Bu çalışma, KVKK eğitimi sonrasında temel kavramları gözden geçirmeniz ve öğrendiklerinizi işletme süreçleriyle ilişkilendirmeniz için hazırlanmıştır. Sorular hukuk rehberlerinin ya da işletmenize özel hukuki değerlendirmenin yerini tutmaz; amaç, eğitimde işlenen bilgileri pekiştirmektir.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Hangi kavramlar sınanmalı?
Bir KVKK testinde önce temel kavramların doğru anlaşılıp anlaşılmadığı ölçülmelidir. Kişisel veri, belirli ya da belirlenebilir bir gerçek kişiyle ilgili her türlü bilgiyi kapsar; 6698 sayılı Kanun’un m.3 hükmü tanımları düzenler. Çalışan adları, müşteri iletişim bilgileri ve bir kişiyi tanımaya yarayan kayıtlar, koşullarına göre kişisel veri niteliği taşıyabilir. Soruda önemli olan, bilginin tek başına kişiyi tanıtıp tanıtmadığı kadar başka bilgilerle birleştirildiğinde kişiyi belirlenebilir hâle getirip getirmediğidir.
Testte veri sorumlusu, veri işleyen, ilgili kişi ve kişisel veri kavramları da yer almalıdır. 6698 sayılı Kanun’un m.3 hükmü tanımları içerdiğinden, kavram soruları bu tanımları ezberletmekle sınırlı kalmamalı; işyerinde karşılaşılan durumlara uygulamayı da istemelidir. Örneğin, müşteri formunu hangi işletmenin hangi amaçla hazırladığı, formdaki bilgilerin kimlerle paylaşıldığı ve işlemi kimin adına kimin yürüttüğü sorgulanabilir. Böylece çalışan, yalnızca görev yaptığı birimi değil, verinin hangi süreçte ve ne amaçla kullanıldığını da düşünür.
Genel ilkeler de temel sınav konuları arasındadır. 6698 sayılı Kanun’un m.4 hükmü kişisel verilerin işlenmesindeki genel ilkeleri düzenler; test, bilgilerin belirli ve meşru amaçlarla kullanılması, amaçla bağlantılı ve sınırlı tutulması, gerektiği kadar saklanması gibi konulardaki farkındalığı yoklamalıdır. Bir çalışan, elindeki her bilgiyi her amaçla kullanabileceğini varsaymamalıdır. Test sorusu bu varsayımı görünür kılmalı, cevap açıklaması da neden sorun oluşturduğunu anlaşılır biçimde anlatmalıdır.
Eğitim sonrası kendinizi sınarken şu başlıkları kontrol edin: kişisel veri ve özel nitelikli kişisel veri ayrımı, veri sorumlusu ve veri işleyen rolleri, işleme şartları, aydınlatma, açık rıza, saklama ve imha, veri güvenliği, başvuru yolları ve veri aktarımı. Her başlık için şu soruyu sorun: “Bu kavramı işyerimdeki bir örnekle açıklayabilir miyim?” Cevap yalnızca tanımı tekrar ediyorsa, konuyu uygulama üzerinden yeniden çalışmak yararlı olur. İşletmenizin kullandığı belgeleri ve süreçleri gözden geçirmek için KVKK uyum kontrol listesini kullanabilirsiniz.
Veri sorumlusu nasıl tanınır?
Veri sorumlusunu tanımaya yönelik sorular, bir işlemi kimin yaptığına bakmakla yetinmemelidir. Önemli olan, kişisel verilerin işlenme amaç ve araçlarını kimin belirlediğini anlamaktır. Bir işletme müşteri formu hazırlıyor, hangi bilgilerin isteneceğine karar veriyor ve kayıtları hangi iş sürecinde kullanacağını belirliyorsa, bu kararlar veri sorumlusu rolünün değerlendirilmesinde önem taşır. 6698 sayılı Kanun’un m.3 hükmü tanımları düzenler; test sorusu da bu tanımı işletmedeki görev ve kararlarla ilişkilendirmelidir.
Örneğin, küçük bir işletme müşteri taleplerini izlemek için bir hizmet sağlayıcının sistemini kullanıyor olabilir. Çalışan, sistemin yalnızca işletme tarafından seçilmiş olması nedeniyle hizmet sağlayıcının bütün sorumlulukları üstlendiğini düşünmemelidir. Önce işletmenin hangi amaçla hangi bilgileri topladığına, hizmet sağlayıcının bu bilgileri hangi talimatlarla işlediğine ve kendi amaçları için ayrıca kullanıp kullanmadığına bakılır. Gerçek bir süreçte rol dağılımı, sözleşmeler ve fiilî uygulamalar birlikte değerlendirilir; tek bir test yanıtı işletmeye özel hukuki sonucu belirlemez.
