Muhasebe ve Mali Müşavirlik Bürolarında KVKK Uyumu

1. Muhasebe Bürosu Veri Sorumlusu mudur? Bu Soruyu Doğru Yanıtlamak Neden Önemli?

KVKK’nın getirdiği yükümlülükleri anlamak için önce “ben bu kanunda nereye düşüyorum?” sorusunu sormak gerekiyor. Kanun, kişisel veri işleyen tarafları iki ana başlık altında ele alıyor: veri sorumlusu ve veri işleyen. Bu iki kavram, mali müşavirlik büroları için oldukça kritik bir ayrım taşıyor.

KVKK kapsamında veri sorumlusu, veri işleme amaçlarını ve araçlarını belirleyen kişidir. Muhasebe büroları, hem kendi çalışanlarının hem de müvekkil firmaların verilerini yönettiği için asli veri sorumlusu konumundadır.

Sadece bordro hesabı gibi sınırlı işlerde veri işleyen sıfatı kullanılsa da, çoğu büro her iki rolü üstlenerek tam sorumluluk taşır.

1.1. VERBİS’e Kayıt Zorunluluğu Var mı?

Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt, belirli eşiklerin üzerindeki veri sorumlularına yönelik bir yükümlülüktür. Kişisel Verileri Koruma Kurulu’nun (KVKK Kurulu) güncel kararlarına göre aşağıdaki durumlarda kayıt zorunludur:

• Yıllık çalışan sayısı 50’nin üzerinde olan ya da yıllık mali bilanço toplamı 25 milyon TL’yi aşan veri sorumluları,
• Yurt dışında yerleşik veri sorumluları,
• Yıllık çalışan sayısından veya mali bilanço toplamından bağımsız olarak özel nitelikli kişisel veri işleyen veri sorumluları.

Küçük ölçekli bürolar bu eşiklerin altında kalsa da KVKK’nın diğer yükümlülükleri —aydınlatma, veri güvenliği, ilgili kişi hakları— büyüklükten bağımsız olarak her veri sorumlusunu bağlamaktadır. Dolayısıyla “VERBİS’e kayıt olmak zorunda değilim” demek, “KVKK beni ilgilendirmez” anlamına gelmez.

1.2. Mali Müşavir ile Müvekkil Arasındaki Veri İlişkisi

Bir muhasebe bürosu ile müvekkili arasında imzalanan hizmet sözleşmesi, aynı zamanda bir veri işleme anlaşması niteliği de taşıyabilir. Avrupa’da GDPR kapsamında “Veri İşleme Sözleşmesi (DPA)” olarak bilinen bu mekanizme benzer şekilde, Türkiye’de de büro ile müvekkil arasındaki veri akışını güvence altına alacak yazılı düzenlemelerin yapılması profesyonel bir zorunluluktur. Bu hem büroyu korur hem de müvekkile güven verir.

2. Muhasebe Bürolarında Hangi Kişisel Veriler İşleniyor?

Muhasebecilik mesleğinin özü sayılardır; ancak bu verilerin arkasında gerçek kişiler yer alır. Bordro hesaplarından vergi beyannamelerine kadar işlenen her veri, KVKK kapsamında korunmaya değerdir.

2.1. Özel Nitelikli Veriler: En Hassas Bölge

Tablo dikkatli incelendiğinde, bordro işlemleri yürüten bir muhasebe bürosunun sağlık verisi işlediği görülür. İstirahat raporu, engellilik belgesi veya iş kazası bildirimi —bunların hepsi KVKK’nın 6. maddesinde sayılan özel nitelikli kişisel veriler arasındadır. Bu tür veriler için:

• Açık rıza alınması ya da kanunda öngörülen istisnalardan birinin varlığı zorunludur,
• Teknik ve idari güvenlik önlemleri çok daha sıkı tutulmalıdır,
• Bu veriler asla gereksiz kişilerle paylaşılmamalıdır.

Özel nitelikli verileri işleyen bir büronun, bu hassasiyeti her adımda gözetmesi ve güvenlik protokollerini buna göre kurgulaması gerekir.

2.2. “Ben Sadece Sayılarla Uğraşıyorum” Denilebilir mi?

