Taşeron Personelin Kişisel Verilerini Asıl İşveren İşleyebilir mi? Bordro Kontrolü, Giriş Kartı ve Sağlık Raporunda KVKK Sınırları

Kısa cevap: işleyebilir, ama alt işverenin çalışan dosyasını olduğu gibi devralarak değil. Asıl işveren, sahasında çalışan taşeron personelinin verisi bakımından alt işverenin veri işleyeni değildir; kendi amacıyla ve kendi kararıyla işlediği için ayrı bir veri sorumlusudur. Bu sıfatın hukuki dayanağı da hazır duruyor. 4857 sayılı İş Kanunu'nun 2. maddesi asıl işvereni alt işverenin işçilerine karşı o işyeriyle ilgili yükümlülüklerden alt işverenle birlikte sorumlu tutuyor, 36. maddesinin son fıkrası ise ücretlerin ödenip ödenmediğini aylık olarak resen kontrol etmeyi doğrudan bir yükümlülük haline getiriyor. Yani bordro istemek 6698 sayılı Kanun'un 5. maddesindeki hukuki yükümlülük şartına oturuyor. Aynı şey sağlık raporunun içeriği, adli sicil kaydı, aile durumu ya da performans puanı için geçerli değil. Sınır, müteselsil sorumluluğun kapsamının bittiği yerde bitiyor.

Rolleri karıştırmak bu ilişkideki en pahalı hata. Alt işveren kendi çalışanının veri sorumlusudur: iş sözleşmesini o kurar, özlük dosyasını o tutar, ücreti o öder. Asıl işveren aynı kişilerin verisini tesis güvenliği, iş sağlığı ve sözleşme denetimi amaçlarıyla işlediğinde alt işverenin talimatıyla hareket etmiş olmaz, kendi amacını belirlemiş olur. Kurul'un 30 Ocak 2020 tarihli ve 2020/71 sayılı kararındaki ölçütler tam da bunu sorar: hangi verinin toplanacağına kim karar veriyor, işlemenin amacını ve süresini kim belirliyor, ilgili kişiyle kim muhatap oluyor, işlemeden kim menfaat sağlıyor. Sözleşmeye "alt işveren veri sorumlusu, asıl işveren veri işleyendir" yazmak bu tabloyu tersine çevirmez. Bir ayrıntı daha var: aynı sözleşmede iki rol birden bulunabilir. Çağrı merkezi hizmeti veren bir alt işveren, asıl işverenin müşteri verisi bakımından veri işleyen, kendi personelinin verisi bakımından veri sorumlusudur.

Bir asıl işverenin taşeron personelinden topladığı veri, çoğu envanterde göründüğünden geniş. Tipik bir fabrikada ya da plazada liste şöyle uzuyor: personel listesi ve T.C. kimlik numaraları, işe giriş bildirgeleri, aylık hizmet listeleri, bordrolar ve banka dekontları, iş sağlığı ve güvenliği eğitim katılım belgeleri, sağlık raporları, kartlı geçiş kayıtları, kamera görüntüleri, araç plakaları, yemekhane ve servis kayıtları, kimi zaman kurumsal e-posta hesapları. Bu kalemlerin hiçbiri kişisel veri işleme envanterinizde "çalışan verisi" başlığı altında tek satırda temsil edilemez, çünkü bu kişiler sizin çalışanınız değil. Alt işveren çalışanını ayrı bir ilgili kişi grubu olarak tanımlayın ve her kalem için hukuki sebebi, saklama süresini ve aktarım alıcısını yazın. Envanterde görünmeyen bir veri kategorisi, denetimde açıklanması en zor şeydir.

Bordro talebi sahada çoğu zaman "KVKK'ya takılır mı" tereddüdüyle yapılıyor, oysa isteyen taraf kanunun kendisi. İş Kanunu'nun 36. maddesinin son fıkrası şunu söylüyor: "İşverenler, alt işverene iş vermeleri hâlinde, bunların işçilerinin ücretlerinin ödenip ödenmediğini işçinin başvurusu üzerine veya aylık olarak resen kontrol etmekle ve varsa ödenmeyen ücretleri hak edişlerinden keserek işçilerin banka hesabına yatırmakla yükümlüdür." Cümlenin sonu önemli: asıl işverenin işçinin banka hesap bilgisini işlemesini de kanun öngörmüş. Sosyal güvenlik tarafında 5510 sayılı Kanun'un 12. maddesi asıl işvereni, işverene yüklenen yükümlülükler bakımından alt işverenle birlikte sorumlu tutuyor; prim ve hizmet belgelerinin kontrolü buradan geliyor. Kamu ihalelerinde ise Hizmet İşleri Genel Şartnamesi kontrol teşkilatına yüklenici ve alt yüklenicilerden bordro isteyip ödemeleri denetleme görevi veriyor. Dayanak sağlam. Kapsam ise ölçülülükle sınırlı.