Sık yapılan hata, veri sorumlusunu her zaman “veriyi saklayan kişi” veya “bilgisayar sistemini yöneten kişi” sanmaktır. Oysa sunucuyu işleten, yazılımı sağlayan ya da formu teknik olarak oluşturan tarafın varlığı, amaç ve araçlar konusundaki kararları tek başına açıklamaz. Eğitim sorusu bu nedenle “Veri nerede duruyor?” sorusunun yanında “Toplama amacı ne?”, “Hangi bilgilerin alınacağına kim karar verdi?” ve “Kullanım biçimini kim belirliyor?” sorularını da içermelidir.
Bir çalışan için pratik adım, kendi iş akışındaki veriyle temas noktalarını belirlemektir: formu kim hazırlıyor, kayıtları kim görüntülüyor, hizmet sağlayıcıya hangi talimat veriliyor, veriler ne zaman siliniyor? Soruları yanıtlarken emin değilseniz tahminde bulunmak yerine işletmenizdeki sorumlu kişiye danışın. Eğitim materyallerini iş akışlarına uyarlamak için ilgili araç ve şablonları inceleyebilirsiniz. Testin amacı, çalışanı bir rol etiketi ezberlemeye değil, doğru soruları sorup süreci fark etmeye hazırlamaktır.
Açık rıza soruları nasıl çözülür?
Açık rıza sorularında ilk adım, her veri işleme faaliyetinin açık rıza gerektirdiğini varsaymamaktır. 6698 sayılı Kanun’un m.5 hükmü kişisel verilerin işlenme şartlarını düzenler; somut olayda uygulanabilecek şartın ne olduğu, verinin niteliği ve işleme amacı dikkate alınarak değerlendirilir. Özel nitelikli kişisel veriler söz konusuysa 6698 sayılı Kanun’un m.6 hükmü özel nitelikli kişisel verilerin işlenme şartlarını düzenler. Bu nedenle sınavda doğru yaklaşım, “Her durumda rıza alınır” gibi genel bir ezber yerine, önce faaliyeti ve dayanağı belirlemektir.
Açık rıza ile ilgili bir senaryoyu çözerken rızanın belirli bir konuya ilişkin olup olmadığını, kişinin bilgilendirilmesine dayanıp dayanmadığını ve özgür iradeyle verilip verilmediğini düşünün. Örneğin, bir hizmetten yararlanmak isteyen kişiye, o hizmet için zorunlu olmayan başka bir kullanım da kabul ettiriliyorsa, rızanın özgür iradeyle verilip verilmediği sorgulanmalıdır. Test cevabında sadece “rıza var” demek yeterli olmaz; rızanın hangi işlem için alındığı ve kişinin neye onay verdiğini anlayıp anlamadığı da açıklanmalıdır.
Sık rastlanan yanlış, imza alınmasını tek başına yeterli görmek veya genel bir onay metnini farklı amaçlar için kullanmaktır. Bir çalışanın elindeki formda imza bulunması, metnin anlaşılır, belirli ve ilgili işlemle bağlantılı olup olmadığını değerlendirme gereğini ortadan kaldırmaz. Aynı şekilde, aydınlatma metniyle açık rıza beyanını aynı şey saymak da doğru değildir. Test sorusu bu ayrımı ölçmeli; cevap açıklaması hangi unsurun eksik olduğunu ve çalışanın bunu kime bildirmesi gerektiğini belirtmelidir.
Soruyu yanıtlarken şu sırayı izleyin: Hangi veri işleniyor? Amaç nedir? İşleme şartı olarak hangi seçenek değerlendiriliyor? Açık rıza gerekiyorsa, rızanın kapsamı açıkça belirlenmiş mi? Süreç değişirse mevcut metin hâlâ uygun mu? Bu soruları kişisel kanaatinizle hukuki sonuç ilan etmek için değil, olası sorunu fark edip doğru kişiye iletmek için kullanın. İşletmenizin rıza ve bilgilendirme belgelerini birbirinden ayırıp ayırmadığını gözden geçirmek, eğitimde öğrenilenleri günlük uygulamaya taşımaya yardımcı olur.
Aydınlatma ile rıza nasıl ayrılır?
