İşveren İşe Alımda Referans Araması Yapabilir mi? Eski İşverene Sorma, Sosyal Medya Taraması ve Aday Verisinde KVKK

Kısa cevap: yapabilir, ama üç sınır içinde. Referans kontrolü de arka plan araştırması da bir kişisel veri işleme faaliyeti; bilgi adayın kendisinden değil üçüncü bir kişiden geldiği için hem işe alan şirketin hem de bilgiyi veren eski işverenin ayrı ayrı hukuki sebebi olmak zorunda. Yaygın kanaatin aksine her referans aramasında açık rıza şart değil. Kurul'un 4 Ağustos 2022 tarihli ve 2022/798 sayılı kararında, adayın pozisyona uygunluğunun belirlenmesine yönelik işlemenin işverenin yönetim hakkı kapsamında 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (c) bendi çerçevesinde değerlendirilebileceğine işaret edildi. Sınırlar şunlar: sorulan şey işle ilgili olacak, aday ne yapıldığını bilecek, toplanan bilgi sorulan sorunun dışına taşmayacak. Bu üçünden biri eksikse referans görüşmesi hukuka aykırı işlemeye dönüyor.

Ölçüyü veren iki hüküm var. Türk Borçlar Kanunu'nun 419. maddesi, işverenin işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini söylüyor. 6698 sayılı Kanun'un 4. maddesi ise işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor. İkisini birleştirdiğinizde referans görüşmesinin kapsamı kendiliğinden daralıyor. Satış müdürü arıyorsanız adayın ekip yönetimindeki, hedef tutturmadaki ve müşteri ilişkilerindeki performansını sorabilirsiniz. Adayın kaç gün rapor aldığını, hangi ilaçları kullandığını, evli olup olmadığını, kredi borcunu ya da sendikaya üye olup olmadığını soramazsınız. Uygulamada en çok hata yapılan yer soru listesinin hiç olmaması. Yazılı bir form olmadan başlayan referans görüşmesi yarım dakika içinde sohbete dönüyor, sohbetin nereye gittiğini de kimse kayda geçirmiyor.

2022/798 sayılı karar bu işin nasıl ters gidebileceğini net gösteriyor. Bir aday, iş görüşmesi sırasında hâlihazırda çalıştığı işyeri hakkında olumsuz değerlendirmeler yapıyor. Görüşmeyi yapan şirket bu bilgiyi adayın çalıştığı şirkete aktarıyor, aday da ücretsiz izne çıkarılıyor. Kurul, işlemenin amaçla bağlantılı ve sınırlı olma ilkesine uyulmadığını, aktarımın Kanun'un 8. maddesindeki şartlardan hiçbirine dayanmadığını tespit ediyor ve 12. maddenin ihlali nedeniyle 100.000 TL idari para cezası uyguluyor. Adayın şirkete yaptığı başvurulara yasal süre içinde cevap verilmemesi kararda ayrıca ele alınıyor. Buradan çıkan kural basit: mülakatta öğrendiğiniz hiçbir şeyi adayın mevcut işverenine, sektördeki tanıdıklarınıza ya da başka bir şirketin İK ekibine anlatamazsınız. Aday hakkında "bir de şuna soralım" diyerek yürütülen enformel soruşturma, dostane görünse de aktarımdır.

Referans veren taraf da kendi başına bir sorumluluk taşıyor. Eski işveren sizin talimatınızla çalışan bir veri işleyen değil; hangi bilgiyi vereceğine kendisi karar veren bağımsız bir veri sorumlusu ve hukuki sebebini kendisi bulmak zorunda. Kurul'un 11 Şubat 2020 tarihli ve 2020/108 sayılı kararı bu noktada ilginç bir sonuç veriyor. Bir sağlık firması, eski çalışanının pozisyonu, çalışma tarihleri ve ayrılma nedenine ilişkin bilgileri yeni işverenin insan kaynakları birimine e-postayla aktarmış. İnceleme sırasında ilgili kişinin yeni işverenine, eski şirketinde hiç bulunmadığı bir unvanla çalıştığını beyan ettiği anlaşılıyor. Kurul, yanlış bilginin düzeltilmesi ve şirketin itibarının korunması amacını dikkate alarak aktarımı 5. maddenin ikinci fıkrasının (f) bendindeki meşru menfaat kapsamında değerlendirip yaptırım uygulamıyor, ancak veri sorumlusunu aktarıma ilişkin belgeleri ilgili kişiye sunmak konusunda talimatlandırıyor. Gerçeğe aykırı bir beyanı düzeltmek savunulabilir. Adayın karakteri hakkında kanaat bildirmek, ayrılma sürecine ilişkin yorum yapmak veya devamsızlık ve sağlık ayrıntılarını anlatmak aynı yere düşmez.

