İşveren Çalışanın Sendika Üyeliğini Öğrenebilir mi? Aidat Kesintisi, Üye Listesi İlanı ve Özel Nitelikli Veride KVKK Sınırları

Kısa cevap: işveren bu bilgiyi merak ettiği için soramaz, ama bazı hallerde kanun gereği zaten öğrenir. Sendika üyeliği, 6698 sayılı Kanun'un 6. maddesinde sayılan özel nitelikli kişisel verilerden biri ve dernek ile vakıf üyeliğiyle aynı cümlede geçiyor. Bu yüzden işe alım mülakatında adaya sendikalı olup olmadığını sormanın, çalışanlara anket göndermenin ya da kimin üye olduğunu izleyen bir tablo tutmanın hukuki dayanağı yok. Buna karşılık 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanunu üç noktada işverenin bu bilgiyle temas etmesini öngörüyor: üyelik aidatının ücretten kesilmesi, işyeri sendika temsilcisinin kimliğinin bildirilmesi ve yetki tespiti yazısı. Ayrım tam burada. Kanun gereği öğrenmek ayrı şey, öğrendiğini şirket içinde serbestçe dolaştırmak ayrı şey. Denetimde sorun çıkaran da neredeyse her zaman ikincisi oluyor.

Kanun metnine bakmakta fayda var, çünkü 2024'te değişti ve pek çok şirketin çalışan aydınlatma metni hâlâ eski hâle göre yazılmış durumda. 6. maddenin birinci fıkrası özel nitelikli verileri sayarken dernek, vakıf ya da sendika üyeliğini açıkça listeliyor. 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikten önce bu veriler için tek kapı açık rıza ya da kanunlarda öngörülme idi; şimdi üçüncü fıkra yedi bentlik ortak bir liste getiriyor. İşveren tarafını ilgilendiren üç bent var: kanunlarda açıkça öngörülmesi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ile sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması. Dördüncü fıkra ise hepsinin üstüne ikinci bir şart koyuyor, özel nitelikli veri işlenirken Kurul tarafından belirlenen yeterli önlemlerin alınması da şart. Dayanağınız olsa bile önlemleri almadıysanız işleme yine hukuka aykırı sayılıyor.

Aidat kesintisi, işverenin bu bilgiyle en sık temas ettiği yer. 6356 sayılı Kanun'un 18. maddesinin ikinci fıkrası net: üyelik ve dayanışma aidatları, yetkili işçi sendikasının işverene yazılı başvurusu üzerine işçinin ücretinden kesilmek suretiyle ilgili sendikaya ödenir. Üçüncü fıkra işvereni sıkıştırıyor; aidatı kesmeyen ya da kestiği hâlde bir ay içinde sendikaya ödemeyen işveren, bildirim şartı aranmaksızın aidat tutarını bankalarca işletme kredilerine uygulanan en yüksek faiziyle birlikte ödemekle yükümlü. 9 Temmuz 2013 tarihli Resmî Gazete'de yayımlanan Sendika Üyeliğinin Kazanılması ve Sona Ermesi ile Üyelik Aidatının Tahsili Hakkında Yönetmelik ise akışın ayrıntısını kuruyor: işveren kestiği aidatın türünü belirterek kesinti listesini sendikaya gönderiyor, sendika da üyelik değişikliklerini en geç bir ay içinde işverene bildiriyor. Buradan çıkan pratik sonuç şu. Bordroda bir sendika aidatı satırı varsa, o satırı gören herkes özel nitelikli bir kişisel veriyi görmüş olur. Bordro dosyasına kaç kişinin eriştiğini ise çoğu şirket hiç saymıyor.

İkinci ve üçüncü temas noktası daha dar. 27. madde, toplu iş sözleşmesi yapmak üzere yetkisi kesinleşen sendikanın işyeri sendika temsilcilerini kendi üyeleri arasından atayarak on beş gün içinde kimliklerini işverene bildirmesini öngörüyor; temsilci sayısı işyerindeki işçi sayısına göre birden sekize kadar değişiyor. Burada isimler doğrudan ve kanun gereği işverene geliyor. Yetki tespiti tarafı ise sıkça yanlış biliniyor. 42. maddenin ikinci fıkrasına göre Bakanlık, bir işçi sendikasının yetkili olduğunu tespit ettiğinde başvuruyu ve işyeri veya işletmedeki işçi ile üye sayısını taraflara bildiriyor. Sayı geliyor, isim değil. Aynı şekilde 41. madde uyarınca ocak ve temmuz aylarında yayımlanan istatistiklerde her işkolundaki toplam işçi sayısı ile sendikaların üye sayıları yer alıyor. İşveren yetki sürecinde kaç üye olduğunu öğrenir, kimlerin üye olduğunu değil. Bu ayrımı atlayıp sendikadan veya çalışanlardan isim listesi istemek, hem 6356'nın kurgusuna hem 6. maddeye ters düşer.

