Açıklanamayan otomatik kararlar
Skorlama sistemlerinin ürettiği ret veya limit kararlarının gerekçesinin açıklanamaması, itiraz hakkını fiilen ortadan kaldırır.
Departman · Departmana Özel KVKK Çözümü
Finans Departmanına Özel KVKK Çözümleri
Finans birimi, kişi hakkında karar veren birimdir: kredi limiti, vade, teminat, ödeme planı. Bu kararlar veriyle alınır ve KVKK, kararın kendisi kadar nasıl alındığını da denetler.
Kısa cevap
Finans departmanında KVKK uyumunun ayırt edici konusu, veriye dayalı karar üretilmesidir. Müşteriye limit tanımlamak, vade vermek, teminat istemek veya çalışmayı reddetmek; bunların hepsi kişiyi doğrudan etkileyen kararlardır. Bu kararlar tamamen otomatik bir sistemle veriliyorsa, ilgili kişinin karara itiraz etme ve sonuca karşı görüş bildirme hakkı gündeme gelir; skorun nasıl oluştuğu açıklanabilir olmalıdır. İkinci başlık tahsilat süreçleridir: borç bilgisi kişinin ekonomik durumuna ilişkindir, üçüncü kişilere ifşası hukuka aykırıdır. Üçüncüsü ise banka, sigorta ve faktoring aktarımlarının sözleşmeye bağlanmasıdır.
Finansta KVKK Neden Ayrı Yönetilmeli?
Finans biriminin işlediği veri, kişinin ekonomik durumunu gösterir ve bu bilgi hem hassastır hem de yanlış kullanıldığında doğrudan zarar verir. Bir müşterinin ödeme güçlüğü, bir çalışanın maaş haczi veya bir tedarikçinin risk notu; kurum içinde geniş biçimde paylaşıldığında itibar kaybı doğurur. Buna, giderek yaygınlaşan otomatik skorlama sistemleri eklenir: sistem "riskli" dediği için reddedilen bir başvurunun gerekçesi kimse tarafından açıklanamıyorsa, orada hem bir şeffaflık sorunu hem de bir itiraz hakkı sorunu vardır.
Borç bilgisinin ifşası
Tahsilat aramalarında yakınlara veya işyerine borç bilgisi verilmesi, kurum içi listelerde borçluların isimlerinin dolaşması.
Geniş erişimli risk dosyaları
Müşteri risk notlarının, çek-senet kayıtlarının ve ödeme geçmişinin ilgisiz birimlerce görülebilmesi.
Finansal kurum aktarımları
Banka, sigorta, faktoring ve tahsilat firmalarına yapılan aktarımların sözleşmeye ve asgari veri ilkesine bağlanmaması.
Dış kaynaklı veri sorguları
Müşteri hakkında dış veri tabanlarından yapılan sorguların hukuki sebebinin ve kaydının bulunmaması.
Süresiz saklanan risk verisi
Yıllar önce kapanmış bir riskin kaydının hâlâ aktif dosyada durması ve yeni kararları etkilemesi.
Finans Departmanında İşlenen Kişisel Veriler
Aşağıdaki kırılım, risk yönetimi, tahsilat ve raporlama süreçlerinden doğan veri kategorilerini gösterir. Her kalem için erişim yetkisi ve saklama süresi ayrıca belirlenir.
Müşteri risk ve limit verisi
Risk notu ve skorlar, kredi limiti kayıtları, teminat bilgileri, ödeme geçmişi, gecikme kayıtları
Hukuki sebep ve not: Meşru menfaat ve sözleşme; skor mantığı açıklanabilir olmalı, itiraz yolu tanımlanmalıdır.
Ödeme araçları ve banka verisi
Banka hesap ve IBAN bilgileri, çek ve senet kayıtları, keşideci ve ciranta bilgileri, teminat mektupları
Hukuki sebep ve not: Sözleşme ve hukuki yükümlülük; erişim finans ekibiyle sınırlandırılır.
Tahsilat ve icra süreçleri
Borç tutarları, ödeme planları, arama ve görüşme kayıtları, icra dosyaları, alacaklı ve borçlu iletişim bilgileri
Hukuki sebep ve not: Borç bilgisi üçüncü kişilere ifşa edilemez; arama kayıtları için bilgilendirme yapılır.
Bütçe ve maliyet verisi
Birim bazlı personel maliyetleri, ücret bütçeleri, prim havuzları, kadro planlama tabloları
Hukuki sebep ve not: Kişiye indirgenebilen maliyet verisi kişisel veridir; erişim yönetici düzeyiyle sınırlandırılır.
Yatırımcı ve ortaklık kayıtları
Ortak ve hissedar bilgileri, pay defteri kayıtları, yatırımcı iletişim listeleri, gerçek faydalanıcı bildirimleri
Hukuki sebep ve not: Hukuki yükümlülük; bildirim kapsamı dışına çıkan paylaşımlar sınırlandırılır.
