İş Hukuku Kapsamında KVKK
6698 sayılı[1] Kişisel Verilerin Korunması Kanunu (KVKK) 24 Mart 2016 tarihinde kabul edilmiş, 7 Nisan 2016 tarihinde Resmi Gazete’de yayınlanarak yürürlüğe girmiştir.
Gerçek veya tüzel kişileri, kişisel verilerin korunması noktasında yükümlülüklere tabi tutan KVKK’nın yürürlüğe girmesi ile birlikte iş hukuku alanında bir uyum süreci yaşanmaya başlamıştır. 4857 sayılı İş Kanunu’na[2] tabi olan işçi-işveren ilişkisi aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu’na da tabi olup, iş ilişkisi bu iki kanunda yer alan hükümlere göre düzenlenmek zorundadır.
İŞ KANUNU’NUN AMACI NEDİR?
4857 sayılı İş Kanunu’nun 1.maddesi uyarınca, “Bu Kanunun amacı işverenler ile bir iş sözleşmesine dayanarak çalıştırılan işçilerin çalışma şartları ve çalışma ortamına ilişkin hak ve sorumluluklarını düzenlemektir.(…)”
KİŞİSEL VERİLERİN KORUNMASI KANUNU’NUN AMACI NEDİR?
6698 sayılı KVKK’nın amacı ise 1.maddede yer verildiği üzere, “Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.”
İŞ HUKUKU İLE KİŞİSEL VERİLERİN KORUNMASI HUKUKU ARASINDAKİ İLİŞKİ
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri ise özel nitelikli kişisel veri olarak KVKK’da tanımlanmaktadır. Yine KVKK’nın 3.maddesi uyarınca;
- Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem, kişisel verilen işlenmesi,
- Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi, veri işleyen,
- Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistem, veri kayıt sistemi,
- Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi, veri sorumlusu olarak tanımlanmaktadır.
İşçi ile işveren arasında, ‘iş görme, ücret ve bağımlılık’ unsurlarını içeren şekilde oluşan iş sözleşmesi ile işçinin kişisel verilerinin işveren tarafından edinilmesi, saklanması, aktarılması da mümkün olduğundan, işverenler de gerçek veya tüzel kişi olup olmadıklarına bakılmaksızın işçilerin kişisel verilerini korumakla ve KVKK’ya uymakla yükümlüdür.
4857 sayılı Kanun’un 75 maddesi 1.fıkrasında yer alan, “işveren çalıştırdığı her işçi için bir özlük dosyası düzenler. İşveren bu dosyada, işçinin kimlik bilgilerinin yanında, bu Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunları istendiği zaman yetkili memur ve mercilere göstermek zorundadır.(…)” şeklindeki hüküm ile işverene işçi özlük dosyası tutma, kişisel verilerin işlenmesinde işlem kriterlerine uyma, sır saklama ve talep halinde bilgileri yetkili mercilere açıklama yükümlülüğü verilmiştir.[3]
Özlük dosyasında, “iş başvuru formu, iş sözleşmesi, disiplin yönetmeliği, sigorta işe giriş ve işten ayrılış bildirgeleri, ihtarnameler, fesih yazısı örneği, ibraname, nüfus cüzdanı örneği, ikametgah belgesi, fotoğraf, diploma örneği, okul belgeleri, meslek içi eğitim ve sertifika örnekleri, iş sağlığı ve güvenliğine dair belgeler, adli sicil kaydı, ücret bordroları, makbuz, banka bilgileri, yıllık izin defteri, devamsızlık tutanakları ile iş ilişkisi süresince hakkında tutulan sair tutanaklar, disiplin cezaları, savunma yazıları, iş ilişkisi sırasında işçi tarafından sunulan talepler ile dilekçe örnekleri” gibi belgeler bulunmaktadır. Bu belgeler, işçinin ve işin niteliğine göre değişiklik gösterebilmektedir.
KİŞİSEL VERİLERİ İŞLEMEDE UYULMASI GEREKEN GENEL İLKELER
İşverenler, özlük dosyalarını düzenlemek ve muhafaza etmekle yükümlü olsalar da, işçiden talep edeceği bilgiler ve belgeler sınırsız değildir. Veri sorumlusuna sahip işveren, kişisel veri niteliğine dair her bilgi ve/veya belgeyi ancak ve ancak KVKK’nun 4.maddesinde yer alan,
- Hukuka ve dürüstlük kurallarına uygun olma.
- Doğru ve gerektiğinde güncel olma.
- Belirli, açık ve meşru amaçlar için işlenme.
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza
edilme ilkelerine uygun olarak işlemelidir.
