Şirket İçi Etik İhbar Hattı KVKK'ya Uygun mu? İhbarcının Kimliği, İhbar Edilen Çalışanın Hakları ve Yurt Dışı Aktarım

Kısa cevap: kurabilirsiniz, çoğu şirket için kurmak da doğru karardır, ama etik ihbar hattı bir öneri kutusu değildir. Hattı açtığınız gün üç ayrı grubun kişisel verisini işlemeye başlarsınız: bildirimi yapan kişi, hakkında bildirim yapılan kişi ve dosyada adı geçen üçüncü kişiler. 6698 sayılı Kişisel Verilerin Korunması Kanunu açısından belirleyici olan hattın varlığı değil, dört sorunun yazılı cevabı. İşlemeyi hangi işleme şartına dayandırdığınız, hakkında bildirim yapılan kişiyi ne zaman bilgilendireceğiniz, dosyaları ne kadar süre saklayacağınız ve bildirimlerin fiilen nerede depolandığı. Bu dördü belirsizse hat, şirketi koruması beklenirken kendisi bir risk kaynağına dönüşür. Halka açık şirketlerde konunun bir de kurumsal yönetim tarafı var: Sermaye Piyasası Kurulu'nun Kurumsal Yönetim Tebliği ekindeki ilkeler, menfaat sahiplerinin mevzuata aykırı ve etik açıdan uygun olmayan işlemleri kurumsal yönetim komitesine veya denetimden sorumlu komiteye iletebilmesi için mekanizma kurulmasını öngörüyor.

Hattın ürettiği veri, çoğu envanterde göründüğünden geniş. Diyelim ki bir satın alma yöneticisinin tedarikçiden komisyon aldığı bildirildi. Tek bir bildirimden geriye şunlar kalır: bildirimi yapan çalışanın kimliği ve iletişim bilgisi, hakkında iddia bulunan yöneticinin adı ve görevi, adı geçen tedarikçi çalışanının bilgileri, tanık gösterilen iki kişinin anlattıkları, soruşturma sırasında incelenen e-postalar ve nihayet komiteye sunulan rapor. Bunların hiçbiri kişisel veri işleme envanterinde "çalışan verisi" başlığının altında tek satırda temsil edilemez. İhbar hattı ayrı bir işleme faaliyeti olarak envantere girmeli; VERBİS kaydı bulunan bir şirketseniz bu sürecin veri kategorileri, aktarım alıcıları ve saklama süreleriyle bildirimde de karşılığı olmalı.

Hukuki sebep tarafındaki en yaygın hata, ihbar formuna açık rıza kutucuğu koymak. Açık rıza burada iki yönden de çalışmaz. Hakkında bildirim yapılan kişiden rıza istemek soruşturmayı daha başlamadan bitirir. Bildirimi yapan çalışanın rızası ise işveren ile çalışan arasındaki bağımlılık ilişkisi nedeniyle özgür iradeye dayandığı tartışmalı bir zemindir, üstelik her an geri alınabilir. Kanun'un 5. maddesinin ikinci fıkrası daha sağlam dayanaklar sunuyor. Çoğu şirket için uygun olan (f) bendindeki meşru menfaat şartıdır; mevzuatın bildirim mekanizması kurmayı zorunlu tuttuğu sektörlerde (ç) bendindeki hukuki yükümlülük gündeme gelir; disiplin süreci, dava ya da savunma söz konusu olduğunda (e) bendindeki bir hakkın tesisi, kullanılması veya korunması için zorunlu olma hali devreye girer. Meşru menfaate dayanıyorsanız denge testini gerçekten yapın ve yazın: hangi menfaat, hangi tedbirlerle, ilgili kişinin hangi hak ve özgürlükleri karşısında korunuyor.

İhbarın içeriğini siz seçemezsiniz. Mobbing, taciz ve ayrımcılık iddiaları neredeyse her zaman sağlık durumu, sendika üyeliği, dini inanç ya da cinsel hayata ilişkin bilgi taşır. Bunlar özel nitelikli kişisel veridir ve kritik fark şudur: meşru menfaat şartı 6. maddede yoktur. 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklik, özel nitelikli verilerin açık rıza dışındaki işleme şartlarını genişletti. Listede bir hakkın tesisi, kullanılması veya korunması için zorunlu olma hali ile istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanındaki hukuki yükümlülüklerin yerine getirilmesi de yer alıyor. Yine de liste sınırlı sayıda ve genişletilerek yorumlanmıyor. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararındaki yeterli önlemler de bu dosyalar için geçerli: ayrı bir güvenlik politikası, erişimi olan personele eğitim ve gizlilik taahhüdü, yetki kapsamının ve süresinin tanımlanması, verilerin şifreli saklanması, uzaktan erişimde iki kademeli kimlik doğrulama.

