İşveren Çalışanın Sağlık Raporunu ve Teşhisini Görebilir mi? İşyeri Hekimi, OSGB ve KVKK

Kısa cevap: işverenin öğrenmeye hakkı olan bilgi, çalışanın yaptığı işe uygun olup olmadığı ve varsa hangi kısıtlamayla uygun olduğudur. Teşhis, tetkik sonuçları, kullanılan ilaçlar ve hastalık geçmişi işverene açılmaz. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15. maddesinin beşinci fıkrası bunu tek cümleyle kuruyor: sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması açısından sağlık bilgileri gizli tutulur. İşyeri Hekimi ve Diğer Sağlık Personelinin Görev, Yetki, Sorumluluk ve Eğitimleri Hakkında Yönetmelik'in 11. maddesi de işyeri hekimini, çalışanın kişisel sağlık dosyasındaki bilgileri gizli tutmakla yükümlü kılıyor. KVKK tarafında sağlık verisi özel nitelikli kişisel veridir; 1 Haziran 2024'ten beri işverenin bu verileri iş sağlığı ve güvenliği yükümlülükleri için işlemesi açık rızaya bağlı değil, 6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrasının (f) bendine dayanıyor. Dayanağın değişmesi kapsamı genişletmiyor: rapor sonucunu görmek bir şeydir, dosyanın içini okumak başka bir şey.

Verinin işyerinde neden bulunduğundan başlamak gerekiyor. 6331 sayılı Kanun'un 15. maddesi işverene, çalışanların maruz kalacağı riskleri dikkate alarak sağlık gözetimine tabi tutulmalarını sağlama ve dört halde sağlık muayenesi yaptırma yükümlülüğü getiriyor: işe girişte, iş değişikliğinde, iş kazası ya da meslek hastalığı veya sağlık nedeniyle tekrarlanan işten uzaklaşmalardan sonra işe dönüşte çalışanın talep etmesi halinde, bir de işin devamı süresince Bakanlıkça belirlenen düzenli aralıklarla. Tehlikeli ve çok tehlikeli sınıftaki işlerde çalışacaklar, yapacakları işe uygun olduklarını belirten sağlık raporu olmadan işe başlatılamaz. Raporlar kural olarak işyeri hekiminden alınır; 15 Ocak 2025'te yürürlüğe giren 7538 sayılı Kanun'la yapılan değişiklikten sonra 50'den az çalışanı bulunan ve az tehlikeli işyerleri için ÇASMER'lerden, aile hekimlerinden veya diğer kamu sağlık hizmeti sunucularından da alınabiliyor. Gözetimin maliyeti işverence karşılanır ve çalışana yansıtılamaz. Periyodik muayene aralıkları da yönetmelikte belli: az tehlikeli işlerde en geç beş yılda bir, tehlikeli işlerde üç yılda bir, çok tehlikeli işlerde yılda bir, çocuk, genç ve gebe çalışanlar için altı ayda bir.

2024 öncesinde çoğu işveren bu verileri işlemek için çalışanına bir rıza formu imzalatıyordu. 7499 sayılı Kanun'la 6. madde yeniden düzenlendi ve 1 Haziran 2024'te yürürlüğe girdi; özel nitelikli veri işlemenin istisnaları sekiz bent halinde sayıldı. Bunlardan (f) bendi tam olarak bu alanı karşılıyor: istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması. (e) bendi ise sır saklama yükümlülüğü altındaki kişilerce koruyucu hekimlik ve tıbbi teşhis amacıyla işlemeye izin veriyor, yani işyeri hekiminin muayene faaliyetini kapsıyor. Rızaya sarılmayı bırakmak için bir sebep daha var: istihdam ilişkisinde rıza zaten kırılgan bir zemin. Kurul'un 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararına ilişkin kamuoyu duyurusu bunu açıkça yazıyor; rıza göstermeme veya rızasını geri çekme imkânının etkin biçimde sunulmaması ya da rıza göstermemenin çalışan açısından olumsuz sonuç doğurabilmesi halinde rızanın özgür iradeye dayandığından söz edilemez. Karar mesai takibinde biyometrik veri kullanımına ilişkin ama gerekçe her türlü çalışan verisi için geçerli. Bir de 6. maddenin dördüncü fıkrası var: özel nitelikli veri işlerken Kurul'ca belirlenen yeterli önlemlerin alınması şart.

