Çalışan Kişisel Verileri Nasıl İşlenir?
Çalışan kişisel verileri, iş ilişkisinde KVKK md. 5 ve md. 6 şartlarına göre işlenir. Özlük dosyası, sağlık verisi, biyometrik sistemler ve saklama süreleri.
Çalışan Kişisel Verileri Nasıl İşlenir?
İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.
Kısa cevap: İş ilişkisinde işveren veri sorumlusudur ve çalışan verilerini KVKK md. 5 ile md. 6'daki şartlara dayanarak işler. Uygulamada geçerli dayanak çoğunlukla açık rıza değil; sözleşmenin ifası, işverenin hukuki yükümlülüğü ve kanunlarda açıkça öngörülme sebepleridir1.
Bu tespit tesadüfi değildir. İş ilişkisindeki bağımlılık, çalışanın rızasının özgür iradeye dayandığı varsayımını zayıflatır. Rızaya dayanan bir sistem, çalışan rızasını geri aldığında çöker.
1. Hukuki Sebep Haritası
Çalışan verisi tek bir sebeple işlenmez. Her veri kalemi kendi dayanağına oturur ve envanter bu ayrımı göstermek zorundadır.
Sözleşmenin kurulması veya ifası. Ad, iletişim bilgisi, banka hesap numarası, pozisyon, çalışma süresi ve performans kayıtlarının önemli bölümü iş sözleşmesinin ifasıyla doğrudan ilgilidir.
Hukuki yükümlülüğün yerine getirilmesi. Bordro, sigorta bildirimi, vergi kesintisi, iş sağlığı ve güvenliği kayıtları ile 4857 sayılı İş Kanunu md. 75 uyarınca tutulan özlük dosyası bu kapsamdadır2. İşveren, çalıştırdığı her işçi için özlük dosyası düzenlemek ve mevzuat gereği düzenlemek zorunda olduğu belge ve kayıtları saklamakla yükümlüdür.
Kanunlarda açıkça öngörülme. Sosyal güvenlik, iş sağlığı ve güvenliği ile asgari ücret desteği gibi alanlardaki bildirim yükümlülükleri doğrudan kanundan doğar.
Meşru menfaat. Bilgi güvenliği, yetkisiz erişimin önlenmesi ve iç denetim gibi alanlarda gündeme gelir; ancak yazılı bir denge testi yapılmadan bu sebebe dayanılamaz. Testin unsurları açık rıza hangi hallerde gerekmez başlığında ele alınmıştır.
Açık rıza. Yalnızca gerçekten opsiyonel işlemeler için ayrılır: kurumsal sosyal medya hesabında fotoğraf paylaşımı, gönüllü sosyal etkinlik kaydı, isteğe bağlı yan haklar.
Önemli: İş Kanunu md. 75, özlük dosyasının yanına ayrı bir yükümlülük ekler: işveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak, gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür. Bu hüküm, KVKK'dan bağımsız olarak işlemekte ve iş hukuku yaptırımlarına da tabidir. Aynı fiil hem KVKK ihlali hem de iş sözleşmesine aykırılık doğurabilir.
2. Özel Nitelikli Veriler ve İşyeri Hekimi
İş ilişkisi, özel nitelikli veri yoğunluğu yüksek bir alandır. Sağlık raporu, engel durumu, adli sicil kaydı, sendika üyeliği kesintisi ve biyometrik giriş kayıtları KVKK md. 6 rejimine tabidir. Kategoriler özel nitelikli kişisel veri nedir başlığında sayılmıştır.
2024 yılında 7499 sayılı Kanunla yapılan değişiklik, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi halini ayrı bir işleme şartı olarak tanımlamıştır. İşveren, bu alandaki zorunlu sağlık verisi işlemelerini artık açık rızaya dayandırmak zorunda değildir.
Sağlık verisinde ikinci bir katman işler. İşe giriş ve periyodik muayene kayıtları sır saklama yükümlülüğü altındaki işyeri hekimi tarafından tutulur. İşverene aktarılan bilgi, tıbbi teşhis değil çalışma uygunluğu sonucudur. Teşhis, tanı, kullanılan ilaç veya tedavi bilgisinin insan kaynakları biriminde tutulması, işleme şartı bulunsa dahi ölçülülük ilkesine aykırıdır.
Adli sicil belgesinde de aynı ölçü uygulanır. Belge, yalnızca pozisyonun niteliği belirli bir sicil koşulunu gerektiriyorsa istenebilir. Her adaydan rutin biçimde adli sicil kaydı talep etmek, amaçla bağlantılılık ve ölçülülük ilkelerini karşılamaz.
3. Biyometrik Giriş Sistemleri ve İzleme
Parmak izi, avuç içi damar okuma ve yüz tanıma ile çalışan devam kontrol sistemleri biyometrik veri işler. KVKK md. 6/4 uyarınca bu işlemede Kurulca belirlenen yeterli önlemlerin alınması zorunludur.