Aydınlatma, kişiye verisinin nasıl işlendiği konusunda bilgi verilmesidir; açık rıza ise belirli bir işleme faaliyeti için kişinin iradesini ortaya koyduğu ayrı bir hukuki konudur. 6698 sayılı Kanun’un m.10 hükmü veri sorumlusunun aydınlatma yükümlülüğünü düzenler. Bu nedenle test sorularında aydınlatmanın hangi bilgileri içermesi gerektiği ile açık rızanın hangi durumda gündeme gelebileceği ayrı ayrı sorgulanmalıdır. Bir metinde iki kavramın yan yana bulunması, onları aynı işlem hâline getirmez.
Örneğin, işletme bir başvuru formu hazırlıyor ve formun başında kişisel bilgilerin hangi amaçla kullanılacağını açıklıyor olabilir. Formun sonunda yer alan bir onay kutusunun ne anlama geldiği ise ayrıca değerlendirilmelidir: Kişi yalnızca bilgilendirme metnini gördüğünü mü belirtiyor, yoksa belirli bir işleme faaliyetini kabul mü ediyor? Bu ayrımın yanıtı, formun sözcüklerine, düzenine ve veri işleme sürecine bağlıdır. Testte bu nedenle “Aydınlatma yapıldı mı?” ve “Açık rıza gerekiyorsa uygun biçimde alındı mı?” soruları birbirine karıştırılmamalıdır.
Sık yapılan hata, tek bir onay kutusuyla bütün yükümlülüklerin yerine getirildiğini düşünmektir. Bir başka hata, kişiye bilgi verildiği için her türlü veri kullanımının kendiliğinden uygun hâle geldiğini varsaymaktır. Aydınlatma, kişiye bilgi sunulmasıyla; işleme şartı ise kişisel verinin hangi koşulla işlenebileceğiyle ilgilidir. Test cevabınızda bu iki konuyu ayrı cümlelerle açıklayın. Eğer metnin yeterliliğinden emin değilseniz, işletmenin belirlediği süreç sorumlusuna iletin ve hukuki değerlendirme gerekiyorsa avukatınıza veya hukukçunuza danışın.
Uygulama adımı olarak, işletmenizde kullanılan başvuru, müşteri iletişimi ve çalışan belgelerinde bilgilendirme metinlerinin nerede yer aldığını bulun. Ardından onay kutularının hangi amaçla kullanıldığını ve her birinin anlaşılır olup olmadığını sorun. Çalışan eğitiminde kısa örneklerle “bilgi verme” ve “irade açıklaması” farkını anlatmak, test başarısını gerçek iş davranışına dönüştürür. KVKK eğitiminin kimler için gerekli olabileceğini ve nasıl belgeleneceğini inceleyerek eğitim içeriğiyle işletme kayıtları arasındaki bağlantıyı da değerlendirebilirsiniz.
İhlal senaryosu nasıl yorumlanır?
İhlal senaryosunu yorumlarken önce ne olduğunu, hangi bilgilerin etkilendiğini ve kimin fark ettiğini netleştirin. Bir çalışanın yanlış alıcıya dosya göndermesi, ortak klasörün gereğinden fazla kişiye açık kalması ya da cihazın kaybolması farklı olaylardır; ancak her birinde kişisel verilerin güvenliği bakımından değerlendirilmesi gereken noktalar bulunabilir. 6698 sayılı Kanun’un m.12 hükmü veri güvenliğine ilişkin yükümlülükleri düzenler. Test sorusu, çalışanların olayı saklamadan bildirmesini ve güvenli davranış adımlarını bilmesini ölçmelidir.
Somut örnekte, yanlış alıcıya dosya gönderdiğini fark eden bir çalışanı düşünelim. İlk yapılacak iş, gönderilen iletiyi silinmiş kabul edip konuyu kapatmak değildir. Çalışan, işletmenin belirlediği bildirim yolunu kullanmalı; olayın ne zaman fark edildiğini, hangi bilgilerin gönderilmiş olabileceğini ve alıcının kim olduğunu doğru biçimde aktarmalıdır. Kendi başına kayıtları değiştirmek, olayı gizlemek veya alıcıyla kurumun belirlediği süreç dışında temas kurmak değerlendirmeyi güçleştirebilir. Kurum içi bildirim, olayın uygun kişilerce ele alınmasına yardımcı olur.
Sık yapılan yanlışlardan biri, “Kimse şikâyet etmedi” diye olayın önemsiz olduğunu varsaymaktır. Bir diğeri ise olayın kapsamı kesinleşmeden çalışanların tahmine dayalı açıklamalar yapmasıdır. Eğitimde, ilk bildirimin eksiksiz bir hukuki değerlendirme olması beklenmemelidir. Çalışanın görevi, gözlemlediği olguları zamanında ve doğru kanala iletmek, ilgili kayıtları korumak ve talimatları izlemektir. Olayın niteliğine göre yapılacak değerlendirme, yetkili ekip ve gerekirse avukat ya da hukukçu tarafından yürütülmelidir.