Sınırın nerede çizildiği asıl pratik meseleyi doğuruyor. Yönetmeliğin 9. maddesi işyeri hekimine, işe giriş ve periyodik sağlık muayenesi ile gerekli tetkiklerin sonuçlarını Ek-2'de verilen örneğe uygun olarak düzenleme ve işyerinde muhafaza etme görevi veriyor. Şirketlerin çoğunda o 'işyerinde muhafaza' ifadesi şöyle uygulanıyor: form insan kaynaklarına gider, özlük dosyasına konur, dosya da bir dolapta veya ortak bir klasörde durur. Yaygın hata burada. Muayene formu kişisel sağlık dosyasının parçasıdır, özlük dosyasının değil; işyeri hekiminin ya da iş sağlığı ve güvenliği biriminin sorumluluğunda, erişimi ayrıca yetkilendirilmiş bir ortamda tutulması gerekir. 4857 sayılı İş Kanunu'nun 75. maddesi de işvereni, işçi hakkında edindiği bilgileri dürüstlük kurallarına uygun kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlü kılıyor. Basit bir test: bir bölüm şefi kendi ekibindeki kişinin işe giriş muayene formundaki tetkik sonuçlarını açabiliyorsa, o işyerinde yetkilendirme diye bir şey yok.

İşe dönüş süreçleri bu ayrımın en çok zorlandığı yer. Yönetmelik, sağlık nedeniyle tekrarlanan işten uzaklaşmalardan sonra işe dönüşte talep halinde muayene yapılmasını, eski görevinde çalışması sakıncalı bulunanlara mevcut sağlık durumuna uygun bir görev verilmesinin tavsiye edilerek işverenin onayına sunulmasını öngörüyor. İşverenin ihtiyaç duyduğu cümleler şunlar: gece vardiyasında çalıştırılmamalı, on kilogramın üstünde yük kaldırmamalı, yüksekte çalışmaya uygun değildir, altı ay sonra yeniden değerlendirilmeli. Bu cümlelerin gerekçesi işverene yazılmaz. Diyelim ki depo çalışanı üç haftalık istirahatten döndü ve hekim yük kısıtlaması önerdi. Vardiya planını yapan kişi kısıtlamayı bilmek zorundadır, tanıyı bilmek zorunda değildir. Uygulamada tek sayfalık işe uygunluk beyanı tam olarak bu ayrımı korumak için üretilir; hekimin ayrıntılı değerlendirmesi dosyada kalır, işverene giden çıktı sonuç ve kısıtlamayla sınırlı olur.

İstirahat raporlarında ölçü aynı: işverenin bilmesi gereken şey, çalışanın hangi tarihler arasında çalışamayacağıdır. Rapor elektronik ortamda Kurum'a iletilir ve işveren çalışılmadığına dair bildirimini bu kanaldan yapar. Raporu fotokopiyle çoğaltıp ilgisiz kişilere dağıtmak, teşhis satırını bordro klasörüne işlemek ya da 'arkadaşımız şu ameliyat için iki hafta yok' biçiminde duyuru yapmak gereksiz bir işlemedir. Kurul'un 27 Mart 2020 tarihli kamuoyu duyurusu salgın döneminde bunu açıkça söylemişti: çalışanlar bilgilendirilirken bireylerin isimlerinin verilmesi gerekmediği gibi gereğinden fazla bilgi de verilmemelidir. Duyuru kullanılabilecek dili bile örneklendiriyor, genel müdürlük binasının beşinci katında çalışan bir kişinin testinin pozitif çıktığını bildirmek gibi. Ekip WhatsApp grubuna atılan bir rapor fotoğrafı, tek başına hem KVKK hem Türk Ceza Kanunu tarafında sorun üretir; kronik bir rahatsızlığın koridorda konuşulması da öyle.

