Bordro firmasına çalışan listesi, IBAN bilgileri ve maaş tabloları göndermek günlük bir iştir. Ama bu dosyalar kimlik, ücret, banka ve çoğu zaman sağlık bilgisi içerir. Yani İK ekibinin her ay bir dış kuruma bıraktığı şey, şirketin en hassas kişisel veri setlerinden biridir.
İşe alım sırasında imzalanan personel KVKK sözleşmesi ya da aydınlatma metni bu dosyaların güvenliğini tek başına çözmez. Bordro firmasıyla yapılan veri işleme düzeni ayrıca kurulmalıdır. Bu rehber, İK, bilgi güvenliği, hukuk ve satın alma ekiplerinin bordro firmasına veri vermeden önce birlikte geçebileceği 8 maddelik bir kontrol listesi sunar. Yılda 1,5 milyondan fazla bordro hesaplayan Datassist ekibinin sahada gördüğü açıkları da maddelere ekledik.
Bordro Verisi Neden Ayrı Dikkat İster?
Bordro dosyası tek bir bilgi türünden oluşmaz. Ad soyad ve T.C. kimlik numarasının yanında brüt ve net ücret, banka hesabı, medeni durum, bakmakla yükümlü olunan kişiler, icra kesintileri ve raporlu günler aynı tabloda buluşur. Sağlık verisi gibi özel nitelikli bilgiler de dosyaya sızabilir. Bu yüzden bordro verisi, sıradan bir tedarikçi paylaşımından daha sıkı korunmalıdır.
Hukuki çerçevenin ilk adımı rolleri doğru koymaktır. 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nda (KVKK) çalışanın verisini işleme amacını ve yöntemini belirleyen işveren veri sorumlusudur. Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen bordro firması ise veri işleyen olur. Bordroyu dışarıya vermek bu sorumluluğu devretmez.
Müşterek sorumluluk ne anlama gelir?
Kanunun 12. maddesine göre veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması konusunda o kişiyle birlikte müştereken sorumludur. Kişisel Verileri Koruma Kurumu bu kuralı veri güvenliği yükümlülükleri sayfasında, kayıtlarını bir muhasebe şirketine tutturan bir şirket örneğiyle anlatır. Aynı mantık bordro için de geçerlidir. Güvenlik açığı bordro firmasında doğsa bile işveren “bu iş dışarıda yapılıyordu” diyerek tamamen sorumluluktan çıkamaz.
Mevzuat Notu: KVKK madde 12/2’ye göre veri sorumlusu, verileri kendi adına işleyen kişilerle birlikte güvenlik tedbirlerinden müştereken sorumludur. Güncel madde metnini Kanunun resmî metninde okuyabilirsiniz.
Bu nedenle bordro firması seçimi yalnızca fiyat ve hizmet kapsamı kararı değildir. Aynı zamanda bir veri güvenliği kararıdır, bu yüzden sözleşmeden önce ele alınmalıdır. Seçim kriterlerini bordro firması nasıl seçilir rehberinde ayrıca ele aldık.
Personel KVKK Sözleşmesi Bordro Firmasına Aktarımı Karşılar mı?
Kısa cevap hayır. İşe girişte çalışana imzalatılan personel KVKK sözleşmesi ya da aydınlatma metni, işverenin çalışan verisini hangi amaçla, hangi hukuki sebebe dayanarak işlediğini anlatır. Bordro firmasıyla işveren arasındaki veri işleme ilişkisini ise bu belge düzenlemez. İkisi farklı hukuki ilişkilerdir.
Kanunun 10. maddesi, işverenin çalışana verilerin kimlere ve hangi amaçla aktarılabileceğini bildirmesini ister. Bu yüzden aydınlatma metninde bordro hizmeti alınan alıcı grubu görünmelidir. Metinde “hizmet sağlayıcılar” gibi çok genel bir ifade varsa, bordro, SGK bildirimi ve banka ödemesi için veri paylaşıldığını açıkça yazmak çalışan için daha anlaşılırdır.
Çalışan tarafındaki belge ile bordro firması tarafındaki belge aşağıdaki gibi ayrılır:
| Belge | Taraflar | Ne düzenler? |
|---|---|---|
| Aydınlatma metni / personel KVKK sözleşmesi | İşveren ve çalışan | Verinin amacı, hukuki sebebi, alıcı grupları, çalışanın hakları |
| Veri işleme sözleşmesi | İşveren ve bordro firması | Talimat kapsamı, güvenlik tedbirleri, alt işleyen, saklama ve imha, olay bildirimi |
| Gizlilik taahhüdü | Bordro firması ve kendi çalışanları | Verilere erişen kişilerin sır saklama yükümlülüğü |
Üçüncü satırı ihmal etmeyin. Kanunun 12. maddesinin dördüncü fıkrası, veri sorumlusu ve veri işleyen kişilerin öğrendikleri verileri işleme amacı dışında kullanamayacağını ve bu yükümlülüğün görevden ayrıldıktan sonra da süreceğini söyler.
