Bir çalışan işe başvurduğu andan ayrıldıktan yıllar sonrasına kadar işverenin elinde onlarca farklı veri oluşur: kimlik ve iletişim bilgileri, banka hesabı, bordro, sağlık raporları, giriş-çıkış kayıtları, performans notları. Çalışan kişisel verileri KVKK açısından ele alındığında temel soru şudur: Her veri hangi amaçla, hangi hukuki sebebe dayanarak, ne kadar süre ve kimlerle paylaşılarak işleniyor? Bu rehberde 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun işyerine yansımasını, çalışan yaşam döngüsü boyunca uygulanabilir bir çerçeveyle anlatıyoruz.
Sitemizde aydınlatma metni, kamera, e-posta izleme ve sağlık verileri gibi konuları ayrı yazılarda ele aldık. Bu yazı, bu konuları birbirine bağlayan bir yol haritası işlevi görür ve her başlıkta ilgili ayrıntılı yazıya yönlendirir.
Temel İlkeler: Her Veri İşleme Faaliyetinin Testi
KVKK md. 4, kişisel verilerin işlenmesinde şu ilkelere uyulmasını zorunlu tutar:
- Hukuka ve dürüstlük kurallarına uygun olma,
- Doğru ve gerektiğinde güncel olma,
- Belirli, açık ve meşru amaçlar için işlenme,
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
- İlgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza edilme.
Bu ilkelere ek olarak Türk Borçlar Kanunu md. 419, işverenin işçiye ait kişisel verileri ancak işe yatkınlıkla ilgili veya sözleşmenin ifası için zorunlu olduğu ölçüde kullanabileceğini düzenler. İş Kanunu md. 75 ise işverenin işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanmasını, gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamasını öngörür.
Pratik test: Bir veriyi toplamadan önce "Bu veri olmadan bu işi yapabilir miyiz?" diye sorun. Cevap evetse, o veriyi toplamamak çoğu zaman en güvenli yoldur.
Hukuki Sebepler: Açık Rıza Son Çaredir
KVKK md. 5'e göre kişisel veriler kural olarak açık rıza olmadan işlenemez; ancak kanunda sayılan şartlardan biri varsa açık rıza aranmaz. İşyerinde verilerin büyük bölümü bu şartlara dayanır:
| Veri / faaliyet | Uygun hukuki sebep (md. 5/2) | Açıklama |
|---|---|---|
| Kimlik, adres, SGK bildirimleri | Kanunlarda açıkça öngörülme (a) / hukuki yükümlülük (ç) | SGK ve vergi mevzuatı gereği |
| Bordro, banka hesabı | Sözleşmenin ifası (c) / hukuki yükümlülük (ç) | Ücret ödemesi için gerekli |
| Puantaj, giriş-çıkış kayıtları | Hukuki yükümlülük (ç) / meşru menfaat (f) | Çalışma süresinin ispatı |
| Performans değerlendirmesi | Sözleşmenin ifası (c) / meşru menfaat (f) | Ölçülülük şartıyla |
| Dava ve uyuşmazlık dosyaları | Bir hakkın tesisi, kullanılması veya korunması (e) | Zamanaşımı süresince |
| Kurumsal etkinlik fotoğrafının sosyal medyada paylaşımı | Genellikle açık rıza | İş ilişkisiyle zorunlu bağlantısı yok |
Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. İş ilişkisindeki güç dengesizliği nedeniyle, işin yürütülmesi için zorunlu verilerde açık rızaya dayanmak hem gereksiz hem de risklidir: Çalışan rızasını geri alırsa işveren zorunlu bir işlemi yapamaz duruma düşebilir. Bu ayrımı işyerinde açık rıza ve aydınlatma farkı yazımızda ayrıntılı ele aldık.
Özel Nitelikli Veriler: Sağlık, Biyometri, Sendika
KVKK md. 6'ya göre sağlık, biyometrik ve genetik veriler, sendika üyeliği, ceza mahkûmiyeti, din ve kılık-kıyafet gibi veriler özel nitelikli kişisel veridir ve işlenmesi kural olarak yasaktır. 7499 sayılı Kanunla 2024'te yapılan değişiklikten sonra md. 6/3, bu verilerin işlenebileceği halleri sayar. İşyeri açısından en önemlileri şunlardır:
- İlgili kişinin açık rızası,
- Kanunlarda açıkça öngörülmesi,
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
- İstihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.