Sorumluluğun kimde olduğu konusunda kafa karışıklığı sürüyor. İşyeri hekimi ister şirketin kendi kadrosunda ister OSGB veya ÇASMER üzerinden hizmet veriyor olsun, çalışan sağlık verilerinin işlenmesinden hukuken sorumlu olan işverendir; işlemenin amaçlarını ve vasıtalarını belirleyen odur. Aydınlatma metnini işveren yazar, kayıt yükümlülüğü kapsamındaysa VERBİS bildirimini işveren yapar, veri güvenliği tedbirlerinin alınmamasından işveren hesap verir. OSGB kendi işleyişi ve kendi çalışanları bakımından ayrıca veri sorumlusudur, işverene hizmet sunarken kurduğu ilişki ise çoğu durumda veri işleyen ilişkisidir ve yazılı sözleşmeye bağlanması gerekir. Sözleşmede kimin hangi veriye erişeceği, verinin nerede tutulacağı, hizmet sona erdiğinde ne olacağı ve alt yükleniciye izin verilip verilmediği yazılı olsun. 'Sistem OSGB'nin, biz göremiyoruz' cümlesi bir savunma değil; nitekim Kurul 2020 tarihli Covid-19 duyurusunda da sağlık verilerinin işyeri hekimleri tarafından işlenmesinin veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmadığını belirtti.

Aktarım kanalının kendisi de bir güvenlik meselesi. Kurul'un 22 Haziran 2022 tarihli ve 2022/594 sayılı kararında, çalışanlara uygulanan bağımlılık yapıcı madde testinin sonuçları, testi yapan özel sağlık kuruluşu tarafından ilgili kişilerin açık rızası alınmaksızın işyerinde görevli üçüncü bir kişinin e-posta adresine gönderilmişti. Kurul, alıcının işyeri hekimi olup olmadığının doğrulanmadığını ve sunulan belgelerin açık rızayı ispata yetmediğini tespit ederek 75.000 TL idari para cezası uyguladı. Özel nitelikli veriyi kime gönderdiğinizi bilmek yükümlülüğün parçası. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı da asgari çerçeveyi çiziyor: özel nitelikli veriler için ayrı bir politika ve prosedür, erişim yetkilerinin tanımlanması ve periyodik olarak kontrol edilmesi, görev değişikliğinde yetkinin derhal kaldırılması, personelle gizlilik sözleşmesi, elektronik ortamda kriptografik yöntemlerle şifreleme ve anahtarların ayrı yerde tutulması, e-postayla aktarımda şifreli kurumsal hesap veya kayıtlı elektronik posta kullanılması, taşınabilir bellek ve kâğıt ortam için ayrı kurallar.

İmzalatılan geniş kapsamlı rıza metinlerinin neden işe yaramadığını gösteren karar ise 20 Mayıs 2020 tarihli ve 2020/404 sayılı karar. İşveren bordro, disiplin, performans, özlük, masraf, eş ve çocuk bilgileriyle parmak izini kapsayan bir işleme düzeni kurmuş, dayanak olarak da çalışanlara imzalatılan tek bir metni göstermişti. Kurul metnin hangi verinin hangi amaçla işlendiğini belirsiz bıraktığını, imzanın fiilen zorunlu olduğu bir ortamda özgür iradeden söz edilemeyeceğini tespit etti; aydınlatma yükümlülüğünün ihlali için 50.000 TL, hukuka aykırı işleme ve ölçülülük ilkesinin ihlali için 200.000 TL olmak üzere toplam 250.000 TL idari para cezası uygulandı. Ters yönde bir örnek de var: 18 Şubat 2020 tarihli ve 2020/138 sayılı kararda, işe iade davasında özlük dosyasındaki sağlık raporunun savunmayla birlikte mahkemeye sunulması şikayet edilmiş, Kurul yargılama işlemleri bakımından Kanun'un 28. maddesindeki çerçeveye işaret ederek ihlal tespit etmemişti. Bir uyuşmazlıkta mahkemeye belge sunmak ile aynı belgeyi ekip toplantısında konuşmak aynı şey değil.

