İşveren Danışmanlığı Kapsamında KVKK ve Çalışan Verileri

KVKK Uyum Sürecinde Temel Adımlar

İşverenlerin KVKK uyum sürecinde izlemesi gereken ilk adım, işyerinde hangi verilerin toplandığını gösteren bir veri envanteri hazırlamaktır. Bu envanter; kimlik, iletişim, sağlık ve performans gibi verilerin hangi amaçla işlendiğini, kimlerle paylaşıldığını ve ne kadar süre saklandığını detaylıca ortaya koymalıdır.

Aydınlatma yükümlülüğünün yerine getirilmesi, sürecin en kritik aşamalarından biridir. Çalışanlara, verilerinin işlenme amacı, hukuki sebebi, aktarıldığı taraflar ve sahip oldukları haklar hakkında açık ve anlaşılır bir aydınlatma metni işe giriş aşamasında sunulmalıdır. Bu metnin tebliğ edildiğine dair imza veya dijital onay kaydı, ileride doğabilecek ispat sorunlarını önlemek adına saklanmalıdır.

İdari ve teknik tedbirlerin alınması, veri güvenliğinin sağlanması için zorunludur. Erişim yetkilendirmeleri, log kayıtları, siber güvenlik önlemleri ve çalışan farkındalık eğitimleri, veri sorumlusunun sorumluluğunu yerine getirdiğini gösteren temel unsurlardır.

Süreç Bazlı Kontrol Listeleri

İşverenlerin farklı operasyonel süreçlerde dikkat etmesi gereken hususlar, verinin niteliğine göre değişiklik göstermektedir:

• Ücret ve Özlük Süreçleri: İş Kanunu uyarınca özlük dosyası tutulması yasal bir zorunluluktur. Bu veriler kanuni yükümlülük kapsamında işlendiği için ayrıca açık rıza gerektirmez.
• İSG Süreçleri: Sağlık verileri özel nitelikli kişisel veridir. Bu veriler sadece işyeri hekimi veya yetkili sağlık personeli tarafından işlenmeli, işveren sadece işe uygunluk hakkında bilgilendirilmelidir.
• Disiplin Süreçleri: Disiplin soruşturmalarında toplanan veriler, bir hakkın tesisi veya korunması hukuki sebebine dayanmalıdır. Veriler sadece disiplin süreciyle sınırlı tutulmalıdır.
• Fesih Süreçleri: İş akdi sona erdikten sonra, verilerin saklanması için yasal bir süre yoksa veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir.

“Av. Vedat Can SÜNERİN
İşverenler, çalışan verilerini işlerken her adımda açık rıza almak yerine, 6698 sayılı Kanun'da belirtilen kanuni yükümlülük, sözleşmenin ifası veya meşru menfaat gibi hukuki sebeplere odaklanmalıdır. Özellikle özlük dosyası ve İSG süreçlerinde, verinin işlenme amacını ve yasal dayanağını önceden belirlemek, aydınlatma yükümlülüğünü eksiksiz yerine getirmek ve veri minimizasyonu ilkesine uygun hareket etmek, olası idari yaptırımlardan kaçınmak için en temel koruma kalkanıdır. İspat yükümlülüğünün işverende olduğu unutulmamalı, tüm süreçler belgelenmelidir.”

İstisnalar ve Sık Yapılan Hatalar

Uygulamada en sık karşılaşılan hata, her işlem için çalışandan açık rıza alınmaya çalışılmasıdır. Sözleşmenin ifası veya yasal yükümlülük gibi diğer hukuki sebepler mevcutsa, açık rıza alınması hukuken gereksizdir ve rızanın özgür iradeye dayanmadığı gerekçesiyle geçersiz sayılabilir.

Sağlık verilerinin işyeri hekimi dışında diğer çalışanlarla veya yöneticilerle paylaşılması, KVKK ihlallerine yol açan önemli bir hatadır. Sağlık verileri özel nitelikli veri kategorisinde olup, sadece yetkili sağlık personeli tarafından işlenmelidir. Kamu sağlığının korunması veya kanunlarda açıkça öngörülen haller dışında, bu verilerin paylaşımı kısıtlanmıştır.

Görevli Merci ve Başvuru Yolu

Kişisel Verileri Koruma Kurumu (KVKK), veri sorumlularının yükümlülüklerini denetler ve ihlal durumunda idari para cezası uygulama yetkisine sahiptir. Çalışanlar, verileriyle ilgili taleplerini öncelikle veri sorumlusu olan işverene yazılı olarak iletmelidir.

