteri listesi bulundu; ne yapıyorsunuz?” ya da “Cuma akşamı bir fidye yazılımı olayı fark edildi; pazartesiye kadar beklenebilir mi?” Bu tür sorular, Kurul'un en sık yaptırım uyguladığı alanlarla örtüşür. Bu alanları KVKK cezası alan şirketler yazımızda sekiz senaryo halinde ele aldık.

Eğitim etkinliğini ölçmek: test, simülasyon, olay sayısı

Katılım listesi, eğitimin yapıldığını gösterir; etkili olduğunu göstermez. Etkinliği ölçmek için birbirini tamamlayan üç yöntem kullanılabilir:

Ön ve son test: Her modülün başında ve sonunda, departmanın gerçek durumlarından türetilmiş 8–10 soruluk kısa bir test uygulanır. İki test arasındaki fark ve en çok yanlış yapılan sorular, bir sonraki eğitimin içeriğini belirler.

Simülasyon: Oltalama (phishing) simülasyonu, çağrı merkezi için gizli müşteri araması ya da temiz masa denetimi gibi uygulamalı testler, bilginin davranışa dönüşüp dönüşmediğini gösterir. Simülasyon sonuçları kişileri cezalandırmak için değil, eğitim ihtiyacını belirlemek için kullanılmalıdır.

Olay ve bildirim sayısı: Yanlış gönderim, kayıp cihaz ve şüpheli e-posta bildirimlerinin departman bazında izlenmesi. Eğitimden sonra bildirimlerin kısa süreliğine artması çoğu zaman olumlu bir işarettir: çalışanlar olayları gizlemek yerine bildirmeye başlamıştır.

Ölçüm sonuçlarının kayıt altında tutulması, bir Kurul incelemesinde veri sorumlusunun idari tedbirleri gerçekten uyguladığını göstermenin de en somut yoludur. Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi, çalışan eğitimini ve farkındalığını idari tedbirler arasında sayar.

Yıllık eğitim takvimi önerisi

Rol bazlı program, yıl boyunca dağıtıldığında hem departmanların iş yükünü daha az etkiler hem de konuların akılda kalmasını sağlar. Aşağıdaki takvim, orta ölçekli bir şirket için örnek bir yapı sunar.

Rol bazlı KVKK eğitimi için örnek yıllık takvim

Takvim örnek niteliğindedir; departman sayısı, özel nitelikli veri işleme durumu ve yıl içinde yaşanan olaylara göre uyarlanmalıdır. Yeni işe başlayanlar için genel farkındalık eğitimi, işe giriş sürecinin parçası olmalıdır.

Sonuç ve sonraki adım

Rol bazlı KVKK eğitimi, genel farkındalık eğitiminin bıraktığı boşluğu doldurur: her departmana kendi verisini, kendi riskini ve kendi iş adımındaki doğru davranışı anlatır. Programın omurgası departman bazlı risk haritası, modüllerin başarısını gösteren ise test, simülasyon ve olay verileridir. Yıl boyuna yayılmış bir takvim, eğitimi bir yıllık formaliteden sürekli bir yönetim aracına dönüştürür. Programı şirketinizin yapısına göre planlamak için bir ön görüşmeyle başlayabilirsiniz.

Sık sorulan sorular