İşverenin bordro hizmetini dışarıdan alması, çalışan verilerinin sınırsız biçimde paylaşılabileceği anlamına gelmez. Kimlik, ücret, banka ve izin bilgileri çalışanla ilgili kişisel veridir. İşveren ve hizmet sağlayıcı, görevleri için gereken veriyi, uygun erişim ve güvenlik düzeniyle paylaşmalıdır. İşleme amacı, hukuki dayanak ve veri sorumlusu/veri işleyen rolleri her işletmenin kendi süreçlerine göre değerlendirilmelidir.
Paylaşım kapsamını ve sorumluları tanımlayın
Bordro hesaplaması için gereken bilgi alanlarını belirleyin; iş için gerekli olmayan sağlık, aile veya özel yaşam verilerini dosyaya eklemeyin. Hangi işletme yetkilisinin dosya göndereceğini ve hizmet sağlayıcıda kimin erişebileceğini yazılı hale getirin. Sözleşmede hizmet kapsamı, saklama, iade/imha ve olay bildirimi gibi konuları uygun uzmanlarla netleştirin.
Güvenli aktarım ve kullanıcı erişimi kurun
Çalışan listelerini açık bağlantı veya kişisel mesajlaşma uygulamasıyla göndermek yerine kontrollü ve erişim kısıtlı kanal kullanın. Dosya gönderilmeden önce alıcıyı ve doğru sürümü iki kez kontrol edin. Hizmet sağlayıcı çalışanı değiştiğinde eski kullanıcı erişimlerini kapatın. Banka bilgisi gibi hassas alanların gereksiz kopyalarını azaltın.
Veri saklama ve hata yönetimi planı yapın
Paylaşılan dosyanın ne kadar süre tutulacağını, kimlerin erişebileceğini ve hizmet bittiğinde nasıl iade veya imha edileceğini belirleyin. Yanlış alıcıya gönderim veya yetkisiz erişim olursa kimin bilgilendirileceği ve hangi kayıtların korunacağı önceden açıklansın. KVKK’nın veri işleme şartları ve güvenlik tedbirlerine ilişkin resmi açıklamalarını uygulamanıza göre inceleyin.
Veri minimizasyonu ve hizmet sözleşmesi
Dış bordro sağlayıcısına aktarılacak alanları amaçla sınırlı tutun. Bordro hesaplamak için gerekli olmayan kimlik kopyaları, aile bilgileri veya sağlık belgeleri rutin dosyaya eklenmemelidir. Verinin aktarım amacı ve hukuki dayanağı, aydınlatma yükümlülüğü, saklama süresi ve erişim yetkileri işletmenin gerçek işleyişine göre belirlenmelidir. Bir hizmet sözleşmesi tek başına tüm veri koruma sorumluluklarını ortadan kaldırmaz; tarafların görevleri ve güvenlik tedbirleri açıkça düzenlenmelidir.
Hizmet sağlayıcıdan dosyanın hangi sistemde tutulduğunu, yedeklere erişimi, alt hizmet sağlayıcı kullanımını ve sözleşme bitiminde silme/iade sürecini öğrenin. Düzenli olarak erişim listesi ve kullanıcı kayıtlarını gözden geçirin. Yanlış kişiye gönderilen bir dosya fark edilirse, alıcıdan silme teyidi almakla yetinmeyin; olayın kapsamı, erişim ve bildirim yükümlülükleri bakımından veri sorumlusu sürecini derhal başlatın. KVKK Kurumu kaynakları bu değerlendirme için başlangıç noktasıdır; somut olayda uzman görüşü alın.
Resmî kaynaklar
Uygulama takibini periyodik yapın
İşletme ve hizmet sağlayıcı arasındaki veri akışı değiştiğinde risk değerlendirmesini yenileyin. Yeni yazılım, yeni aktarım kanalı veya yeni alt hizmet sağlayıcı mevcut güvenlik varsayımlarını değiştirebilir. Yılda en az bir kez yetkileri, saklama uygulamasını ve sözleşme kapsamını gözden geçirmek; görev değişikliklerinde beklemeden güncellemek yararlı bir iç kontroldür.
BRC Mali Müşavirlik
SMMM Rauf Cenk Alat, Ankara genelindeki işletmelere bordro ve mali süreçlerde destek sunar. 0 544 956 76 26 numarasından ulaşabilirsiniz.