Çalışan kişisel verilerinin işlenmesi: İK için rehber

İnsan Kaynakları, çoğu şirkette en yoğun kişisel veri işleyen birimdir — ve çoğu şirkette uyum çalışmasının en zayıf halkasıdır. Bunun sebebi ihmalden çok alışkanlıktır: İK süreçleri KVKK'dan yıllar önce kurulmuştur ve "her zaman böyle yapıyorduk" refleksi, artık dayanağı olmayan uygulamaları ayakta tutar.

Açık rıza neden çözüm değil?

İK'da en sık başvurulan yol, işe girişte imzalatılan geniş kapsamlı bir rıza metnidir. Bu yaklaşım iki yönden sakattır.

Birincisi, açık rızanın özgür iradeyle açıklanmış olması gerekir. Çalışan ile işveren arasındaki bağımlılık ilişkisi nedeniyle, işe giriş evrakının arasında imzalanan rızanın özgür olduğu tartışmalıdır — Kurul da bu yaklaşımı benimsemektedir.

İkincisi, İK süreçlerinin büyük bölümü zaten rıza dışı bir hukuki sebebe dayanır. Rızaya dayanmayan bir işleme için rıza istemek, hem gereksizdir hem de rıza geri çekildiğinde şirketi dayanaksız gösterir. Bu konuyu açık rıza yazımızda ayrıntılı ele aldık.

Doğru hukuki sebepler

İK süreçlerinde tipik olarak şu sebeplere dayanılır:

• Sözleşmenin kurulması veya ifası için gerekli olması: İş sözleşmesinin yapılması, ücret ödemesi, izin yönetimi.
• Hukuki yükümlülüğün yerine getirilmesi: SGK bildirimleri, vergi kesintileri, İş Kanunu'nun aradığı kayıtlar, iş sağlığı ve güvenliği yükümlülükleri.
• Kanunlarda açıkça öngörülmesi: Özel mevzuatın belirli bir belgeyi zorunlu kıldığı hâller.
• Bir hakkın tesisi, kullanılması veya korunması: Olası bir uyuşmazlıkta delil teşkil edecek kayıtların saklanması.
• Meşru menfaat: Yalnızca çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla ve dikkatle kullanılmalıdır.

Sağlık raporu, engel durumu veya adli sicil gibi veriler ise özel nitelikli kişisel veridir ve kendi rejimine tabidir.

Aday verileri: en çok unutulan alan

İşe alım süreci biten adayların CV'leri, çoğu şirkette süresiz olarak İK klasörlerinde durur. Oysa aday verisi de kişisel veridir ve saklama süresi tanımlanmalıdır.

Uygulamada doğru kurgu şudur: işe alınmayan adayın verisi, süreç kapandıktan sonra belirlenen makul bir süre içinde imha edilir. Adayın verisinin ileride değerlendirilmek üzere havuzda tutulması isteniyorsa — bu, sözleşmenin ifası kapsamında olmadığı için — ayrıca ve açıkça bir dayanağa oturtulmalı, adaya bildirilmelidir.

Çalışan izlemenin sınırları

Kurumsal e-posta, internet kullanımı, araç takip sistemi ve kamera; hepsi veri işleme faaliyetidir. Bu alanda üç ölçüt öne çıkar:

1. Önceden bilgilendirme. Çalışan, hangi aracın hangi amaçla izlendiğini önceden bilmelidir. Habersiz izleme, elde edilen kaydın hukuka aykırı sayılmasına yol açar.
2. Ölçülülük. Amaç, daha az müdahaleci bir yolla sağlanabiliyorsa o yol tercih edilmelidir. Tüm e-posta trafiğinin sürekli içerik denetimi, çoğu amaç için orantısızdır.
3. Amaçla sınırlılık. Güvenlik amacıyla kurulan bir sistemin verimlilik ölçümünde kullanılması, amaç dışı işlemedir.

İşyeri kamerası bakımından ayrıntılı ölçütleri ayrı bir yazıda ele aldık. Ekibiniz ofis dışından çalışıyorsa uzaktan çalışma ve veri güvenliği yazımız da bu başlığı tamamlar.

Sık yapılan hatalar

1. Tek bir "İK aydınlatma metni" ile yetinmek. Aday, çalışan ve eski çalışan farklı gruplardır; süreçler de farklıdır.
2. Her belgeyi özlük dosyasına koymak. Dosyanın kapsamı mevzuatla çizilmiştir; özlük dosyası yazımıza bakınız.
3. Çalışan verisini WhatsApp gruplarında dolaştırmak. Vardiya listeleri, sağlık raporları ve kimlik fotokopileri en çok bu kanalda dolaşır.
4. İşten çıkış sonrası veriyi süresiz saklamak. Saklama süreleri belge türü bazında belirlenmeli, süresi dolanlar imha edilmelidir.
5. Referans aramalarını kayıtsız yapmak. Adayın önceki işvereniyle iletişim, ayrı bir veri işleme faaliyetidir ve adayın bilgisi dahilinde olmalıdır.
6. İK yazılımını tedarikçi sözleşmesiz kullanmak. Bulut tabanlı bordro veya İK yazılımları veri işleyen konumundadır (sıfat ayrımı).

Bütüncül gözden geçirme

İK'da yapılan bir değişiklik — yeni bir form alanı, yeni bir İK yazılımı, yeni bir izleme uygulaması — tek başına kalmaz. Aynı değişiklik nedeniyle: kişisel veri envanterine yeni süreç ve veri kategorisi işlenmeli, çalışan ve aday aydınlatma metinleri güncellenmeli, veri özel nitelikliyse ek tedbirler kurulmalı, saklama ve imha politikasındaki süre tablosuna yeni satır eklenmeli, yazılım bir tedarikçiye aitse veri işleyen sözleşmesi yapılmalı ve VERBİS kaydı bu değişikliklerle tutarlı hâle getirilmelidir.

İK, çalışanın temel haklarıyla doğrudan temas ettiği için hata maliyeti yüksektir. Bu nedenle süreçlerinizin hukuki destek alınarak kurgulanmasını öneririz; Genç Partners iş hukuku ile kişisel veri mevzuatının kesiştiği bu alanda saha deneyimine sahiptir. KVKK farkındalık eğitimi ise İK ekibinin ve tüm çalışanların bu kuralları günlük işine taşımasını sağlar.

Özet

• İK süreçlerinin çoğu rıza dışı hukuki sebeplere dayanır; rıza son çaredir.
• Aday verilerinin saklama süresi tanımlanmalı, havuzda tutma ayrıca dayanaklandırılmalıdır.
• Çalışan izlemede üç ölçüt: önceden bilgilendirme, ölçülülük, amaçla sınırlılık.
• Sağlık ve adli sicil gibi veriler özel nitelikli rejime tabidir.
• Saklama süreleri belge türü bazında belirlenir; süresiz saklama uyumsuzluktur.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. İK süreçlerinizin mevzuata uyarlanması için hukuki destek alınız.