Bir senaryo sorusunda cevabınızı şu sırayla kurun: olayı tanımlayın, olası verileri belirleyin, bildirimi kime yapacağınızı söyleyin, kanıt olabilecek kayıtları korumayı belirtin ve yetkisiz paylaşımı durdurmaya yönelik talimatları izleyin. “Hemen sil” ya da “kimseye söyleme” gibi kesin ve gelişigüzel çözümler üretmeyin. İşletmede kimin aranacağı, hangi kanaldan bildirim yapılacağı ve olayın nasıl kaydedileceği eğitim sırasında açıkça anlatılmalıdır. Test, çalışanların bu yolu hatırlayıp hatırlamadığını ölçen gerçekçi bir örnek içermelidir.
Kavram soruları ile olay senaryosu soruları nasıl karşılaştırılır?
Kavram soruları, temel terimleri anlayıp anlamadığınızı ve benzer kavramları ayırt edip edemediğinizi ölçer. Olay senaryosu soruları ise bu bilgiyi bir iş durumuna uygulama becerisine odaklanır. İkisi de eğitim değerlendirmesinde kullanılabilir; ancak aynı şeyi ölçmez. Yalnızca tanım sorularından oluşan bir çalışma, çalışanın beklenmedik bir veri paylaşımıyla karşılaştığında nasıl davranacağını göstermeyebilir. Yalnızca olay soruları kullanmak da kavramların neden önemli olduğuna dair temel bilgiyi görünmez bırakabilir.
| Karşılaştırma ölçütü | Kavram soruları | Olay senaryosu soruları |
|---|---|---|
| Amaç | Terim ve ilkelerin anlaşılıp anlaşılmadığını görmek | Bilginin iş durumuna uygulanmasını değerlendirmek |
| Kapsam | Tanımlar, ilkeler ve kavram ayrımları | Rol, amaç, veri akışı ve davranış seçenekleri |
| Süreç | Tanıma, açıklama ve ayırt etme | Olayı anlama, risk işaretini fark etme ve bildirme |
| Sonuç | Bilgi boşluklarını belirlemeye yardımcı olur | Uygulama ve karar verme ihtiyacını gösterir |
| Örnek | Aydınlatmanın ne olduğunu açıklamak | Yanlış alıcıya giden dosyada izlenecek yolu seçmek |
Kavram sorusunda çalışan “aydınlatma” ile “açık rıza” arasındaki farkı açıklayabilir. Senaryo sorusunda ise bir formdaki metni inceleyip hangi soruların sorulması gerektiğini belirtmesi beklenebilir. İkinci durumda, çalışanın tüm hukuki sonucu tek başına belirlemesi değil, riski fark ederek doğru kişiye yönlendirmesi önemlidir. Soru tasarlanırken beklenen davranış açıkça yazılmalı; çalışandan yetkisini aşan bir karar vermesi istenmemelidir.
Sık yapılan hata, senaryo sorusunu gerçek hayattaki bütün ayrıntılar olmadan kesin hüküm isteyen bir bulmacaya çevirmektir. Bilgi eksikse, doğru çalışan davranışı ek bilgi istemek veya konuyu sorumlu kişiye taşımak olabilir. Bir başka hata da yalnızca doğru seçeneği işaretleyen çalışanı başarılı sayıp gerekçesini hiç değerlendirmemektir. Gerekçeli cevap, çalışanın rastgele seçim yapıp yapmadığını ve hangi ilkeyi anladığını görmeye yardım eder.
Küçük işletmelerde eğitim tasarlarken iki soru türünü birlikte kullanın. Önce temel terimi hatırlatan kısa bir soru sorun; ardından aynı kavramı form, müşteri talebi, çalışan kaydı veya yanlış paylaşım örneğinde uygulatın. Yanıtları değerlendirirken yalnızca son seçeneğe değil, çalışanın hangi bilgiyi fark ettiğine ve hangi bildirim yolunu seçtiğine bakın. Böylece eğitim sonucu, günlük süreçlerde düzeltme yapılması gereken noktaları da gösterebilir.
Eğitim sonrası kendinizi sınayın: yirmi örnek soru nasıl çözülür?
