Kısaca
- Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için 3 amaçla gerekli her türlü teknik ve idari tedbiri alır.
- Veriler başka bir firma tarafından işleniyorsa tedbirlerden o firmayla birlikte müştereken sorumludur.
- Veri sorumluları ve veri işleyenler öğrendikleri verileri açıklayamaz; bu yükümlülük görevden ayrıldıktan sonra da sürer.
- Veriler kanuni olmayan yollarla başkalarınca elde edilirse durum en kısa sürede ilgilisine ve Kurula bildirilir.
- Kurul, en kısa süreyi ihlalin öğrenilmesinden itibaren 72 saat olarak belirlemiştir (2019/10 sayılı karar).
Bu yazıda (6 başlık)
İşveren, çalışan verilerinin hukuka aykırı işlenmesini ve izinsiz erişilmesini önlemek ve verileri korumak için gerekli her türlü teknik ve idari tedbiri almak zorundadır. Veriler yine de yetkisiz kişilerin eline geçerse işveren durumu ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na en kısa sürede bildirir. Kurul bu süreyi ihlalin öğrenilmesinden itibaren 72 saat olarak belirlemiştir.
Veri güvenliği: üç amaç
6698 sayılı Kanun'un 12. maddesinin ilk fıkrası:
Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
Bordro ve İK için tedbir örnekleri
| Teknik tedbir | İdari tedbir |
|---|---|
| Bordro ve özlük sistemlerinde role göre yetki | Aydınlatma metinleri ve veri envanteri |
| Güçlü parola ve iki aşamalı doğrulama | Çalışanlara gizlilik taahhüdü ve eğitim |
| Dizüstü bilgisayar ve taşınabilir bellekte şifreleme | Kâğıt özlük dosyaları için kilitli dolap ve erişim kaydı |
| Bordro pusulalarının e-postayla şifresiz gönderilmemesi | İşten ayrılan çalışanın erişimlerinin aynı gün kapatılması |
| Yedekleme ve erişim kayıtları | Veri işleyenlerle sözleşme ve denetim |
Kanun tedbirleri tek tek saymaz; tablodaki seçimler işyerinin büyüklüğüne ve risklerine göre yapılır.
Veri işleyenle birlikte sorumluluk
Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.
Bordroyu hazırlayan mali müşavir, İK yazılımı sağlayıcısı ya da OSGB bu kapsamdadır. Bu firmalarla yapılan sözleşmeye güvenlik yükümlülüklerini ve denetim hakkını yazın.
Denetim ve sır saklama
Veri sorumlusu kendi kurumunda Kanun'un uygulanmasını sağlamak için gerekli denetimleri yapar ya da yaptırır. Sır saklama yükümlülüğü ise kişiyi işten ayrıldıktan sonra da bağlar:
Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
İK'da bordro hazırlamış ve işten ayrılmış bir çalışan da öğrendiği ücret bilgilerini açıklayamaz.
Veri ihlali bildirimi: 72 saat
- maddenin beşinci fıkrası:
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
Kurul, kanundaki "en kısa süre"yi 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla ihlalin öğrenilmesinden itibaren 72 saat olarak belirledi. Kurulun karar özetlerinde bu süreyi aşan veri sorumlularına idari para cezası verildiği görülür. Bildirimde Kurumun güncel duyurularını ve bildirim formunu esas alın.
Örnek: bordro pusulası yanlış kişiye gitti
Bir çalışanın Mart bordro pusulası, isim benzerliği yüzünden başka bir çalışana e-postayla gönderildi. Pusulada ücret, kesintiler ve IBAN var.
- Durdurun. E-postayı geri çağırın, alıcıdan silmesini isteyin ve silindiğini yazılı teyit edin.
- Tespit edin. Hangi verilerin, kaç kişiyi etkileyerek, ne zaman ve kime gittiğini kayda geçirin.
- Değerlendirin. Verinin yetkisiz bir kişiye ulaştığı kesinleştiyse bildirim süresi öğrenme anından işler.
- Bildirin. Etkilenen çalışanı ve Kurulu en kısa sürede, en geç 72 saat içinde bilgilendirin.
- Önleyin. Kök nedeni giderin: pusulaları şifreli dosya ya da çalışan portalı üzerinden gönderin.
Bağlantılı yazılar
Sık sorulan sorular
Veri ihlali kaç saat içinde bildirilir? Kanun "en kısa sürede" der; Kurul bu süreyi ihlalin öğrenilmesinden itibaren 72 saat olarak belirlemiştir.
Veri ihlali kime bildirilir? İlgili kişilere ve Kişisel Verileri Koruma Kurulu'na.
Bordroyu dışarıdaki bir firma hazırlıyorsa sorumluluk kimde? Güvenlik tedbirlerinden işveren ve bordroyu hazırlayan firma birlikte sorumludur.
İşten ayrılan İK çalışanının gizlilik yükümlülüğü sürer mi? Evet. Öğrendiği kişisel verileri açıklama ve amaç dışı kullanma yasağı görevden ayrıldıktan sonra da devam eder.
Bordro pusulasını e-postayla göndermek yasak mı? Kanun bir yöntem yasaklamaz; ancak işveren verileri koruyacak tedbiri almak zorundadır. Şifreli dosya ya da kişiye özel portal gibi yöntemler yanlış gönderim riskini azaltır.
Kaynaklar
Bu yazı 06 Kasım 2026 tarihinde yürürlükteki mevzuata göre hazırlandı ve bilgilendirme amaçlıdır; bağlayıcı kaynak Resmî Gazete’de yayımlanan düzenlemeler ve ilgili kurum duyurularıdır. Bir hata görürseniz bize yazın.