Kişisel veri ihlalleri çoğu zaman karmaşık bir saldırıdan değil, günlük bir hatadan doğar: yanlış kişiye giden bir e-posta, ortak klasörde unutulan bir müşteri listesi, kimlik avı bağlantısına tıklayan bir çalışan. Bu yüzden KVKK uyumu yalnızca hukuk ve BT ekiplerinin işi değildir. KVKK farkındalık eğitimi, kurumdaki herkesin kişisel verilere nasıl davranması gerektiğini öğrendiği ve uyum programının insan tarafını oluşturan eğitimdir. Bu rehberde eğitimin kimlere verilmesi gerektiğini, içeriğinde neler olması gerektiğini ve nasıl planlanacağını anlatıyoruz.
KVKK farkındalık eğitimi neden gerekli?
6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016’da yürürlüğe girdi. Kapsamını KVKK kimler için zorunludur? yazımızda anlattık. Kanunun 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlü kılar.
Kanun çalışan eğitimini doğrudan sayarak zorunlu kılmaz. Ancak eğitim ve farkındalık faaliyetleri idari tedbirler arasında değerlendirilir ve bir ihlal sonrasında kurumun aldığı tedbirler incelenirken önem kazanır. Teknik tedbirler ne kadar güçlü olursa olsun, kişisel veriye dokunan her çalışan bir risk noktasıdır. Eğitimin kapsamını kurumunuzun durumuna göre netleştirmek için hukuk danışmanınıza başvurmanızı öneririz.
Eğitimi kimler almalı?
- Tüm çalışanlar: Kişisel veriyle kısa da olsa temas eden herkes için temel farkındalık.
- Yeni başlayanlar: İşe girişte, ilk haftalarda verilen oryantasyonun parçası.
- İnsan kaynakları, müşteri hizmetleri, satış ve pazarlama: Günlük olarak en çok kişisel veri işleyen ekipler.
- BT ve yazılım ekipleri: Verinin saklandığı, taşındığı ve erişildiği sistemlerin sahipleri.
- Yöneticiler: Sorumluluğu, ihlal bildirimini ve kurumsal kararları anlamak için.
Eğitimde anlatılması gereken sekiz konu
- Kişisel veri ve özel nitelikli kişisel veri: Hangi bilgilerin kapsama girdiği, sağlık ve biyometrik gibi özel nitelikli verilerin neden ayrı ele alındığı.
- Veri işleme ilkeleri: Hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaçla işleme, ölçülülük.
- Aydınlatma ve açık rıza: Hangi durumda kimin neyi bilgilendirmesi gerektiği ve rızanın ne zaman gerektiği.
- İlgili kişi hakları: Kişilerin bilgi talep etme ve düzeltme hakları, başvuruların kurumda kime iletileceği.
- Günlük güvenli davranışlar: Temiz masa, ekran kilidi, parola yönetimi, e-posta ve mesajlaşma uygulamalarında veri paylaşımı, kişisel cihaz kullanımı.
- Kimlik avı ve sosyal mühendislik: Şüpheli e-postaları tanımak ve bildirmek. Konuyu siber güvenlik farkındalık eğitimi rehberimizde ayrıntılı ele aldık.
- Veri ihlali anında ne yapılır: Fark eden çalışanın kime, ne kadar hızlı haber vereceği.
- Saklama, imha ve aktarım: Verinin ne kadar saklanacağı, güvenli imha ve üçüncü taraflarla paylaşım kuralları.
İhlal anında çalışanın görevi: 72 saat kuralı
Kişisel Verileri Koruma Kurulu’nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul’a bildirim yapmalıdır. Bu süre ihlalin kurumda fark edildiği anda başlar. Dolayısıyla sürenin kullanılabilmesi, ihlali ilk gören çalışanın gecikmeden doğru kişiye haber vermesine bağlıdır. Farkındalık eğitiminin en kritik sorusu bu yüzden şudur: “Bir şeyin ters gittiğini fark ettim, kime ve nasıl haber veririm?” Çalışanların bu soruya eğitimin sonunda ezbere cevap verebilmesi gerekir.