Peki bordronun tamamı gerekli mi? İş Kanunu'nun 37. maddesi ücret hesap pusulasında ödemenin gününü ve dönemini, fazla çalışma ile tatil ücretleri gibi eklemeleri ve vergi, sigorta primi, avans mahsubu, nafaka, icra gibi kesintileri ayrı ayrı göstermeyi istiyor. Asıl işverenin kontrol görevi için gerekenler bellidir: kişinin kim olduğu, hangi dönemde kaç gün çalıştığı, tahakkuk eden ve ödenen tutar, ödemenin yapıldığı hesap ve tarih. Nafaka kesintisinin kime gittiği, icra dosyasının hangi müdürlükte olduğu, sendika aidatı ya da özel sağlık sigortası kesintisi bu görevin dışında kalır. Bu satırları maskelemek hem 4. maddedeki ölçülülük ilkesine uygun düşer hem de bir sızıntı halinde zararı küçültür. Sahada en sık gördüğümüz hata ise şu: alt işveren kolaylık olsun diye bütün personelin bordrosunu tek bir dosyada gönderiyor, dosya asıl işverenin ortak sürücüsünde herkese açık bir klasörde kalıyor ve aylar sonra kimin ne zaman açtığı bile bilinmiyor.

Aydınlatma, asıl işverenin en çok atladığı yükümlülük, çünkü karşısında imza alacağı bir çalışan yok. Kanun'un 10. maddesi bunu mazeret saymıyor: veriyi kendi amacıyla işleyen taraf, ilgili kişiyi kendisi bilgilendirmek zorunda. İşleyen çözüm, aydınlatma zincirini sözleşmeye bağlamak. Asıl işverenin aydınlatma metni alt işverene teslim edilir, alt işveren metni sahaya gelen her çalışana imza karşılığı tebliğ eder ve kayıtları asıl işverene ibraz edilmek üzere saklar; saha girişine de kısa bir levha ve ayrıntılı metne götüren bir kare kod konur. Metni yazarken Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararına dikkat edin. Bu karar, aydınlatma ile açık rıza metinlerinin iç içe geçmiş tek bir belge olarak sunulmasını ve metinlerde genel nitelikte, eksik ya da yanıltıcı ifadelere yer verilmesini hukuka aykırı sayıyor. Aydınlatma yükümlülüğünün ihlali 2026 tutarlarıyla 85.437 TL ile 1.709.200 TL arasında idari para cezası anlamına geliyor.

Sahaya giriş için taşeron personeline form imzalatıp açık rıza almak yaygın ama zayıf bir refleks. Kurum'un Açık Rıza yayınındaki ifade net: "Özellikle işçi-işveren ilişkisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğuracağı durumlarda, rızanın özgür iradeye dayandığı kabul edilemez." Kapıda formu imzalamayan kişinin o gün işe başlayamayacağını herkes biliyor. Üstelik açık rıza her an geri alınabilir; tek bir kişinin vazgeçmesi kurulumun dayanağını götürür. Buna ihtiyaç da yok. Bordro ve prim kontrolü için hukuki yükümlülük şartı, tesis güvenliği ve saha emniyeti için meşru menfaat şartı çalışıyor. Meşru menfaate dayanıyorsanız denge testini gerçekten yapın ve dosyalayın: hangi menfaat korunuyor, aynı sonuca daha az müdahaleyle ulaşmanın yolu var mı, ilgili kişinin hak ve özgürlüklerine etkisi hangi tedbirlerle azaltılıyor.

Sağlık verisi bu ilişkinin en hassas noktası ve en sık aşılan sınırı. 6331 sayılı Kanun'un 15. maddesi, tehlikeli ve çok tehlikeli sınıfta yer alan işyerlerinde çalışacakların "yapacakları işe uygun olduklarını belirten sağlık raporu" olmadan işe başlatılamayacağını söylüyor; aynı maddenin beşinci fıkrası ise sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması açısından sağlık bilgilerinin gizli tutulmasını istiyor. İkisi birlikte okunduğunda asıl işverenin öğrenmeye hakkı olan şey ortaya çıkıyor: geçerli bir raporun bulunduğu, sonucun işe uygun olduğu ve varsa kısıtlama. Teşhis, tetkik sonuçları ve kullanılan ilaçlar bunun dışındadır; bunlar 6698 sayılı Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veridir ve alt işverenin işyeri hekiminde kalmalıdır. Uygulanabilir yol, raporun fotokopisini toplamak yerine alt işverenden geçerli raporların bulunduğuna dair yazılı teyit almak ve denetim anında ibraz yükümlülüğünü sözleşmeye yazmaktır. Adli sicil kaydında da ölçü aynı, üstelik burada çoğu zaman mükerrer bir iş yapılıyor: 5188 sayılı Özel Güvenlik Hizmetlerine Dair Kanun'un 11. maddesi, özel güvenlik görevlisi olarak istihdam edilecekler hakkında valilikçe güvenlik soruşturması ve arşiv araştırması yapılmasını ve çalışma izninin buna göre verilmesini öngörüyor. Denetim zaten yapılmış, belgesi de ortada; kimlik kartı ile çalışma izninin geçerliliğini teyit etmek çoğu senaryoda yeterli oluyor. "Prosedürümüz böyle" cümlesi bir hukuki sebep değildir.

