Sendikalarda KVKK: Sendika Üyeliği Neden Özel Nitelikli Kişisel Veridir?

Sendika üyeliğinin özel nitelikli veri olması, her işlem için açık rıza alınacağı anlamına gelmez. KVKK’nın 6. maddesinde 2024 yılında yapılan değişiklikle özel nitelikli verilerin işlenme şartları genişletilmiştir. Bu nedenle üyelik kaydı, kurum bildirimi, aidat işlemi veya hukuki destek talebi değerlendirilirken, yapılan işlemin hangi hukuki sebebe dayandığı belirlenmelidir.

Güncel düzenlemede, sendikal amaçlarla kurulmuş kâr amacı gütmeyen kuruluşların faaliyetlerine ilişkin özel bir işleme şartı da bulunur. Bu kapsamda mevcut veya eski üyeler, mensuplar ve kuruluşla düzenli teması bulunan kişiler hakkında veri işlenebilir; ancak işlemin kuruluşun mevzuatına ve amaçlarına uygun olması, faaliyet alanında kalması ve üçüncü kişilere açıklanmama koşulunu karşılaması gerekir. Kurum, son koşulu verilerin ifşasının önlenmesi yönünden açıklamaktadır. Gerekli aktarımlarda ise alıcı, amaç ve aktarım şartları ayrıca değerlendirilir.

Üyeye yapılacak bilgilendirme de bu gerçek işleyişi anlatmalıdır. Başvuru sırasında sunulan aydınlatma metninde verileri işleyen sendikanın kimliği, işleme amaçları, hukuki sebepler, bilgilerin kimlere ve hangi amaçlarla aktarılabileceği, toplama yöntemi ve kişinin hakları açıkça belirtilmelidir. Bu yükümlülük, işlem açık rıza dışında bir hukuki sebebe dayandığında da devam eder.

Açık rıza gereken bir işlem varsa, üye hangi kullanıma izin verdiğini anlayabilmeli ve kararını özgürce verebilmelidir. Belirsiz ifadelerle bütün veri kullanımlarını tek bir kabul altında toplamak yerine, ilgili işlem açık biçimde tanımlanmalıdır. Böylece üyeye gösterilen metin, sistemde yapılan işlem ve kayda alınan tercih birbiriyle uyumlu olur.

Üyelik işlemlerinin sağlıklı ilerlemesi, başvurudaki bilgilerin doğru kaydedilmesiyle başlar. Kurum, işyeri ve iletişim bilgilerindeki bir hata, daha sonra hazırlanan belgelere veya yapılan eşleştirmelere de yansıyabilir. Bu nedenle bilgilerin doğruluğu, yalnızca kayıt kalitesi bakımından değil, kişisel verilerin doğru ve gerektiğinde güncel tutulması bakımından da önemlidir.

Üyelik kaydından kurum bildirimine

Rönesis PRO’da üyelik işlemlerinden sorumlu personel, üyenin görev yaptığı işyerini DETSİS kayıtları üzerinden seçebilir. Seçilen işyerine bağlı kurum, il ve ilçe bilgilerinin kayda aktarılması, aynı işyerinin farklı adlarla tekrar oluşturulmasını azaltır. Üyelik bilgileri, üye ve karar numarasıyla birlikte ilgili belgelerde kullanılabilir; EK-1 formu ve üst yazı aynı kayıt üzerinden hazırlanabilir. Böylece personelin aynı bilgileri farklı belgelere yeniden yazma ihtiyacı azalır.

Üyelik başvurusunun kabulü ve kamu işverenine bildirilmesi, mevzuattaki usule uygun yürütülmelidir. 4688 sayılı Kanun, üyeliği kesinleşen kamu görevlisinin başvuru belgesinin bir örneğinin, üyelik ödentisine esas olmak ve dosyasında saklanmak üzere kamu işverenine gönderilmesini düzenler. Dolayısıyla üyelik verilerinin korunmasıyla kanuni kurum bildirimi, aynı süreç içinde birlikte yerine getirilir.

