Sendikalarda Üye Verisi Güvenliği: Şube Bazlı Yetkilendirme ve Erişim Kaydı

Sendika üye listeleri; ad, soyad, TC kimlik numarası, iletişim bilgisi, çalıştığı kurum ve üyelik durumu gibi bilgiler içerir. Bu veri yanlış ellere geçerse hem üyelere hem sendikaya zarar verir. Güvenlik, bu yüzden bir "ek özellik" değil, yazılım seçiminin ilk kriteri olmalıdır. Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez.

Sorunun kaynağı: dağınık dosyalar

Çoğu sendikada üye listeleri e-posta ekinde, USB belleklerde, şube bilgisayarlarında ve WhatsApp gruplarında dolaşır. Bu yapıda kimin hangi veriye eriştiğini bilmek, bir dosyanın kimde olduğunu takip etmek mümkün değildir. Bir çalışanın ayrılması ya da bir bilgisayarın kaybolması durumunda risk büyür.

1. Şube bazlı yetkilendirme

Genel merkez tüm üyeleri görmeli; şube yöneticisi yalnızca kendi şubesinin üyelerini görmeli. Bu yetkilendirme yazılımda tanımlı olmalı, kişilerin iyi niyetine bırakılmamalıdır. Rol de önemlidir: veri giren kişi, rapor alan kişi ve yönetici aynı yetkiye sahip olmak zorunda değildir.

2. TC kimlik numarasını koruma

TC kimlik numarası şifreli saklanmalı, yetkisi olmayan kullanıcıya maskeli (ör. 12301) görünmelidir. Böylece bir kullanıcı üye listesine bakarken bile tüm numarayı görmez; yalnızca işi gerektiriyorsa ve yetkisi varsa tam değer açılır.

3. İki aşamalı giriş ve hesap kilitleme

Parola tek başına yeterli değildir. İkinci bir doğrulama adımı (ör. SMS veya doğrulama uygulaması) ve art arda hatalı denemeden sonra hesap kilitleme, ele geçirilen parolaların zararını azaltır.

4. Kim, ne zaman, neye baktı: erişim kaydı

Kişisel verinin görüntülenmesi ve değiştirilmesi kayıt altına alınmalıdır. Bir sorun yaşandığında "bu üyenin bilgisini kim, ne zaman değiştirdi?" sorusu cevaplanabilmelidir. Olağan dışı erişimleri (ör. çok sayıda kaydın kısa sürede görüntülenmesi) işaretleyen uyarılar ek koruma sağlar.

5. Yedek ve silme

Düzenli yedek alınmalı, yedeklerin de erişimi sınırlı olmalıdır. Artık gerekmeyen veriler için saklama ve imha süreleri belirlenmelidir.

6. Haberleşme kanalı

Üye verisini WhatsApp gruplarında veya e-postayla dolaştırmak yerine, uygulama içi mesajlaşma ve yetkili paylaşım bağlantıları (süreli ve kayıtlı) kullanmak veriyi kontrol altında tutar.

7. KVKK açısından sendika verisi

Sendika üyeliği bilgisi, 6698 sayılı Kanun'da özel nitelikli kişisel veri arasında sayılır; bu nedenle ek önlemler gerekir. Aydınlatma metni, veri envanteri, yetki matrisi ve ihlal prosedürü gibi konularda destek almak faydalıdır. Ayrıntı için KVKK rehberimize bakabilir veya KVKK ön analiz hizmetimizden yararlanabilirsiniz.

Kontrol listesi

• Şubeler yalnızca kendi verisini görüyor mu?
• TC kimlik no şifreli ve maskeli mi?
• İki aşamalı giriş var mı?
• Görüntüleme ve değişiklikler kaydediliyor mu?
• Yedek ve silme süreleri tanımlı mı?
• Veri WhatsApp ve e-posta ekleriyle dolaşmıyor mu?

Eksen'de nasıl çözüyoruz?

HNG Bilişim'in sendikalar için geliştirdiği Eksen, bu ilkeleri temel alır: rol ve kapsam bazlı yetki, şifreli ve maskeli TC kimlik no, iki aşamalı giriş, hesap kilitleme ve işlem kaydı. Sendika yazılımı seçerken sorulacak sorular için diğer rehberimize de göz atabilirsiniz. Tanıtım için 20 dakikalık görüşme planlayın.