Çalışan Adayının Adli Sicil Verisinin İşlenmesi

Adli Sicil Verisinin Özel Nitelikli Veri Statüsü

Adli sicil kaydı, kişilerin kesinleşmiş ceza mahkûmiyetlerini ve güvenlik tedbirlerini içeren resmi bir belgedir. KVKK kapsamında bu veriler, başkaları tarafından öğrenilmesi halinde kişinin ayrımcılığa maruz kalabileceği özel nitelikli kişisel veri kategorisinde yer alır. Bu nedenle, genel nitelikli verilerden farklı olarak, işlenmesi için daha ağır şartlar ve sıkı denetimler öngörülmüştür.

İşverenlerin bu veriyi işlemesi, yalnızca kanunlarda açıkça belirtilen hallerde veya adayın özgür iradesiyle verdiği açık rıza ile mümkündür. Şirket içi genel prosedürler veya her adaydan standart olarak belge toplama uygulamaları, KVKK’nın temel ilkeleri olan gereklilik ve ölçülülük ile bağdaşmaz.

Hangi Durumlarda Adli Sicil Kaydı Talep Edilebilir?

İşverenlerin adli sicil kaydı isteme yetkisi, işin niteliği ve yasal düzenlemelerle sınırlıdır. Kanun koyucunun belirli suçlardan mahkûm olmama şartı aradığı meslek gruplarında, adli sicil kaydı talep edilmesi hukuki bir yükümlülüğün yerine getirilmesi kapsamında değerlendirilebilir.

• Özel güvenlik görevlileri, avukatlar, mali müşavirler ve bankacılık sektöründeki kritik pozisyonlar gibi kanuni zorunluluk bulunan haller.
• İşin niteliği gereği (örneğin; çocuklarla çalışılan veya yüksek güvenlik gerektiren pozisyonlar) adli sicil kaydının zorunlu olduğu durumlar.
• İşverenin gözetme borcu ve ispat yükümlülüğü kapsamında, pozisyonun gerektirdiği sınırlı inceleme ihtiyacı.

“Av. Vedat Can SÜNERİN
Adli sicil verisi işlenirken en kritik nokta, verinin işin niteliğiyle olan zorunlu bağlantısıdır. İşverenler, her adaydan standart olarak bu belgeyi talep etmek yerine, pozisyonun gerekliliklerini ve yasal yükümlülükleri ayrı ayrı değerlendirmelidir. Açık rıza alınması, ölçülülük ilkesini ortadan kaldırmaz; bu nedenle rıza metinleri genel değil, spesifik ve aydınlatılmış olmalıdır. İşe alım süreci tamamlandığında veya olumsuz sonuçlandığında, verinin derhal imha edilmesi KVKK uyumunun temel bir gereğidir.”

Aydınlatma ve Açık Rıza Süreci

Kanuni bir zorunluluk bulunmayan hallerde, işveren adli sicil verisini işlemek için adaydan açık rıza almak zorundadır. Ancak işçi-işveren ilişkisindeki bağımlılık durumu nedeniyle, rızanın özgür iradeyle verilip verilmediği denetimlerde sorgulanabilir. Bu nedenle, rıza işe alımın ön koşulu olarak dayatılmamalıdır.

Aydınlatma yükümlülüğü kapsamında adaya; verinin hangi amaçla işleneceği, kimlere aktarılabileceği ve hakları konusunda net bilgi sunulmalıdır. Aday, verdiği açık rızayı hiçbir şarta bağlı olmaksızın her zaman geri alma hakkına sahiptir.

Saklama ve İmha Yükümlülükleri

Adli sicil kaydının özlük dosyasında süresiz saklanması hukuka aykırıdır. İşe alım süreci olumsuz sonuçlanan adayların verileri, ileride lazım olur düşüncesiyle tutulamaz; süreç sona erdiğinde verinin işlenme amacı ortadan kalktığı için derhal imha edilmelidir.

İşe alım gerçekleşmişse, verinin işin gerektirdiği süre sonunda imha edilmesi gerekir. Veri sorumlusu, Kişisel Veri Saklama ve İmha Politikası’na uygun olarak periyodik imha süreçlerini işletmeli ve verileri yetkisiz kişilerin erişimine kapalı, güvenli ortamlarda saklamalıdır.

Uygulamada Sık Karşılaşılan Hatalar

İşverenlerin KVKK uyum sürecinde yaptığı hatalar, ciddi idari yaptırımlara yol açabilir. En sık karşılaşılan hatalar arasında her adaydan istisnasız adli sicil kaydı istemek, aydınlatma metni sunmamak ve verileri genel verilerle aynı güvenlik seviyesinde tutmak yer alır.

