Açıkta duran ziyaretçi defteri
Herkesin görebildiği bir deftere yazılan ad, kurum ve telefon bilgileri, sonraki ziyaretçilere de açık hâle gelir.
Departman · Departmana Özel KVKK Çözümü
İdari İşler ve Tesis Yönetimi Departmanına Özel KVKK Çözümleri
İdari işler, kurumun kâğıt hafızasını taşır: ziyaretçi defteri, arşiv kutuları, seyahat dosyaları, zimmet formları. Dijital uyumun atladığı riskler çoğunlukla bu birimin dolaplarında birikir.
Kısa cevap
İdari işler ve tesis yönetimi biriminde KVKK uyumunun en kritik alanı fiziksel veridir. Ziyaretçi defterindeki açıkta duran isim listesi, arşiv odasındaki kilitlenmemiş özlük dosyaları, çöpe atılan kâğıt belgeler ve imha edilmeden hurdaya verilen yazıcılar; hepsi kolay önlenebilir ama sık gerçekleşen ihlal kaynaklarıdır. İkinci alan, bu birimin yönettiği hizmet sağlayıcılarıdır: temizlik, yemek, güvenlik, servis ve seyahat firmaları çalışan verisini işler ve her biri sözleşmeye bağlanmalıdır. Üçüncüsü ise çalışanların günlük yaşamına ilişkin toplanan verilerdir — yemekhane kartı, servis güzergâhı, otopark kaydı — ve bunların amaç dışı kullanılmaması gerekir.
İdari İşlerde KVKK Neden Ayrı Yönetilmeli?
Kurumlar uyum çalışmalarında dijital sistemlere odaklanır; oysa Kurul'a taşınan ihlallerin önemli bir kısmı basit fiziksel hatalardan doğar: yanlış kişiye teslim edilen zarf, açıkta bırakılan liste, imha edilmeden atılan belge. İdari işler birimi bu risklerin tamamının kesiştiği noktadır. Aynı birim, tesise giren tüm dış personelin de kapısıdır; temizlik görevlisinden servis şoförüne kadar herkesin verisi burada işlenir ve çoğu zaman hiçbir sözleşmeye dayanmaz.
Kilitlenmemiş arşiv ve dolaplar
Özlük dosyaları, sözleşmeler ve sağlık raporları kilitsiz dolaplarda tutulduğunda erişim kontrolü fiilen yoktur.
İmha edilmeden atılan belgeler
Kâğıt belgelerin normal çöpe atılması veya kırpılmadan hurdaya verilmesi en kolay önlenebilir ihlal türüdür.
Sözleşmesiz hizmet sağlayıcılar
Temizlik, yemek, servis ve seyahat firmaları çalışan verisi işler; veri işleyen sözleşmesi olmadan sorumluluk kurumda kalır.
Amaç dışı kullanılan yaşam verisi
Yemekhane kartı, otopark ve servis kayıtlarının devam kontrolü veya performans amacıyla kullanılması ölçüsüzdür.
Elden çıkarılan cihaz ve mobilya
Yazıcı, fotokopi makinesi ve bilgisayarların diskleri temizlenmeden satılması, arşiv niteliğinde veri kaybına yol açar.
İdari İşlerde İşlenen Kişisel Veriler
Aşağıdaki kırılım, tesis ve destek hizmetlerinden doğan veri kategorilerini gösterir. Her kalem için fiziksel saklama yeri ve imha yöntemi ayrıca tanımlanır.
Ziyaretçi ve giriş kayıtları
Ad soyad, kurum, ziyaret edilen kişi, giriş-çıkış saatleri, araç plakası, ziyaretçi kartı kayıtları
Hukuki sebep ve not: Meşru menfaat; kimlik fotokopisi ve belge rehin uygulaması kaldırılır, defter kapalı tutulur.
Fiziksel arşiv
Özlük dosyaları, sözleşme nüshaları, resmî yazışmalar, tutanaklar, imzalı formlar, eski muhasebe evrakı
Hukuki sebep ve not: Kilitli ve erişimi kayıtlı ortam gerekir; saklama süresi ve imha takvimi yazılı olmalıdır.
Seyahat ve konaklama verisi
Uçuş ve otel rezervasyonları, pasaport ve kimlik bilgileri, seyahat avansları, harcama belgeleri
Hukuki sebep ve not: Sözleşmenin ifası; acente ve otel aktarımları sözleşmeye bağlanır, belgeler süreli tutulur.
Tesis hizmet kayıtları
Yemekhane kart kayıtları, servis güzergâh ve yolcu listeleri, otopark tahsisleri, zimmet ve demirbaş formları
Hukuki sebep ve not: Yalnızca hizmetin sunulması amacıyla kullanılır; devam veya performans takibine dönüştürülemez.
Hizmet sağlayıcı personeli
Temizlik, yemek, teknik servis ve güvenlik personelinin ad soyad, kimlik ve giriş bilgileri, SGK belgeleri
Hukuki sebep ve not: İşveren hizmet sağlayıcıdır; kurumun işlediği alanlar giriş kontrolü ile sınırlandırılır.
