KVKK (İngilizce: Turkish Personal Data Protection Law No. 6698), 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltması demektir. Kanun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere temel hak ve özgürlükleri korumayı ve veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemeyi amaçlar.
İşverenler için KVKK, çalışan ve aday ilişkisinin her aşamasına dokunan bir düzenlemedir. Bir iş ilanına gelen özgeçmişten işten ayrılan çalışanın dosyasının imhasına kadar her adım kanunun konusudur. Bu nedenle KVKK; İK yöneticilerini, işe alım uzmanlarını, bordro ekiplerini, bilgi işlem birimlerini ve şirket yönetimini doğrudan ilgilendirir.
KVKK Nedir? Amacı ve Kapsamı
KVKK 2016 yılında yürürlüğe girmiş ve Türkiye'de kişisel verilerin korunmasına ilişkin genel çerçeveyi oluşturmuştur. Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kişisel Verileri Koruma Kurulu denetler. Kanun; kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen tüm gerçek ve tüzel kişileri kapsar.
Kanunun temel kavramları şunlardır:
- Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- İlgili kişi: Verisi işlenen gerçek kişi; İK açısından adaylar, çalışanlar, stajyerler ve eski çalışanlar.
- Veri sorumlusu: Verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi; çalışan verileri bakımından işveren.
- Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi; örneğin dış kaynak bordro firması.
- Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.
Genel İlkeler ve İşleme Şartları
KVKK'ya göre kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli ve yalnızca gerekli süre kadar saklanmalıdır.
Bir verinin işlenebilmesi için kanunda sayılan şartlardan en az birinin bulunması gerekir. İK süreçlerinde en sık karşılaşılan şartlar şunlardır:
- Kanunlarda açıkça öngörülmesi (örneğin SGK bildirimleri, özlük dosyası).
- Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (iş sözleşmesi, ücret ödemesi).
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması.
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (dava savunması için kayıt saklama).
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.
- Diğer şartların bulunmadığı durumlarda ilgili kişinin açık rızası.
Sağlık, sendika üyeliği ve biyometrik veri gibi özel nitelikli veriler için daha sıkı kurallar uygulanır; kanunun bu hükümleri 2024 yılında yapılan değişiklikle yeniden düzenlenmiştir.
İşverenin Temel Yükümlülükleri
| Yükümlülük | İK'daki karşılığı |
|---|---|
| Aydınlatma | Adaylara ve çalışanlara veri işleme amaçlarını anlatan metinler |
| Veri güvenliği | Erişim yetkileri, şifreleme, gizlilik taahhütleri, eğitim |
| İlgili kişi başvuruları | Başvurulara en geç 30 gün içinde yanıt |
| Veri ihlali bildirimi | Kurul'a en kısa sürede ve en geç 72 saat içinde bildirim |
| Saklama ve imha | Saklama süreleri; periyodik imha süresi 6 ayı geçemez |
| Sicile kayıt | Yükümlü olanlar için VERBİS kaydı |
| Yurt dışına aktarım | Kanundaki aktarım kurallarına uygunluk |
VERBİS kayıt yükümlülüğü ve muafiyet ölçütleri Kurul kararlarıyla belirlenir; güncel eşikler için Kurum duyurularını takip etmek gerekir. Kanuna aykırılıklar için idari para cezaları öngörülmüştür ve bu tutarlar her yıl güncellenir.
Sık Karıştırılan Kavramlar
- KVKK ve GDPR: GDPR Avrupa Birliği'nin veri koruma tüzüğüdür; KVKK ondan esinlenmekle birlikte ayrı bir ulusal kanundur. Karşılaştırma için GDPR maddemize bakabilirsiniz.
- Aydınlatma ve açık rıza: Aydınlatma her durumda yerine getirilmesi gereken bir bilgilendirme yükümlülüğüdür; açık rıza ise yalnızca diğer işleme şartları yoksa başvurulan bir dayanaktır.
- Kurum ve Kurul: Kurum idari yapıyı, Kurul ise karar ve yaptırım organını ifade eder.
Örnek Senaryo
Aşağıdaki durum örnek amaçlı kurgulanmıştır. Bir üretim şirketi, işe giriş sürecinde tüm çalışanlara tek sayfalık genel bir "açık rıza formu" imzalatmaktadır. Uyum çalışmasında bu formun hem aydınlatma metni yerine kullanıldığı hem de bordro gibi zaten kanuni yükümlülüğe dayanan işlemler için gereksiz rıza istendiği tespit edilir. Şirket formu kaldırır; yerine çalışan aydınlatma metni hazırlar, açık rızayı yalnızca gerçekten gerektiren işlemler için ayrı ve isteğe bağlı olarak alır.
İK Uygulamasında İpuçları
- İK süreçlerinizdeki verileri bir veri envanterinde toplayın; diğer bütün adımlar bu envantere dayanır.
- Aday, çalışan ve stajyer için ayrı aydınlatma metinleri kullanın.
- Özlük dosyalarına erişimi "bilmesi gereken" kişilerle sınırlayın.
- Çalışanlara yönelik düzenli KVKK eğitimi planlayın.
- Uyum projesini adım adım yürütmek için KVKK uyum projesi adımları rehberimizden yararlanın.
Bu yazı genel bilgilendirme amaçlıdır; somut durumlar için uzmana danışılmalıdır. İK Partner, iş hukuku ve mevzuat uyumu hizmeti kapsamında İK süreçlerinizin KVKK açısından gözden geçirilmesi, aydınlatma metinleri ve saklama-imha politikası konularında destek verir. Mevcut durumunuzu ücretsiz ilk görüşmede birlikte ele alabiliriz.
İK sözlüğündeki diğer terimler için İK Sözlüğü sayfamıza göz atabilirsiniz.
