İşveren çalışan verilerini kural olarak açık rızayla işler; ancak iş sözleşmesinin ifası, kanuni yükümlülük veya meşru menfaat gibi hâllerde açık rıza aranmaz (KVKK m.5). Çalışanın veri sorumlusuna yaptığı başvuru en geç 30 gün içinde cevaplanmalı, cevap verilmezse 60 gün içinde Kurula şikâyet edilebilir (KVKK m.13, 14).
Kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve güncel, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmeli ve yalnız gerekli süre kadar saklanmalıdır (KVKK m.4).
İş Kanunu da işverene her işçi için bir özlük dosyası tutma yükümlülüğü getirir; işveren işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür (İş Kanunu m.75).
Ölçülülük ilkesi özellikle işe alım sürecinde önemlidir. Pozisyonla ilgisi olmayan aile bilgileri, sosyal medya hesap şifreleri veya ayrıntılı sağlık geçmişi gibi verilerin talep edilmesi, amaçla sınırlılık ilkesine aykırı düşebilir.
Kişisel veriler kural olarak açık rıza olmaksızın işlenemez; ancak kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi veya korunması ya da meşru menfaat hâllerinde açık rıza aranmaz (KVKK m.5).
Bordro, sigorta bildirimi, özlük dosyası ve ücret ödemesi gibi işlemler iş sözleşmesinin ifası ve kanuni yükümlülükler kapsamındadır. Bu işlemler için ayrıca açık rıza alınması gerekmez; gereksiz yere rızaya dayanmak, rızanın geri alınması hâlinde işlemenin sürdürülmesini tartışmalı hâle getirir.
İşveren-işçi ilişkisindeki güç dengesizliği nedeniyle, çalışandan alınan açık rızanın özgür iradeye dayanıp dayanmadığı ayrıca sorgulanabilir. Bu nedenle açık rıza, başka bir hukuki sebebin bulunmadığı ve çalışanın gerçekten reddetme imkânına sahip olduğu durumlar için tercih edilmelidir.
Sağlık, sendika üyeliği, ceza mahkûmiyeti ve biyometrik veriler özel nitelikli kişisel veridir ve işlenmeleri kural olarak yasaktır (KVKK m.6).
Bu verilerin işlenmesi, açık rıza bulunması veya istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması gibi Kanunda sayılan hâllerde mümkündür (KVKK m.6). İşe giriş ve periyodik muayene raporları ile iş kazası kayıtları bu kapsamda değerlendirilir.
Özel nitelikli verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır (KVKK m.6). Sağlık raporlarının yalnız işyeri hekimi ve yetkili kişilerce erişilebilir ayrı bir dosyada tutulması bu önlemlerin başında gelir; parmak izi gibi biyometrik verilerle mesai takibi ise ölçülülük bakımından dikkatle değerlendirilmelidir.
Veri sorumlusu, veriler elde edilirken çalışanı kimliği, verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile çalışanın hakları konusunda bilgilendirmekle yükümlüdür (KVKK m.10).
İşveren, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır; bordro veya muhasebe hizmeti gibi işleri dışarıya yaptırdığında da bu tedbirlerden hizmet sağlayıcıyla birlikte müştereken sorumludur (KVKK m.12).
Veriler kanuni olmayan yollarla başkalarınca elde edilirse işveren durumu en kısa sürede ilgili çalışana ve Kurula bildirir (KVKK m.12). İşlenmesini gerektiren sebepler ortadan kalktığında ise veriler resen veya talep üzerine silinir, yok edilir ya da anonim hâle getirilir (KVKK m.7).
Her çalışan, işverene başvurarak verilerinin işlenip işlenmediğini öğrenme, bilgi isteme, kimlere aktarıldığını bilme, eksik veya yanlış verilerin düzeltilmesini ve koşulları varsa silinmesini isteme ile hukuka aykırı işleme nedeniyle zararının giderilmesini talep etme haklarına sahiptir (KVKK m.11).
Başvuru yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle yapılır ve işveren talebi en kısa sürede, en geç 30 gün içinde kural olarak ücretsiz sonuçlandırır (KVKK m.13).
Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse çalışan, cevabı öğrendiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunabilir; önce işverene başvurulması şarttır (KVKK m.14). Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.
Hangi çalışan verisini hangi amaçla ve hangi hukuki sebebe dayanarak işlediğinizi bir envanterde gösterin. Her veri kategorisi için saklama süresini belirleyin ve süresi dolan verileri düzenli olarak imha edin.
İşe alım ilanından başlayarak aday ve çalışanlara verilecek aydınlatma metnini hazırlayın ve açık rıza metnini bundan ayrı tutun. Kamera, e-posta ve konum takibi gibi uygulamalar için amacı ve kapsamı önceden açıkça bildirin.
Sık yapılan hata, tüm işlemleri tek bir “açık rıza formu” ile çözmeye çalışmaktır. Sözleşme ve kanuni yükümlülüğe dayanan işlemler için rıza gerekmez; rızaya dayanılan işlemlerde ise çalışanın rızasını geri alması hâlinde işlemin durdurulması gerekir.
Sözleşmenin ifası, kanuni yükümlülük veya meşru menfaat varsa zorunlu değildir (KVKK m.5).
Hayır, bu işlemler iş sözleşmesinin ifası ve kanuni yükümlülük kapsamındadır (KVKK m.5).
İş sağlığı ve güvenliği ile istihdam yükümlülükleri için zorunluysa ve yeterli önlem alınarak saklanabilir (KVKK m.6).
Veriler elde edilirken amaç, aktarım ve haklar konusunda aydınlatma yükümlülüğü vardır (KVKK m.10).
İşleme sebepleri ortadan kalkmışsa silinmesini isteyebilirsiniz; kanuni saklama süreleri saklıdır (KVKK m.7, 11).
En geç 30 gün içinde cevap vermelidir (KVKK m.13).
Cevabı öğrenmeden itibaren 30, her hâlde başvurudan itibaren 60 gündür (KVKK m.14).
Hayır, önce işverene başvuru yolu tüketilmelidir (KVKK m.14).
Durumu en kısa sürede size ve Kurula bildirmelidir (KVKK m.12).
Usul işlemleri, süreler ve kanun yollarında destek için bize ulaşın.
Veri sorumlusunun cevabı yetersizse veya hiç gelmezse; cevabın.
Devamını oku ›Makaleİşverenin işçi kişisel verilerini hangi sınırlar içinde.
Devamını oku ›Makaleİhale sürecindeki hukuka aykırılıklarda önce idareye şikâyet, sonra.
Devamını oku ›