Rönesis PRO’nun Elektronik Belge Yönetim Sistemi bu sürecin belge tarafını düzenler. Hazırlanan üst yazı yetkili kişinin elektronik imzasına sunulabilir; ilgili eklerle oluşturulan EYP, entegre KEP sistemi üzerinden alıcı kuruma gönderilebilir. TÜRKTRUST e-imza altyapısı ve belgeye bağlı gönderim takibi sayesinde hazırlık, imza ve gönderim aşamaları bağlantılı biçimde yürütülür.

Burada personelin kontrol edeceği temel noktalar; belgenin güncel olması, doğru kuruma yönlendirilmesi ve gönderilen eklerin işlemle ilgili bulunmasıdır. Aktarımın amacı ve alıcısı belirlenirken, ilgili iş için gerekli veri kapsamı esas alınmalıdır.

Aidat listesinden tahsilat kontrolüne

Kamu işvereni tarafından yapılan aidat kesintisi, üyelik kaydıyla bağlantılıdır. 4688 sayılı Kanun’da aidatın kamu görevlisinin aylığından kesilerek sendikanın banka hesabına yatırılması ve ödenti listesinin sendikaya gönderilmesi düzenlenmiştir. Bu nedenle aidat dosyaları, sendikanın mali takibi kadar üyelik bilgilerinin korunması açısından da dikkatle ele alınmalıdır.

Rönesis PRO’da KBS kaynaklı TXT dosyaları ve Excel kayıtları üyelik bilgileriyle karşılaştırılabilir. Eşleşmeyen, çakışan veya hatalı kayıtların kontrol için ayrılması, mali işler personelinin hangi kayıt üzerinde inceleme yapacağını görmesini kolaylaştırır. Bir dönemde kesinti görünmeyen üyeye ilişkin değerlendirme de güncel üyelik bilgisi ve kaynak kayıtlarla birlikte yapılabilir.

Banka hesap entegrasyonu da bu takibin bir parçasıdır. Banka hesabı sisteme bağlanarak güncel hesap hareketleri alınabilir ve ödeme göndermeyen kurumlar görüntülenebilir. Böylece aidat dosyalarının kontrolüyle kurumların gerçekleştirdiği ödemelerin takibi aynı çalışma düzeninde ele alınır. Üye bazındaki kesinti incelemesi ile banka hareketlerinin görünürlüğü, görevli personelin farklı kontrol ihtiyaçlarını karşılar.

Bir sendikada herkesin sorumluluğu aynı olmadığı için erişim kapsamının da görevlere göre belirlenmesi gerekir. Özel nitelikli verileri işleyen kuruluşlarda kullanıcı yetkilerinin kapsamının ve süresinin açıkça tanımlanması, düzenli kontrol edilmesi ve görev değişikliklerinde güncellenmesi, Kurulun öngördüğü tedbirler arasındadır.

Rönesis PRO’da rol, görev tanımı ve yetki bölgesi birlikte değerlendirilir. Genel merkez, şube, temsilcilik ve işyeri sorumlulukları kullanıcı türüne göre tanımlanabilir; işlem izinleri de ilgili kullanıcının çalışma kapsamına göre düzenlenebilir. Bu yapı, sendikanın teşkilat düzeninin yazılımda karşılık bulmasını sağlar.

Sendikanın belirleyeceği görev dağılımına göre, örneğin şu şekilde bir çalışma düzeni kurulabilir:

• Üyelik personeli, sorumlu olduğu başvuruları ve üyelik belgelerini hazırlarken onay işlemi ilgili yetkilide kalabilir.
• Şube veya temsilcilik kullanıcısı, kendi sorumluluk alanındaki üye kayıtlarıyla çalışabilir.
• Mali işler personeli, aidat dosyaları, kurum ödemeleri ve görev kapsamındaki mali raporları takip edebilir.
• Hukuk ekibi, kendisine yönlendirilen başvurulara ve görev aldığı dosyalara erişebilir.

