İnsan Kaynaklarında KVKK: Çalışan ve Aday Verileri Rehberi

İnsan kaynaklarında çalışan ve aday verilerinin büyük bölümü, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 5. maddesindeki hukuki sebeplere dayanılarak açık rıza olmadan işlenir. İş sözleşmesinin kurulması ve ifası (madde 5/2-c), veri sorumlusunun hukuki yükümlülüğü (madde 5/2-ç) ve meşru menfaat (madde 5/2-f) gibi sebepler; bordro, SGK bildirimi, özlük dosyası ve çalışma düzeninin yürütülmesi gibi işlemleri kapsar. Bu nedenle iş ilişkisinde açık rıza istisnadır, kural değildir; her veriyi rızayla toplamak KVKK açısından hatalı bir yaklaşımdır.

Açık rızanın iş ilişkisinde neden riskli olduğunu doğru anlamak gerekir. KVKK'ya göre açık rıza özgür iradeyle verilmeli ve her an geri alınabilmelidir. İşveren ile çalışan arasındaki bağımlılık ilişkisi nedeniyle rızanın gerçekten özgür verildiği tartışmalıdır. Bir işlem zaten sözleşme veya kanuni yükümlülük gibi başka bir hukuki sebebe dayandırılabiliyorsa, aynı işlem için ek olarak rıza alınması KVKK ilkelerine aykırı sayılır. Rıza yalnızca başka hiçbir işleme şartının bulunmadığı, çalışan açısından tercihe bağlı işlemlerde (örneğin isteğe bağlı yan haklar veya tanıtım fotoğrafı kullanımı) gündeme gelmelidir.

Aday verilerinde hukuki dayanak farklıdır ve bu ayrım sıkça atlanır. İşe alım sürecinde henüz sözleşme kurulmadığı için 5/2-c'ye tam olarak dayanılamaz; başvuruyu değerlendirmeye almak çoğunlukla adayın talebiyle başlayan sözleşme öncesi hazırlık ve işverenin meşru menfaati kapsamında değerlendirilir. Adaydan istenen bilgiler pozisyonla ilgili ve ölçülü olmalıdır. İşe alınmayan adayın verisinin ileriki başvurular için havuzda tutulması çoğu durumda başlı başına ayrı bir işleme amacıdır ve buna ayrıca dayanak ile aydınlatma gerekir; süresiz ve amaçsız aday havuzu tutmak veri minimizasyonu ilkesine aykırıdır.

Özel nitelikli kişisel veriler HR süreçlerinde en yüksek riski taşır. Sağlık raporları, engellilik durumu, kan grubu, adli sicil kaydı, sendika üyeliği, din bilgisi (kimlik fotokopisindeki din hanesi dahil) ve biyometrik veriler bu kapsamdadır. KVKK'nın 6. maddesinde 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikle işleme şartları yeniden düzenlendi; sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler arasındaki eski ayrım kaldırıldı ve işleme sebepleri genişletildi. İstihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, bu verilerin açık rıza olmadan işlenmesine olanak tanıyan sebeplerden biridir.

İş sağlığı ve güvenliği kaynaklı veriler bu çerçevede dikkatle yönetilmelidir. İşe giriş ve periyodik muayene sonuçları, işyeri hekiminin sağlık gözetimi kapsamındadır ve sır saklama yükümlülüğü altındaki hekim tarafından işlenir. İşverene teşhis düzeyinde ayrıntılı sağlık bilgisi değil, kural olarak çalışanın işe uygunluğuna ilişkin sonuç aktarılır. Kimlik fotokopisi alırken din ve kan grubu hanelerinin karartılması, gereksiz özel nitelikli veri toplanmasını önlemenin pratik ve KVKK Kurulu yaklaşımıyla uyumlu bir yöntemidir.

