Çalışan Görevden Ayrıldıktan Sonra Kişisel Verileri Açıklayabilir mi?

Çalışan Görevden Ayrıldıktan Sonra Kişisel Verileri Açıklayabilir mi?

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri güvenliği, ihlal bildirimi, idari para cezası ve Kurul kararları için çalışma alanı.

Kısa cevap: Hayır. 6698 sayılı Kanun m. 12/4, veri sorumlusu ve veri işleyenlerin öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını düzenler. Hüküm, bu yükümlülüğün görevden ayrıldıktan sonra da devam edeceğini belirtir.¹

---

1. Yükümlülüğün Kime Yöneldiği

Hüküm doğrudan veri sorumlusuna ve veri işleyene yöneliktir. Kurum içindeki çalışanlar ise bu yükümlülüğe veri sorumlusunun tedbirleri aracılığıyla bağlanır: veri sorumlusu, çalışanlarının gizlilik taahhüdü vermesini, erişim yetkilerinin sınırlı tutulmasını ve görev sona erdiğinde yetkilerin kapatılmasını sağlamakla yükümlüdür. Çalışan açısından yükümlülük, iş sözleşmesindeki sadakat ve gizlilik borcuyla, kanun yoluyla da Türk Ceza Kanunu'ndaki kişisel veri suçlarıyla desteklenir.

Çalışanın bağımsız bir veri sorumlusu gibi hareket ederek aldığı verileri kendi amacıyla kullanması halinde, kurum ayrıca tedbir yükümlülüğü bakımından da sorumlu tutulabilir. Bu nedenle ayrılan çalışanın erişimlerinin kesilmesi kurumun kendi yükümlülüğüdür.

---

2. Görevden Ayrılmanın Etkisi

Yükümlülüğün süre bakımından sınırı yoktur. Çalışanın iş ilişkisi sona erdiğinde, görev sırasında öğrendiği müşteri, personel veya hasta bilgilerini yeni işverene taşıması, listelere dönüştürmesi veya üçüncü kişilere iletmesi Kanuna aykırıdır. Verinin çalışanın kendi cihazına veya kişisel e-posta adresine aktarılması da bu kapsamda değerlendirilir. Kurumsal e-posta denetiminin sınırları kurumsal e-posta denetiminde aydınlatma ve ölçülülük makalesinde ele alınmıştır.

Önemli: Kişisel veri sır saklama yükümlülüğü, ticari sır koruması ile örtüşebilir ancak aynı şey değildir. Kişisel veri, ticari değeri olmasa da korunur; yükümlülüğün konusu verinin ilgili kişiye aitliğidir.

---

3. Veri Sorumlusunun Alması Gereken Önlemler

Çalışan ayrılışında yapılacak işlemler önceden tanımlanmalıdır: erişim yetkilerinin iptali, cihaz ve belge iadesi, ayrılış görüşmesinde gizlilik yükümlülüğünün hatırlatılması. Bunlar m. 12/1 kapsamındaki idari tedbirlerdir ve belge ile ispatlanmalıdır. Veri sorumlusu bu tedbirleri almamışsa, çalışanın ihlali nedeniyle de idari para cezası riskiyle karşılaşabilir.

Yükümlülüklerin bütünü KVKK'da veri sorumlusunun yükümlülükleri makalesinde, çalışan verilerinin işlenmesi ise çalışan kişisel verileri nasıl işlenir sorusunda ele alınmıştır.

---

Uygulamada

İş sözleşmelerine ve personel yönergesine, görev sırasında öğrenilen kişisel verilerin açıklanmayacağını ve görevden ayrılma sonrasında da bu yükümlülüğün süreceğini belirten açık bir kayıt eklenmelidir. Ayrılış prosedürü yazılı kontrol listesiyle yürütülmeli, listenin tamamlandığı tarih kaydedilmelidir.

Yükümlülüğü ihlal eden çalışan hakkında idari, hukuki ve cezai yollar birlikte gündeme gelebilir. Hangi yolun izleneceği olayın niteliğine göre belirlenir; kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi bakımından ceza hükümleri kişisel verileri hukuka aykırı verme, yayma veya ele geçirme suçu makalesinde incelenmiştir.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, md. 12; 5237 sayılı Türk Ceza Kanunu, RG 12.10.2004/25611, md. 135 ve md. 136. ↩