İşverenler, çalışanlarının kişisel verilerini işe alım, bordro, performans değerlendirmesi, sağlık raporu gibi pek çok alanda işlemektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu verilerin de kapsamındadır. Bu yazıda iş hukuku ve çalışan kişisel verileri kesişiminde KVKK’nın genel çerçevesi, işveren yükümlülükleri ve dikkat edilmesi gereken hususlar özetlenmektedir. Bu metin hukuki danışmanlık yerine geçmez.
Çalışan Verileri Neden Özeldir?
İşveren-çalışan ilişkisi, taraflar arasında eşit olmayan bir güç dengesi içerir. İşveren, iş sözleşmesinin ifası ve iş organizasyonu için çalışan verilerini toplamak zorundadır. Bu nedenle "rıza"nın serbest iradeyle verilip verilmediği tartışmalı olabilir. Kurul, iş ilişkisinde açık rızaya dayanmanın dikkatli değerlendirilmesi gerektiğine işaret etmektedir. Hukuki sebep olarak sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat daha uygun dayanaklar olabilir. Açık rıza şartları rehberimizde ayrıntı bulabilirsiniz.
İşe Alım Sürecinde Veri İşleme
İşe alımda toplanan özgeçmiş, kimlik bilgisi, eğitim geçmişi, referanslar ve sağlık raporu gibi veriler kişisel veri kapsamındadır. Bu verilerin işlenme amacı açıkça belirtilmeli, aydınlatma yapılmalı ve gereğinde açık rıza alınmalıdır. Başvuru yapan ancak işe alınmayan adayların verilerinin ne kadar süreyle saklanacağı da politika ile belirlenmelidir. Aday verileri genellikle başvuru sürecinin tamamlanmasından sonra makul bir süre içinde silinebilir; yasal zorunluluklar (örneğin ayrımcılık iddialarına karşı delil) dikkate alınmalıdır.
İş İlişkisi Devam Ederken İşlenen Veriler
Çalışan sözleşmesi, bordro, SGK bildirileri, izin kayıtları, performans değerlendirmeleri ve disiplin kayıtları iş hukuku gereği tutulmaktadır. KVKK açısından bu verilerin işlenme amacı, hukuki sebep ve saklama süreleri netleştirilmelidir. İş Kanunu ve SGK mevzuatı belirli süreler öngörür; bu süreler saklama süreleri politikası ile uyumlu olmalıdır.
Sağlık Verileri
Çalışan sağlık raporları, hastalık izin belgeleri veya engellilik durumu özel nitelikli kişisel veri kapsamındadır. Bu verilerin işlenmesi KVKK madde 6’ya tabidir; Kanunda öngörülen istisnalar dışında açık rıza gerekebilir. İş sağlığı ve güvenliği mevzuatı gereği alınan sağlık raporları belirli koşullarda istisna kapsamında değerlendirilebilir. Somut durum için hukuk danışmanına başvurulması önerilir.
İşverenin Yükümlülükleri
İşveren, çalışanlarına aydınlatma yapmak, çalışan kişisel veri politikası veya personel aydınlatma metni hazırlamak ve ilgili kişi taleplerine (silme, düzeltme, itiraz) yanıt vermekle yükümlüdür. Çalışan verilerinin güvenliğini sağlamak, yetkisiz erişime karşı teknik ve idari tedbirler almak da veri sorumlusu sıfatıyla işverenin sorumluluğundadır.
Çalışan aydınlatma metni, iş sözleşmesi imzalanmadan önce veya en geç işe başlama tarihinde çalışana sunulmalıdır. Metinde işlenen veri türleri, amaçlar, aktarım ve saklama süreleri yer almalıdır.
İşten Ayrılış Sonrası
İş ilişkisi sona erdikten sonra çalışan verilerinin saklanması, yasal zorunluluklar (İş Kanunu, vergi mevzuatı) ile sınırlı olmalıdır. Bu süreler dolduktan sonra verilerin silinmesi veya anonim hale getirilmesi önerilir. Veri silme politikası bu süreçleri tanımlamalıdır.
Sonuç
İşverenler, çalışan kişisel verilerini KVKK ve iş mevzuatına uyumlu şekilde işlemekle yükümlüdür. Çalışan aydınlatma metni, veri işleme politikası ve saklama sürelerinin netleştirilmesi uyum sürecinin temel adımlarıdır. Somut durumunuz için hukuk danışmanına başvurmanız önerilir.