Ayrıca, işe alım değerlendirmesiyle ilgisi olmayan verilerin toplanması ve dijital kayıtların yetkisiz kişilerin erişimine açık ortak ağlarda saklanması, veri güvenliği ihlali olarak kabul edilir. İşverenler, her pozisyon için gerekliliği ayrı ayrı test etmeli ve genel, süresiz sicil toplama uygulamasından kaçınmalıdır.

İşe Alım Sürecinde Veri Minimizasyonu ve İspat Yükü

İşveren, adli sicil verisini işlerken ‘veri minimizasyonu’ ilkesine bağlı kalarak, yalnızca işin gerektirdiği en az miktarda veriyi toplamalıdır. Adayın tüm adli geçmişini içeren kapsamlı bir döküm yerine, yalnızca pozisyonun gerektirdiği özel suç tiplerine ilişkin bir sorgulama yapılması, ölçülülük ilkesinin bir gereğidir. Örneğin, finansal sorumluluk gerektiren bir pozisyon için malvarlığına karşı işlenen suçların incelenmesi yeterli görülürken, bu kapsam dışındaki verilerin işlenmesi hukuka aykırı bir veri işleme faaliyeti teşkil eder.

İşveren, adli sicil verisini işleme kararını gerekçelendirmekle yükümlüdür. İşe alım dosyasında, söz konusu verinin neden talep edildiğine dair bir ‘meşru menfaat’ veya ‘hukuki yükümlülük’ analizi bulunmalıdır. Bu analiz, denetim süreçlerinde işverenin veri işleme faaliyetinin keyfi olmadığını kanıtlayan temel belgedir. İspat yükü işverende olduğundan, adli sicil kaydının hangi somut görev tanımıyla ilişkilendirildiği ve bu verinin değerlendirme sürecinde nasıl bir ağırlığa sahip olduğu yazılı olarak kayıt altına alınmalıdır.

Dijital Kayıt Güvenliği ve Erişim Yetkilendirmesi

Adli sicil verisi dijital ortamda işlendiğinde, bu veriye erişim yetkisi yalnızca işe alım sürecini yürüten İnsan Kaynakları birimindeki ilgili personel ile sınırlandırılmalıdır. Veri sorumlusu, erişim loglarını tutarak hangi personelin, hangi adayın verisine, hangi tarihte ve hangi amaçla eriştiğini denetlenebilir kılmalıdır. Bu log kayıtları, veri güvenliği ihlallerinin tespiti ve sorumluların belirlenmesi açısından kritik birer delil niteliği taşır.

Verinin bulut tabanlı sistemlerde veya şirket içi sunucularda saklanması durumunda, verinin şifrelenmesi ve anonimleştirme tekniklerinin uygulanması zorunludur. Özellikle e-posta yoluyla iletilen adli sicil kayıtları, iletim sırasında şifreli bir formatta gönderilmeli ve işlem tamamlandıktan sonra e-posta sunucularından kalıcı olarak silinmelidir. Veri sorumlusu, adli sicil verisini içeren dosyaların yetkisiz kişilerin erişimine açık ortak ağ klasörlerinde veya yedekleme ünitelerinde tutulmadığını periyodik olarak test etmelidir.

Adayın Bilgi ve Düzeltme Taleplerinin Yönetimi

Aday, işveren tarafından işlenen adli sicil verisi üzerinde KVKK kapsamında çeşitli haklara sahiptir. Aday, verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme ve verinin eksik veya yanlış işlenmiş olması durumunda düzeltilmesini isteme hakkını kullanabilir. İşveren, bu taleplere karşı otuz gün içerisinde yazılı veya elektronik ortamda yanıt vermekle yükümlüdür; talebin reddedilmesi durumunda ise ret gerekçesinin hukuki dayanağı açıkça belirtilmelidir.

Adayın verisinin silinmesini veya yok edilmesini talep etmesi halinde, işveren bu talebi yerine getirmek zorundadır; ancak verinin saklanmasını zorunlu kılan başka bir kanuni yükümlülük varsa bu durum adaya gerekçesiyle açıklanmalıdır. Adayın başvuru süreci, işverenin veri işleme faaliyetinin şeffaflığını denetlemesi açısından bir kontrol noktasıdır. İşveren, adaydan gelen bu talepleri bir ‘Veri Sahibi Başvuru Kayıt Defteri’nde tutmalı ve başvurunun içeriği ile verilen yanıtı, olası bir uyuşmazlıkta ispat aracı olarak saklamalıdır.

Sıkça Sorulan Sorular