Çalışanın işten ayrılmasıyla işverenin elindeki tüm kayıtların hemen silinmesi gerekmez; aynı şekilde bütün dosyaların süresiz biçimde tutulması da uygun değildir. Bordro, izin, sözleşme ve işten ayrılış belgelerinin saklama süreleri farklı mevzuat ve uyuşmazlık riskleriyle ilişkili olabilir. İşveren, her veri grubu için işleme amacı, dayanak ve saklama süresini belirlemeli; artık gerekli olmayan kopyaları kontrol altında imha etmelidir.
Belge envanterini tür ve amaç bazında çıkarın
İşten ayrılan kişi için özlük dosyası, bordro ve ödeme kayıtları, işe giriş/çıkış bildirgeleri, izin ve rapor belgeleri, kurumsal e-posta ve cihaz kayıtları ayrı kategorilerde listelenebilir. Hangi belgenin hangi hukuki veya mali yükümlülük için tutulduğunu kayda bağlayın. Bir soruşturma, alacak veya resmi denetim devam ediyorsa, ilgili belgeler için ayrı bir koruma notu hazırlayın. Tüm personel klasörünü tek bir saklama süresine tabi tutmak yerine veri türlerinin gerekliliğini değerlendirin.
Dijital erişimleri zamanında kapatın
Son çalışma günü civarında e-posta, muhasebe yazılımı, e-belge sistemi, bulut arşivi, VPN ve şirket cihazı erişimini görev listesiyle kontrol edin. Çalışanın hesabını kapatmakla, işletmenin kayıtlarını erişilebilir biçimde korumayı karıştırmayın. Gerekli şirket belgeleri kurumsal dosya alanına aktarılmalı, kişisel veya görev dışı veriye erişim sınırlandırılmalıdır. Ortak parola kullanılmışsa ilgili erişim bilgisini yenileyin ve şifreyi personele veya başka bir kullanıcıya devretmeyin.
Saklama ve imha kararını kayıt altına alın
Saklama gerekçesi sona erdiğinde kişisel verinin silinmesi, yok edilmesi veya anonim hale getirilmesi seçenekleri verinin bulunduğu ortama göre planlanmalıdır. Yedek sistemler, e-posta arşivi ve üçüncü taraf hizmetlerdeki kopyaları da envantere dahil edin. İmha işlemini kimin, hangi tarihte ve hangi yöntemle yaptığına dair kayıt tutun. Hukuki muhafaza zorunluluğu doğuran bir uyuşmazlık veya resmi talep varsa olağan silme planı uygulanmadan önce uzman görüşü alın.
Rol ve sorumlulukları belirleyin
İnsan kaynakları, muhasebe, bilgi işlem ve yöneticiler farklı veri gruplarına erişebilir. Her rol için gerekli minimum erişimi tanımlayın ve ayrılan çalışanın dosyasına yalnızca görevli kişilerin ulaşmasını sağlayın. Hizmet sağlayıcılarda kopya bulunuyorsa sözleşme ve veri güvenliği düzenini kontrol edin. KVKK Kurumunun veri güvenliği ve imha rehberleri, işletmenin kendi risklerine göre plan hazırlarken başvurabileceği resmi kaynaklardır.
Resmî kaynaklar
- KVKK veri güvenliği yükümlülükleri
- KVKK kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi rehberi
SMMM Rauf Cenk Alat, Ankara genelinde bordro ve mali kayıt süreçleri hakkında destek sunar. 0 544 956 76 26 numarasından iletişim kurabilirsiniz.
Uygulama kaydı ve sorumluluk
Kontrolün yapıldığı tarihi, kullanılan resmi sistem veya raporu ve dosyayı gözden geçiren yetkiliyi çalışma notuna ekleyin. Açık bir fark varsa kapatılmış gibi işaretlemeyin; nedenini, beklenen belgeyi ve takip edecek kişiyi ayrı kaydedin. Aylık gözden geçirmede eski bağlantıların açıldığını, belge sürümlerinin doğru olduğunu ve erişimlerin güncel kaldığını örnek kayıtlarla doğrulayın. Böylece süreç kişilerin hafızasına bağlı kalmaz ve yeni bir sorumlu devraldığında dosyanın nereden devam edeceği anlaşılır.