Dolandırıcılık ve uyum incelemeleri
Şüpheli işlem kayıtları, inceleme dosyaları, yaptırım listesi eşleşmeleri, ihbar kayıtları
Hukuki sebep ve not: Yanlış eşleşme kişiye zarar verir; kararlar insan gözetimiyle doğrulanır ve kaydedilir.
Çözüm Kapsamı
Program karar süreçlerini şeffaflaştırır, tahsilatı prosedüre bağlar ve finansal aktarım zincirini sözleşmeye oturtur.
Otomatik karar değerlendirmesi
Skorlama ve limit sistemleri incelenir; insan gözetimi, gerekçe açıklaması ve itiraz kanalı tanımlanır.
Tahsilat görüşme protokolü
Kiminle konuşulabileceği, ne söylenebileceği ve mesaj bırakma kuralları yazılı hâle getirilir; kayıt bilgilendirmesi kurulur.
Risk dosyası erişim düzeni
Risk notları ve ödeme geçmişine erişim rol bazında daraltılır; dışa aktarma yetkisi sınırlandırılır.
Finansal aktarım sözleşmeleri
Banka, sigorta, faktoring ve tahsilat firmalarıyla aktarım kapsamı belirlenir ve sözleşmeye bağlanır.
Dış sorgu kayıt düzeni
Dış veri tabanı sorgularının hukuki sebebi tanımlanır; her sorgu gerekçesiyle kayıt altına alınır.
Risk verisi saklama süresi
Kapanan risklerin ne kadar süreyle karar süreçlerini etkileyeceği belirlenir; süresi dolan kayıtlar arşive alınır.
Sahada En Sık Karşılaştığımız Tablo
- Skorlama sistemi ret veriyor ama gerekçesini kimse açıklayamıyor.
- Tahsilat ekibi borçluya ulaşamayınca işyerini arayıp borç bilgisi veriyor.
- Müşteri risk notları satış ekibinin tamamına açık durumda.
- Faktoring firmasına gönderilen dosyada gereksiz müşteri alanları da yer alıyor.
- Dış veri tabanı sorguları kimin, neden yaptığı kayıt altına alınmadan yapılıyor.
- Yedi yıl önce kapanmış bir gecikme kaydı hâlâ yeni limit kararlarını etkiliyor.
Uygulama Süreci
Birim keşfi ve kapsam
Risk değerlendirme modeli, limit karar akışı, tahsilat süreçleri ve finansal kurum aktarımları incelenerek finans veri haritası çıkarılır.
Süreç ve veri envanteri kesiti
Birimin yürüttüğü her faaliyet; veri kategorisi, hukuki sebep, saklama süresi, erişim yetkisi ve aktarım kırılımıyla kurumsal envantere işlenir.
Boşluk analizi ve önceliklendirme
Mevcut uygulama mevzuatla karşılaştırılır; bulgular ihlal olasılığı ve etkisine göre sıralanır, birim yöneticisiyle sahibi atanır.
Belge ve akış devreye alma
Aydınlatma metni, rıza akışı, sözleşme maddeleri, yetki matrisi ve prosedürler birimin günlük iş akışına gömülerek uygulamaya alınır.
Rol bazlı eğitim ve sürdürme
Birime kendi örnekleriyle eğitim verilir; periyodik gözden geçirme, yeni araç onayı ve değişiklik bildirimi takvimi devredilir.
Teslim Edilecek Çıktılar
- Departmanın veri işleme envanteri kesiti ve veri akış haritası
- Birime özel saklama ve imha süreleri tablosu
- Rol bazlı erişim yetki matrisi ve yetki gözden geçirme takvimi
- Departmanın kullandığı tedarikçiler için veri işleyen sözleşme seti
- İlgili kişi başvurusu geldiğinde birimin izleyeceği yanıt akışı
- Birime özel KVKK farkındalık eğitimi ve hızlı başvuru kartı
- Otomatik karar süreçleri değerlendirme raporu ve itiraz kanalı tasarımı
- Tahsilat görüşme protokolü ve arama kaydı bilgilendirme metni
- Risk dosyası erişim yetki matrisi
- Banka, sigorta, faktoring ve tahsilat firması sözleşme paketi
- Dış veri tabanı sorgu kayıt düzeni ve gerekçe formu
Kimler İçin Uygun?
Finans ve hazine birimleri
Nakit akışı, teminat ve banka ilişkilerini yürüten ekipler.
Kredi ve risk yönetimi
Müşteri limiti belirleyen, skorlama sistemi kullanan roller.
Tahsilat ekipleri
Gecikmiş alacakları takip eden, borçlularla iletişim kuran birimler.
Yatırımcı ilişkileri
Ortak, hissedar ve yatırımcı verisini işleyen kurumsal yapılar.
İlgili Hizmetler
Bu departman programı, aşağıdaki danışmanlık hizmetlerinin birime uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Departmanlar
Aynı veri akışını paylaşan ya da bu birimin süreçlerine komşu olan departmanların uyum sayfaları.