Aydınlatma yükümlülüğü, işe alım ilanından işten ayrılışa kadar tüm süreçte yerine getirilmelidir. Adaya başvuru anında, çalışana ise en geç işe başlarken; hangi verilerin hangi amaçla ve hangi hukuki sebeple işlendiği, kimlere aktarıldığı ve ne kadar saklanacağı açık ve anlaşılır biçimde bildirilmelidir. Aydınlatma metni ile açık rıza metni ayrı belgeler olmalıdır; ikisinin tek metinde birleştirilmesi Kurul tarafından eleştirilen bir uygulamadır. Aydınlatmanın yapılmış olması, işleme için ayrıca bir hukuki sebep bulunması gerektiği gerçeğini ortadan kaldırmaz.

Çalışan izleme uygulamaları KVKK'da özel bir hassasiyet konusudur. KVKK Kurulu'nun kurumsal e-posta izlemesine ilişkin 19/01/2023 tarihli ve 2023/86 sayılı kararında; işverenin ticari menfaatlerini koruma amacıyla izleme yapabileceği, ancak çalışanların işlemenin amacı, kapsamı ve yöntemi hakkında önceden açıkça bilgilendirilmesi gerektiği vurgulanmıştır. Kararda, işçinin kişisel verilerinin korunması hakkı ile işverenin kaynakların verimli kullanılması ve ticari gizliliğin korunması gibi menfaatleri arasında denge kurulması gerektiği, denetimin ölçülü olması gerektiği belirtilmiştir. Kamera kaydı, giriş çıkış takibi ve konum takibinde de aynı ölçülülük, amaçla sınırlılık ve önceden bilgilendirme kuralları geçerlidir.

Saklama süreleri ve verilerin silinmesi HR uyumunun en çok ihmal edilen aşamasıdır. Her veri kategorisi için kanuni saklama süresi (örneğin özlük ve mali kayıtlar için ilgili iş, vergi ve sosyal güvenlik mevzuatındaki süreler) esas alınmalı; süre dolduğunda veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinmeli, yok edilmeli veya anonim hale getirilmelidir. İş akdi sona eren çalışanın verisinin gerekçesiz biçimde işlenmeye devam edilmesi, Kurul kararlarında ihlal olarak değerlendirilmiştir. Aday verileri için de somut ve makul bir saklama süresi belirlenmeli, süre sonunda imha edilmelidir.

Verilerin aktarımı ve tedarikçi ilişkileri ayrı bir uyum katmanıdır. Bordro, özlük yönetimi, işe alım platformları, arka plan kontrolü ve bulut İK yazılımları çoğu zaman veri işleyen konumundadır ve bu ilişkilerin KVKK'ya uygun sözleşmelerle düzenlenmesi gerekir. Verilerin yurt dışında barındırıldığı (örneğin yurt dışı merkezli bulut İK yazılımları) durumlarda, KVKK'nın 9. maddesindeki yurt dışına aktarım kuralları devreye girer. 2024'te yürürlüğe giren düzenlemeyle standart sözleşme ve bağlayıcı şirket kuralları gibi uygun güvence yöntemleri getirildi; standart sözleşme kullanılması halinde imzalanan metnin belirli bir süre içinde Kurula bildirilmesi öngörülmüştür.

İK departmanının pratikte atması gereken adımlar nettir: pozisyona göre hangi verinin toplandığını belgeleyen bir işleme envanteri çıkarmak, her işleme faaliyetini uygun hukuki sebebe bağlamak, ayrı aydınlatma ve gerçekten gereken durumlarda açık rıza metinleri hazırlamak, özel nitelikli verilere erişimi yetki bazında sınırlamak, saklama ve imha politikasını uygulamak ve VERBİS yükümlülüğü kapsamındaysa kayıtları güncel tutmaktır. Bu adımlar hem idari para cezası riskini hem de çalışan ve aday şikayetlerinden doğabilecek başvuruları azaltır.

İK süreçlerinizin çalışan ve aday verileri açısından KVKK'ya uygunluğunu gözden geçirmek isterseniz, KVKK Danışman ekibi ücretsiz bir ön değerlendirme sunuyor. Mevcut aydınlatma metinlerinizi, rıza uygulamalarınızı ve saklama sürelerinizi kısaca inceleyip öncelikli iyileştirme alanlarını paylaşabiliriz.

Randevu Al