Kamera, turnike ve kartlı geçiş tarafında asıl işveren tartışmasız veri sorumlusudur. Alt işveren çalışanı bu sistemler karşısında ilgili kişidir; erişim, düzeltme ve silme taleplerini kendi işverenine değil, doğrudan asıl işverene yöneltir. Burada iki tuzak var. Birincisi biyometrik geçiş. Kurul'un 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, şifreli kart veya PIN tabanlı sistemler ile RFID ve NFC kartlar gibi alternatiflerin varlığı karşısında mesai takibi amacıyla biyometrik veri işlenmesinin "ilgili kişilerin açık rızası bulunsa dahi" ölçülülük kriterini sağlamayacağını söylüyor. Kendi çalışanınız için geçerli olan bu sonuç, sözleşmesi bile sizinle olmayan taşeron personeli için evleviyetle geçerlidir. İkinci tuzak amaç kayması: giriş çıkış kayıtları tesis güvenliği için tutulurken bunlardan taşeron personelin devam çizelgesini çıkarmak ve alt işverene performans geri bildirimi vermek, işlemeyi kurulduğu amacın dışına taşır.

Bu son cümlenin bedeli KVKK ile sınırlı değil ve çoğu şirket bunu geç fark ediyor. 27 Eylül 2008 tarihli Resmî Gazete'de yayımlanan Alt İşverenlik Yönetmeliği'nin 12. maddesi, muvazaa incelemesinde göz önünde bulundurulacak hususlar arasında, alt işverene verilen işte asıl işveren adına koordinasyon ve denetimle görevlendirilenlerden başka asıl işverenin işçisinin çalışıp çalışmadığını ve sözleşmenin işçilerin haklarını kısıtlamaya yönelik yapılıp yapılmadığını sayıyor. Asıl işverenin taşeron personeline izin onayı vermesi, disiplin tutanağı tutması, performans puanı işlemesi ya da mesai kaydını kendi sisteminden yürütmesi, bir iş müfettişinin dosyasında bunların hepsi birer delildir. Aynı yönetmeliğin 13. maddesi sonucu yazıyor: muvazaanın tespiti kesinleşirse tescil işlemi iptal edilir ve alt işverenin işçileri başlangıçtan itibaren asıl işverenin işçisi sayılır. Taşeron personelinin verisini gereğinden fazla toplamak, bir gün idari para cezası olarak, ertesi gün kıdem tazminatı davası olarak geri dönebiliyor.

Sözleşme tarafında en sık rastlanan madde şu: "Alt işveren, kişisel verilerin korunmasına ilişkin tüm sorumluluğu üstlenir." Bu cümle Kurul önünde asıl işvereni kurtarmaz; Kanun'un 12. maddesinin birinci fıkrası her veri sorumlusuna kendi teknik ve idari tedbirlerini alma yükümlülüğü, ikinci fıkrası ise veriyi kendi adına işleten kişilerle müşterek sorumluluk getiriyor. Yazılması gerekenler daha somut: aktarılacak veri kalemlerinin listesi, aktarım kanalı ve şifreleme yöntemi, alt işverenin kendi çalışanlarına aydınlatma yapma ve kayıtlarını saklama taahhüdü, ihlal halinde asıl işverene bildirim süresi, ilişki sona erdiğinde iade ve imha. İhlal bildirimini ciddiye alın: taşeron personel listesinin yanlış adrese gitmesi de bir veri ihlalidir ve asıl işveren kendi veri sorumlusu sıfatıyla, Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı uyarınca öğrenmesinden itibaren 72 saat içinde Kuruma bildirmek zorundadır.

Saklama tarafında ölçüyü müteselsil sorumluluk belirliyor. Ücret alacakları ile İş Kanunu'nun ek 3. maddesi kapsamındaki kıdem ve ihbar tazminatı gibi alacaklarda zamanaşımı beş yıl olduğuna göre, bordro ve ödeme kayıtlarını bu süreyle ilişkilendirmek savunulabilir; kartlı geçiş ve kamera kayıtları ise çok daha kısa sürelerle sınırlanmalı ve periyodik imha takvimine bağlanmalıdır. Kısa bir kontrol listesiyle bitirelim. Her alt işveren sözleşmesi için tarafların KVKK'daki rolünü tek cümleyle yazın. Aldığınız veri kalemlerini listeleyip ihtiyaç duymadıklarınızı bugünden talep etmeyi bırakın. Aydınlatma zincirini kurup tebliğ kayıtlarını isteyin. Sağlık raporu ve adli sicil taleplerinizi mevzuatın gerçekten aradığı hallerle sınırlayın. Kartlı geçiş verisinin performans ve devam takibinde kullanılmadığını teyit edin. İşten ayrılan taşeron personelin kartını, hesabını ve yetkilerini aynı gün kapatın. Veri güvenliği yükümlülüğünün ihlalinde 2026 için üst sınırın 17.092.242 TL olduğunu hatırlatalım. KVKK Danışman'ın ücretsiz ön değerlendirmesinde alt işveren sözleşmelerinizi, taşeron personelden topladığınız belgeleri ve saha aydınlatma düzeninizi birlikte gözden geçiriyoruz.

Randevu Al