Sık Sorulan Sorular
Veriye dayalı karar vermek yasak değildir; ancak kişiyi önemli ölçüde etkileyen bir sonucun yalnızca otomatik bir sistem tarafından üretilmesi ek yükümlülükler doğurur. İlgili kişi, kendisi hakkında otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonuç ortaya çıkmasına itiraz edebilir. Bu nedenle uygulanabilir düzen şudur: kararın hangi ölçütlere dayandığı anlaşılır biçimde açıklanabilmeli, olumsuz sonuçlarda bir insanın gözden geçirmesi mümkün olmalı, itiraz için bir kanal bulunmalı ve bu kanal aydınlatma metninde belirtilmelidir. Ayrıca modelin kullandığı verilerin doğruluğu ve güncelliği düzenli olarak kontrol edilmelidir.
Borç bilgisi, kişinin ekonomik durumuna ilişkin kişisel veridir ve üçüncü kişilere açıklanması hukuka aykırıdır. Borçluya ulaşmak amacıyla yakınının veya işyerinin aranması hâlinde bile borcun varlığı, tutarı veya gecikmesi paylaşılamaz; yalnızca ilgili kişiye ulaşma talebi iletilebilir ve bu bile ısrarlı biçimde tekrarlanmamalıdır. Sesli mesaj bırakılırken de borç bilgisi verilmemelidir; mesajı başkası dinleyebilir. Aynı şekilde borçlu listelerinin kurum içinde ilgisiz kişilerle paylaşılması veya panoya asılması ihlal oluşturur. Bu kuralların yazılı bir protokolde bulunması, tahsilat ekibinin anlık kararlar vermesini engeller.
Erişim, işin gerektirdiği ölçüyle sınırlı olmalıdır. Bir satış temsilcisinin kendi portföyündeki müşterinin limit durumunu ve vade koşullarını bilmesi işin yürütülmesi için gerekli olabilir; bu erişim tanımlanabilir. Buna karşılık tüm müşteri tabanının risk notlarını, ödeme gecikmelerini, çek-senet kayıtlarını ve icra dosyalarını tüm satış ekibine açmak veri minimizasyonu ilkesine aykırıdır. Doğru kurgu, portföy bazlı görünürlük ve kademeli bilgi açmadır: temsilciye "limit uygundur / uygun değildir" düzeyinde sonuç bilgisi verilirken ayrıntılı risk dosyası yalnızca finans ekibinde kalmalıdır. Dışa aktarma yetkisi de sınırlı sayıda kişide olmalıdır.
Aktarabilirsiniz, ancak bunun bir hukuki sebebe dayanması, asgari veriyle sınırlı olması ve yazılı olarak düzenlenmesi gerekir. Alacak sigortası veya faktoring işlemleri için gereken bilgi genellikle alacağın tutarı, vadesi ve borçlunun ticari kimliğidir; müşterinin tüm sipariş geçmişinin, iletişim kayıtlarının veya ilgisiz alanlarının gönderilmesi gereksizdir. Karşı taraf bağımsız bir veri sorumlusu olabilir; bu durumda aktarımın aydınlatma metninde yer alması ve alıcı kategorisi olarak belirtilmesi gerekir. Ayrıca aktarılan verinin karşı tarafta ne kadar saklanacağı ve hangi amaçla kullanılacağı sözleşmede sınırlandırılmalıdır.
Ticari ilişkinin risk değerlendirmesi için yapılan sorgular meşru menfaate dayandırılabilir; ancak bu değerlendirme yazılı olmalı ve sorgunun kapsamı amaçla sınırlı kalmalıdır. Her sorgunun kim tarafından, ne zaman ve hangi gerekçeyle yapıldığı kayıt altına alınmalıdır; kayıtsız sorgu, hem kötüye kullanıma açıktır hem de denetimde savunulamaz. Ayrıca sorgulanan kaynağın verisinin nereden geldiği ve güncel olup olmadığı sorgulanmalıdır; yanlış veya eski bir kayda dayanarak alınan olumsuz karar, kişiye doğrudan zarar verir. Aydınlatma metninde bu tür sorguların yapıldığının belirtilmesi de gereklidir.
Süre, amaca göre belirlenir ve gerekçesiyle yazılır. Ödeme performansının geçmişe dönük değerlendirilmesi meşru bir ihtiyaçtır; ancak bu, kaydın süresiz olarak kişiyi etkilemeye devam etmesini haklı kılmaz. Uygulanabilir yaklaşım, risk verisi için iki ayrı süre tanımlamaktır: karar süreçlerini etkileyen aktif dönem ve yalnızca hukuki savunma amacıyla arşivde tutulan dönem. Aktif dönem dolduğunda kayıt skorlamadan çıkarılmalı, arşiv dönemi dolduğunda ise imha edilmelidir. Ayrıca müşteri, kendisiyle ilgili kaydın güncel olmadığını ileri sürerse düzeltme talebini değerlendirecek bir akış bulunmalıdır.
Karar süreçlerinizi açıklanabilir hâle getirelim
Skorlama modelinizi, tahsilat akışınızı ve aktarım zincirinizi paylaşın; ücretsiz ön görüşmede itiraz ve ifşa risklerini birlikte tespit edelim.
