KVKK Eğitimi Zorunlu mu? İşverenin Gerçek Yükümlülüğü

“KVKK eğitimi zorunlu mu?” sorusuna internette iki tür cevap veriliyor: kesin bir “evet, zorunludur” ya da belirsiz bir “tavsiye edilir”. İkisi de eksik. Doğrusu ikisinin arasında ve o aradaki fark, denetimde ne yapacağınızı belirliyor.

Kanun ne diyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için “gerekli her türlü teknik ve idari tedbiri” alma yükümlülüğü getiriyor.

Kanunun kendisinde “çalışanlara şu kadar saat eğitim verilir” gibi bir hüküm yok. Ancak Kişisel Verileri Koruma Kurumu’nun yayımladığı Kişisel Veri Güvenliği Rehberi, idari tedbirler başlığı altında çalışanların eğitilmesi ve farkındalık çalışmaları yapılmasını açıkça sayıyor.

Peki zorunlu mu, değil mi?

Pratikte şöyle: eğitim, başlı başına ayrı bir yükümlülük olarak değil, m.12’deki idari tedbir yükümlülüğünün bir parçası olarak zorunlu. Yani “eğitim vermedim” demek, tek başına cezalandırılan bir eylem değil; ama bir veri ihlali yaşandığında “gerekli idari tedbirleri aldım” savunmasını çok zayıflatan bir eksiklik.

Bu, İSG eğitiminden yapısal olarak farklı. İSG’de süre ve yenileme aralığı yönetmelikle sayıyla belirlenmiş; KVKK’da ölçüyü siz belirliyorsunuz, ispat yükü de sizde.

Ölçüyü siz belirliyorsanız neye göre belirlersiniz?

Makul bir yaklaşım, eğitimi işlenen verinin niteliğine ve çalışanın veriyle temasına göre ölçeklemek:

• Özel nitelikli veri işleyen birimler (İK, sağlık, hukuk) daha derin ve daha sık eğitim ister.
• Müşteri verisine doğrudan dokunan roller (çağrı merkezi, satış, destek) somut senaryolarla çalışmalı: hangi bilgi kime verilir, telefonda kimlik nasıl doğrulanır.
• Veriye dolaylı temas eden herkes için temel farkındalık yeterli olabilir.
• Yeni işe girenler oryantasyonda alsın; işe başladıktan aylar sonra verilen eğitim, aradaki dönemi açıkta bırakır.

Asıl mesele: ispat

Bir ihlal bildirimi yaptığınızda ya da bir denetimde, size sorulacak soru “eğitim veriyor musunuz” değil, çok daha somut olur: bu veriye erişen kişi eğitim almış mıydı, ne zaman almıştı, içeriği neydi?

Islak imzalı katılım formları bu soruyu cevaplar ama yavaş cevaplar. Kritik olan, herhangi bir gün şu tabloyu üretebilmek:

• Hangi çalışan hangi eğitimi ne zaman tamamladı
• Kim eksik, hangi departmanda yoğunlaşıyor
• Yeni girenlere atama otomatik mi yapılıyor, yoksa biri hatırlarsa mı
• Kayıt denetime sunulabilecek biçimde dışa aktarılabiliyor mu

KVKK eğitimi tek başına yetmez

Farkındalık eğitimi idari tedbirlerin yalnızca bir kalemi. Rehber; yetki matrisi, erişim logları, gizlilik taahhütnameleri, veri işleme envanteri gibi başka tedbirleri de sayıyor. Eğitim bunların yerine geçmez — ama diğerleri ne kadar iyi kurulmuş olursa olsun, kuralları bilmeyen bir çalışan zinciri kırar. En sık yaşanan ihlaller teknik değil davranışsaldır: yanlış alıcıya gönderilen e-posta, açık bırakılan ekran, WhatsApp’tan paylaşılan müşteri listesi.

Özet

KVKK eğitimi, kanunda saatle tanımlanmamış ama m.12 kapsamında beklenen bir idari tedbir. Ölçüsünü siz belirliyorsunuz; karşılığında ispat yükü de sizde. Bu yüzden asıl yatırım eğitimin kendisinden çok, verildiğini gösterebilme kabiliyetine yapılmalı.

KVKK, İSG ve oryantasyon eğitimlerini çalışanlarınıza atamak, tamamlamayanları takip etmek ve denetime hazır uyum raporu almak için CampusOnline Business’ın kurumsal eğitim platformunu inceleyebilirsiniz. Zorunlu eğitimlerin süre ve yenileme tarafını İSG eğitimi yazımızda ele aldık.

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kurumunuza özel yükümlülükler için veri koruma danışmanınıza başvurun.

Kayıt düzeninizi bugün test etmek isterseniz denetime hazırlık kontrol listemize göz atın.