Peki kanun gereği öğrenilen bilgiyle ne yapılabilir? Yalnızca öğrenme sebebi neyse o. Kanun'un 4. maddesindeki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi burada çok somut bir sonuç doğuruyor: aidat kesintisi için bu bilgiye ihtiyacı olan kişi bordroyu hazırlayandır, bölge müdürü değildir. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı ilke kararı, özel nitelikli veriler için alınması gereken yeterli önlemleri tek tek sayıyor: ayrı bir politika ve prosedür, düzenli eğitim ve gizlilik sözleşmeleri, erişim yetkilerinin kapsam ve süre olarak net tanımlanması, periyodik yetki kontrolü, görev değişikliği ya da işten ayrılma hâlinde yetkinin derhal kaldırılması, elektronik ortamda kriptografik yöntemlerle muhafaza, uzaktan erişimde en az iki kademeli kimlik doğrulama, fiziksel ortamda yetkisiz giriş çıkışların engellenmesi. Aktarım için ayrı satırlar da var. E-posta ile gönderim şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı üzerinden yapılacak, taşınabilir bellek ve optik medya şifrelenecek, kağıt ortamında evrak gizlilik dereceli belge formatında gönderilecek. Aylık aidat kesinti listesini şifresiz bir e-posta ekinde dolaştırmak bu listenin neredeyse tamamını boşa çıkarıyor.

Yasak bölgeye gelelim. 6356 sayılı Kanun'un 25. maddesinin birinci fıkrası, işçilerin işe alınmasının belli bir sendikaya girme, girmeme, üyeliği sürdürme veya üyelikten çekilme şartına bağlanamayacağını söylüyor. İkinci fıkra çalışma şartları ve işe son verme bakımından sendikalı ile sendikasız işçi arasında ayrım yapılmasını yasaklıyor. Üçüncü fıkra sendikaya üye olma veya sendikal faaliyete katılma nedeniyle işten çıkarmayı ve farklı işleme tabi tutmayı yasaklıyor, dördüncü fıkra da aykırılık hâlinde işçinin bir yıllık ücret tutarından az olmamak üzere sendikal tazminata hükmedileceğini belirtiyor. Bu tabloda mülakat sorusunun yeri yok. Sorarsanız hem 25. maddenin birinci fıkrasına temas edersiniz hem de dayanaksız bir özel nitelikli veri işlemiş olursunuz. Açık rıza almak da kurtarmıyor, çünkü işveren karşısında rızayı vermeme ya da geri alma ihtimalinin çalışan aleyhine sonuç doğurabileceği bir ilişkide rızanın özgür iradeyle verildiğini savunmak son derece zor.

Kamu tarafında tablo başka bir yerde duruyor, çünkü orada kanun ilanı doğrudan emrediyor. 4688 sayılı Kamu Görevlileri Sendikaları ve Toplu Sözleşme Kanunu'nun 25. maddesi, kamu işvereninin sendikaya üye olan ve üyelik ödentisi kesilen kamu görevlilerinin listesini her ayın son haftasında, işyerinde herkesin görebileceği yerde ve kurumsal düzeyde duyurulabilecek diğer araçlarla ilan etmesini öngörüyor. Kurum bu listeyi astığında 6. maddenin üçüncü fıkrasındaki kanunlarda açıkça öngörülme şartına dayanmış olur. Fakat dayanak, kanunun çizdiği kanal kadar geçerli. Hüküm işyerinden ve kurumsal düzeyde duyurudan söz ediyor; listeyi herkese açık bir internet sayfasına koymak, yani arama motorlarının indeksleyeceği bir yere taşımak bu çerçeveyi aşar. Listeye T.C. kimlik numarası veya sicil numarası eklemek de aynı şekilde ölçüyü zorlar, çünkü ilanın amacı kesintinin şeffaflığı, kişilerin tek tek tanımlanması değil. Aynı kanunun 30. maddesi uyarınca temmuz ayının ilk haftasında Resmî Gazete'de yayımlanan şey de isim listesi değil, sendikalara göre üye sayıları.

Kurul'un bu alandaki en öğretici kararı 16 Eylül 2021 tarihli ve 2021/925 sayılı karar. Bir çalışan, aynı işyerinde çalışan başka bir işçi adına açılan işe iade davasının dilekçesinde kendi adının ve sendikadan ayrılmış olduğu bilgisinin yer aldığını görünce, dilekçeyi hazırlayan avukat hakkında Kuruma şikayette bulundu. Avukatın savunması bilginin işyerinde zaten herkesçe bilindiği ve duyuma dayandığı yönündeydi. Kurul kararında bu savunmaya değil, davanın yapısına odaklandı. Dava sendikal nedenle fesih iddiasına dayanıyordu, 6356 sayılı Kanun'un 25. maddesinin altıncı fıkrası uyarınca feshin sendikal nedene dayandığını ispat yükü işçideydi ve Yargıtay'ın bu davalarda aradığı ölçütler arasında işyerinde sendikaya üye olan işçi sayısı, üyelik tarihleri ve üyelikten çekilenlerin bulunup bulunmadığı sayılıyordu. Kurul, bilginin dosyayla ilgili olduğunu, Avukatlık Kanunu'nun 2. maddesi ile Hukuk Muhakemeleri Kanunu'nun 119. maddesi çerçevesinde dava dilekçesinde kullanılmasının 6. maddeye aykırılık taşımadığını değerlendirdi ve yapılacak bir işlem olmadığına karar verdi. Karardan çıkan ders ters yönde de işliyor: bu kullanımı meşru kılan şey bilginin dosyayla bağlantısıydı. İleride dava açılabilir diye üyelik durumunu izleyen bir liste tutmak aynı korumadan yararlanmaz.

