KVKK 2021/464 Kararı Otoyol İşletmesinde Bordro E-Postası Hatası (489 Kişi) ve 60.000 TL İdari Para Cezası

1. Olayın Özeti: Bordro Gönderimi ve Veri İhlali

Veri sorumlusu, çalışanların kendi rıza ve talepleriyle yazılı ve imzalı şekilde ilettiği kişisel e-posta adreslerini sisteme işlemiş; bordro programı üzerinden bu adreslere bordrolar gönderilmiştir. Gönderim sonrasında bazı alıcılar, kendi bordrosu yerine başka bir çalışana ait bordroyu görüntüleyebilmiştir.

2. Teknik Kök Neden: Kuyruk Mekanizması ve Dil/Cihaz Tanımı

Bildirimde; ihlalin sistemsel bir hata sebebiyle meydana geldiği, bu teknik hatanın da bordro sisteminde Türkçe dili için bir cihaz türü tanımlı olmaması nedeniyle oluştuğu belirtilmiştir. Bu konfigürasyon eksikliği, programın bordro zarflarını “anlık göndermek” yerine önce kuyruğa alıp daha sonra e-posta atma yöntemini kullanmasına ve hatalı eşleşme/dağıtım riskinin doğmasına yol açmıştır.

2.1. Neden önemli?

• Konfigürasyon hataları (dil/cihaz türü gibi) beklenmedik iş akışlarını tetikleyebilir.
• Kuyruk (queue) işleme mekanizmaları; doğru alıcı-doğru içerik eşleşmesi için ek doğrulama ister.
• Toplu gönderimlerde “tek bir hata”, aynı anda çok sayıda çalışanın etkilenmesine neden olabilir.

3. Kurulun Değerlendirmesi: Teknik Hata + İdari Eksiklik

İnceleme sürecinde Kurul; “neden kişisel e-posta yerine şirket e-postasına gönderim yapılmadığı” yönünde bilgi istemiş; veri sorumlusu ise sahada çalışan personel yoğunluğu nedeniyle herkese şirket e-postası tanımlı olmadığını ve ayrıca şirketin kurumsal e-posta üzerinde erişim olanağı bulunduğunu dikkate alarak kişisel e-postaya gönderimin daha uygun görüldüğünü belirtmiştir.

3.1. Kişisel e-posta tercihi neden idari risk doğurur?

• Silme/geri alma kontrolü: Kişisel e-posta hesaplarında (farklı sağlayıcılar olduğundan) merkezi kontrol sınırlıdır.
• İspat ve denetim zorluğu: Yanlış bordronun silinip silinmediğini doğrulamak zorlaşır.
• Veri kontrol kaybı: Kişisel hesaplar üzerinden yapılan iş iletişimi “kurumsal kayıt” niteliğini zayıflatabilir.

3.2. Risk değerlendirmesi ve aydınlatma

Kurul, Kişisel Veri Güvenliği Rehberi’nde geçen “risk ve tehditlerin belirlenmesi” ile “resmi raporlama prosedürü” vurgularını hatırlatarak, ihlale konu riskin veri sorumlusu tarafından önceden değerlendirilmediği kanaatine yer vermiştir. Ayrıca; açık rıza alındığı ve aydınlatma yapıldığı belirtilse de, aydınlatma metninin ilgili kişileri bu hususlara ilişkin yeterince bilgilendirmediği ve kişilere başka seçenek bırakmadığı yönünde tespit yapılmıştır.

3.3. Yurt dışı saklama / aktarım riski

Kurul, kurumsal e-posta hizmetinin sunucularının yurt dışında olabileceğine ilişkin 2019/157 sayılı kararındaki yaklaşımı hatırlatarak; kurumsal e-posta hizmeti temin edilmeden çalışanların şahsi e-posta hesaplarının iş amaçlı kullanılmasının, verilerin farklı ülkelerde saklanması durumunu ortaya çıkarabileceği ve veriler üzerinde kontrol kaybına neden olabileceği riskini vurgulamıştır.

Tüm bu hususlar dikkate alınarak; KVKK m.12/1 kapsamında gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında KVKK m.18/1-b uyarınca 60.000 TL idari para cezası uygulanmasına karar verilmiştir.