Asıl sınav ölçülülüktür. Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımında, aynı amaca kartlı geçiş veya şifreli sistem gibi daha az müdahaleci bir araçla ulaşılabildiği hallerde biyometrik veri işleme ölçüsüz sayılmaktadır. Sisteme geçmeden önce alternatiflerin değerlendirildiğini gösteren yazılı gerekçe hazırlanmalı ve çalışana biyometrik olmayan bir seçenek fiilen sunulmalıdır. Seçenek sunulmadan alınan rıza, özgür irade unsurunu taşımaz.
Kamera ile izlemede ölçütler benzerdir: izlemenin amacı tanımlı olmalı, kapsamı amaçla sınırlı kalmalı, dinlenme alanları ve soyunma odaları kapsam dışı bırakılmalı, çalışanlar önceden bilgilendirilmelidir. Ayrıntı işyerinde güvenlik kamerası ile izleme yasal mı başlığındadır.
Kurumsal e-posta ve internet kullanımının denetiminde ise ek bir sınır vardır. Denetimin dayanağı ve kapsamı önceden yazılı politika ile duyurulmamışsa, sonradan yapılan inceleme hem KVKK hem de haberleşme özgürlüğü bakımından tartışmalı hale gelir. Çerçeve işveren çalışanın e-postalarını okuyabilir mi başlığında ele alınmıştır.
4. Saklama Süreleri ve İşten Ayrılma Sonrası İmha
Çalışan verisi, iş ilişkisi sona erdiğinde otomatik olarak imha edilmez. Saklama süresi, verinin dayandığı yükümlülüğe göre belirlenir.
Üç ayrı ölçüt birlikte işler. Birincisi mevzuattaki açık saklama süreleridir: sosyal güvenlik, vergi ve iş sağlığı güvenliği mevzuatı belirli belgeler için süre öngörür. İkincisi zamanaşımı süreleridir; işçilik alacakları ve iş kazasından doğan taleplere ilişkin dava riski devam ettiği sürece ilgili kayıtlar bir hakkın tesisi ve korunması amacıyla saklanabilir. Üçüncüsü işleme amacının sona ermesidir; bu iki ölçütün kapsamadığı veriler ilişki bittiğinde imha edilir.
Süre dolduğunda KVKK md. 7 uyarınca silme, yok etme veya anonim hale getirme yollarından biri uygulanır. İnsan kaynakları verilerinde anonim hale getirme çoğunlukla eksik kalır; personel numarası veya sicil kaydı kaldığı sürece işlem tamamlanmamıştır. Yöntem farkları kişisel veri anonim hale getirme nedir başlığında açıklanmıştır.
İşten ayrılma anında yürütülmesi gereken ayrı bir kontrol listesi vardır: erişim yetkilerinin kapatılması, kurumsal e-posta hesabının yönetimi, kartlı geçiş ve biyometrik kayıtların kaldırılması, kurumsal dizin ve web sitesindeki bilgilerin güncellenmesi. E-posta hesabına ilişkin uygulama eski çalışanın e-posta hesabı ne yapılmalı başlığındadır.
Uygulamada
İlk hata, tek bir çalışan rıza formuyla tüm süreçleri kapsama girişimidir. İşe alım, bordro, performans, sağlık ve izleme faaliyetleri farklı hukuki sebeplere dayanır; tek onay kutusuna sığmaz. Bu form, rıza geri alındığında zorunlu işlemeleri de dayanaksız bırakır.
İkinci hata, aday verilerinin unutulmasıdır. Değerlendirmeye alınmayan adayların özgeçmişleri, süresiz biçimde şirket sisteminde birikir. Aday havuzunda saklama, ancak adayın bilgilendirilmesi ve bir sürenin belirlenmesi kaydıyla mümkündür. Uygulama özgeçmişleri ne kadar süre saklayabilirim başlığında ele alınmıştır.
Üçüncü hata, İK yazılımlarının aktarım boyutunun atlanmasıdır. Bulut tabanlı bordro, performans veya işe alım platformlarının sunucuları yurt dışındaysa KVKK md. 9 devreye girer ve yeterlilik kararı ya da uygun güvence koşulu aranır. Sözleşmenin Türkiye'de imzalanmış olması bu yükümlülüğü ortadan kaldırmaz.
Dördüncü nokta ihtilaf yönetimidir. İş davasında işveren, çalışana ilişkin kayıtları delil olarak sunar. Kayıtların hukuka aykırı biçimde elde edilmiş olması, hem delilin değerlendirilmesi bakımından tartışma yaratır hem de karşı tarafa KVKK şikayeti ve tazminat talebi için ayrı bir zemin sunar. Denetim ve izleme sistemleri, dava anındaki delil değeri düşünülerek en baştan hukuka uygun kurulmalıdır.
İlgili içerikler için bkz. Haksız Rekabet, Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler, İşyerinde Güvenlik Kamerası ile İzleme Yasal mı?, Özgeçmişleri Ne Kadar Süre Saklayabilirim?.
Dipnotlar
Sonraki dosya · Soru
Elektronik Ticaret Lisansı Kimler İçin Zorunlu?
Dosyayı aç →