Sağlık verisinin ömrü iş sözleşmesinden uzun ve bu genellikle gözden kaçıyor. İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği'nin 7. maddesi işverene, işyerinde yürütülen iş sağlığı ve güvenliği faaliyetlerine ilişkin her türlü kaydı ve işten ayrılma tarihinden itibaren en az 15 yıl süreyle çalışanların kişisel sağlık dosyalarını saklama yükümlülüğü getiriyor. Aynı madde, çalışanın başka bir işyerinde çalışmaya başlaması halinde yeni işverenin dosyayı yazılı olarak talep edeceğini, önceki işverenin bir örneğini onaylayarak bir ay içinde göndereceğini düzenliyor. Belirli etkenlere maruziyetin bulunduğu işler için özel yönetmeliklerde daha uzun süreler öngörülebiliyor. Pratik sonuç şu: saklama ve imha politikanızda kişisel sağlık dosyası ayrı bir kalem olarak görünmeli, sürenin dolduğunda ne yapılacağı yazmalı ve dosyanın yeni işverene gönderilmesi de bir aktarım olduğu için usulü belirlenmiş olmalı. Özlük dosyası için belirlediğiniz genel süre bu dosya için kısa kalır, bunu fark etmeden imha eden şirket de var, on beş yıl sonra hâlâ kimin erişebildiğini bilmeyen şirket de.

Yaptırım iki koldan geliyor. İş sağlığı ve güvenliği tarafında sağlık gözetimine tabi tutulmayan veya sağlık raporu alınmayan her çalışan için 6331 sayılı Kanun'un 26. maddesi uyarınca ayrı ayrı idari para cezası uygulanıyor; maddedeki tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. KVKK tarafında 2026 tutarlarıyla aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliği tedbirlerinin alınmaması 256.357 TL ile 17.092.242 TL, bir Kurul kararına uymama 427.263 TL ile 17.092.242 TL arasında idari para cezasına konu olabiliyor. Ceza hukuku tarafı da açık: kişisel verileri hukuka aykırı olarak kaydetmek Türk Ceza Kanunu'nun 135. maddesinde bir yıldan üç yıla kadar hapis gerektiriyor ve verinin sağlık durumuna ilişkin olması halinde ceza yarı oranında artırılıyor; verileri hukuka aykırı olarak bir başkasına vermek, yaymak veya ele geçirmek 136. maddede iki yıldan dört yıla kadar hapisle cezalandırılıyor. Suç belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse 137. madde cezayı yarı oranında artırıyor. Bunlara işçinin açabileceği tazminat davası ve sağlık durumu nedeniyle ayrımcılık iddiası eklenir.

Kısa bir kontrol listesi işin nerede durduğunu çabuk gösterir: işe giriş ve periyodik muayene formları fiilen nerede duruyor, kimler açabiliyor, özlük dosyasıyla karışmış mı; işe alım ve iş sağlığı güvenliği aydınlatma metninizde sağlık verisinin hukuki sebebi 1 Haziran 2024 sonrasına göre güncellendi mi yoksa hâlâ açık rızaya mı dayanıyor; OSGB veya ÇASMER ile aranızda yazılı bir veri işleyen sözleşmesi var mı; istirahat raporları hangi kanaldan geliyor ve kaç kişinin eline geçiyor; kişisel sağlık dosyası için 15 yıllık süre saklama politikanızda yazılı mı. Bu başlıkların birkaçında net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde iş sağlığı güvenliği ve insan kaynakları süreçlerinizi birlikte gözden geçirip öncelikli adımları çıkarabiliriz.

Randevu Al