4. Önleyici Önlemler: Bordro Süreçleri İçin En İyi Uygulamalar

Bordro gönderimi gibi “hassas ve tekrarlayan” iş süreçlerinde, güvenlik kontrolü yalnızca e-posta atmayı değil; bordronun üretilmesi, zarflanması, eşleştirilmesi, gönderilmesi, loglanması ve olay yönetimini de kapsamalıdır.

4.1. Kanal ve hesap yönetimi

• Kurumsal e-posta hesabı tahsisi: Bordro gönderimleri mümkünse yalnızca kurumsal hesaplara yapılmalı.
• Alternatif güvenli kanal: E-posta yerine portal/İK self-servis ekranı (MFA ile) üzerinden erişim tercih edilebilir.
• Kişisel e-posta zorunluysa: Seçenekli süreç; risk açıklaması + tercih yönetimi + kayıtlı onay + minimum veri ilkesi.

4.2. “Doğru alıcı – doğru içerik” kontrolleri

• Ön izleme doğrulaması: Toplu gönderim öncesi örneklem kontrol (rastgele 10-20 zarf kontrolü).
• Hash/ID eşleştirme: Bordro zarfının alıcı çalışan ID’si ile zorunlu eşleşmesi (gönderimde bloklama).
• Kuyruk güvenliği: Queue’da bekleyen işler için sıralı bütünlük kontrolü ve tekrar denemelerde güvenli idempotency.

4.3. Konfigürasyon, test ve değişiklik yönetimi

• Dil/cihaz türü gibi konfigürasyonlar: Prod öncesi kontrol listesi ile doğrulanmalı.
• Test ortamı: Bordro yazılımı güncellemeleri ve ayar değişiklikleri test ortamında denenmeli.
• Değişiklik kaydı: Kim, neyi, ne zaman değiştirdi? (audit trail)

4.4. Olay yönetimi (incident) ve hızlı müdahale

• Acil durdurma (kill switch): Yanlış gönderim şüphesinde toplu gönderim otomatik durmalı.
• Geri çağırma ve iletişim: Kurumsal sistemlerde geri çağırma imkânı, kişisel e-postaya göre daha yönetilebilir.
• Log ve delil: Hangi zarf, hangi adrese, hangi zamanda gitti? erişim/görüntüleme logları tutulmalı.

5. Uyum, Riskler ve Uygulanabilir Kontrol Listesi

Bordro e-postası kaynaklı ihlaller, “insan hatası” gibi görünse de genellikle süreç tasarımı ve kontrol eksikliğinden beslenir. KVKK uyumu açısından; veri minimizasyonu, erişim kontrolü, şeffaf aydınlatma ve risk analizi birlikte ele alınmalıdır.

5.1. Başlıca riskler

• Yanlış içerik-ifşa: Kimlik bilgisi içeren belgelerin yetkisiz kişilerce görülmesi.
• Kontrol kaybı: Kişisel e-posta sağlayıcıları üzerinde veri sorumlusunun geri alma/silme doğrulaması yapamaması.
• Yurt dışı saklama riski: E-posta altyapısının nerede bulunduğunun belirsizliği.
• Yetersiz aydınlatma: Çalışana seçenek sunmayan veya riskleri açıklamayan metinler.

5.2. Mini kontrol listesi (uygulamaya dönük)

1. Kurumsal hesap/portal: Bordro erişimi için güvenli kurumsal kanal tanımlandı mı?
2. Yetkilendirme: Bordro üretim ve gönderim ekranlarına erişim rol bazlı mı?
3. Doğrulama: “Alıcı–bordro” eşleştirmesi otomatik doğrulanıyor mu?
4. Konfigürasyon: Dil/cihaz türü ve queue davranışı test edildi mi?
5. Loglama: Gönderim/görüntüleme/indirme logları ve alarm kuralları var mı?
6. Aydınlatma & tercih: Çalışanlara seçenek sunuldu mu, metinler anlaşılır mı?
7. Olay planı: Yanlış gönderimde ilk 1 saatte yapılacaklar net mi?

6. Sık Sorulan Sorular