Çalışanlara KVKK Eğitimi Vermek Zorunlu mu? Eğitimin Sıklığı, İçeriği, Gizlilik Taahhütnamesi ve Kurul'un Eğitim Eksikliğine Kestiği Cezalar

Kısa cevap: 6698 sayılı Kanun'da "veri sorumlusu çalışanlarına eğitim vermek zorundadır" diyen ayrı bir madde yok, buna rağmen eğitim fiilen zorunlu. Yükümlülük Kanun'un 12. maddesinin birinci fıkrasından doğuyor. Madde, kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirin alınmasını istiyor. Kişisel Verileri Koruma Kurumu'nun Ocak 2018'de yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), çalışan eğitimini bu idari tedbirlerin başında sayıyor. Bağlayıcılık da burada ortaya çıkıyor: Kurul, veri ihlali incelemelerinde eğitim verilip verilmediğine bakıyor ve eksikliği doğrudan ceza gerekçesi yapıyor. Dolayısıyla doğru soru kanunda yazıp yazmadığı değil. Doğru soru şu: yarın bir ihlal yaşansa, son bir yılda hangi çalışanınıza ne eğitimi verdiğinizi belgeleyebilir misiniz?

Yükümlülüğün metinsel yeri rehberin 2.2 numaralı bölümü, başlığı da "Çalışanların Eğitilmesi ve Farkındalık Çalışmaları". Rehberin gerekçesi teknik değil, insani. Metne göre ihlaller çoğu zaman kullanıcıların dikkatsizlik, dalgınlık veya tecrübesizlik gibi zayıf yönlerinin kullanılması suretiyle, kötü amaçlı yazılım içeren bir elektronik posta ekinin açılması ya da elektronik postanın yanlış alıcıya gönderilmesi şeklinde ortaya çıkıyor. Aynı bölüm iki şey daha söylüyor. Veri sorumlusu nezdinde çalışan herkesin, hangi konumda çalıştığına bakılmaksızın, kişisel veri güvenliğine ilişkin rol ve sorumlulukları görev tanımlarında belirlenmeli. Erişim hakkı verilirken de "Yasaklanmadıkça Her Şey Serbesttir" değil, "İzin Verilmedikçe Her Şey Yasaktır" prensibi esas alınmalı. Rehber ayrıca politika ve prosedürlerde önemli bir değişiklik olduğunda yeni eğitimlerle bunun çalışanlara aktarılmasını istiyor.

Peki ne sıklıkla? Mevzuat "düzenli" diyor, takvim vermiyor. Ama Kurum'un kendi uygulaması bir aralık ima ediyor. Kişisel Veri İhlali Bildirim Formu Kılavuzu'nun Önlemler bölümünde, forma çalışanların kişisel verilerin korunması hususunda son bir yıl içinde aldığı eğitimlerin yazılacağı, bu eğitimlere dair tevsik edici belgelerin de Ekler bölümüne eklenmesi gerektiği yazıyor. Yani ihlal anında Kurum'un sorduğu pencere son on iki ay. Bu, sahada uygulanabilir bir ritim veriyor: işe girişte ilk hafta içinde bir oturum, tüm çalışanlar için yılda en az bir tekrar, sistem ya da politika değiştiğinde kısa bir ek bilgilendirme. Üç yıl önce verilmiş güzel bir eğitimin bugünkü bir ihlalde pek işe yaramayacağını baştan kabul etmek gerekiyor.

Özel nitelikli veri işleyen ekiplerde eşik daha yukarıda. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı ilke kararı, özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemleri sayarken bu süreçlerde yer alan çalışanlar için beş başlığı birlikte arıyor: Kanun ve bağlı yönetmelikler ile özel nitelikli veri güvenliği konularında düzenli eğitim, gizlilik sözleşmelerinin yapılması, erişim yetkisine sahip kullanıcıların yetki kapsam ve sürelerinin net tanımlanması, periyodik yetki kontrolleri, görev değişikliği olan veya işten ayrılan çalışanın yetkisinin derhal kaldırılması ve kendisine tahsis edilen envanterin iade alınması. Bu liste yalnızca hastaneleri ilgilendirmiyor. Sağlık raporu gören İK uzmanı, işyeri hekimiyle yazışan idari personel, adli sicil belgesi arşivleyen güvenlik birimi aynı kapsamda.