Anonim bildirim alınabilir mi? Kanun bunu yasaklamıyor ve veri minimizasyonu açısından ilk bakışta cazip bile görünüyor. Uygulamada iki sorun çıkıyor. Birincisi, anonim bir iddiayı doğrulamak zordur; teyit edilmemiş bir isnadı kişinin özlük dosyasına işlemek 4. maddedeki doğru ve güncel olma ilkesine takılır, tek başına anonim bildirime dayanan disiplin işlemi de iş hukuku tarafında ispat sorunu yaratır. İkincisi, anonimlik çoğu zaman görünüştedir: yalnızca üç kişinin bilebileceği bir ayrıntıyı yazan kişi kendini zaten ele verir. Daha dürüst model, kimliğin alındığı ama hattı yöneten dar ekip dışında paylaşılmadığı gizli bildirim yapısıdır. Bu arada şu cümleyi hiç kurmayın: kimliğiniz hiçbir koşulda açıklanmayacaktır. Türk hukukunda ihbarcıyı koruyan genel bir kanun yok; Avrupa Birliği'nin 2019/1937 sayılı direktifi Türkiye'de doğrudan uygulanmaz, yalnızca çok uluslu grupların Türkiye şirketlerine iç politika olarak yansır. Savcılık ya da mahkeme talebi geldiğinde tutamayacağınız bir söz vermiş olursunuz.

En çetrefilli başlık, hakkında bildirim yapılan kişinin aydınlatılması. Kanun'un 10. maddesi aydınlatmayı verilerin elde edilmesi sırasında yapmayı gerektiriyor; oysa çalışana hakkında bir bildirim bulunduğunu söylemek delillerin karartılması riskini doğurur. Akla 28. maddenin ikinci fıkrasındaki istisnalar geliyor, özellikle veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olduğu hal. Ne var ki bu istisna hem Kanun'un amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla uygulanıyor hem de Kurumun verdiği örnekler kolluk faaliyetleri üzerine kurulu; özel bir şirketin her iç soruşturmasını bu kapıdan geçirmesi gerçekçi değil. Pratik çözüm ikili. Çalışan aydınlatma metnine hattın varlığını, hangi verilerin işleneceğini ve soruşturmanın nasıl yürüdüğünü baştan yazın, böylece ilk bilgilendirmeyi ihbar anına bırakmayın. Kişiye özel bildirimi ise delil güvenliği sağlanır sağlanmaz yapın ve gecikmenin gerekçesini dosyaya işleyin. Aydınlatma yükümlülüğüne aykırılık 2026 tutarlarıyla 85.437 TL ile 1.709.200 TL arasında idari para cezası demek.

Soruşturmayı öğrenen çalışanın ilk hamlesi genellikle veri sorumlusuna başvuru oluyor: hakkımda hangi veriler işleniyor, kaynağı ne, kim söyledi. Kanun'un 13. maddesi bu başvuruya en kısa sürede ve en geç otuz gün içinde cevap verilmesini istiyor. Cevabın hem sınırı hem içeriği önemli. Kişinin kendi verisine erişim hakkı vardır, ancak bu bildirimi yapan kişinin kimliğine erişim hakkı değildir; başkalarının hak ve özgürlükleri erişim talebinin sınırını çizer. Doğru yaklaşım, iddiaların özetini ve kişinin savunma yapabilmesi için gereken bilgiyi vermek, üçüncü kişilere ait bilgileri maskelemektir. Devam eden bir soruşturma bulunduğunu söyleyip başvuruyu tümüyle cevapsız bırakmak ise zinciri başlatıyor: cevapsız başvuru şikayete, şikayet Kurul kararına, karara uymamak 2026 için 427.263 TL'den başlayan idari para cezasına gidiyor.

Bildirim geldikten sonrası ayrı bir veri işleme faaliyetidir. Kurumsal e-postalarda arama yapmak, kamera kayıtlarını çekmek, giriş çıkış loglarına bakmak, dizüstü bilgisayarı incelemek. Kurul'un 19 Ocak 2023 tarihli ve 2023/86 sayılı kararı bu alanda işe yarar bir çerçeve veriyor. Karara konu olayda işveren, bir çalışanın şirket bilgilerini kişisel e-posta adresine aktardığı şüphesiyle kurumsal e-posta içeriklerini incelemişti. Kurul, Avrupa İnsan Hakları Mahkemesi'nin Bărbulescu kararındaki ölçütleri kullanarak çalışanın önceden açık ve net biçimde bilgilendirilip bilgilendirilmediğine, incelemenin sınırlı ve ölçülü olup olmadığına, daha az müdahaleci bir yolun bulunup bulunmadığına baktı ve somut olayda ihlal görmedi. Gerekçedeki ayrıntı belirleyici: şirket politikayı önceden imzalatmıştı ve incelemeyi hedefli yapmıştı. Habersiz ve sınırsız bir tarama aynı sonucu vermez.