Eski işverenin ne kadar anlatabileceğini iş mevzuatı da çerçeveliyor ve bu çerçeve sanılandan dar. 4857 sayılı İş Kanunu'nun 28. maddesine göre işten ayrılan işçiye, işinin çeşidinin ne olduğunu ve süresini gösteren bir çalışma belgesi verilir. Türk Borçlar Kanunu'nun 426. maddesi bir adım daha atıyor: işveren işçinin isteği üzerine işin türünü ve süresini içeren hizmet belgesini vermekle yükümlü, fakat işçinin iş görmedeki becerisi ile tutum ve davranışlarının belgede yer alması işçinin açıkça istemesine bağlı. Performans değerlendirmesinin açıklanıp açıklanmayacağına karar veren irade, işçinin iradesi. Maddenin devamı da caydırıcı: belgenin zamanında verilmemesinden veya belgede doğru olmayan bilgi bulunmasından zarar gören işçi ya da işçiyi işe alan yeni işveren, eski işverenden tazminat isteyebilir. Telefonda üç dakika süren bir referans görüşmesinde söylenen yanlış bir cümlenin karşılığı yalnızca bir KVKK şikayeti değil.

En sık atlanan adım aydınlatma. Kanun'un 10. maddesi bilgilendirmeyi verinin elde edilmesi anına bağlıyor, referans kontrolünde ise veri adayın kendisinden gelmiyor. Bu durumu Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 6. maddesi düzenliyor: kişisel veriler ilgili kişiden elde edilmediyse aydınlatma, elde edilmesinden itibaren makul bir süre içinde, veri ilgili kişiyle iletişim amacıyla kullanılacaksa ilk iletişim kurulduğu esnada, aktarılacaksa en geç ilk aktarımın yapılacağı anda yerine getirilir. Pratik karşılığı şu: başvuru formunda referans kontrolü yapılabileceğini, hangi bilginin hangi hukuki sebeple toplanacağını ve kimlerle görüşülebileceğini önceden yazın. Bir de çoğu şirketin hiç düşünmediği bir taraf var. Adayın verdiği referans kişisinin adı, unvanı ve telefon numarası da kişisel veri; o kişiyi arayan şirket, aynı madde uyarınca ilk iletişim anında onu da aydınlatmak durumunda. Rızaya dayanacaksanız Tebliğ'in 5. maddesi aydınlatma ile açık rızanın ayrı ayrı yerine getirilmesini istiyor, Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı da bu ayrımın altını yeniden çizdi.

Sosyal medya taramasında yanılgı daha derin: veri herkese açık diye işlenmesi serbest değil. Kurum'un 16 Aralık 2020 tarihli alenileştirme konulu kamuoyu duyurusu, Kurul'un 7 Kasım 2019 tarihli ve 2019/331 sayılı kararına atıfla iki şart koyuyor. Verinin kamuya açık olması yetmez, kişinin alenileştirme yönünde bir iradesinin bulunması gerekir; ayrıca hangi amaçla alenileştirdiğinin de tespit edilmesi gerekir. Duyurudaki örnek açık: araç satmak için ilan sitesinde paylaşılan iletişim bilgisi yalnızca o ilanla ilgili amaçla kullanılabilir. Aynı mantığı işe alıma taşıyın. Mesleki bir ağda kariyer geçmişini yayınlayan aday, o bilgiyi işe alım değerlendirmesine açmış sayılabilir. Kişisel hesabındaki tatil fotoğrafı, siyasi paylaşımı, katıldığı dinî ya da sendikal etkinlik bunun dışında kalır, üstelik bunların bir bölümü Kanun'un 6. maddesi anlamında özel nitelikli veridir. Ekran görüntüsü alıp aday dosyasına eklediğiniz anda kayıt yapmış olursunuz. Taramayı işle ilgili platformla sınırlamak, yalnızca pozisyonla bağlantılı bulguyu kaydetmek ve neye bakıldığını yazılı hale getirmek savunulabilir tek yol.

Arka plan araştırmasının ağır kalemlerinde ölçülülük daha da sıkı işliyor. Adaydan SGK hizmet dökümü isteyen şirket sayısı az değil, oysa o döküm bütün çalışma geçmişini, aradaki boşlukları ve geçmiş işverenleri bir arada verir. İhtiyacınız tek bir pozisyonun süresini doğrulamaksa dökümün tamamını istemek amaçla sınırlı olma ilkesini aşar. Diploma doğrulamasında adayın kendi başvurusuyla alabildiği doğrulanabilir belge çoğu durumda yeterli. Kredi ve icra kaydı sorgusu ancak kasa, tahsilat veya ödeme yetkisi gibi finansal sorumluluk taşıyan pozisyonlar için gerekçelendirilebilir, her adaya uygulanan standart bir adım olarak değil. "Aday kendi rızasıyla getirdi" cümlesi de belgeyi hukuka uygun yapmıyor; işi kaybetme baskısı altında verilen bir rızada özgür iradenin varlığı tartışmalıdır, dayanağı rızaya değil pozisyonun gerçek gereğine oturtmak gerekiyor. Dengeyi kuran bir nokta var: aday sözleşmenin esaslı noktalarında gerçeğe aykırı beyanda bulunmuşsa İş Kanunu'nun 25. maddesinin ikinci fıkrasının (a) bendi işverene haklı nedenle derhal fesih hakkı veriyor ve bu hakkın öğrenmeden itibaren altı iş günü içinde kullanılması gerekiyor. Yalan beyanın yaptırımı zaten var, sınırsız araştırma yetkisi ise yok.