Sahada görülen hatalar birkaç başlıkta toplanıyor. En yaygını yöneticilerin mesajlaşma gruplarında kimin üye olduğunu konuşması; o yazışma bir iş davasında dosyaya girdiğinde iki ayrı sorun doğuruyor, biri veri koruma biri sendikal tazminat. İkincisi erişim meselesi: bordro ve özlük dosyalarının insan kaynakları paylaşımlı klasöründe, kullanıcı bazlı yetkilendirme olmadan durması. Üçüncüsü aidat kesinti listelerinin her ay şifresiz e-posta ekinde dolaşması. Dördüncüsü daha riskli, işten çıkarma planlarında, performans tablolarında veya zam listelerinde sendika üyeliği için ayrı bir sütun açılması. Böyle bir belgenin varlığı 25. maddenin yedinci fıkrası anlamında sendikal ayrımcılığı güçlü biçimde gösteren bir durum sayılabilir ve ispat yükünü işverene çevirir. Beşincisi ihlal tarafı. Aidat listesinin yanlış alıcıya gitmesi sıradan bir e-posta hatası gibi görünür, ancak içindeki veri özel nitelikli olduğu için ilgili kişiler bakımından risk değerlendirmesi ağırlaşır ve Kurula bildirim eşiği hızla aşılır.

Kağıt üstünde yapılması gerekenler aslında kısa. Çalışan aydınlatma metninde sendika üyeliğinin işlenen veri kategorileri arasında yer alması, hukuki sebebin 6. maddenin üçüncü fıkrasındaki ilgili bende açıkça bağlanması ve amacın aidat kesintisi ile toplu iş sözleşmesinin uygulanmasıyla sınırlanması gerekiyor. Kişisel veri envanterinde bu alanın özel nitelikli olarak işaretlenmesi, saklama süresinin bordro kayıtlarıyla birlikte belirlenmesi ve erişim yetkisinin kişi kişi tanımlanması bekleniyor. Güncelleme tarafı ise çoğu zaman unutuluyor. 6356 sayılı Kanun'un 19. maddesine göre üye e-Devlet kapısı üzerinden çekilme bildiriminde bulunabiliyor ve çekilme, sendikaya bildirim tarihinden itibaren bir ay sonra geçerlilik kazanıyor. O tarihten sonra kesintiye devam etmek yalnızca bir bordro hatası değil; artık geçerli olmayan bir kaydı işlemeye devam etmek anlamına da geliyor.

Faturanın üç ayrı yerden gelebileceğini hatırlatmak gerekiyor. KVKK tarafında 2026 yılı için veri güvenliğine ilişkin yükümlülüklerin ihlalinde idari para cezası 256.357 TL ile 17.092.242 TL arasında, aydınlatma yükümlülüğünün ihlalinde 85.437 TL ile 1.709.200 TL arasında uygulanıyor. Ceza hukuku tarafında Türk Ceza Kanunu'nun 135. maddesi kişisel verileri hukuka aykırı olarak kaydetmeyi bir yıldan üç yıla kadar hapis cezasıyla karşılıyor ve ikinci fıkrası, verinin kişilerin sendikal bağlantılarına ilişkin olması hâlinde cezanın yarı oranında artırılacağını söylüyor; verinin başkasına verilmesi, yayılması veya ele geçirilmesi ise 136. maddenin konusu. Üçüncüsü iş hukuku. Sendikal nedenle fesih tespit edilirse 25. madde uyarınca işçinin bir yıllık ücretinden az olmamak üzere sendikal tazminata hükmediliyor ve bu tutar, varsa idari para cezasının üstüne ekleniyor.

Kendi tablonuzu çıkarmak için beş soru yeterli: bordro ve aidat kesinti listelerine isim isim kimler erişiyor, bu listeler hangi kanalla ve şifreli mi gönderiliyor, çalışan aydınlatma metninizde sendika üyeliği ve hukuki sebebi yazıyor mu, işten çıkarma veya zam kararlarının hazırlık belgelerinde üyelik bilgisi geçiyor mu, üyelikten çekilme hâlinde kesinti kaç günde duruyor. Bunlardan birine net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde bordro ve özlük süreçlerinizdeki erişim yetkilerini, aydınlatma metninizi ve aidat kesinti akışınızı birlikte gözden geçirip hangisinin düzeltilmesi hangisinin belgelenmesi gerektiğini çıkarabiliriz.

Randevu Al