Kurul'un eğitimi nasıl denetlediğini en net gösteren karar 20 Nisan 2021 tarihli ve 2021/407 sayılı karar. Bir hastanede, bir hekimin talimatıyla hasta dosyaları arşivden alınıp bina dışına çıkarılmış; olaya hastane çalışanlarının yanı sıra eski bir çalışan da karışmış. 789 hasta etkilenmiş, dosyalarda kimlik ve iletişim bilgilerinin yanında sağlık ve genetik veriler ile ilaç, tanı, tedavi planı ve psikolojik durum gibi ayrıntılı anamnez bilgileri yer alıyormuş. Dosyaların yalnızca 54 tanesi geri alınabilmiş. Kurul, veri sorumlusunun çalışanlarına tanımladığı kişisel verilerin korunması eğitimini tamamlatmadığını tespit etti ve bunu, yoğun biçimde özel nitelikli veri işleyen bir kuruluşta yeterli eğitimin verilmediğinin göstergesi saydı. Veri güvenliği yükümlülüğü için 450.000 TL, ihlalin tespitten 25 gün sonra bildirilmesi nedeniyle 150.000 TL olmak üzere toplam 600.000 TL idari para cezası uygulandı. Kararın en pratik dersi tek cümlede duruyor: sisteme eğitim tanımlamak, eğitim vermek değildir.

İkinci örnek çok daha sıradan bir olaydan çıktı. Kurul'un 10 Eylül 2024 tarihli ve 2024/1523 sayılı kararına konu olan turizm ve konaklama işletmesinde bir çalışan, kendisine gelen oltalama e-postasındaki bağlantıya tıklamış; yetkisiz kişiler o bilgisayarın kontrolünü ele geçirmiş. Etkilenen veri, masaüstünde duran bir ön büro vardiya çizelgesindeki 450 çalışanın ad ve soyadı. Tek bilgisayar, tek dosya, kimlik verisi. Kurul yine de 500.000 TL idari para cezası uyguladı. Gerekçede oltalama bağlantısına tıklanması, çalışanların bu konuda yeterince bilgilendirilmediğinin işareti sayıldı ve doğrudan rehberin eğitim ve farkındalık bölümüne atıf yapıldı. Karara göre işletmede ayrıca güncel olmayan yazılım sürümleri, zayıf parola kullanımı ve sunucu odası girişinde kimlik doğrulama mekanizmasının bulunmaması gibi eksikler de vardı. Veri miktarının küçük olması cezayı küçültmedi.

Üçüncü karar, "biz eğitim veriyoruz zaten" diyen kurumlar için yazılmış gibi. 9 Mayıs 2024 tarihli ve 2024/728 sayılı karara konu olayda, finans ve muhasebe alanında faaliyet gösteren uluslararası bir meslek kuruluşunun çalışanına üst yöneticiden geliyormuş gibi görünen bir e-posta ulaşmış ve üye listesinin kurum dışındaki bir adrese gönderilmesi istenmiş. İstek karşılanmış; listede 217 Türkiye üyesinin adı, soyadı, üyelik numarası ve bir kısmının e-posta adresi varmış. Sonradan e-postanın taklit bir hesaptan geldiği anlaşılmış. Veri sorumlusu, çalışanlarına gizlilik ve siber tehditler konusunda eğitim verdiğini savundu. Kurul bunu yeterli görmedi. Verilen cevabın özgün e-postadan tamamen farklı olması, gönderenin gerçekliğinin hiç sorgulanmaması ve dosyanın herhangi bir doğrulama yapılmadan gönderilmesi, veri gizliliğinin ve güvenliğinin çalışanlarca içselleştirilmediğinin göstergesi kabul edildi. Veri güvenliği için 750.000 TL, bildirimin gecikmesi için 250.000 TL, toplam 1.000.000 TL ceza çıktı. Eğitim bir belge değil, bir davranış değişikliği olarak ölçülüyor.

Eğitimin kime verileceği sorusunda en sık yapılan hata, listeyi "bilgisayar başında oturanlar" diye daraltmak. Rehberin ifadesi açık: hangi konumda çalıştığına bakılmaksızın herkes. Depoda irsaliye imzalayan, serviste müşteri kimliği gören, kasada telefon numarası soran, temizlik sırasında masada açık duran dosyaların yanından geçen personel de kapsamda. Yöneticiler ayrıca kapsamda, çünkü 2024/728'deki senaryo tam olarak üst yönetim taklidiyle işliyor. Stajyer, dönemlik çalışan ve belirli süreli sözleşmeyle çalışanlar çoğu şirkette unutuluyor; oysa ihlal bildirim formunda etkilenen çalışan ayrımı yapılmıyor. Veri işleyen konumundaki tedarikçinin personeli için de sözleşmeye eğitim ve gizlilik yükümlülüğü koymak gerekiyor, yoksa Kanun'un 12. maddesinin ikinci fıkrasındaki müşterek sorumluluk size geri dönüyor.