Aşağıdaki sorular, eğitimde işlenen kavramları tekrar etmeniz ve gerekçeli düşünme alışkanlığı kazanmanız için hazırlanmıştır. Her soruda önce kendi yanıtınızı verin, ardından açıklamayla karşılaştırın. Yanlış yanıt, başarısızlık etiketi değil; hangi konuyu yeniden ele almanız gerektiğini gösteren bir işarettir. İşletmenizin özel süreçleri soruluyorsa tahmin yürütmeyin, kurum içindeki doğru bilgi kaynağına başvurun.
- Kişisel veri yalnızca kişinin adı ve soyadı mıdır? Hayır. Bir kişiyi doğrudan ya da başka bilgilerle birlikte belirlenebilir kılan bilgiler de kişisel veri olabilir.
- Bir müşterinin telefon numarası kişisel veri olabilir mi? Evet. Numara belirli ya da belirlenebilir bir kişiyle bağlantılıysa kişisel veri niteliği taşıyabilir.
- Veri sorumlusunu yalnızca veriyi saklayan taraf mı belirler? Hayır. Kişisel verilerin işlenme amaç ve araçlarına ilişkin kararlar rol değerlendirmesinde önem taşır.
- Bir hizmet sağlayıcı kullanılması bütün sorumluluğu ona aktarır mı? Hayır. İşletmenin amaçları, talimatları ve fiilî süreç değerlendirilmelidir.
- Her kişisel veri işleme faaliyeti için açık rıza alınması gerekir mi? Her durumda böyle bir sonuç çıkarılamaz. 6698 sayılı Kanun’un m.5 hükmü kişisel verilerin işlenme şartlarını düzenler.
- Özel nitelikli kişisel veriler sıradan müşteri bilgileriyle aynı başlık altında mı değerlendirilir? Hayır. 6698 sayılı Kanun’un m.6 hükmü özel nitelikli kişisel verilerin işlenme şartlarını düzenler.
- Aydınlatma metni tek başına açık rıza anlamına gelir mi? Hayır. Bilgilendirme ile kişinin belirli bir işleme yönelik iradesi ayrı konulardır.
- Bir formda imza bulunması, metnin ne olduğunu açıklamaya gerek bırakır mı? Hayır. Kişinin hangi konuda bilgilendirildiği ve neye onay verdiği anlaşılır olmalıdır.
- Toplanan her bilgi ileride başka amaçlarla da kullanılabilir mi? Böyle bir varsayım yapılmamalıdır. Amaç ve işleme şartı değerlendirilmelidir.
- Gereğinden fazla bilgi isteyen bir form fark edilirse ne yapılmalıdır? Çalışan, formu hazırlayan sorumluya konuyu bildirmeli ve hangi bilgilerin gerçekten gerekli olduğunu netleştirmelidir.
- Kişinin verisinin silinmesini istemesi durumunda çalışan kendi başına bütün kayıtları silebilir mi? Hayır. Talep, işletmenin belirlediği süreçte değerlendirilmelidir; 6698 sayılı Kanun’un m.7 hükmü silme, yok etme veya anonim hâle getirmeyi düzenler.
- Bir müşteri talebi çalışan tarafından yanıtsız bırakılabilir mi? Talep kurumun belirlediği kanala iletilmeli ve değerlendirme süreci izlenmelidir; 6698 sayılı Kanun’un m.13 hükmü veri sorumlusuna başvuruyu düzenler.
- Kişisel verilerin başka bir tarafa aktarılması, verilerin işletme içinde kullanımıyla aynı konu mudur? Hayır. Aktarım ayrıca değerlendirilir; 6698 sayılı Kanun’un m.8 hükmü kişisel verilerin aktarılmasını düzenler.
- Verinin yurt dışında bulunan bir hizmete gönderilmesi özel olarak ele alınmalı mıdır? Evet. 6698 sayılı Kanun’un m.9 hükmü yurt dışına aktarımı düzenler.
- Çalışan, yanlış alıcıya dosya gönderdiğini fark edince olayı saklamalı mıdır? Hayır. Kurumun belirlediği bildirim yolunu izlemeli ve olguları doğru aktarmalıdır.
- Ortak klasörün gereğinden fazla kişiye açık olduğunu gören çalışan ne yapmalıdır? Yetkisi dâhilinde güvenli bildirim yolunu kullanmalı, erişimi kendi başına değiştirmeden sorumlu ekibin talimatını izlemelidir.
- İşten ayrılan çalışanın erişimlerinin kontrol edilmesi veri güvenliğiyle ilgili midir? Evet. Erişimlerin görev ve yetkiyle uyumlu tutulması güvenlik uygulamalarının parçasıdır; 6698 sayılı Kanun’un m.12 hükmü veri güvenliğine ilişkin yükümlülükleri düzenler.