Sağlık ve destek talepleri
Özel nitelikliEngelli çalışan için yapılan düzenleme talepleri, diyet ve alerji bildirimleri, revir kayıtları
Hukuki sebep ve not: Sağlık verisi özel nitelikli veridir; erişim yalnızca hizmeti sunan görevliyle sınırlandırılır.
Çözüm Kapsamı
Program fiziksel güvenlik düzenini kurar, imha zincirini kapatır ve destek hizmeti sağlayıcılarını sözleşmeye bağlar.
Ziyaretçi kayıt düzeni
Toplanacak veri asgariye indirilir; açık defter yerine kapalı kayıt yöntemi ve girişte aydınlatma bildirimi kurulur.
Arşiv erişim ve saklama düzeni
Arşiv odası erişimi yetkilendirilir, dolaplar kilitlenir, dosya giriş-çıkışı kayıt altına alınır.
Kâğıt imha zinciri
Kırpma cihazı yerleşimi, güvenli imha kutuları ve imha tutanağı düzeni kurulur; hurda süreci kurala bağlanır.
Destek hizmeti sözleşmeleri
Temizlik, yemek, servis, seyahat ve teknik servis firmaları için veri işleyen ve gizlilik sözleşme paketi hazırlanır.
Yaşam verisi amaç sınırı
Yemekhane, servis ve otopark kayıtlarının hangi amaçla kullanılabileceği ve kimlerin erişebileceği yazılı hâle getirilir.
Cihaz elden çıkarma prosedürü
Yazıcı, fotokopi ve bilgisayarların elden çıkarılmasında disk temizliği ve imha tutanağı zorunlu hâle getirilir.
Sahada En Sık Karşılaştığımız Tablo
- Ziyaretçi defteri girişte açık duruyor, önceki ziyaretçiler görülebiliyor.
- Arşiv odası gün boyu açık ve içerideki dolaplar kilitli değil.
- Eski bordro çıktıları normal çöp kutusuna atılıyor.
- Temizlik firmasıyla imzalanan sözleşmede veri koruma maddesi bulunmuyor.
- Yemekhane kart kayıtları devam kontrolü için İK'ya raporlanıyor.
- Kullanılmayan fotokopi makineleri disk temizliği yapılmadan hurdaya veriliyor.
Uygulama Süreci
Birim keşfi ve kapsam
Tesis fiziksel olarak gezilerek giriş noktaları, arşiv odaları, imha noktaları ve destek hizmeti akışları incelenir; sözleşme zinciri çıkarılır.
Süreç ve veri envanteri kesiti
Birimin yürüttüğü her faaliyet; veri kategorisi, hukuki sebep, saklama süresi, erişim yetkisi ve aktarım kırılımıyla kurumsal envantere işlenir.
Boşluk analizi ve önceliklendirme
Mevcut uygulama mevzuatla karşılaştırılır; bulgular ihlal olasılığı ve etkisine göre sıralanır, birim yöneticisiyle sahibi atanır.
Belge ve akış devreye alma
Aydınlatma metni, rıza akışı, sözleşme maddeleri, yetki matrisi ve prosedürler birimin günlük iş akışına gömülerek uygulamaya alınır.
Rol bazlı eğitim ve sürdürme
Birime kendi örnekleriyle eğitim verilir; periyodik gözden geçirme, yeni araç onayı ve değişiklik bildirimi takvimi devredilir.
Teslim Edilecek Çıktılar
- Departmanın veri işleme envanteri kesiti ve veri akış haritası
- Birime özel saklama ve imha süreleri tablosu
- Rol bazlı erişim yetki matrisi ve yetki gözden geçirme takvimi
- Departmanın kullandığı tedarikçiler için veri işleyen sözleşme seti
- İlgili kişi başvurusu geldiğinde birimin izleyeceği yanıt akışı
- Birime özel KVKK farkındalık eğitimi ve hızlı başvuru kartı
- Ziyaretçi kayıt talimatı ve girişte kullanılacak aydınlatma bildirimi
- Fiziksel arşiv erişim, saklama ve dosya devir prosedürü
- Kâğıt ve cihaz imha prosedürü ile imha tutanağı şablonu
- Temizlik, yemek, servis ve seyahat sağlayıcıları için sözleşme paketi
- Temiz masa ve temiz ekran talimatı
Kimler İçin Uygun?
İdari işler birimleri
Ziyaretçi, arşiv, satın alınan destek hizmetleri ve tesis işleyişini yöneten ekipler.
Tesis ve ofis yöneticileri
Çok katlı ofis ve kampüslerde fiziksel erişimi düzenleyen roller.
Arşiv ve doküman sorumluları
Kâğıt belge saklama ve imha süreçlerini yürüten görevliler.
Çok lokasyonlu kurumlar
Şube ve bölgelerde farklı uygulamalar nedeniyle standart eksikliği yaşayan yapılar.
İlgili Hizmetler
Bu departman programı, aşağıdaki danışmanlık hizmetlerinin birime uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Departmanlar
Aynı veri akışını paylaşan ya da bu birimin süreçlerine komşu olan departmanların uyum sayfaları.