İçerik tarafında klasik hata, iki saat boyunca Kanun'un maddelerini okumak. Kurul kararlarına bakıldığında ihlallerin maddeyi bilmemekten değil, günlük refleksten kaynaklandığı görülüyor. Eğitimde anlatılması gereken şey sizin kendi süreçleriniz: hangi ekranda hangi veri duruyor, bu dosya hangi kanalla gönderilir, hangi kanal yasak, müşteri belgesini kişisel e-postaya veya WhatsApp'a atmak neden sorun, toplu e-postada alıcıların neden gizli alana yazılacağı, yazıcıda unutulan çıktının neden ihlal olduğu, kilitlenmemiş ekranın ne anlama geldiği. Bir de en kritiği: şüpheli bir durum görüldüğünde kime, kaç dakika içinde haber verilecek. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararındaki 72 saatlik bildirim süresi, sahadaki ilk telefonun ne kadar hızlı edildiğine bağlı. Yılda bir kez yapılan sahte oltalama tatbikatı ve sonuçlarının eğitime geri beslenmesi, slayt sayısını artırmaktan daha çok iş görüyor.

Eğitim tek başına da yeterli değil. Rehberin idari tedbirler tablosunda eğitim ve farkındalık faaliyetlerinin yanında kişisel veri işleme envanteri, kurumsal politikalar, veri sorumlusu ve veri işleyen arasındaki sözleşmeler, gizlilik taahhütnameleri, risk analizleri, kurum içi periyodik ve rastgele denetimler ile iş sözleşmesi ve disiplin yönetmeliğine Kanuna uygun hükümler eklenmesi de sayılıyor. Kanun'un 12. maddesinin üçüncü fıkrası zaten veri sorumlusuna gerekli denetimleri yapma veya yaptırma yükümlülüğü getiriyor. Meraktan müşteri kaydı açan bir çalışanı eğitim durdurmaz, yetki matrisi durdurur. Kayıt tutmak da bu başlığın ayrılmaz parçası: katılımcı listesi, tarih, süre, işlenen konular, imza ya da sistem kaydı ve mümkünse kısa bir değerlendirme. İspat yükü veri sorumlusunda; eğitim yaptığınızı gösteremiyorsanız, Kurul açısından yapılmamış sayılır.

Çalışanın kendi sorumluluğu da masada duruyor ve eğitim aslında onu da koruyor. Kanun'un 12. maddesinin dördüncü fıkrası, veri sorumluları ile veri işleyen kişilerin öğrendikleri kişisel verileri Kanun'a aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını söylüyor; bu yükümlülük görevden ayrıldıktan sonra da sürüyor. Ceza tarafında Türk Ceza Kanunu'nun 135. maddesi kişisel verileri hukuka aykırı olarak kaydeden kişi için bir yıldan üç yıla kadar, 136. maddesi bu verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörüyor; 137. madde ise suçun belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde cezanın yarı oranında artırılacağını söylüyor. İş hukuku tarafında 4857 sayılı İş Kanunu'nun 25. maddesinin ikinci fıkrası, doğruluk ve bağlılığa uymayan davranışları haklı nedenle derhal fesih sebepleri arasında sayıyor. Buna karşılık işveren, olayı çalışanın hatasına yıkarak sorumluluktan kurtulamıyor; 2024/728 sayılı karar bunun en açık örneği.

Rakamlar bu tartışmayı soyut olmaktan çıkarıyor. 2026 yılında veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 256.357 TL ile 17.092.242 TL, Kurul kararlarını yerine getirmeyenler hakkında 427.263 TL ile 17.092.242 TL arasında idari para cezası uygulanıyor. Başlanacak yer de karmaşık değil: kimin hangi tarihte hangi eğitimi aldığını gösteren tek bir tablo tutun, işe giriş ve yıllık tekrar takvimini yazılı hale getirin, özel nitelikli veriye dokunan ekipler için ayrı bir oturum ve gizlilik taahhütnamesi ekleyin, disiplin yönetmeliğinize kişisel veri hükümleri koyun, yılda en az bir oltalama tatbikatı yapın ve eğitim belgelerini ihlal anında dakikalar içinde çıkarabileceğiniz bir yerde toplayın. Eğitim kayıtlarınızın bir Kurul incelemesinde ayakta kalıp kalmayacağından emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut eğitim düzeninizi, belgelerinizi ve yetki yapınızı birlikte gözden geçirebiliriz.

Randevu Al