Zaman zaman muhasebecilerden şu ifadeyi duyarız: “Ben firmalarla çalışıyorum, bireylerle değil. Bu yüzden beni pek ilgilendirmiyor.” Bu yaklaşım maalesef hatalı. Tüzel kişilik olan müvekkil firmanın arkasında gerçek kişiler vardır ve siz onların verilerini —SGK bildirimleri, maaş bordroları, vergi beyannameleri aracılığıyla— doğrudan işliyorsunuz. Türk Vergi Hukuku’nun bile bu gerçek kişileri merkezine koyduğunu düşünürsek, KVKK’nın da bunu yapması son derece doğaldır.

3. Hangi Hukuki Sebebe Dayanarak Veri İşlenebilir?

KVKK’nın 5. maddesi, kişisel verilerin hangi hukuki sebeplere dayanarak işlenebileceğini tek tek sıralıyor. Muhasebe büroları açısından en sık gündeme gelen hukuki sebepler şunlardır:

3.1. Açık Rıza Her Durumda Gerekli Değil

Muhasebe bürolarında yapılan yaygın bir hata, her işlem için açık rıza almaya çalışmaktır. Oysa SGK bildirimi gibi yasal zorunluluklarda rıza almak gereksizdir ve karışıklık yaratabilir.

Önce açık rıza dışındaki sebepler (sözleşme, yasal yükümlülük vb.) değerlendirilmeli, bunlar yetersizse açık rızaya başvurulmalıdır.

3.2. Meşru Menfaat: Ne Zaman Kullanılabilir?

Meşru menfaat (KVKK m.5/2-f), muhasebe bürolarının zaman zaman gözden kaçırdığı ama aslında pratikte sıklıkla ihtiyaç duydukları bir hukuki sebeptir. Büronuzun siber güvenliği için çalışanların sistem erişim loglarını tutmanız, müvekkil iletişim geçmişini kayıt altına almanız ya da büroya giriş-çıkışların kamera ile izlenmesi gibi durumlar meşru menfaat kapsamında değerlendirilebilir. Ancak bu hukuki sebebe dayanabilmek için:

• Menfaatin somut, meşru ve belirli olması,
• İşlemenin bu menfaati sağlamak için zorunlu olması,
• İlgili kişinin temel hak ve özgürlükleriyle makul bir denge kurulmuş olması

gerekmektedir. Meşru menfaat, “her şey yolsuz görünüyor ama nasılsa menfaat var” mantığıyla değil; özenli bir denge analiziyle kullanılması gereken bir araçtır.

4. Aydınlatma Yükümlülüğü: Müvekkile ve Çalışana Ne Söylemek Gerekiyor?

KVKK’nın temel ilkesi şeffaflıktır. Büronuza gelen her müvekkil ve çalışan, verilerinin işlenme süreci hakkında önceden aydınlatılmalıdır. Bu bilgilendirme belgelenebilir ve anlaşılır olmalıdır.

4.1. Bir Aydınlatma Metninde Neler Yer Almalı?

Kanun, aydınlatma metninde bulunması zorunlu unsurları açıkça belirlemiş. Bunlar:

• Veri sorumlusunun kimliği (büronuzun ticaret unvanı, adresi, vergi numarası),
• Hangi kişisel verilerin işlendiği,
• Bu verilerin işlenme amacı,
• Hangi hukuki sebebe dayandığı,
• Verilerin üçüncü taraflarla paylaşılıp paylaşılmadığı ve kimlerle,
• Verilerin yurt dışına aktarılıp aktarılmadığı,
• İlgili kişinin hakları (erişim, düzeltme, silme, itiraz vb.).

4.2. Müvekkil İçin Aydınlatma: Sözleşmeyle Birlikte

Yeni bir müvekkil kabul ettiğinizde, en pratik yol aydınlatma metnini hizmet sözleşmesiyle birlikte sunmaktır. Müvekkil sözleşmeyi imzalamadan önce, verilerinin nasıl işleneceğini bilmeli. Bazı bürolar bu metni sözleşmenin ekine koyuyor; bazıları ise ayrı bir belge olarak imzalatıyor. Her iki yaklaşım da geçerlidir; önemli olan belgenin müvekkil tarafından okunup anlaşıldığını ispatlayabilmektir.