Araştırmayı dışarıdan bir firmaya yaptırıyorsanız rolleri baştan yazın. Firma sizin belirlediğiniz amaç ve yöntemle, talimatınıza bağlı çalışıyorsa veri işleyendir. Kanun'un 12. maddesinin ikinci fıkrası veri güvenliğine ilişkin yükümlülüklerden müştereken sorumlu olduğunuzu söylüyor, Kurul'un Kişisel Veri Güvenliği Rehberi de taraflar arasında yazılı bir sözleşme bulunmasını bekliyor. Firma kendi kaynaklarından bağımsız araştırma yürütüyor ve kendi veri tabanını besliyorsa kendi veri sorumluluğu doğar, ilişkinin aktarım olarak kurgulanması gerekir. Hizmet yurt dışındaki bir platform üzerinden veriliyorsa 9. madde devreye giriyor. Yeterlilik kararı bulunmayan ülkeler için standart sözleşme kullanıyorsanız, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan yönetmelik uyarınca imza tarihinden itibaren beş iş günü içinde Kuruma bildirim yapmanız gerekiyor. Aday takip sisteminizin sunucusunun hangi ülkede olduğunu hiç sormadıysanız, olası bir incelemede ilk soru bu olur.

Otomatik eleme yapan bir sistem kullanıyorsanız bir hak daha devreye giriyor. Kanun'un 11. maddesinin birinci fıkrasının (g) bendi, kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonuç ortaya çıkması hâlinde buna itiraz etme hakkını tanıyor. Anahtar kelime filtresiyle yüzlerce başvuruyu eleyip hiçbirine bakmadan reddetmek bu bendin tam ortasına düşüyor. Çözüm süreci yavaşlatmak değil, kararın son aşamasında gerçek bir insan değerlendirmesi bırakmak ve bunu belgelemek.

İşe alınmayan adayın verisi ne olacak sorusunun cevabı çoğu şirkette "ileride değerlendirmek üzere duruyor" oluyor. Kurul'un 6 Temmuz 2021 tarihli ve 2021/670 sayılı kararı bu cevabı kabul etmiyor. Bir bankaya yapılan iş başvurusu olumsuz sonuçlandıktan sonra ilgili kişi verilerinin silinmesini istemiş, banka gelecekteki başvuruları değerlendirmek amacıyla meşru menfaate dayandığını belirtip kimlik bilgilerini tutmaya devam etmiş. Kurul, başvurunun reddiyle işleme şartının ortadan kalktığını, gelecekteki başvurular gerekçesinin ilgili kişinin temel hak ve özgürlüklerine baskın gelmediğini değerlendirmiş ve idari para cezası uygulanmasına karar vermiş. Kararın ikinci dersi usule ilişkin: açık bir silme talebi geldikten sonra periyodik imha tarihini beklemek hukuka uygun sayılmıyor, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in 12. maddesi talebin en geç otuz gün içinde sonuçlandırılmasını istiyor. Bir CV havuzu tutacaksanız ayrı bir hukuki sebep, önceden belirlenmiş bir süre ve aydınlatma metninde bunların yazılı olması gerekiyor. Referans görüşmesinde alınan notlar da aynı imha planının içinde.

Aday tarafında yol haritası kısa. Hakkınızda izinsiz referans araması yapıldığını düşünüyorsanız önce Kanun'un 11. maddesindeki haklarınıza dayanarak veri sorumlusuna başvurun; 13. madde talebin en geç otuz gün içinde cevaplanmasını istiyor. Cevap gelmezse veya yetersizse 14. madde uyarınca Kurula şikayet yolu açık, uğradığınız zarar için 11. maddenin birinci fıkrasının (ğ) bendi genel hükümlere göre tazminat talep etme hakkını saklı tutuyor. İşveren tarafında bilanço 2026 rakamlarıyla belli: aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor. İşe alım sürecinizde yazılı referans formu, aday aydınlatma metni ve aday verisine özel imha planı üçlüsünden biri eksikse, KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu başlıkları mevcut uygulamanızla karşılaştırıp nereden başlamanız gerektiğini çıkarıyoruz.

Randevu Al