Eylül 2026'daki soruşturmadan sonra sendikaların yazılım sağlayıcısına yazılı olarak sorması gereken on soru ve her birinin neden önemli olduğu.
15 Eylül 2026'da basına yansıyan bilgilere göre Ankara Cumhuriyet Başsavcılığı, sendikalara yazılım hizmeti veren bir şirketin geliştirdiği yazılıma kimlik numarasıyla kişisel veri sorgulanabilen gizli bir arayüz yerleştirdiği iddiasıyla soruşturma başlattı. Soruşturma sürüyor ve kesin hüküm yargıya ait. Ancak olay, pek çok sendikanın aklına aynı soruyu getirdi: Bizim üyelerimizin verisi nerede, kim erişebiliyor?
Kullandığınız sistem hangisi olursa olsun, aşağıdaki soruların açık ve yazılı cevabını almanızı öneriyoruz.
1. Üye verilerimiz hangi sunucuda, hangi ülkede duruyor?
"Bulutta" cevabı yeterli değildir. Sunucunun konumu, kimin işlettiği ve verinin yurt dışına çıkıp çıkmadığı bilinmelidir. KVKK'nın 9. maddesi yurt dışına aktarımı ayrı şartlara bağlar.
2. Verimiz başka sendikaların verisiyle aynı veritabanında mı?
Paylaşımlı merkezi yapılarda tek bir zafiyet bütün müşterileri aynı anda etkileyebilir. Sendikaya özel sunucu ve ayrı veritabanı, etki alanını tek kurumla sınırlar.
3. Firmanızda verimize kimler, hangi yetkiyle erişebiliyor?
Bakım ve destek için erişim gerekebilir; önemli olan bu erişimin kimlerle sınırlı olduğu ve kayda alınıp alınmadığıdır.
4. Yazılımda bizim bilmediğimiz bir sorgu ya da dışa aktarma ekranı var mı?
Sendikanın göremediği bir ekran, sendikanın denetleyemediği bir risk demektir. Sistemdeki bütün menüleri ve yetkileri görebildiğinizden emin olun.
5. TC kimlik sorgusu hangi kaynaktan yapılıyor?
Kimlik doğrulaması yalnızca Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün resmî Kimlik Paylaşım Sistemi (KPS) üzerinden, yetkili kurumun kendi erişimiyle yapılmalıdır. Kaynağı belirsiz veri setleriyle yapılan sorgu, sendikayı da hukuki riske sokar.
6. Uzaktan erişimde iki adımlı doğrulama zorunlu mu?
Kurul'un 2018/10 sayılı kararı, özel nitelikli verilere uzaktan erişimde en az iki kademeli kimlik doğrulama ister. Yalnızca kullanıcı adı ve parolayla girilen bir sistem bu şartı karşılamaz.
7. Kim hangi kayıtta ne değiştirdi, geriye dönük görebiliyor muyuz?
İşlem kayıtları hem Kurul'un istediği önlemlerden biridir hem de bir ihlal şüphesinde ne olduğunu anlamanın tek yoludur.
8. Yedekler nerede, ne sıklıkla alınıyor?
Yedeğin varlığı kadar geri dönüşün denenmiş olması da önemlidir. Yedeklerin de asıl veri kadar korunduğunu sorun.
9. Bir ihlal olursa bizi ne zaman ve nasıl haberdar edersiniz?
Kurul'un 2019/10 sayılı kararına göre veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirmelidir. Sağlayıcınızın sizi ne kadar sürede bilgilendireceği bu süreyi doğrudan etkiler.
10. Sözleşme biterse verimiz ne olacak?
Verilerin sendikaya eksiksiz teslim edileceği ve sağlayıcıda kalan kopyaların silineceği yazılı olmalıdır.
Bizim cevaplarımız
SendikaPro'da her sendikaya ayrı sunucu tahsis edilir, sunucular Türkiye'dedir, veritabanı başka kurumlarla paylaşılmaz ve dışarıya kapalıdır. Girişler SMS ile iki adımlıdır, her giriş ve işlem kaydedilir, kimlik doğrulama yalnızca resmî KPS üzerinden yapılır, veritabanı saatlik yedeklenir. Tüm cevaplarımız Veri Güvenliği sayfasında.