Çalışan tarafındaki saklama süreleri ayrı bir konudur. Özlük belgelerinin ne kadar tutulacağını özlük dosyası saklama süresi yazımızda anlattık.
Bordro Firmasına Veri Vermeden Önce 8 Maddelik Kontrol Listesi
Aşağıdaki liste, Kurumun Kişisel Veri Güvenliği Rehberi‘ndeki veri işleyenlerle ilişki yönetimi önerilerini bordro süreçlerine uyarlar. Rehber bir tavsiye metnidir. Bu yüzden her maddede neyin kanundan, neyin iyi uygulamadan geldiğini ayrı yazdık.
1. Veri akışını haritalayın
Hangi veri hangi dosyayla, hangi yönde ve hangi sıklıkla gidiyor? Aylık puantaj dosyası, yeni giriş formu, çıkış bildirimi, avans listesi ve banka talimatı aynı risk seviyesinde değildir. Önce kişisel veri envanterinizdeki bordro kalemlerini listeleyin.
Rehber, aktarılan kişisel veri kategori ve türlerinin sözleşmede ayrı bir maddede belirtilmesini önerir. Bordro firması gerçekte ihtiyaç duymadığı alanları (örneğin raporun tanısı veya bakmakla yükümlü olunan kişilerin ayrıntıları) almamalıdır. Gönderilen veriyi azaltmak, en ucuz güvenlik tedbirlerinden biridir.
2. Erişim yetkisini role ve isme bağlayın
İşveren tarafında dosyaları kimler gönderiyor, bordro firması tarafında kimler açıyor? Ortak e-posta kutuları, paylaşılan şifreler ve “herkes görsün” klasörleri bordro sürecinde en sık görülen açıklardır. Yetkili kişi listesini yazılı tutun ve ayrılan ya da görev değiştiren kişinin erişimini aynı gün kapatın.
Bordro firmasından da hangi rolün hangi veriye eriştiğini, erişimlerin kayıt altına alınıp alınmadığını ve bu kayıtların ne kadar süre saklandığını sorun. Yüksek ücretli yönetici bordrolarına ayrı erişim sınırı konulması iyi bir uygulamadır.
3. Güvenli kanal kullanın
Bordro dosyasını düz e-posta ekiyle, mesajlaşma uygulamasıyla ya da şifresiz USB ile taşımak sürecin en zayıf halkasıdır. Güvenli dosya transferi, şifreli bağlantı, iki kademeli kimlik doğrulama ve gerekirse API entegrasyonu tercih edilir. Rehber de bulutta saklanan veriler için iki kademeli kimlik doğrulama ve şifreleme önerir.
Aktarım kanalı kadar gönderim alışkanlığı da önemlidir. Dosya adında kimlik numarası bırakmak, yanlış alıcıya gitme riskini doğrudan büyütür. Mümkünse puantaj ve değişiklik verisi İK sisteminden bordro sistemine entegrasyonla akıtılmalıdır. Bu konuyu PDKS verilerinin bordroya aktarımı yazısında anlattık.
4. Yazılı veri işleme sözleşmesi isteyin
Kanun, veri işleyenle yapılacak sözleşmenin biçimini tek tek saymaz. Ancak Rehber, sözleşmenin yazılı olmasını ve veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda, sözleşmedeki amaç ve kapsama uygun hareket edeceğini içermesini önerir. Süresiz sır saklama yükümlülüğünün ve olası bir veri ihlalinde veri işleyenin durumu derhal bildireceği hükmünün de sözleşmede yer almasını tavsiye eder.
Sözleşmede en az şu başlıklar bulunmalıdır:
- İşlenecek veri kategorileri ve işleme amacı
- Yalnızca yazılı talimata göre işleme
- Güvenlik tedbirleri ve denetim hakkı
- Alt işleyen kuralları
- Olay bildirim süresi ve iletişim kişileri
- Sözleşme sonunda iade, silme veya imha
Bu başlıkları teklifteki kapsam kalemleriyle birlikte okumak, hizmet kapsamı ile veri sorumluluğunu aynı masada tutar. Teklifte hangi bilgilerin istenmesi gerektiğini bordro hizmeti fiyatları yazısında topladık.