İşverenin bu konudaki bir başka yükümlülüğü de KVKK dışında 4857 sayılı Kanun’un 75.maddesinin 2.fıkrasından kaynaklanmaktadır. Buna göre, “işveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür.”
KİŞİSEL VERİLERİ İŞLEME ŞARTLARI, AÇIK RIZA KAVRAMI
Kişisel veri hukukunda genel kural, kişinin açık rızası olmadan ilgili kişinin kişisel verinin işlenmesinin yasak olmasıdır. Bu kural KVKK’nun 5.maddesinde açıkça yer almakla birlikte;
- Kanunlarda açıkça öngörülmesi.
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun
meşru menfaatleri için veri işlenmesinin zorunlu olması, hallerinde ilgilinin açık rızası olmaksızın veri işlenmesi mümkün olmaktadır.
Bu doğrultuda iş hukukunda özlük dosyasının oluşturulması işverenin kanunda öngörülen yasal yükümlülüklerinden olduğundan, kişisel verilerin işlenmesi için ayrıca bir açık rıza alınmasına gerek olmadığını söylemek yanlış olmayacaktır. Ancak, özel nitelikteki kişisel verinin işlenmesi için açık rıza gerekli olup, yukarıda sayılan özel nitelikli verilerinden birinin dahi edinilmesi halinde işveren işçiden açık rıza almak zorundadır. Örnek vermek gerekirse, sağlık raporu özel nitelikli kişisel veri kategorisine girdiğinden dolayı işveren bu veriyi elde etmeden önce işçiden açık rıza alacaktır. Zira, KVKK’nun 6.maddesinde yer aldığı üzere, “sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.” Bu şartlar mevcut değilse işveren, açık rıza almaksızın sağlık raporu verisini işleyemeyecektir.
Açık rıza ise KVKK’da yer aldığı üzere; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. İşçi, tam olarak hangi verinin nasıl işleneceğini, hangi amaçla alındığını, nasıl saklanacağını, kimlere aktarılacağını bilmeli, özgür irade ile herhangi bir baskı altında kalmadan ve bir şarta tabi tutulmadan rıza vermeli veyahut vermemelidir.
Bunun yanı sıra işçinin adı, soyadı, adres ve iletişim bilgileri gibi veriler veri iş sözleşmesinin yapılması, veri sorumlusunun kanuni yükümlülüğünü yerine getirmesi, kanundan kaynaklaması, işin ifası gibi nedenlerden dolayı işlenmesi zorunlu olduğundan, bu veriler için işçiden ayrıca açık rıza alma zorunluluğu bulunmamaktadır.
AYDINLATMA YÜKÜMLÜLÜĞÜ
Veri özel nitelikli olsun veya olmasın işveren, işçiden veriyi elde ettiği esnada işçiyi mutlaka açık ve anlaşılır bir şekilde bilgilendirmelidir. Veri sorumlusunun asli yükümlülüklerinden biri aydınlatma yükümlülüğü olarak tabir edilen bu yükümlülük KVKK’nun 10.maddesinde düzenlenmiştir. Buna göre işveren, veri sorumlusu olarak;
- Kimliğine, varsa temsilcisinin kimliğine,
- Kişisel verileri hangi amaçla işleyeceğine,
- İşlediği kişisel verileri kimlere ve hangi amaçla aktarılabileceğine,
- Kişisel verileri toplamanın yöntemine ve hukuki sebebine,
- KVKK’nun 11.maddesinde sayılan diğer haklarına, dair aydınlatma yapmalıdır.
İspat bakımından yazılı olarak yapılması tavsiye edilen bu yükümlülüğe dair ayrıntılar, 10 Mart 2018 tarihli Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de[4] ayrıntılı olarak izah edilmiştir.
İşçinin ve/veya işin niteliği gerektirdiği taktirde özel nitelikli kişisel veriler de işlenecek ise Kurul’un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararının[5] da dikkate alınması gerekmektedir. Zira, KVKK özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenecek önlemlere uyma yükümlülüğü de getirmiştir.
KİŞİSEL VERİLERİN SAKLANMASI ve İMHASI
Esas olarak, işveren işçinin özel hayatına müdahale etmemeli, işçinin işyerinde danışma bürosuna verdiği bilgileri almamalı ve özel yaşamına ilişkin edindiği bilgileri üçüncü kişilerle paylaşmamalıdır.[6] Ancak, işverenler özlük dosyalarını fiziken/elektronik ortamda muhafaza etmekle yükümlü oldukları gibi işin niteliği gereği üçüncü kişilere de aktarabilmekte, onlarla bu verileri paylaşabilmektedir.