- Bir veri ihlali olayı yalnızca zarar kesinleştiğinde mi bildirilmelidir? Hayır. Şüpheli olayı kurumun belirlediği sürece göre bildirmek, uygun değerlendirme yapılmasına yardımcı olur.
- Eğitim katılım kaydı, çalışanların konuyu öğrendiğini tek başına kanıtlar mı? Katılım kaydı eğitimin yapıldığını gösterir; öğrenme ihtiyacını görmek için soru sonuçları ve geri bildirim de incelenebilir.
- Yanlış yanıt veren çalışanı cezalandırmak, bilgi açığını kapatmanın tek yolu mudur? Hayır. Yanlışın gerekçesini anlamak, açıklamayı yenilemek ve uygulama örneği sunmak öğrenmeyi destekler.
Bu soruların yanıtlarını kendi işletmenizin süreçleriyle karıştırmayın. Bir başvuru, aktarım veya olayın nasıl ele alınacağı kurum içi görev dağılımına bağlı olabilir. Emin olmadığınız noktayı eğitmeninizle veya işletmenizdeki sorumlu kişiyle görüşün; hukuki değerlendirme gereken yerde avukatınıza ya da hukukçunuza danışın.
Yanlış cevaplar nasıl öğrenilir?
Yanlış cevap, sadece hangi seçeneğin hatalı olduğunu göstermez; çalışanın hangi varsayımla hareket ettiğini de ortaya çıkarır. Örneğin, “Formda imza varsa her şey tamamdır” yanıtı, imza ile bilgilendirme veya rızanın aynı şey sanıldığını gösterebilir. “Veri hizmet sağlayıcıda tutuluyor, bu nedenle işletme sorumlu değil” yanıtı ise teknik saklama yeriyle rol dağılımının karıştırıldığını düşündürebilir. Geri bildirim bu nedenle yalnızca doğru seçeneği açıklamakla kalmamalı, yanlış düşünme yolunu da görünür kılmalıdır.
Eğitim sonrası soruları incelerken hataları konu başlıklarına ayırın: tanımlar, işleme şartları, açık rıza, aydınlatma, veri güvenliği, başvuru ve bildirim süreçleri. Birden fazla çalışan aynı noktada yanılıyorsa, sorun yalnızca bireysel dikkatsizlik olmayabilir. Eğitimde kullanılan örnekler yeterince açık olmayabilir veya işletmenin gerçek süreci çalışanlara anlatılmamış olabilir. Bu durumda testi tekrar etmekten önce açıklamayı, örnekleri ve kurum içi talimatları gözden geçirin.
Sık yapılan hata, yalnızca toplam doğru yanıt sayısına bakıp öğrenme açığını gözden kaçırmaktır. Çalışan tanımları doğru seçmiş olsa bile yanlış alıcıya giden dosya senaryosunda ne yapacağını bilemeyebilir. Bunun tersi de mümkündür: Terimi ezberlememiş bir çalışan, olayda doğru kişiye bildirim yapabilir. Gerekçeleri incelemek, hangi bilginin hatırlandığını ve hangi davranışın uygulanabildiğini ayrı ayrı değerlendirmeye yardımcı olur.
Pratik bir düzeltme döngüsü kurun: önce yanlış yanıtı ve gerekçeyi kaydedin, sonra ilgili kavramı kısa ve anlaşılır biçimde yeniden anlatın, ardından benzer ama farklı bir örnekle yeniden değerlendirin. Çalışana yanlışını açıklaması için güvenli alan tanıyın; belirsiz bir soruyu sırf sınavda çıktı diye tek doğru cevabı varmış gibi sunmayın. Gerçek sürece ilişkin bir belirsizlik varsa soruyu eğitim sorumlusuna taşıyın. Böylece test, yalnızca bilgi yoklayan bir kâğıt olmaktan çıkar ve eğitim içeriğinin iyileştirilmesine katkı sağlar.
Örnek hesap: uygulama seçiminin değerlendirilmesi
Bir küçük işletmenin müşteri taleplerini kaydetmek için yeni bir uygulama seçtiğini düşünün. Çalışanlar bu uygulamaya müşteri iletişim bilgileri ve talep açıklamaları girecek; işletme, erişimlerin kimlere açık olacağını ve kayıtların ne amaçla kullanılacağını değerlendirmek zorunda. Eğitim sorusunda “En ucuz seçeneği seçmek yeterli midir?” diye sorulabilir. Uygulama seçimi yalnızca kolaylık açısından değil, işlenen veri, erişim düzeni, saklama yaklaşımı ve hizmet sağlayıcıyla kurulacak çalışma biçimi açısından da ele alınmalıdır.
