Çalışanlara KVKK Eğitimi Nasıl Verilir? Kapsam, Sıklık ve Kayıt Rehberi

Birçok şirkette çalışan KVKK eğitimi, yıllar önce bir kez yapılmış bir sunumdan ya da işe girişte imzalatılan bir taahhütnameden ibarettir. Böyle bir eğitim, çalışanın yanlış alıcıya e-posta göndermesini, oltalama bağlantısına tıklamasını ya da aday dosyasını masada bırakmasını önlemez. Bu risklerin nasıl ortaya çıktığını çalışan kaynaklı veri ihlalleri yazımızda ele aldık.

Bu rehber, eğitimin nasıl planlanacağına odaklanıyor: dayanağı ne, hangi konular işlenmeli, roller nasıl ayrışmalı, ne sıklıkla tekrarlanmalı ve nasıl belgelenmeli. Sonda, planınızı kontrol etmek için kullanabileceğiniz indirilebilir bir kontrol listesi bulacaksınız.

KVKK'da eğitimin dayanağı: idari tedbirler

6698 sayılı Kanun’un 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almakla yükümlü tutar. Kanun bu tedbirleri tek tek saymaz; ayrıntı, Kişisel Verileri Koruma Kurumu’nun yayımladığı rehberlerde yer alır.

Kurum’un Kişisel Veri Güvenliği Rehberi, idari tedbirler arasında “Çalışanların Eğitilmesi ve Farkındalık Çalışmaları” başlığına ayrı bir bölüm ayırır. Rehbere göre çalışanların kişisel verilerin hukuka aykırı açıklanmaması ve paylaşılmaması gibi konularda eğitim alması ve farkındalık çalışmaları yapılması, kişisel veri güvenliğinin sağlanması bakımından çok önemlidir. Rehber ayrıca her çalışanın veri güvenliğine ilişkin rol ve sorumluluklarının görev tanımlarında belirlenmesini, gizlilik anlaşmalarını ve politikalara uyulmaması hâlinde işletilecek bir disiplin sürecini önerir.

Kanun eğitim için bir süre, sıklık ya da format belirlemez. Bu nedenle sorulması gereken soru “eğitim zorunlu mu?” değil, “aldığımız tedbiri gösterebiliyor muyuz?” sorusudur.

Eğitimde işlenmesi gereken başlıklar

Tüm çalışanlar için temel program aşağıdaki başlıkları kapsamalıdır. Kanun maddeleri, çalışanın konuyu hangi yükümlülükle ilişkilendireceğini gösterir.

Rol bazlı içerik: İK, satış, BT

Temel program herkes için aynıdır; ancak riskin yoğunlaştığı birimlere ek içerik gerekir. Aşağıdaki örnekler bir başlangıç noktasıdır:

• İnsan kaynakları. Aday özgeçmişleri, özlük dosyaları, bordro ve sağlık raporu gibi özel nitelikli veriler. Ek içerik: aday ve çalışan aydınlatma metinleri, özel nitelikli verinin ayrı saklanması, işten ayrılan çalışanın dosyasının saklama süresi, referans kontrolünde paylaşılabilecek bilgi.
• Satış ve pazarlama. Müşteri iletişim bilgileri, CRM kayıtları, kampanya listeleri. Ek içerik: listelerin hangi hukuki sebeple kullanıldığı, ticari ileti izni ile KVKK aydınlatmasının farkı, fuarda ya da etkinlikte toplanan kartvizitler, listelerin kişisel cihazlarda tutulmaması.
• Bilgi teknolojileri. Tüm sistemlere geniş erişim. Ek içerik: yetki yönetimi ve işten ayrılanların erişiminin kapatılması, log kayıtları, yedekleme, bulut hizmetleri ve yurt dışı aktarım, ihlal anında ilk müdahale adımları.
• Müşteri hizmetleri ve ön büro. Telefonda ya da masada kimlik doğrulama. Ek içerik: arayanın kimliğini doğrulamadan bilgi vermemek, ilgili kişi başvurusunu tanıyıp doğru birime iletmek.
• Yöneticiler. Ekip verisine erişim ve karar yetkisi. Ek içerik: ekip içinde veri paylaşımı, performans notlarının saklanması, ihlal bildiriminde yöneticinin rolü.

Sıklık ve yeni çalışan eğitimi

Kanun bir sıklık öngörmediği için takvimi şirket belirler. Kurum’un rehberi bir ölçüt verir: Kişisel veri güvenliğine ilişkin politika ve prosedürlerde önemli değişiklikler olduğunda, yeni eğitimlerle bu değişiklikler çalışanların bilgisine sunulmalı ve tehditlere ilişkin bilgileri güncel tutulmalıdır.

Uygulamada sık kullanılan ve savunulabilir bir takvim dört tetikleyiciye dayanır. Birincisi işe giriş: Yeni çalışan, kişisel veriye erişim yetkisi verilmeden önce ya da ilk haftası içinde temel eğitimi tamamlar. İkincisi yıllık tekrar: Tüm çalışanlar yılda bir kez güncellenmiş içerikle eğitimi yeniler. Üçüncüsü değişiklik: Yeni bir sistem, tedarikçi, politika ya da mevzuat değişikliği olduğunda ilgili birimlere kısa bir güncelleme yapılır. Dördüncüsü olay: Bir ihlal ya da ramak kala olay sonrasında, ilgili birime hedefli bir tekrar eğitimi verilir.