Veri sorumlusu sıfatına sahip işveren, KVKK’nun 12.maddesi uyarınca kişisel verileri muhafaza altına almakla yükümlü olduğu gibi, muhafazası altındaki bu kişisel verilerin hukuka aykırı işlenmesini ve bu kişisel verilere hukuka aykırı olarak erişimi de önlemekle yükümlüdür.
Kişisel verinin saklandığı ortamın fiziki veya elektronik ortam olup olmaması, verilerin korunması için alınması gereken tedbirler bakımından farklılık göstermektedir. Örneğin fiziki ortamlarda kişisel verinin muhafazası için, yangın, sel gibi afetlere karşı önlem alınmalı, fiziki ortamlar herkesin erişebileceği yerler olmamalı, kilitli olmalı, açık alanda bulunmamalıdır. Bu önlemlerin çoğaltılması mümkün olup, kişisel verilerin güvenliği için gerekli olan tüm idari ve teknik tedbirler, Kurul tarafından yayınlanan Kişisel Veri Güvenliği Rehberi’nde[7] ayrıntılı olarak yer almaktadır.
Mümkün olduğunca az verinin elde edilmesi ve mümkün olduğunca az kişinin veri ile teması işverenlerin alacağı riski de azaltacaktır. Buna riayet edilmesi halinde gerekli idari ve teknik tedbirler ile az sayıda elde ettiği verinin güvenliğini de daha kolaylıkla sağlayan işveren, yasal olarak belirlenen son sürelerin son bulması sonrasında bu verileri usulüne göre silmeli, yok etmeli veyahut anonim hale getirilmelidir. İşveren, bunları hukuka uygun yerine getirmek adına Kişisel Veri Saklama ve İmha Politikası hazırlamalı, hem saklama hem de imha süreçlerini buna göre yürütmelidir. Kurul sayfasında, Politika[8] örneği yayınlamış olup, saklama ve imha sürelerinin bir kısmına bu örnekte yer vermiştir. Burada önemli olan, işveren uhdesindeki kişisel verileri, verinin tabi olduğu mevzuata göre belirmelidir. Örneğin İş Sağlığı ve Güvenliği mevzuatında 15 yıl saklama zorunluğu var iken, vergi mevzuatında bu süre 5 yıldır. Bir bütünden oluşan özlük dosyasında saklama süresi ise en fazla saklama süresine sahip kişisel veriye göre belirmeli, özlük dosyası bir bütün olarak bu saklama süresi sona erdikten sonra imha edilmelidir.
İmha süreçleri periyodik olarak yapılmalı ve ilgili kişi olan işçinin talebine bağlı olmaksızın gerçekleştirilmelidir.
Ayrıca belirtmek gerekir ki, özel nitelikli kişisel verilerin mevcut olması halinde, bu verilerin güvenliğine, saklanmasına ve imha süreçlerine dair ayrıca bir Politika hazırlanmalı ve özel nitelikteki verilere bu Politika uygulanmalıdır.
KİŞİSEL VERİLERİN AKTARILMASI
Kişisel verilerin aktarılması KVKK’nun 8.maddesinde yurt içinde aktarım olarak düzenlenmiş, yurt dışı aktarım ise 9.maddede düzenlenmiştir. Buna göre, kişisel veri işleme şartları varsa, veri sorumlusu yeterli önlemler almışsa, özel nitelikli veri ise açık rıza alınmasını gerektirmeyen istisnai şartlar ise veri sorumlusu olan işveren, işçiden ayrıca açık rıza almaksızın kişisel verileri yurt içinde aktarım hakkına sahipken, yurt dışına aktarım daha sıkı şartlara tabi tutulmuştur. Özellikle yurt dışı bağlantısı olan şirketler için verilerin yurt dışına aktarımı söz konusu olduğundan, 9.madde veri sorumluları için zorlayıcı niteliğe sahiptir.
Kişisel verilerin yurt dışına aktarılması için, aktarım yapılacak ülkede yeterli korunmanın bulunması, koruma bulunmadığı taktirde her iki ülkedeki veri sorumlularının Kurul’a taahhütte bulunarak, Kurul’dan izin almaları şarttır. Yeterli korumanın bulunduğu ülkeleri açıklama yetkisine sahip Kurul 2 Mayıs 2019 tarihli ve 2019/125 sayılı kararı[9] ile, yeterli korumanın bulunduğu ülkelerin tayininde kullanılmak üzere oluşturulan formu yayınlayarak, forma göre yeterli korumanın bulunduğu ülkelerin belirlemesinde, karşılıklılık durumu, ilgili ülkenin kişisel verilerin işlenmesine ilişkin mevzuatı ve uygulaması, bağımsız veri koruma otoritesinin bulunup bulunmadığı, kişisel verilerin korunması ile ilgili uluslararası antlaşmalara taraf olma ile uluslararası kuruluşlara üye olma durumu, Ülkemizin üye olduğu küresel ve bölgesel örgütlere üye olma durumu ve ilgili ülke ile yürütülen ticaret hacmi gibi kriterlerin dikkate alınacağını belirtmiştir.