5. Alt işleyenleri ve altyapıyı sorun
Bordro firması hesaplamayı kendi ekibiyle yapsa bile bulut altyapısı, e-posta hizmeti, yedekleme veya destek yazılımı için başka sağlayıcılar kullanıyor olabilir. Bu zincirdeki her halka verinin güvenliğini etkiler. Sözleşmede alt işleyen kullanımı için önceden yazılı onay ya da en azından bildirim şartı aranmalıdır.
Sorulması gerekenler basittir: Hangi alt işleyenler var? Hangi veriye erişiyorlar? Aynı güvenlik yükümlülükleri onlara da yazılı olarak geçiyor mu? Rehber, bulut kullanımında hizmet sağlayıcının güvenlik önlemlerinin yeterli olup olmadığını veri sorumlusunun değerlendirmesi gerektiğini söyler. Yani “bulutta çalışıyoruz” cevabı tek başına yeterli değildir.
6. Yurt dışı erişimi ve barındırmayı netleştirin
Veri bir yabancı sunucuda barındırılıyorsa, global bir destek ekibi dosyaya erişebiliyorsa ya da grup şirketi raporları yurt dışından çekiyorsa konu KVKK’nın 9. maddesine girebilir. Madde 2024’te 7499 sayılı Kanunla değiştirildi. Güncel metinde yurt dışına aktarım için temel kural, işleme şartlarından birinin bulunması ve yeterlilik kararının varlığıdır. Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları ya da taahhütname gibi uygun güvencelerden biri aranır. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilir.
Bu başlıkta İK ekibinin işi hukuk ekibine doğru soruyu götürmektir: Veri nerede duruyor ve kimler yurt dışından erişebiliyor? Aktarım olup olmadığını ve hangi güvencenin kullanılacağını hukuk birimi değerlendirmelidir. Yanıt belirsizse bu madde “açık” olarak işaretlenmeli, yayına geçilmemelidir.
7. Saklama, iade ve imha kurallarını baştan yazın
Kanunun 7. maddesine göre işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Ancak bordro verisinin önemli bir kısmı için başka kanunlar saklama yükümlülüğü getirir. Bu nedenle imha kararı işveren politikasına ve ilgili mevzuata göre verilir, bordro firması kendi başına silme ya da süresiz tutma kararı almaz.
Sözleşmede şu soruların cevabı bulunmalıdır: Sözleşme biterse veri hangi formatta ve ne zamana kadar iade edilir? Yedeklerdeki kopyalar ne zaman silinir? Silme işlemi yazılı olarak teyit edilir mi? Rehber, bulut hizmeti sona erdiğinde verileri kullanılır hâle getirebilecek şifreleme anahtarlarının tüm kopyalarının yok edilmesini de ayrıca hatırlatır.
8. Olay bildirim zincirini önceden tanımlayın
Kanunun 12. maddesinin beşinci fıkrası, işlenen verilerin yasa dışı yollarla başkalarınca ele geçirilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi, ihlalin öğrenilmesinden itibaren 72 saat olarak belirlemiştir. İşveren bu süreyi, olayı ancak bordro firması ona haber verdiğinde başlatabilir.
Bu yüzden veri işleyenin olayı işverene ne kadar hızlı bildireceği sözleşmede açıkça yazılmalıdır. Rehber, bildirimin “derhal” yapılmasını önerir. Pratikte iki gün yerine birkaç saat gibi somut bir süre yazmak ve 7/24 ulaşılabilecek iletişim kişilerini belirlemek tartışmayı azaltır. Olay tatbikatı yapıp yapmadığını da bordro firmasına sorabilirsiniz.
Dikkat: Kontrol listesi bir uyum belgesi değildir. Maddelerin hepsi “tamam” olsa bile bu, mutlak güvenlik anlamına gelmez. Asıl iş, riski görünür kılmaktır.
Yasal Yükümlülük mü, Önerilen Kontrol mü?