Son bent sayesinde işe giriş ve periyodik sağlık muayenesi raporları, iş kazası kayıtları ve rapor bilgileri gibi veriler, yükümlülükle sınırlı olmak kaydıyla açık rıza olmadan işlenebilir. Bununla birlikte md. 6/4 uyarınca Kurul'un belirlediği yeterli önlemlerin alınması şarttır. Parmak izli giriş sistemi gibi yükümlülükten kaynaklanmayan uygulamalar ise ayrıca değerlendirilmelidir. Konuyla ilgili ayrıntılar için çalışan sağlık verileri ve raporlar ve parmak izli PDKS ve biyometrik veri yazılarımıza bakabilirsiniz.
Aydınlatma Yükümlülüğü: Veri Toplanırken Bilgi Verin
KVKK md. 10'a göre veri sorumlusu, kişisel veriler elde edilirken ilgili kişiye şunları bildirmekle yükümlüdür:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Verilerin hangi amaçla işleneceği,
- Kimlere ve hangi amaçla aktarılabileceği,
- Toplama yöntemi ve hukuki sebebi,
- Md. 11'deki hakları.
Aydınlatma, açık rızadan bağımsız bir yükümlülüktür; açık rıza alınmayan durumlarda da yapılmalıdır. Pratikte aday, çalışan ve ziyaretçi için ayrı aydınlatma metinleri hazırlamak, kamera veya araç takip gibi özel faaliyetler için ek bilgilendirme yapmak gerekir. Hazır bir metin için çalışan aydınlatma metni yazımıza göz atabilirsiniz.
İşveren ne yapmalı? Aydınlatma metnini işe giriş evrakıyla birlikte verin ve teslim alındığını belgeleyin. Yeni bir veri işleme faaliyeti başlattığınızda (ör. yeni bir İK yazılımı, konum takibi) metni güncelleyin.
Çalışan Yaşam Döngüsüne Göre Veri Haritası
| Aşama | Tipik veriler | Dikkat noktası |
|---|---|---|
| Aday ve işe alım | CV, mülakat notları, referanslar | İşe alınmayan adayların verileri için süre belirleyin |
| İşe giriş | Kimlik, adres, banka, sağlık raporu, diploma | Yalnızca pozisyon için gereken belgeleri isteyin |
| Çalışma dönemi | Bordro, puantaj, izin, performans, eğitim, disiplin | Erişimi rol bazlı sınırlayın |
| İzleme | Kamera, e-posta, cihaz, araç takibi | Ölçülülük ve önceden bilgilendirme |
| Ayrılış | Fesih belgeleri, ibraname, çalışma belgesi | Ayrılış sonrası erişimi daraltın |
| Ayrılış sonrası | Özlük dosyası, bordro arşivi | Saklama süresi bitince imha |
Saklama ve İmha
KVKK md. 7'ye göre işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen veya talep üzerine silinir, yok edilir veya anonim hale getirilir. Ancak diğer kanunlardaki saklama hükümleri saklıdır. Bu nedenle saklama süresi, işlemenin dayandığı mevzuata göre belirlenir: Örneğin 5510 sayılı Kanun md. 86, işyeri kayıt ve belgelerinin ilgili yılı takip eden yıl başından itibaren on yıl saklanmasını öngörür; iş hukukundaki alacak zamanaşımları da dosyaların saklanma süresini etkiler.
Belge bazında süreleri özlük dosyası belgeleri ve saklama süreleri yazımızda, imha politikasının nasıl kurulacağını ise KVKK kapsamında çalışan verilerinin saklanması yazımızda ele aldık.