Sık Sorulan Sorular
Aykırı değildir; güvenlik amacıyla ziyaretçi kaydı tutulması meşru kabul edilir. Sorun, defterin biçiminde ve içeriğindedir. Açık bir deftere yazılan bilgiler sonraki tüm ziyaretçilerce görülebilir; bu, veri güvenliği yükümlülüğüyle bağdaşmaz. Ayrıca kimlik numarası yazılması, kimlik fotokopisi alınması ve kimlik belgesinin çıkışa kadar rehin tutulması çoğu senaryoda ölçüsüzdür. Doğru uygulama; ad soyad, kurum ve ziyaret edilen birim gibi asgari bilgiyle yetinmek, kayıtları başkalarının göremeyeceği biçimde (tekil form veya dijital kayıt) almak, girişe görünür bir aydınlatma bildirimi asmak ve kayıtlar için kısa bir saklama süresi tanımlamaktır.
Kişisel veri içeren kâğıt belgeler, geri döndürülemez biçimde imha edilmelidir; pratikte bu, çapraz kesim yapan bir kırpma cihazından geçirmek veya lisanslı bir imha firmasıyla çalışmak anlamına gelir. Belgelerin bütün hâlde çöpe atılması, geri dönüşüm kutusuna konması veya kâğıt toplayıcıya verilmesi ihlal oluşturur. Kurum içinde güvenli imha kutuları konumlandırılmalı, bu kutuların kilitli olması ve düzenli boşaltılması sağlanmalıdır. Dış firmayla çalışılıyorsa firma veri işleyendir, sözleşmeye bağlanmalı ve her imha işlemi için tutanak alınmalıdır. İmha tutanakları, denetimde en çok istenen belgelerdendir.
Bu personelin işvereni temizlik firmasıdır; özlük dosyasını tutma yükümlülüğü ona aittir. Kurumun işleyebileceği veri, tesis güvenliğinin ve mevzuattan doğan denetim yükümlülüklerinin gerektirdiği kadarıyla sınırlıdır: saha giriş yetkisi için ad soyad ve giriş kaydı, gerekiyorsa SGK bildirim kontrolü ve İSG eğitim teyidi. Buna karşılık kimlik fotokopisi, adres, sağlık raporu ve tüm özlük belgelerinin kopyasını almak çoğu senaryoda ölçüsüzdür. Hangi belgenin hangi gerekçeyle alındığı yazılı olarak tanımlanmalı, hizmet sözleşmesine veri koruma maddeleri eklenmelidir.
Kullanılmamalıdır. Bu kayıtlar, hizmetin sunulması ve maliyetin hesaplanması amacıyla toplanır; çalışanın işe geliş-gidiş saatlerini denetlemek farklı bir amaçtır ve amaçla bağlantılı olma ilkesine aykırıdır. Devam takibi için ayrı ve bilinen bir sistem kullanılıyorsa yemekhane verisinin buna karıştırılması gereksizdir. Aynı ilke servis güzergâh kayıtları için de geçerlidir: bu kayıtlar çalışanın ev adresini de gösterdiğinden erişimi dar tutulmalı, güzergâh planlaması dışında kullanılmamalıdır. Amaç sınırının yazılı olması ve erişim yetkilerinin buna göre verilmesi gerekir.
Modern yazıcı ve fotokopi makineleri, taranan ve yazdırılan belgeleri dahili disklerinde saklar; bu diskler temizlenmeden cihaz satıldığında veya hurdaya verildiğinde belge içerikleri üçüncü kişilerin eline geçebilir. Elden çıkarma öncesinde cihazın dahili belleği üretici talimatına göre güvenli biçimde silinmeli, mümkünse disk fiziksel olarak sökülüp imha edilmeli ve bu işlem tutanakla kayıt altına alınmalıdır. Aynı kural bilgisayarlar, harici diskler ve telefonlar için de geçerlidir. Kiralık cihazlarda iade öncesi silme işleminin kim tarafından yapılacağı sözleşmede yazılı olmalıdır.
Kişisel veri içeren fiziksel belgeler, yetkisiz erişime karşı korunmuş bir ortamda saklanmalıdır. Uygulanabilir asgari düzen şudur: arşiv odasının kilitli tutulması, anahtar veya kart erişiminin adlı adına tanımlanması, dolapların ayrıca kilitlenmesi ve özellikle sağlık raporu, adli sicil, disiplin dosyası gibi hassas içeriklerin ayrı ve daha sıkı korunan bir bölümde tutulmasıdır. Dosyaların odadan çıkarılması bir kayıt defterine bağlanmalı, kimin ne zaman hangi dosyayı aldığı görülebilmelidir. Ayrıca her belge grubu için saklama süresi tanımlanmalı ve süresi dolanlar periyodik imha takvimiyle imha edilmelidir.
Fiziksel veri güvenliğinizi yerinde gözden geçirelim
Arşiv düzeninizi, ziyaretçi akışınızı ve destek hizmeti sözleşmelerinizi paylaşın; ücretsiz ön görüşmede en kolay kapatılabilecek riskleri birlikte çıkaralım.