Bu örneklerde amaç, her kullanıcının işini tamamlaması için gereken kayıt ve işlem izinlerini tanımlamaktır. Rönesis PRO’nun yetkilendirme yapısı; görüntüleme, güncelleme, onaylama ve diğer işlemleri ayrı izinlerle ele alır. Desteklenen kişisel veri alanları da kullanıcı profiline göre tam, maskeli veya gizli gösterilebilir.

Hukuk başvurularında bu ayrım özellikle önemlidir. Rönesis PRO Avukat Paneli, görev alınan başvuru ve dosyaları belgeleri, kritik tarihleri ve hareket geçmişiyle birlikte sunar. Avukat değiştiğinde dosyanın geçmişi korunarak devir yapılabilir; sorumluluk ve yetki bilgileri güncellenebilir. Böylece dosya takibi, kişilerin ayrı ayrı tuttuğu notlara bağlı kalmadan sürdürülebilir.

Kritik kullanıcı hareketlerinin ve yetki değişikliklerinin izlenebilmesi de bu düzeni tamamlar. Rönesis PRO’da ilgili işlemler kullanıcı, tarih, IP adresi, modül ve hareket bilgileriyle takip edilebilir. Bu kayıtlar, bir değişikliğin kim tarafından ve ne zaman yapıldığının incelenmesine yardımcı olur.

Üye verilerinin güvenliği, sistemin kurulduğu gün tamamlanan bir iş değildir. Yazılım ve sunucu ortamlarının güncel tutulması, erişimlerin kontrol edilmesi ve güvenlik uygulamalarının sürdürülmesi gerekir. Kurulun 2018/10 sayılı kararı; özel nitelikli veriler için şifreleme, güvenli işlem kayıtları, güvenlik güncellemeleri ve düzenli testler gibi tedbirler öngörür. Uzaktan erişim gereken durumlarda en az iki kademeli kimlik doğrulama da sağlanmalıdır.

Rönesis PRO’nun ana uygulama verileri Türkiye’deki Turkcell Veri Merkezi altyapısında barındırılır. Kullanıcı ile sistem arasındaki iletişim SSL/TLS ile şifrelenir; ağ güvenliğinde WatchGuard kullanılır ve sistem verileri günlük olarak yedeklenir. Erişim kısıtları, teknik kayıtlar ve yedekleme uygulamaları, hizmetin güvenliği ve sürekliliği kapsamında birlikte ele alınır.

Sendikanın kendi çalışma ortamı da bu düzenin parçasıdır. Kullanıcıların hesaplarını paylaşmaması, görevden ayrılanların ilgili erişimlerinin kaldırılması, basılı üyelik belgelerinin korunması ve personele düzenli eğitim verilmesi gerekir. Yazılım üzerindeki kontroller, bu kurum içi uygulamalarla birlikte etkili olur.

Üyelik faaliyetlerinde hangi kişisel verilerin hangi amaçlarla işleneceğini belirleyen sendika, bu işlemler bakımından veri sorumlusudur. Yazılım sağlayıcısının rolü ise sunduğu hizmet ve aldığı talimatlar üzerinden değerlendirilir. Bu ayrım, yalnızca sunucunun kime ait olduğuna veya nerede bulunduğuna göre yapılmaz.

Rönesis PRO’nun hizmet modelinde Rönesans İnovasyon ve Mühendislik A.Ş., ilgili kurumun talimatları doğrultusunda yazılım hizmeti ve teknik destek sunan veri işleyen olarak görev alır. Teknik destek ve sistem yönetimi amacıyla erişim, bu işler için yetkilendirilmiş sınırlı personel kapsamında yürütülür.

Hizmet ilişkisinde veri işleme talimatlarının, erişim kapsamının, güvenlik tedbirlerinin ve destek sorumluluklarının açık olması önemlidir. KVKK, kişisel verilerin başka bir kişi tarafından veri sorumlusu adına işlendiği durumlarda gerekli güvenlik tedbirlerinin alınması bakımından müşterek sorumluluk öngörür. Dolayısıyla sendikanın idari uygulamalarıyla hizmet sağlayıcının teknik uygulamalarının birbirini tamamlaması gerekir.

Üyelikten ayrılan bir kişinin kayıtları, saklanmalarını gerektiren hukuki sebeplere göre değerlendirilmelidir. Üyelik belgeleri, mali kayıtlar ve devam eden bir hukuk dosyası için ihtiyaç duyulan süreler aynı olmayabilir. İlgili kayıt bakımından işleme sebeplerinin tamamı ortadan kalktığında ise verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir; bunun için mutlaka kişinin başvurması beklenmez.

Bu nedenle üyelik durumu güncellenirken kaydın erişim kapsamı ve saklama gereği de gözden geçirilmelidir. Hangi belgenin hangi amaçla tutulduğu ve ne zaman imha edileceği belirlenebilir olmalıdır. Böyle bir düzen, geçmiş işlemlerin gerekli belgelerle izlenmesini sağlarken amacı kalmayan verilerin belirsiz sürelerle saklanmasını önler.

Üye listesi bir WhatsApp grubunda paylaşılabilir mi?

Paylaşımın amacı, grubun üyeleri, gönderilen bilgi kapsamı ve aktarımın hukuki şartları birlikte değerlendirilmelidir. Görev gereği erişmesi gereken kişilerin dışına çıkan bir üye listesi paylaşımı, veri güvenliği ve hukuka uygunluk sorunu doğurabilir. Kurumun, liste paylaşmak yerine yetkili kişilere görev kapsamındaki kayıtlara erişim vermesi, uygulamada değerlendirilebilecek yöntemlerden biridir.

Üye bilgilerini Excel’de tutmak KVKK’ya aykırı mıdır?

Değerlendirme dosya biçimine göre yapılmaz. Bilgilerin hangi hukuki sebeple tutulduğu, kimlerin erişebildiği, nasıl korunduğu ve ne kadar süre saklandığı önemlidir. Excel dosyalarıyla çalışıldığında da gerekli teknik ve idari tedbirlerin alınması gerekir.

Üyenin kişisel verilerine ilişkin başvurusu ne zaman cevaplanmalıdır?

Veri sorumlusu sendika, başvuruyu talebin niteliğine göre mümkün olan en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Başvurunun alınma tarihi, değerlendirilmesi ve verilen cevabın kayda alınması, sürecin düzenli takip edilmesini sağlar.

Sendikanın ihtiyaç duyduğu çalışma düzeni, kullanıcıların sistemi rahatça kullanabilmesiyle sürdürülebilir hâle gelir. Rönesis PRO’da üyelik, aidat, belge ve diğer sendikal süreçler bağlantılı kayıtlar üzerinden yürütülür. Web ve mobil uygulamaların birlikte çalışan yapısı ile GraphQL tabanlı servis iletişimi, artan üye, belge ve işlem hacminin aynı platform üzerinde yönetilmesini destekler.

Üye tarafında mobil uygulama üzerinden dijital sendika kimliğine, hukuk başvurularına ve ilgili hizmetlere erişilebilir. Desteklenen cihazlarda çipli T.C. kimlik kartıyla NFC üzerinden şifresiz giriş seçeneği de bulunur. Kullanıcıya açılan hizmetler ve işlem alanları, üyelik durumu ve yetkileriyle birlikte belirlenir.

Devreye alma kontrolleri, göreve uygun kullanıcı eğitimleri ve kullanım sonrası destek hizmetleri de bu yapının kuruma yerleşmesine yardımcı olur. Böylece sendika personeli, sistemi günlük işlerinde kullanırken karşılaştığı konuları tanımlı bir destek süreci üzerinden takip eder.

Rönesis PRO’nun sağladığı kolaylık, bir üye kaydının aidat, belge, hukuk ve erişim yetkileriyle birlikte yönetilebilmesidir. Sendika ekibi ilgili işleme ait güncel bilgiye ulaşırken, kullanıcıların görev kapsamları da aynı çalışma düzeni içinde korunabilir.