Yeni çalışan eğitimi en çok atlanan adımdır. Personel devrinin yüksek olduğu şirketlerde, bir yıllık eğitim döngüsü içinde çalışanların önemli bir kısmı hiç eğitim almamış olabilir. Bu nedenle yeni çalışan eğitimini işe giriş sürecinin sabit bir adımı yapmak gerekir.

Katılım kaydı ve test ile belgelendirme

Bir Kurul incelemesinde ya da kurumsal müşteri denetiminde “çalışanlarımızı eğittik” demek yeterli değildir; bunun kanıtı istenir. İyi bir kayıt şu soruları yanıtlar: Kim, hangi tarihte, hangi sürümdeki içeriği, hangi formatta tamamladı ve öğrendiğini ölçen bir testi geçti mi?

Kayıtlı (asenkron) eğitimlerde bu bilgiler bir öğrenme yönetim sistemi (LMS) üzerinden otomatik tutulabilir: atama tarihi, tamamlama durumu, test puanı ve sertifika. Canlı ya da yüz yüze eğitimlerde katılım listesi, eğitim tarihi, eğitmen ve kullanılan sunumun bir kopyası saklanmalıdır.

Test, eğitimin anlaşıldığını göstermenin en basit yoludur. Senaryo tabanlı sorular (“Bu e-posta ekini açmalı mısınız?”, “Bu başvuruyu kime iletirsiniz?”) bilgi sorularından daha iyi sonuç verir. Kayıtlar, eğitim içeriğinin hangi tarihte güncellendiğini de göstermelidir; böylece hangi çalışanın hangi bilgiyle eğitildiği izlenebilir.

Eğitim planı kontrol listesi (indirilebilir)

Aşağıdaki 10 madde, indirilebilir kontrol listesinin özetidir. Her maddeyi “var / kısmen / yok” olarak işaretleyin:

• Hedef gruplar. Tüm çalışanlar ve ek içerik gerektiren birimler (İK, satış, BT, müşteri hizmetleri, yöneticiler) listelendi.
• Konu modülleri. Temel program ve rol bazlı modüller yukarıdaki başlıklara göre belirlendi.
• Format. Her grup için kayıtlı, canlı online ya da yüz yüze format seçildi.
• Sorumlu. Programın sahibi (İK, uyum sorumlusu ya da veri koruma ekibi) belirlendi.
• Yeni çalışan adımı. Eğitim, işe giriş sürecine ve erişim yetkisi verilmesinden önceki adıma bağlandı.
• Tekrar takvimi. Yıllık tekrar ve değişiklik ya da olay sonrası güncelleme tetikleyicileri tanımlandı.
• Ölçme. Her modül için senaryo tabanlı bir test ve başarı ölçütü belirlendi.
• Katılım kaydı. Kim, ne zaman, hangi içerik ve hangi puan bilgileri tek bir yerde tutuluyor.
• Kanıt dosyası. Eğitim içeriği sürümleri, katılım listeleri ve test raporları denetimde sunulabilecek şekilde arşivleniyor.
• Bildirim kanalı. Çalışan, bir ihlal ya da şüphe durumunda kime ve nasıl bildireceğini eğitimde öğreniyor.

Excel biçimindeki tam listede her madde için sorumlu, hedef tarih ve kanıt sütunları bulunur. Şablonu e-posta adresinizle ücretsiz indirebilirsiniz.

Sonuç ve sonraki adım

Çalışan KVKK eğitimi, KVKK’nın 12. maddesindeki idari tedbir yükümlülüğünün en görünür parçasıdır. Etkili bir program temel kavramları ve günlük riskleri herkese öğretir, riskin yoğun olduğu birimlere ek içerik verir, işe girişte ve düzenli aralıklarla tekrarlanır ve her adımı belgelenir.

Sonraki adım olarak mevcut durumunuzu kontrol listesiyle karşılaştırın ve eksik maddeleri bir takvime bağlayın. Tüm çalışanlara atanabilen kayıtlı bir temel program için KVKK Farkındalık Eğitimi sayfasını, uyum ve İK ekiplerine yönelik idari süreç odaklı canlı program için KVKK Çözümleri: İdari Yönler sayfasını inceleyebilirsiniz. Birden fazla birim ve lokasyon için planlama yapıyorsanız kurumsal çözümler sayfasındaki eğitim modellerine bakabilirsiniz.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (md. 3–13) — Mevzuat Bilgi Sistemi: www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf
• Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — Kişisel Verileri Koruma Kurumu, Ocak 2018: kvkk.gov.tr/SharedFolderServer/CMSFiles/7512d0d4-f345-41cb-bc5b-8d5cf1
• Veri İhlali Bildirimi — Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararı — Kişisel Verileri Koruma Kurumu, 15.02.2019: www.kvkk.gov.tr/Icerik/5362/Veri-Ihlali-Bildirimi
• İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı — Kişisel Verileri Koruma Kurumu, 05.03.2026: www.kvkk.gov.tr/Icerik/8674/is-yerlerinde-uretken-yapay-zeka-araclarin

Son güncelleme: Ekim 2026 · Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş yerine geçmez.