Bir seçenek hakkında kesin güvenlik hükmü vermek için yalnızca tanıtım metnine bakmak yeterli değildir. İşletme, hangi bilgilerin sisteme girileceğini, çalışanların hangi erişimlere ihtiyaç duyduğunu, verilerin kimlerle paylaşılacağını ve çıkış durumunda kayıtların nasıl ele alınacağını sorgulamalıdır. 6698 sayılı Kanun’un m.12 hükmü veri güvenliğine ilişkin yükümlülükleri düzenler; uygulama seçimi senaryosu da bu yükümlülükleri günlük kararlarla ilişkilendirebilir. Çalışanın görevi uygulamayı tek başına hukuken onaylamak değil, ilgili risk işaretlerini fark edip değerlendirmeyi yetkili kişilere taşımaktır.
Senaryo: Bir çalışan örnek müşteri verisi senaryosunda rol, amaç ve güvenlik önlemini ayırt eder.
Uygulanabilir kalemler ve kanundaki bantlar:
Kalemlerin alt sınırları toplandığında 0 TL, üst sınırları toplandığında 0 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.
Kanundaki bantlar
| Ceza kalemi | Dayanak | 2026 alt sınır | 2026 üst sınır |
|---|
Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.
Hesaplama içeren bir örnek, testteki bir yanıtın işletmeye özel hukuki değerlendirme yerine geçmediğini açıkça göstermelidir. Uygulamanın kapsamı, işletmenin kullanım biçimi ve mevcut önlemler bilinmeden tek bir seçenek için kesin sonuç çıkarılamaz. Çalışan, soruda kendisinden hangi kararı vermesinin beklendiğini ayırt etmeli; yetkisini aşan bir onay vermek yerine eksik bilgileri belirtmelidir. Kurumun uygulama seçim sürecinde veri envanteri, erişim yetkileri, hizmet şartları ve saklama düzeni gibi noktalar ilgili sorumlularla birlikte incelenebilir.
Sık yapılan hata, testteki hesaplamayı gerçek işletme için otomatik sonuç gibi yorumlamaktır. Oysa sorunun öğretici amacı, hangi değişkenlerin karar için önemli olduğunu göstermek olmalıdır. Bir çalışan, uygulama seçimiyle ilgili soruda “Önce hangi kişisel verilerin işleneceğini ve kimlerin erişeceğini netleştiririm; belirsiz noktaları sorumlu kişiye iletirim” diyebiliyorsa, doğru değerlendirme alışkanlığını sergiliyor olabilir. İşletmenizin değerlendirme adımlarını ayrıca gözden geçirmek için ücretsiz KVKK ceza riski hesaplayıcısını kullanabilirsiniz; araçların ücretsiz olması için kayıt veya kart bilgisi gerekmez.
Eğitim sonucu nasıl belgelenir?
Eğitim sonucunu belgelemek, yalnızca katılım imzası almakla sınırlı değildir. İşletme; eğitimin konusu, katılım bilgisi, kullanılan materyaller ve değerlendirme sonucu gibi kayıtları kendi ihtiyacına uygun biçimde düzenleyebilir. Hangi bilginin ne kadar süre tutulacağı ve kimlerin erişebileceği işletmenin kayıt yönetimi içinde ele alınmalıdır. Kayıt oluştururken gereksiz kişisel bilgi toplamamak, erişimi ihtiyaç duyan kişilerle sınırlamak ve belgeleri belirlenen süreçte saklamak önemlidir.
Bir çalışan eğitim sonunda soruları tamamladıysa, sonuçla birlikte hangi konularda tekrar açıklama gerektiği de kaydedilebilir. Örneğin, bir ekip aydınlatma ve rıza ayrımında sık hata yapıyorsa, eğitim içeriği bu örnekle güçlendirilebilir. Bu kayıt, çalışanı etiketlemek için değil, eğitim faaliyetinin anlaşılır ve işe yarar olup olmadığını değerlendirmek için kullanılmalıdır. Test sorularının cevapları kişisel performans dosyalarına aktarılacaksa, işletme bunu hangi amaçla yaptığını ve erişimi kimlere açtığını düşünmelidir.
