KVKK ve Kimlik Kartı: Kurumların Yükümlülükleri

Kimlik kartı, doğası gereği kişisel veri taşır: ad, soyad, fotoğraf, sicil numarası ve bazen kan grubu. Bu veriler kart üzerine basıldığı anda hem kurumun hem de baskıyı yapan tarafın sorumluluk alanına girer.

Aşağıdakiler genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kurumunuzun özel durumu için hukuk biriminize veya bir uzmana danışın.

Veri minimizasyonu

En temel ilke, amaç için gerekli olandan fazla veri işlememektir. Kimlik doğrulama amacı ad, soyad, fotoğraf ve sicil numarasıyla karşılanır. Doğum tarihi, TC kimlik numarası, ev adresi ve medeni hâl gibi bilgilerin kart üzerinde yer alması çoğu kurumda gereksizdir.

Aydınlatma yükümlülüğü

Personelin hangi verisinin, hangi amaçla, ne kadar süreyle işleneceği ve kimlerle paylaşılacağı önceden bildirilmelidir. Kart projesine başlarken kısa bir aydınlatma metni yayımlamak, sonradan doğabilecek itirazları önler.

Veri işleyen ilişkisi

Kart baskısı yapan firma, kurumun talimatıyla veri işleyen konumundadır. Listelerin nasıl saklanacağı, kimlerin erişeceği ve iş bitiminde ne yapılacağı yazılı olarak netleştirilmelidir. Biz iş tamamlandıktan sonra personel listelerini ve fotoğrafları sistemimizden siliyoruz.

Saklama ve imha

Kart üretimi için toplanan verilerin süresiz saklanması savunulabilir değildir. İş bitiminde imha edilmesi, kurum tarafında ise kart kayıtlarının belirlenen saklama süresi sonunda silinmesi gerekir.

Kaybolan kart

Kaybolan kart, üzerindeki kişisel verilerin üçüncü kişilerin eline geçmesi anlamına gelir. Bu yüzden kart üzerindeki veri ne kadar azsa, kayıp durumunda oluşacak risk de o kadar düşüktür.

Kart projesinde veri akışını haritalamak

Kişisel verinin nereden çıkıp nereye gittiğini görmek, alınması gereken önlemleri de netleştirir. Tipik bir kart projesinde veri şu noktalardan geçer:

1. 1Personelden toplanır (fotoğraf, ad, sicil).
2. 2İnsan kaynakları bilgisayarında birleştirilir.
3. 3Baskı firmasına iletilir.
4. 4Üretim sisteminde işlenir.
5. 5Kart üzerine basılır ve fiziksel olarak dağıtılır.
6. 6Üretim tarafındaki dijital kopyalar silinir.

Bu altı adımın her biri için erişim yetkisi, saklama süresi ve imha yöntemi tanımlanmalıdır. Adımların yazılı hâle getirilmesi, denetimlerde kurumun elini güçlendirir.

Paylaşım kanalının seçimi

Personeli bilgilendirmek

Aydınlatma metni hukuki bir yükümlülük olmanın ötesinde pratik bir fayda da sağlar: fotoğraf vermek istemeyen personelin çekinceleri genellikle belirsizlikten kaynaklanır. Verinin nerede saklanacağı ve ne zaman silineceği açıkça bildirildiğinde itirazlar büyük ölçüde ortadan kalkar.