İK ve satın alma ekipleri çoğu zaman “bu zorunlu mu, tavsiye mi?” sorusunda takılır. Aşağıdaki tablo, sekiz maddeyi bu açıdan ayırır. Hukuki yorum gerektiren noktalar için son kararı hukuk ekibiniz verir.
| Kontrol | Dayanak niteliği | Not |
|---|---|---|
| Veri akışı haritası | Önerilen uygulama | Aydınlatma ve güvenlik kararlarının girdisidir |
| Erişim yetkisi | Madde 12 kapsamında uygun güvenlik düzeyi | Teknik ve idari tedbir olarak değerlendirilir |
| Güvenli kanal | Madde 12 kapsamında uygun güvenlik düzeyi | Araç seçimi işverene bırakılmıştır |
| Yazılı veri işleme sözleşmesi | Rehber önerisi | Kanun biçimi saymaz, Rehber yazılı sözleşmeyi önerir |
| Alt işleyen yönetimi | Rehber önerisi ve madde 12/2 | Müşterek sorumluluk riski doğurur |
| Yurt dışı aktarım | Madde 9 | Şartlar kanunda yazılıdır, hukuki değerlendirme gerekir |
| Saklama ve imha | Madde 7 ve ilgili diğer kanunlar | Süreler konuya göre farklıdır |
| Olay bildirimi | Madde 12/5 ve Kurul ilke kararı | Veri işleyenin işverene bildirimi sözleşmeyle düzenlenir |
Tablodaki ayrım sözleşme müzakeresinde işe yarar. “Rehber önerisi” olan kalemlerin çoğunu bordro firmaları zaten standart sözleşmelerine koyar. Koymuyorsa bunun gerekçesini sormak meşru bir taleptir.
Hangi Ekip Neyi Onaylar?
Bordro firmasına veri vermek tek bir ekibin işi değildir. Karar süreci genellikle dört ekip arasında bölünür ve her biri kontrol listesinden farklı satırları sahiplenir.
- İK, veri akışını, aydınlatma metnini, çalışan iletişimini ve yetkili kişi listesini sahiplenir.
- Bilgi güvenliği, kanalı, erişim kaydını, şifrelemeyi, alt işleyenleri ve altyapıyı inceler.
- Hukuk, veri işleme sözleşmesine, yurt dışı erişime, saklama sürelerine ve bildirim yükümlülüğüne bakar.
- Satın alma, sözleşme maddelerinin teklife ve fiyata yansıdığını kontrol eder.
İlk toplantıda herkesin aynı listeyi görmesi, aynı soruların dört kez sorulmasını önler. Ayrıca bilgi güvenliği ekibi için ISO 27001 gibi bağımsız sertifikaların neyi kanıtlayıp neyi kanıtlamadığını bilmek gerekir. Sertifika, sözleşme yerine geçmez ama kontrol listesinin teknik kısmında güçlü bir kanıttır. Konuyu ISO 27001 sertifikalı bordro veri güvenliği yazımızda ele aldık.
Teklif Aşamasında Bordro Firmasına Sorulacak Sorular
Teklif toplantısında soruları önceden göndermek, cevapları yazılı almanızı sağlar. Aşağıdaki sorular kontrol listesini satın alma diline çevirir:
- Verilerimiz hangi ülkede ve hangi altyapıda tutulacak?
- Alt işleyenlerinizin listesi nedir ve değişiklikleri bize nasıl bildirirsiniz?
- Veriye erişen çalışanlarınız hangi gizlilik taahhütlerine bağlı?
- Erişim kayıtlarını ne kadar süre tutuyorsunuz ve talep üzerine paylaşıyor musunuz?
- Olay durumunda bize ne kadar sürede, hangi kanaldan haber verirsiniz?
- Sözleşme bitiminde verilerimiz nasıl iade ve imha edilir?
- Hangi bağımsız denetim veya sertifika raporlarını paylaşabilirsiniz?
- Denetim hakkımızı sözleşmede nasıl tanımlıyorsunuz?
Cevapların netliği bordro firmasının hazırlığını gösterir. Uyum denetimini hizmet olarak veren bir ortağın bu soruları rahatça yanıtlaması beklenir. Kendi tarafınızda mevcut bordro süreçlerinizi de değerlendirmek istiyorsanız bordro uyum denetimi bu soruların iç tarafını netleştirir.
Sıkça Sorulan Sorular
Personel KVKK sözleşmesi, bordro firması sözleşmesinin yerini tutar mı?
Hayır. Personel KVKK sözleşmesi ya da aydınlatma metni, işverenin çalışana karşı bilgilendirme yükümlülüğünü yerine getirmesine yardımcı olur. Bordro firmasının verileri hangi talimatlarla, hangi güvenlik tedbirleriyle işleyeceği ise işveren ile bordro firması arasındaki ayrı bir sözleşmede düzenlenir.
Bordro firması veri sorumlusu mu, veri işleyen mi sayılır?