İşverenin 30 gün içinde cevap vermemesi veya verilen cevabın yetersiz bulunması halinde, Kişisel Verileri Koruma Kurulu’na şikayette bulunulabilir. Uyuşmazlık çıkmadan önce işverenlerin; aydınlatma metinlerinin tebliğ edildiğine dair tutanakları, veri işleme envanterini ve teknik tedbirlerin alındığını gösteren kayıtları düzenli tutmaları, olası bir denetimde ispat yükümlülüğünü yerine getirmelerini sağlar.

Çalışan Verilerinin Üçüncü Kişilere Aktarımı ve Sınırları

İşverenlerin, çalışan verilerini bordro hizmeti veren muhasebe firmaları, özel sağlık sigortası şirketleri veya işe alım platformları gibi üçüncü taraflarla paylaşması, veri aktarımı kapsamında değerlendirilir. Bu aktarımın hukuka uygun olması için, verinin aktarıldığı tarafın sadece sözleşme kapsamındaki işi yerine getirmekle sınırlı kalması ve yeterli güvenlik önlemlerini alması şarttır. İşveren, veri sorumlusu olarak aktarım yaptığı üçüncü tarafın veriyi başka amaçlarla kullanmasını engelleyecek sözleşmesel taahhütleri almakla yükümlüdür.

Özellikle grup şirketleri bünyesinde çalışan verilerinin merkezileştirilmesi durumunda, her bir şirket ayrı bir veri sorumlusu olarak kabul edilir. Bu nedenle, verilerin şirketler arasında paylaşımı için aydınlatma metinlerinde bu aktarımın açıkça belirtilmesi ve aktarımın hukuki dayanağının (örneğin meşru menfaat veya sözleşmenin ifası) netleştirilmesi gerekir. Aktarımın kapsamı, işin gerektirdiği minimum veri ile sınırlandırılmalı ve gereksiz veri paylaşımından kaçınılmalıdır.

İşyerinde Biyometrik Veri ve İzleme Teknolojileri

İşyerinde giriş-çıkış takibi veya güvenlik amacıyla parmak izi, yüz tanıma veya damar izi gibi biyometrik verilerin kullanılması, KVKK kapsamında özel nitelikli kişisel veri işleme faaliyetidir. Bu tür verilerin işlenmesi, ancak işin niteliği gereği zorunlu olması ve daha az müdahaleci bir yöntemle (örneğin kartlı geçiş sistemi) aynı sonucun elde edilememesi durumunda gündeme gelebilir. Biyometrik verilerin işlenmesinde, çalışanın açık rızası tek başına yeterli olmayıp, Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.

İşveren, biyometrik sistemleri kullanmadan önce bir etki değerlendirmesi yaparak, bu sistemin çalışanların temel hak ve özgürlükleri üzerindeki etkisini analiz etmelidir. Eğer alternatif bir yöntemle güvenlik sağlanabiliyorsa, biyometrik veri işlenmesinden kaçınılmalıdır. Ayrıca, biyometrik verilerin ham haliyle değil, şifrelenmiş (hash) formatta saklanması ve sistemin yetkisiz erişimlere karşı periyodik olarak test edilmesi, veri güvenliği açısından kritik bir kontrol noktasıdır.

Veri İhlali Durumunda İşverenin Bildirim Yükümlülüğü

İşveren, çalışan verilerinin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi durumunda, bu ihlali en kısa sürede Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür. İhlalin gerçekleştiğinin öğrenilmesinden itibaren 72 saat içinde yapılması gereken bu bildirim, ihlalin kapsamını, etkilenen çalışan sayısını ve alınan önlemleri içermelidir. İhlalden etkilenen çalışanlara ise, durumun niteliğine göre doğrudan veya kamuya açık bir şekilde makul sürede bilgi verilmesi gerekir.

İşverenlerin, veri ihlallerini tespit edebilmek için sistemlerinde düzenli log kayıtları tutmaları ve bu kayıtları belirli aralıklarla denetlemeleri, olası bir ihlal anında müdahale hızını artırır. İhlal bildiriminin yapılmaması veya geciktirilmesi, veri sorumlusu için idari yaptırımların yanı sıra, çalışanların tazminat talepleriyle sonuçlanabilecek hukuki riskleri de beraberinde getirir. Bu nedenle, işyerinde bir veri ihlali müdahale planının hazır bulundurulması ve ilgili birimlerin bu konuda eğitilmesi, işveren danışmanlığının temel parçalarından biridir.

Sık Sorulan Sorular