Çok uluslu gruplarda hat genellikle Türkiye'de kurulmuyor. Bildirimler ana şirketin sözleşme yaptığı küresel bir platforma düşüyor, sunucular yurt dışında duruyor, raporlar grup uyum birimine gidiyor. Bu, Kanun'un 9. maddesi kapsamında yurt dışına aktarımdır ve aynı grup içinde olmak bir aktarım yolu değildir. Kurul bugüne kadar herhangi bir ülke için yeterlilik kararı yayımlamadı; dolayısıyla uygun güvencelerden birine, yani standart sözleşmeye, bağlayıcı şirket kurallarına ya da Kurul izinli taahhütnameye dayanmak gerekiyor. Standart sözleşme yolunu seçtiyseniz 10 Temmuz 2024 tarihli Yönetmelik, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesini istiyor ve Kurum bu bildirim için çevrimiçi bir modül açtı. Platform sağlayıcısıyla imzalanan veri işleyen sözleşmesini, alt işleyen listesini ve verinin hangi ülkede tutulduğunu dosyanızda hazır bulundurun.

Saklama süresi, ihbar hatlarının en çok ihmal edilen tarafı. Türk mevzuatında bu dosyalar için özel bir süre yok, bu da süreyi belirleme yükünü tamamen veri sorumlusuna bırakıyor. Tek bir süre yazmak yerine dosyaları ayırın: soruşturma açılmasını gerektirmeyen ya da asılsız çıkan bildirimler kısa sürede imha edilmeli, disiplin işlemine veya davaya konu olanlar ilgili zamanaşımı süresince saklanmalı. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik periyodik imha aralığının altı ayı aşamayacağını söylüyor. Saklama ve imha politikanıza ihbar hattı kayıtlarını ayrı bir satır olarak ekleyin, imha işlemlerini de tutanakla kayıt altına alın. Beş yıl önce asılsız çıkmış bir iddianın hâlâ ortak klasörde durduğunun ortaya çıkması, hukuki olduğu kadar insani bir sorun.

Sık karşılaşılan bir yanlışı düzeltmekte fayda var: şirket içi hatta yapılan asılsız bir bildirim çoğu halde Türk Ceza Kanunu'nun 267. maddesindeki iftira suçunu oluşturmaz, çünkü madde yetkili makamlara yapılan ihbar veya şikayeti ya da basın yayın yoluyla isnadı arıyor. Asılsız isnat yine de sonuçsuz kalmaz; hakaret ve kişilik haklarına saldırı nedeniyle tazminat sorumluluğu doğurabilir, dosya savcılığa taşındığında iftira tartışması başlar. Asıl risk başka yerde duruyor: ihbar dosyasının şirket içinde dolaşması. Bir iddianın yöneticiler arasında konuşulması, kişisel verilerin hukuka aykırı olarak yayılmasına ilişkin 136. madde tartışmasını açar ve veri güvenliği yükümlülüğünün ihlali olarak 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu olabilir. Erişimi bilmesi gerekenlerle sınırlayın, dosyalara erişimi loglayın ve hattı yöneten kişinin bunu kim bildirdi sorusuna hayır diyebileceği bir raporlama yapısı kurun.

Başlangıç listesi kısa tutulabilir. İhbar hattını envantere ayrı bir faaliyet olarak yazın ve hukuki sebebini belirleyin; meşru menfaate dayanıyorsanız denge testini dosyalayın. Çalışan aydınlatma metnine hattın işleyişini ekleyin, hakkında bildirim yapılan kişiye ne zaman bilgi verileceğini prosedüre yazın. Anonim bildirim kabul edip etmeyeceğinize karar verin ve ihbarcıya verdiğiniz gizlilik sözünü gerçekten tutabileceğiniz sınırda tutun. Bildirim ve soruşturma dosyaları için ayrı saklama süreleri tanımlayın, erişim yetkisini daraltın, erişimleri kayıt altına alın. Hat yurt dışındaki bir platform üzerinden işliyorsa aktarım yolunu belgeleyin, standart sözleşme imzaladıysanız beş iş günlük bildirimi kaçırmayın. KVKK Danışman'ın ücretsiz ön değerlendirmesinde ihbar hattı prosedürünüzü, aydınlatma metinlerinizi, saklama sürelerinizi ve platform sağlayıcınızla imzaladığınız sözleşmeyi birlikte gözden geçiriyoruz.

Randevu Al