Bordro işlemlerinin bir mali müşavir veya başka hizmet sağlayıcıyla yürütülmesi, çalışan verilerinin kontrolsüz biçimde paylaşılması anlamına gelmemelidir. Kimlik, ücret, banka ve izin bilgilerine kimin erişeceği; hangi amaçla kullanacağı ve dosyaların nasıl aktarılacağı hizmet ilişkisinin başında belirlenmelidir. Veri güvenliği uygulaması, işletmenin ve hizmet sağlayıcının görevleri ile kullanılan teknik altyapı dikkate alınarak tasarlanmalıdır.
Paylaşım kapsamını tanımlayın
Hizmet için gerekli alanları belirleyin ve ilgisiz belgeleri aktarım paketinden çıkarın. Dosya gönderilmeden önce alıcı ve paylaşım bağlantısının yetkisini kontrol edin. Ortak klasörlerde erişimi görev bazında sınırlayın; bağlantıların süresiz açık kalmasını engelleyin. İşten ayrılan veya görevi değişen kullanıcıların erişimlerini zamanında kapatın. E-posta veya mesajlaşma uygulamalarında çalışanların ücret dosyalarını geniş dağıtım listelerine göndermeyin.
Roller ve bilgilendirme
KVKK Kurumu, kişisel veri işlenirken ilgili kişiye veri sorumlusunun kimliği, amaç, aktarım, hukuki sebep ve hakları hakkında bilgi verilmesi gerektiğini açıklıyor. Hizmet sağlayıcıyla çalışılması, veri sorumlusu ve veri işleyen rolünün her durumda aynı olduğu anlamına gelmez; roller fiili karar ve işleme faaliyetlerine göre değerlendirilmelidir. Aydınlatma metinleri ile hizmet sözleşmelerindeki veri hükümlerini somut sürece göre gözden geçirin. Resmi çerçeve için KVKK Aydınlatma Yükümlülüğü ve Veri Güvenliği Yükümlülükleri sayfalarına başvurun.
İşlem ve saklama izini tutun
Hangi bordro dosyasının ne zaman gönderildiğini, kimin eriştiğini ve düzeltme isteklerinin nasıl sonuçlandığını kayıt altına alın. Saklama ve silme adımlarını belge türü ve geçerli yükümlülüklere göre belirleyin; tüm kopyalar için aynı süreyi varsaymayın. Bir yanlış alıcı veya şüpheli erişim fark edildiğinde iç olay bildirim prosedürünü gecikmeden işletin. Güvenlik tedbirleri ve erişim kontrolleri için KVKK Kurumunun resmi rehberlerinden yararlanın.
Hizmet ilişkisi sona erdiğinde sağlayıcıdaki erişimlerin kapatılması, dosyaların iadesi veya silinmesi ve saklanması gereken kayıtların belirlenmesi için kapanış adımı planlayın. Yanlış kişiye gönderilen belge veya yetkisiz erişim şüphesinde hangi iç sorumluya haber verileceğini çalışanlara duyurun. Tedarikçi değerlendirmesinde kullanılan sistemlerin erişim kaydı, yedekleme ve olay bildirim süreçlerini sorun. İşletme içinde bir veri envanteri varsa bordro paylaşımını bu envanterle uyumlu tutun; sicil kaydı veya belge kapsamı gibi yükümlülükleri ise güncel KVKK düzenlemesine göre ayrıca değerlendirin.
SMMM Rauf Cenk Alat, Ankara genelinde bordro ve mali kayıt süreçlerinde işletmelere destek verir. BRC hizmetlerini inceleyebilir veya 0 544 956 76 26 numarasından iletişim kurabilirsiniz. İşletmenin veri sorumlusu rolü ve aktarım hukuki sebebi kendi süreçlerine göre belirlenmelidir.