Rol bazlı içerik nasıl farklılaşır?
| Hedef kitle | Temel konulara ek odak |
|---|---|
| Tüm çalışanlar | Günlük güvenli davranışlar, kimlik avı, ihlal bildirimi |
| İnsan kaynakları | Özlük dosyaları, özel nitelikli veriler, saklama ve imha süreleri |
| Müşteri hizmetleri, satış, pazarlama | Aydınlatma, açık rıza, ilgili kişi başvuruları, ticari ileti |
| BT ve yazılım | Erişim yetkileri, kayıt tutma, güvenli geliştirme, yedekleme |
| Yöneticiler | Veri sorumlusu yükümlülükleri, ihlal bildirimi kararı, risk değerlendirmesi |
KVKK farkındalık eğitimi nasıl planlanır?
- Mevcut durumu belirleyin. Hangi ekip hangi kişisel veriyi işliyor, geçmişte hangi hatalar yaşandı, çalışanlar ihlal bildirim yolunu biliyor mu?
- Hedef kitleye göre kapsam belirleyin. Herkese ortak temel oturum ve riskli ekiplere ek modül daha etkilidir.
- Formatı seçin. Canlı online veya yüz yüze oturum soru sormayı mümkün kılar. Kısa modüller dağınık ekiplerde katılımı artırır.
- Gerçek örnek kullanın. Kendi sektörünüzden anonimleştirilmiş vakalar ve kurumsal e-posta örnekleri ezberden çok davranış değiştirir.
- Ölçün. Eğitim sonunda kısa bir sınav ve katılım kaydı tutun. Sorulan sorular bir sonraki eğitimin içeriğini belirler.
- Tekrarlayın. Düzenli aralıklarla ve işe yeni başlayanlar için yineleyin. Mevzuat, süreçler ve tehditler değiştikçe içerik güncellenmelidir.
BlueMark Academy’den ilgili eğitimler
- Veri Yönetişimi Farkındalığı: GDPR ve KVKK Uyumunda Yol Haritası Eğitimi: 2 gün, veri yönetimi, bilgi güvenliği ve GDPR/KVKK uyumu farkındalığı.
- Etkili Bilgi Güvenliği Farkındalık Programı Oluşturma Eğitimi: 2 gün, kuruma uygun bir farkındalık programı tasarlamak ve ölçmek için.
- Bilgi Güvenliği Yönetimi Eğitimi: 2 gün, bilgi güvenliği yönetimi, risk ve iş sürekliliği.
- Güvenli Yazılım Geliştirme Farkındalık Eğitimi: 1 gün, yazılım geliştiriciler için güvenli kod farkındalığı.
Tüm çalışanlar için kurumunuza özel bir KVKK farkındalık oturumu planlamak istiyorsanız eğitim sayfalarındaki iletişim formundan ya da iletişim sayfamızdan ekibinizin ihtiyacını iletebilirsiniz.
Sık sorulan sorular
KVKK eğitimi zorunlu mu?
Kanun çalışan eğitimini doğrudan zorunlu kılmaz. Veri sorumlusunun teknik ve idari tedbir alma yükümlülüğü vardır ve eğitim bu tedbirlerin parçası olarak değerlendirilir. Kapsamı için hukuk danışmanınıza başvurun.
KVKK farkındalık eğitimi ne sıklıkla verilmeli?
Sabit bir süre yoktur. Uygulamada işe girişte ve düzenli aralıklarla yinelenmesi önerilir. Mevzuat veya süreçler değiştiğinde içerik güncellenmelidir.
Eğitim online yapılabilir mi?
Evet. Canlı online oturumlar soru sormaya imkân verir ve dağınık ekipler için uygundur. BlueMark Academy eğitimleri online veya yüz yüze planlanabilir.
Kişisel veri ihlali olursa ilk ne yapılmalı?
İhlali fark eden çalışan, gecikmeden kurumdaki sorumlu kişiye haber vermelidir. Kurul’un kararına göre veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul’a bildirim yapar. Bildirim sürecini önceden tanımlamak bu süreyi yönetmeyi kolaylaştırır.
KVKK eğitimini kim vermeli?
Hukuki konular için hukuk danışmanı, güvenlik ve veri yönetimi konuları için bilgi güvenliği ve veri yönetişimi uzmanları birlikte çalıştığında eğitim en etkili olur.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir.