KVKK sendika üyeliğini sağlık verisiyle aynı sınıfta sayar. Sendikanın yükümlülükleri, Kurul'un istediği önlemler, 2026 cezaları ve yazılım firmasıyla müşterek sorumluluk.
Bir sendikanın elindeki en hassas bilgi, kimin üye olduğudur. Bu bilgi kişinin işyerindeki konumunu, görüşlerini ve ilişkilerini doğrudan ilgilendirir. Kanun koyucu da bu yüzden sendika üyeliğini sıradan bir kişisel veri olarak değil, özel nitelikli kişisel veri olarak düzenlemiştir.
Kanun ne diyor?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi; ırk, etnik köken, siyasi düşünce, din, sağlık, ceza mahkûmiyeti gibi verilerin yanında dernek, vakıf ya da sendika üyeliğini de özel nitelikli kişisel veri olarak sayar. 2024'te 7499 sayılı Kanun'la yapılan değişiklikle bu verilerin işlenebileceği durumlar yeniden düzenlendi; ancak özel nitelikli sayılmaları ve işlenirken Kurul'un belirlediği yeterli önlemlerin alınması zorunluluğu değişmedi.
Sendika veri sorumlusudur
Üye kaydını tutan, aidatı takip eden ve üye listesini kullanan sendikadır; bu yüzden KVKK'daki "veri sorumlusu" sendikanın kendisidir. Kanun'un 12. maddesine göre veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli her türlü teknik ve idari tedbiri almak zorundadır.
Önemli bir ayrıntı: Veriler sendika adına bir yazılım firması tarafından işleniyorsa sendika, bu tedbirlerin alınmasından firmayla birlikte müştereken sorumludur. Yani "veriler firmanın sunucusundaydı" demek sorumluluğu ortadan kaldırmaz.
Kurul hangi önlemleri istiyor?
Kişisel Verileri Koruma Kurulu'nun 31.01.2018 tarihli ve 2018/10 sayılı kararı, özel nitelikli verileri işleyenlerin alması gereken önlemleri sayar. Başlıcaları:
- Özel nitelikli verilerin güvenliği için ayrı bir politika ve prosedür belirlenmesi,
- Bu verilere erişen çalışanlara düzenli eğitim ve gizlilik taahhüdü,
- Erişim yetkilerinin tanımlanması, periyodik olarak gözden geçirilmesi, görevi değişenin yetkisinin hemen kaldırılması,
- Verilere uzaktan erişimde en az iki kademeli kimlik doğrulama,
- Veriler üzerinde yapılan tüm işlemlerin güvenli biçimde kayıt altına alınması,
- Güvenlik güncellemelerinin takibi ve düzenli güvenlik testleri,
- Verilerin kriptografik yöntemlerle korunması, aktarımda şifreli kanal (KEP, sFTP, VPN gibi) kullanılması.
Yaptırımlar
KVKK'nın 18. maddesine göre veri güvenliği yükümlülüğünü yerine getirmeyenlere 2026 yılı için 256.357 TL'den 17.092.242 TL'ye kadar idari para cezası öngörülmüştür. Ceza yalnızca idari değildir: Türk Ceza Kanunu'nun 135. maddesi kişisel verileri hukuka aykırı olarak kaydetmeyi bir yıldan üç yıla kadar hapis cezasıyla yaptırıma bağlar ve veri sendikal bağlantıya ilişkinse cezanın yarı oranında artırılacağını öngörür. Verileri hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek ise 136. maddede ayrıca suçtur.
Sendika için pratik sonuç
Sendikanın yazılım seçerken sorması gereken ilk soru "hangi ekranlar var?" değil, "üyelerimin verisi nerede duruyor ve kim erişebiliyor?" olmalıdır. Verinin başka kurumlarla ortak bir merkezi havuzda durduğu yapılarda tek bir zafiyet, o altyapıyı kullanan bütün sendikaları aynı anda etkileyebilir.
SendikaPro bu yüzden her sendikaya ayrı sunucu tahsis eder: veritabanı başka hiçbir kurumla paylaşılmaz, sendika izin vermedikçe üçüncü kişilere aktarılmaz, girişler SMS ile iki adımlı yapılır ve her işlem kayda alınır. Ayrıntılar için Veri Güvenliği sayfamıza bakabilirsiniz.
Bu yazı bilgilendirme amaçlıdır; bağlayıcı metin için mevzuat.gov.tr ve kvkk.gov.tr esas alınmalıdır.
