Kısaca
- Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alır.
- Veriler başka bir firma tarafından işleniyorsa tedbirlerden o firmayla birlikte müştereken sorumludur.
- Veri sorumluları ve veri işleyenler öğrendikleri verileri açıklayamaz; bu yükümlülük görevden ayrıldıktan sonra da sürer.
- Veriler kanuni olmayan yollarla başkalarınca elde edilirse durum en kısa sürede ilgilisine ve Kurula bildirilir.
Bu yazıda
İK birimleri kimlik, adres, banka, sağlık ve ücret bilgilerini bir arada tutar; bu da onları veri güvenliği bakımından en hassas birimlerden biri yapar. 6698 sayılı Kanun'un 12. maddesi veri sorumlusunun güvenlik yükümlülüklerini ve bir ihlal hâlinde yapılacakları düzenler.
Üç amaç, her türlü tedbir
Veri sorumlusu:
- Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
- Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
- Kişisel verilerin muhafazasını sağlamak
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır.
İK için tedbir örnekleri
| Teknik tedbir | İdari tedbir |
|---|---|
| Bordro ve özlük sistemlerinde rol bazlı yetki | Aydınlatma metinleri ve veri envanteri |
| Güçlü parola ve iki aşamalı doğrulama | Çalışanlara gizlilik taahhüdü ve eğitim |
| Taşınabilir belleklerde ve dizüstü bilgisayarlarda şifreleme | Kâğıt özlük dosyaları için kilitli dolap ve erişim kaydı |
| Bordro dosyalarının e-postayla şifresiz gönderilmemesi | İşten ayrılan çalışanın erişimlerinin aynı gün kapatılması |
| Yedekleme ve erişim kayıtlarının tutulması | Veri işleyenlerle sözleşme ve denetim |
Bu tablo kanunun “gerekli her türlü teknik ve idari tedbir” ifadesinin uygulamadaki karşılıklarına örnektir; işyerinizin büyüklüğüne ve risklerine göre seçilmelidir.
Veri işleyenle müşterek sorumluluk
Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, güvenlik tedbirlerinin alınması konusunda bu kişilerle birlikte müştereken sorumludur. Bordro hizmeti aldığınız mali müşavir, İK yazılımı sağlayıcınız ya da OSGB bu kapsamdadır.
Denetim yükümlülüğü
Veri sorumlusu kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.
Sır saklama
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülük görevden ayrılmalarından sonra da devam eder. İK'da görev yapıp işten ayrılan bir çalışan için de durum budur.
Veri ihlali bildirimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekirse bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
Bildirimin şekli ve süreye ilişkin ayrıntılar Kişisel Verileri Koruma Kurulunun kararlarıyla belirlenmiştir; ihlal hâlinde Kurumun güncel duyurularını ve bildirim formunu esas alın.
Olası bir ihlalde ilk adımlar
- İhlali durdurun (ör. yanlış gönderilen e-postanın geri çağrılması, erişimin kapatılması).
- Hangi verilerin, kaç kişiyi etkileyecek şekilde ve ne zaman ele geçirildiğini tespit edin.
- Etkilenen çalışanları ve Kurulu en kısa sürede bilgilendirin.
- Kök nedeni bulun ve tekrarını önleyecek tedbiri alın; süreci belgeleyin.
Bağlantılı yazılar
Kaynaklar
Bu yazı 23 Ekim 2026 tarihinde yürürlükteki mevzuata göre hazırlandı. Genel bilgilendirme amaçlıdır; somut bir olayda hukuki ya da mali müşavirlik desteği yerine geçmez. Bir hata görürseniz bize yazın.