Sık yapılan hata, yalnızca katılım listesini saklayıp eğitimin içeriğini veya uygulama sonucunu kaydetmemektir. Bunun tersi de sorun yaratabilir: Eğitimle ilgisi olmayan ayrıntıları toplayıp kayıtları gereksiz yere genişletmek. Belgeleme yöntemi işletmenin ölçüsüne uygun olmalı; kayıtlar güncel tutulmalı ve ilgisiz erişimlere açık bırakılmamalıdır. 6698 sayılı Kanun’un m.7 hükmü kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler; eğitim kayıtlarının saklama düzeni belirlenirken bu konu da dikkate alınmalıdır.
Uygulanabilir bir kayıt akışı kurmak için önce hangi belgelerin oluşturulacağını belirleyin: eğitim gündemi, katılım kaydı, soru değerlendirmesi, ek açıklama veya tekrar eğitim notu. Sonra bu belgeleri kimin hazırlayacağını, nerede saklayacağını ve kimlerin görebileceğini netleştirin. Çalışanlara test sonucunun nasıl kullanılacağı açıkça anlatılmalıdır. Eğitim, kurumun belge süreçlerini de gözden geçirmek için bir fırsattır; ilgili araç ve şablonları inceleyerek işletmenizin ihtiyaç duyduğu belge adımlarını belirleyebilirsiniz. Süreç işletmenize özel bir hukuki soru doğuruyorsa avukatınıza veya hukukçunuza danışın.
Kurul kararlarında KVKK test soruları
Eğitim testlerinin amacı, çalışanların temel kavramları anlamasını ve işyerindeki bildirim yollarını öğrenmesini sağlamaktır. Bir eğitim sorusu, işletmeye özel hukuki değerlendirmeyi veya somut bir olayın sonucunu tek başına belirlemez.
- Soru kökünü açık yazın; çalışandan hangi bilgiyi veya davranışı göstermesinin beklendiğini belirtin.
- Gerekçeli cevap verin; doğru seçeneğin yanında hangi kavramın uygulandığını da açıklayın.
- Gerçek süreçle bağlantı kurun; çalışanların kurum içi bildirim ve belge yollarını öğrenmesini sağlayın.
Test hazırlarken karar numarası aramak veya bir olayı tek cümlelik kesin sonuca indirgemek yerine, çalışanların temel kavramları doğru uygulayıp uygulamadığını ölçün. Soru gerçek bir işletme olayına dayanıyorsa, kişileri veya şirketi tanıtabilecek ayrıntıları paylaşmadan eğitim örneği hâline getirin. Böylece çalışanlar olaydan çıkarılacak davranış dersini görürken gereksiz kişisel bilgi de yayılmaz.
Bir sorunun yanıtı işletme süreçlerine bağlıysa, cevap anahtarında kurumun güncel işleyişini gösterin. Örneğin, şüpheli dosya paylaşımında çalışanın hangi iç kanala bildirim yapacağı açık olmalıdır. Bilinmeyen bir ayrıntıyı varsaymak yerine, çalışana hangi soruyu sorması ve kime yönelmesi gerektiğini öğretin. Eğitim materyali değiştikçe ilgili iç süreçlerin de gözden geçirilmesi, eski talimatların kullanılmasını önlemeye yardımcı olur.
Sık sorulan sorular
KVKK test soruları neyi ölçer?
Temel kavramların anlaşılıp anlaşılmadığını ve çalışanın bu bilgileri işyeri örneklerine uygulayıp uygulayamadığını ölçebilir. Gerekçeli cevaplar, hangi konuların yeniden ele alınması gerektiğini görmeye yardımcı olur.
Test sorularını yalnızca ezberleyerek çözebilir miyim?
Tanımları bilmek başlangıç için yararlıdır, ancak işyeri senaryolarında kavramları uygulamak gerekir. Soruda hangi bilginin eksik olduğunu ve ne zaman sorumlu kişiye başvurulacağını da düşünün.
Eğitim testinde yanlış cevap verirsem ne yapmalıyım?
Yanlış cevabın nedenini bulun ve ilgili kavramı yeniden çalışın. Açıklama yeterli değilse eğitmeninize veya işletmenizdeki sorumlu kişiye sorun; belirsizliği tahminle kapatmayın.
Eğitim sonucu nasıl kaydedilmelidir?
İşletme, katılım ve değerlendirme kayıtlarını amaca uygun, erişimi kontrollü ve anlaşılır biçimde tutabilir. Hangi kayıtların gerekli olduğunu ve nasıl yönetileceğini kurumun belge süreci belirlemelidir.
Test cevapları hukuki danışmanlık yerine geçer mi?
Hayır. Testler eğitim ve bilgi pekiştirme amacı taşır; işletmenizin somut olayı için hukuki değerlendirme sağlamaz. Gerekli olduğunda avukatınıza veya hukukçunuza danışın.