Aydınlatma metninde özellikle vurgulanması gereken bir nokta var: muhasebe büroları müvekkil çalışanlarının SGK, bordro ve benzeri verilerini işlediğinden, bu üçüncü kişiler (müvekkil firmanın çalışanları) hakkında da aydınlatma yapılması gerekebilir. Bu konuyu müvekkilinizle açıkça konuşmak ve gerekli düzenlemelerin müvekkil tarafından yapılmasını talep etmek, büroyu koruyacak önemli bir adımdır.

4.3. Çalışan İçin Aydınlatma: İşe Başlarken

Büronuza yeni bir muhasebe elemanı ya da stajyer aldığınızda, işe başlama sürecinde çalışan aydınlatma metninin imzalatılması gerekir. Bu metin; hangi kişisel verilerin (özlük dosyası, maaş bilgisi, SGK kaydı, adli sicil vb.) hangi amaçlarla işlendiğini, kimlerle paylaşıldığını (muhasebe yazılımı, SGK sistemi, banka) ve çalışanın hangi haklara sahip olduğunu içermelidir.

Stajyerler de bu yükümlülüğün kapsamına girer. 18 yaşının altındaki stajyerlerde ise yasal temsilcinin bilgilendirilmesi de gerekebilir.

5. Muhasebe Bürolarında Veri Güvenliği: Küçük Bürolar için Büyük Sorumluluk

Ciddi miktarda finansal ve özel nitelikli veri barındıran muhasebe bürolarında veri güvenliği, hem yasal hem de mesleki bir zorunluluktur. Olası bir ihlal, büronun güvenilirliğine ağır darbe vurabilir.

KVKK’nın 12. maddesi, veri sorumlularına veri güvenliğini sağlama yükümlülüğü getiriyor. Bu yükümlülük hem teknik hem de idari önlemleri kapsıyor.

5.1. Teknik Önlemler

• Güçlü parola politikası: Muhasebe yazılımlarına, e-posta sistemine ve genel ağa erişimde karmaşık ve düzenli güncellenen parolalar kullanılmalı; mümkünse iki faktörlü kimlik doğrulama aktif edilmeli.
• Yedekleme sistemi: Müvekkil ve çalışan verilerini içeren tüm dosyalar düzenli aralıklarla yedeklenmeli; bu yedekler şifreli ve erişimi kısıtlı ortamlarda saklanmalı.
• Antivirüs ve güvenlik duvarı: Muhasebe bürolarına yönelik oltalama saldırıları son yıllarda belirgin biçimde artmıştır. Güncel antivirüs yazılımları ve güvenlik duvarı bu riskleri büyük ölçüde azaltır.
• Şifreli iletişim: Müvekkile finansal belge veya kişisel veri içeren e-posta gönderilirken şifreli iletişim ya da güvenli paylaşım platformları tercih edilmeli; açık e-posta eklerinden kaçınılmalı.
• Erişim yetkilendirmesi: Hangi çalışanın hangi müvekkile ait verilere erişebildiği belirlenmiş ve sınırlandırılmış olmalı. Muhasebe elemanı A, yalnızca kendi anlık müvekkil dosyalarına ulaşabilmeli.
• Ekran kilitleme: Ofis ortamında bilgisayardan uzaklaşıldığında ekran otomatik kilitlenmeli. Bu küçük görünen detay, veri ihlallerinde sıkça karşılaşılan bir açık kapıdır.