Aktarım: Mali Müşavir, Grup Şirketi, Yurt Dışı
KVKK md. 8'e göre kişisel veriler, md. 5 ve md. 6'daki şartlardan biri bulunuyorsa açık rıza aranmadan yurt içinde aktarılabilir. Bordroyu hazırlayan mali müşavire, SGK'ya, bankaya veya İSG hizmeti alınan kuruluşa yapılan aktarımlar genellikle bu kapsamdadır. Ancak her aktarım aydınlatma metninde gösterilmeli ve hizmet sağlayıcılarla veri güvenliğini düzenleyen sözleşme yapılmalıdır. Md. 12/2'ye göre veriler işveren adına başkası tarafından işleniyorsa, güvenlik tedbirlerinden onlarla birlikte müştereken sorumlu olunur.
Yurt dışına aktarımda ise 2024 değişikliğiyle yenilenen md. 9 uygulanır: Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle taahhütname gibi uygun güvencelerden biri gerekir. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurul'a bildirilir. Yurt dışında sunucusu bulunan bulut İK yazılımları ve yurt dışındaki grup şirketleriyle paylaşımlar bu kapsamda değerlendirilmelidir. Ayrıntılar için çalışan verilerinin yurt dışına aktarımı yazımıza bakabilirsiniz.
Çalışanın Hakları ve Başvurular
Çalışan, KVKK md. 11'e göre verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya şartları varsa silinmesini isteme, aktarıldığı üçüncü kişileri bilme ve münhasıran otomatik sistemlerle yapılan analizin aleyhine sonucuna itiraz etme gibi haklara sahiptir. Md. 13'e göre başvurular en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırılır. Başvuru sürecinin nasıl yönetileceğini KVKK ilgili kişi başvurusu yazımızda anlattık.
Veri Güvenliği ve İhlal
Md. 12, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirlerin alınmasını zorunlu tutar. Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirir. Bildirim sürecinin pratiği için KVKK veri ihlali bildirimi yazımıza bakabilirsiniz. Ayrıca VERBİS kayıt yükümlülüğünüzü VERBİS kaydı rehberimizden kontrol edin.
İşveren İçin Kontrol Listesi
- [ ] İK süreçlerindeki tüm veri kategorileri envantere işlendi mi?
- [ ] Her faaliyet için hukuki sebep belirlendi ve yazıldı mı?
- [ ] Açık rıza yalnızca gerçekten gereken faaliyetlerde mi kullanılıyor?
- [ ] Aday, çalışan ve ziyaretçi aydınlatma metinleri güncel mi?
- [ ] Özel nitelikli veriler ayrı ve sıkı erişimle mi tutuluyor?
- [ ] Mali müşavir, yazılım sağlayıcı ve OSGB ile veri güvenliği sözleşmesi var mı?
- [ ] Saklama ve imha politikası yazılı ve uygulanıyor mu?
- [ ] Çalışan başvuruları için 30 günlük takip sistemi kuruldu mu?
Sık Yapılan Hatalar
- Her şey için tek bir açık rıza formu imzalatmak: Hukuki sebebi olan işlemler için rıza gereksizdir; genel ve belirsiz rıza ise geçerliliği tartışmalı hale getirir.
- Aydınlatma metnini rıza metniyle birleştirmek: İki yükümlülük ayrıdır.
- İşe girişte gereğinden fazla belge istemek: Ölçülülük ilkesine aykırıdır.
- Özlük dosyalarına geniş erişim: Yöneticilerin tüm dosyaya erişmesi gerekmez.
- Ayrılan çalışanın verilerini süresiz tutmak veya hemen silmek: Her iki uç da risklidir; süre mevzuata göre belirlenmelidir.
Sonuç
Çalışan verilerinde KVKK uyumu, bir aydınlatma metni imzalatmakla tamamlanmaz. Her veri için amaç, hukuki sebep, süre ve erişim yetkisini belirleyen bir sistem kurulduğunda hem çalışanın güveni hem de denetim ve uyuşmazlık durumlarında işverenin konumu güçlenir.
İK süreçlerinizi KVKK açısından gözden geçirmek ve envanter, metin ve politika setinizi oluşturmak için iş hukuku ve mevzuat uyumu hizmetimizden destek alabilir ya da bizimle iletişime geçin.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz; KVKK ve ikincil mevzuat değişebilir. Somut durumunuz için uzman desteği alın.