Bordro firması genellikle işverenin talimatıyla ve onun adına veri işlediği için veri işleyen konumundadır. Ancak rol, sözleşmeye değil gerçek işleme ilişkisine bakılarak belirlenir. Bordro firması verileri kendi amaçları için de kullanıyorsa rol tespiti hukuk ekibiyle yeniden yapılmalıdır.
Bordro firması veri ihlali yaşarsa sorumluluk kimde olur?
Kanunun 12. maddesine göre veri sorumlusu, verileri kendi adına işleyenlerle güvenlik tedbirlerinden müştereken sorumludur. Bu nedenle olayın bordro firmasında yaşanması, işverenin bildirim ve önlem yükümlülüğünü ortadan kaldırmaz. Sözleşmedeki bildirim ve sorumluluk hükümleri ayrıca önem taşır.
Çalışan verisini bordro firmasına vermek için açık rıza gerekir mi?
Bu soru her zaman hukuk ekibiyle birlikte cevaplanmalıdır. Bordro hizmeti çoğu durumda işverenin iş sözleşmesi ve kanuni yükümlülüklerini yerine getirmesiyle ilgilidir ve veri işleyene verilen veri, işverenin adına işlenir. Ancak yurt dışı aktarım veya bordro dışı amaçlar söz konusuysa tablo değişebilir.
Sözleşme bitince bordro firması verileri ne kadar süre saklar?
Süre sözleşmede yazılmalıdır. Kanuna göre işleme sebebi ortadan kalktığında veri silinir, yok edilir veya anonim hâle getirilir, ancak ilgili diğer kanunlardaki saklama yükümlülükleri saklıdır. Pratikte işveren iade ve imha takvimini, yedeklerin silinmesini ve yazılı teyidi sözleşmeye eklemelidir.
ISO 27001 sertifikası KVKK uyumu anlamına gelir mi?
Hayır. ISO 27001 bilgi güvenliği yönetim sisteminin bağımsız denetlendiğini gösterir ve teknik kontroller için güçlü bir kanıttır. Buna karşılık KVKK uyumu aydınlatma, rol tespiti, sözleşme, saklama ve imha gibi hukuki unsurları da kapsar. Sertifika bu unsurların yerine geçmez.
Önemli Çıkarımlar
- Bordroyu dışarıya vermek sorumluluğu devretmez. İşveren veri sorumlusu, bordro firması veri işleyen olarak güvenlik tedbirlerinden müştereken sorumludur.
- Personel KVKK sözleşmesi çalışanla işveren arasındadır. Bordro firmasıyla ayrı, yazılı bir veri işleme sözleşmesi gerekir.
- Veri akışını haritalayın ve bordro firmasına yalnızca ihtiyaç duyduğu alanları gönderin.
- Erişim, kanal, alt işleyen, yurt dışı erişim, saklama ve imha ile olay bildirimi başlıklarını sözleşmede somut hâle getirin.
- Yasal yükümlülük ile Rehber önerisini ayırın. Hukuki yorum gerektiren konuları hukuk ekibine bırakın.
- Kontrol listesi otomatik uyum ya da mutlak güvenlik garantisi vermez. Amaç riski yönetilebilir kılmaktır.
Bordro Veri Güvenliği Kontrol Listesi: Özet
Bordro firmasına veri vermek işverenin sorumluluğunu bitirmez. Rolün doğru tespit edilmesi, yazılı bir veri işleme sözleşmesi, sınırlı erişim, güvenli kanal, net alt işleyen kuralları, saklama ve imha takvimi ve hızlı olay bildirimi sorumluluğu yönetilebilir tutar. Personel KVKK sözleşmesi bu yapının çalışan tarafını tamamlar, bordro firması tarafını ise ayrı belgeler kurar.
Datassist, ISO 27001 ve ISAE 3402 sertifikalı yapısıyla bordro outsourcing hizmetinde veri güvenliği sorularını sözleşme öncesinde ele almanıza yardımcı olur. Bordro süreçleriniz için ücretsiz danışmanlık almak üzere Datassist ile iletişime geçin.
Bu içerik bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Güncel mevzuat değişiklikleri için resmi kaynakları takip ediniz.
İlgili İçerikler
- Bordro Firması Nasıl Seçilir? Sağlayıcı Değiştirme Rehberi – Bordro ortağı seçerken bakılacak kriterler
- ISO 27001 Bordro: Sertifikalı Veri Güvenliği Rehberi – Sertifikanın bordro veri güvenliğinde neyi kanıtladığı
- Özlük Dosyası Kaç Yıl Saklanır? Saklama Süreleri, KVKK ve İmha – Çalışan belgelerinde saklama ve imha süreleri