5.2. İdari Önlemler

• Gizlilik sözleşmesi: Büronuzda çalışan tüm personelinizin, stajyerlerinizin ve serbest çalışan destek aldığınız kişilerin gizlilik taahhüdü imzalaması gerekir.
• Veri imha prosedürü: Artık gerekmeyen belgeler nasıl imha ediliyor? Kâğıt evraklar çöpe mi atılıyor yoksa makaslı imha makinesiyle mi yok ediliyor? Dijital veriler gerçekten siliniyor mu? Bu süreçlerin yazılı bir prosedürle düzenlenmesi gerekir.
• Fiziksel güvenlik: Müvekkillere ait kâğıt belgelerin kilitli dolaplarda saklanması, ofise girişin belirli kişilerle sınırlı tutulması gibi önlemler de veri güvenliğinin ayrılmaz bir parçasıdır.
• Veri ihlali müdahale planı: Bir veri ihlali yaşandığında ne yapacaksınız? KVKK, veri ihlalini öğrendiğinizden itibaren 72 saat içinde Kurula bildirme yükümlülüğü getiriyor. Bu süreyi yönetebilmek için önceden hazırlık yapılmış olması şarttır.

5.3. Muhasebe Yazılımları ve Bulut Sistemleri

Günümüzde pek çok muhasebe bürosu bulut tabanlı yazılımlar kullanıyor. Bu yazılımlar verileri genellikle üçüncü bir sunucuda tutuyor. Bu durumda yazılım sağlayıcısı bir veri işleyen konumuna giriyor ve aralarında yazılı bir veri işleme sözleşmesi bulunması gerekiyor. Yazılım şirketinin yurt dışında veri depolayıp depolamadığını kontrol etmek ve gerekiyorsa yurt dışı veri aktarımına ilişkin güvenli işlem mekanizmalarının varlığını doğrulamak da büronun sorumluluğunda.

6. Pratik Uyum Adımları: Nereden Başlayacaksınız?

KVKK uyumu soyut bir kavram gibi görünebilir; ama pratikte somut adımlardan oluşan bir süreçtir. Bu süreci başlatmak için büyük bir hukuk firmasına ya da danışmanlık şirketine ihtiyacınız olmayabilir. Doğru noktalardan başlamak yeterlidir.

Aşağıdaki adımları sırasıyla takip etmek, büronuzda KVKK uyumunu sistematik biçimde kurgulamanıza yardımcı olacaktır:

1. Veri Envanteri Çıkarın
   Büronuzda hangi kişisel verilerin işlendiğini, bu verilerin nereden geldiğini, nerede saklandığını, kimlerle paylaşıldığını ve ne kadar süreyle tutulduğunu yazılı olarak kayıt altına alın. Bu envanter, tüm uyum çalışmalarının temel taşıdır.
2. Hukuki Sebepleri Belirleyin
   Her veri işleme faaliyeti için hangi hukuki sebebe dayandığınızı belirleyin. Sözleşme kapsamında mı? Yasal yükümlülük mü? Meşru menfaat mi? Bu analizi kayıt altına alın.
3. Aydınlatma Metinlerini Hazırlayın
   Müvekkiller için ve çalışanlar için olmak üzere en az iki ayrı aydınlatma metni hazırlayın. Bu metinleri anlaşılır dilde yazın; hukuki jargon yerine sade Türkçeyi tercih edin.
4. Gizlilik ve Güvenlik Prosedürleri Oluşturun
   Veri güvenliğine ilişkin teknik ve idari önlemleri belgeleyerek bir iç prosedür haline getirin. Çalışanlara bu prosedürü anlatın ve gizlilik taahhütnameleri aldığınızdan emin olun.
5. VERBİS Durumunu Kontrol Edin
   Büronuzun VERBİS’e kayıt yükümlülüğü taşıyıp taşımadığını kontrol edin. Yükümlüyseniz veri envanterinizi temel alarak VERBİS kaydını tamamlayın.
6. İlgili Kişi Başvuru Sürecini Kurun
   Müvekkil ya da çalışanlarınız KVKK kapsamında talepte bulunduğunda (verilerime erişmek istiyorum, verilerimi silin vb.) bu talepleri nasıl karşılayacaksınız? Bu süreci önceden tasarlayın. Yasal başvuru yanıt süresi 30 gündür.
7. Periyodik Gözden Geçirme Yapın
   KVKK uyumu bir kez tamamlanan ve rafta bırakılan bir proje değildir. Yılda en az bir kez veri envanterinizi, aydınlatma metinlerinizi ve güvenlik önlemlerinizi gözden geçirin; değişiklik varsa güncelleyin.

6.1. Hangi Belgeler Hazır Olmalı?

7. Sık Sorulan Sorular