Kişisel Veri (İngilizce: Personal Data), kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi anlamına gelir. Ad, soyad ve kimlik numarası gibi doğrudan tanımlayıcıların yanında; tek başına ya da başka bilgilerle birleştirildiğinde bir kişiyi ayırt etmeye yarayan her bilgi bu kapsama girer.
İK birimleri, bir şirkette en fazla kişisel veriyle çalışan ekiplerden biridir. Aday özgeçmişlerinden bordro kayıtlarına, sağlık raporlarından performans notlarına kadar pek çok bilgi İK'nın elinden geçer. Bu nedenle kişisel verinin neyi kapsadığını doğru anlamak; İK uzmanlarının, yöneticilerin, bordro ve bilgi işlem ekiplerinin günlük kararlarını doğrudan etkiler.
Kişisel Veri Nedir? Kapsamı
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veriyi geniş tanımlar. Tanımın üç unsuru öne çıkar:
- Gerçek kişi: Şirketlere, derneklere veya vakıflara ait bilgiler kişisel veri değildir. Ancak bir şirket yetkilisinin adı ve iletişim bilgisi, o gerçek kişiye ait olduğu için kişisel veridir.
- Her türlü bilgi: Yazılı metin, ses kaydı, fotoğraf, kamera görüntüsü, konum bilgisi veya sistem kayıtları fark etmeksizin kapsama girer.
- Belirli veya belirlenebilir olmak: Kişinin adı geçmese bile, bilgi başka verilerle birleştirilerek kişiye ulaşılabiliyorsa kişisel veri sayılır.
Belirlenebilirlik ölçütü uygulamada en çok gözden kaçan noktadır. Örneğin "muhasebe biriminde çalışan, 2019'da işe giren tek kadın uzman" ifadesi isim içermese de küçük bir şirkette kişiyi açıkça işaret eder. Aynı şekilde personel sicil numarası, kurumsal e-posta adresi veya cihaz kimliği de kişiye bağlanabildiği ölçüde kişisel veridir.
İK Süreçlerinde Kişisel Veri Örnekleri
İK'nın işlediği veriler kabaca şu kategorilere ayrılabilir:
| Kategori | İK'daki örnekler |
|---|---|
| Kimlik | Ad soyad, T.C. kimlik numarası, doğum tarihi |
| İletişim | Telefon, adres, kişisel e-posta |
| Özlük | İş sözleşmesi, görev unvanı, işe giriş tarihi, disiplin kayıtları |
| Finans | Banka hesap bilgisi, ücret, bordro, icra kesintileri |
| Mesleki deneyim | Özgeçmiş, diploma, sertifikalar, referans bilgileri |
| Performans | Hedefler, değerlendirme sonuçları, yönetici notları |
| Görsel ve işitsel | Fotoğraf, kamera görüntüsü, görüntülü mülakat kaydı |
| İşlem güvenliği | Sistem giriş kayıtları, kart geçiş verileri |
Bu kategorilerin bir kısmı, sağlık raporları veya sendika üyeliği gibi, kanunda ayrıca korunan özel bir gruba girer. Bu ayrım için özel nitelikli kişisel veri maddemize göz atabilirsiniz.
Kişisel Veri İşleme Ne Demektir?
KVKK'da "işleme" kavramı, verinin elde edilmesinden silinmesine kadar her adımı kapsar: toplama, kaydetme, depolama, değiştirme, aktarma, sınıflandırma ve kullanımın engellenmesi bunlardan bazılarıdır. Yani bir özgeçmişi yalnızca e-posta kutusunda saklamak bile işleme faaliyetidir.
Veri işlemenin hukuka uygun olması için kanunda sayılan işleme şartlarından birine dayanılması ve genel ilkelere uyulması gerekir. İş sözleşmesinin kurulması veya ifası, kanunlarda açıkça öngörülme ve hukuki yükümlülüğün yerine getirilmesi, İK'da en sık başvurulan işleme şartlarıdır. Açık rıza ise diğer şartlar bulunmadığında devreye giren bir dayanaktır; her işlem için rıza almak hem gereksiz hem de yanıltıcı olabilir.
Sık Karıştırılan Kavramlar
- Anonim veri: Başka verilerle eşleştirilse dahi kişiyle ilişkilendirilemeyecek hale getirilmiş veridir; KVKK kapsamı dışındadır. Toplu bağlılık anketi sonuçları doğru anonimleştirildiğinde bu gruba girer.
- Takma adlı veri (pseudonymised data): Ad yerine kod kullanılan ancak anahtarla yeniden kişiye bağlanabilen veridir; hâlâ kişisel veridir.
- Kurumsal veri: Şirketin ciro, sözleşme veya ürün bilgileri gibi tüzel kişiye ait verilerdir; kişisel veri değildir ama ticari sır olarak korunabilir.
- Veri sorumlusu ve veri işleyen: İşveren çalışan verileri bakımından veri sorumlusudur; bordro hizmeti aldığınız firma ise çoğunlukla veri işleyen konumundadır.
Örnek Senaryo
Aşağıdaki durum örnek amaçlı kurgulanmıştır. Bir perakende şirketi, mağaza müdürlerinin performansını karşılaştırmak için hazırladığı tabloda isim yerine mağaza kodlarını kullanır ve tabloyu dış danışmanla paylaşır. Ancak her mağazanın tek bir müdürü olduğu ve mağaza listesi kamuya açık olduğu için tablo kolayca kişilere bağlanabilir. Şirket bu nedenle tabloyu kişisel veri olarak değerlendirir, danışmanla veri işleme hükümleri içeren bir sözleşme yapar ve yalnızca analiz için gerekli sütunları paylaşır.
İK Uygulamasında İpuçları
- "Bu bilgi kime ait ve kişiye ulaşılabilir mi?" sorusunu her paylaşımdan önce sorun.
- Aday ve çalışan verileri için ayrı aydınlatma metinleri hazırlayın; uygulama örnekleri için çalışan aydınlatma metni rehberimize bakabilirsiniz.
- Yöneticilerin kendi bilgisayarlarında tuttuğu çalışan listelerini envantere dahil edin.
- İlgili kişi başvurularını en geç 30 gün içinde yanıtlayacak bir süreç kurun.
- Gerek kalmayan verileri belirli aralıklarla silin veya anonimleştirin.
Bu yazı genel bilgilendirme amaçlıdır; somut durumlar için uzmana danışılmalıdır. İK Partner, iş hukuku ve mevzuat uyumu hizmeti kapsamında İK'nın işlediği kişisel verilerin haritalanması ve KVKK dokümantasyonunun hazırlanmasında destek sunar. İhtiyacınızı ücretsiz ilk görüşmede konuşabiliriz.
İK sözlüğündeki diğer terimler için İK Sözlüğü sayfamıza göz atabilirsiniz.