Yurt dışına aktarım konusunda oldukça titiz davranan Kurul ilk izni[10] 9 Şubat 2021 tarihinde, en son[11] 22 Haziran 2021 tarihinde izin vermiş olup, toplamda 3 izin vermiştir.
İŞÇİNİN HAKLARI
KVKK’nun 11.maddesi uyarınca işçi, veri sorumlusu olan işverene başvurarak;
a) Kişisel verilerinin işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d)Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) 7.maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir
İşçi, bu taleplerini yazılı olarak öncelikle veri sorumlusuna iletmelidir. İşveren, bilgi talep şeklini zorlaştırıcı bir şekilde seçmekten kaçınmalıdır, bilgi talebini şarta veya bazı yükümlülüklere tabi tutmalıdır.
Veri sorumlusu işveren, kendisine bu talebin ulaştığı andan itibaren ücretsiz olarak talebi en geç otuz gün içerisinde cevaplandırılmalıdır. Veri sorumlusuna başvuru, Kurul’a başvurunun bir ön şartı olarak kabul edildiğinden ayrı bir öneme sahiptir.
Veri sorumlusu belirlenen süre içerisinde talebi cevapsız bırakır veyahut olumsuz/yetersiz bir cevap verirse, işçi Kurul’a başvurma hakkına sahip olur. KVKK’nun 14.maddesi uyarınca işçi, süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunma sahiptir. Kişisel verilerin korunmasına aykırı davranılarak kişilik hakkı ihlali söz konusu olmuşsa, talep edenin tazminat hakkı da ayrıca bulunmaktadır.
VERİ SORUMLULARI SİCİLİ
KVKK’nun 16.maddesi 2.fıkrası uyarınca, “kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.”İşverenler de bu yasal zorunluluk kapsamında VERBİS kayıtlarını yaptırmalıdır.
Kategorik bazda bu sisteme, “kimlik verisi, iletişim verisi, finansal veriler, özel nitelikli veriler, eğitim verisi, görsel ve işitsel kayıtlar, performans ve kariyer bilgileri, aile bilgileri, çalışma bilgileri, izin bilgileri ve diğer başlıklı olmak üzere işçinin/işin niteliğine göre gerekli verilerin girişi yapılmaktadır.
Veri sorumluları bu kaydı yaparken, tüm bilgilerin eksiksiz, tam, doğru ve güncel olduğundan emin olmalıdır. Sistemde yer alan her bir bilginin değişmesi halinde, bu değişiklik VERBİS üzerinden gecikmeksizin yapılmalı ve bu şekilde kayıt her zaman güncel tutulmalıdır.
Kişisel Verileri Koruma Kurulu’nun 11 Mart 2021 tarihli ve 2021/238 sayılı kararı[12] ile;
- Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurtdışında yerleşik gerçek ve tüzel kişi veri sorumlularının Sicile kayıt yükümlülüğünü yerine getirmeleri için belirlenen sürenin 31.12.2021 tarihine,
- Yıllık çalışan sayısı 50’den az ve yıllık mali bilançosu 25 milyon TL’ den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumlularının Sicile kayıt yükümlülüğünü yerine getirmeleri için belirlenen sürenin 31.12.2021 tarihine,
- Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşu veri sorumlularının Sicile kayıt yükümlülüğünü yerine getirmeleri için belirlenen sürenin 31.12.2021 tarihine kadar uzatılmasına, karar verilmiştir.
Ancak her ne kadar VERBİS kayıt süreleri uzatılmış olsa da, KVKK’nın yürürlüğe girdiği 7 Nisan 2016 tarihinden itibaren her veri sorumlusu VERBİS dışındaki tüm yükümlülüklerini eksiksiz yerine getirmek zorundadır. VERBİS kaydı KVKK ile uyum sürecinin bir parçası olup, sürelerin uzatılması yükümlülüklerin de ertelendiği anlamı taşımamaktadır.
Yazar: Av. Berfin ARSLAN
Ayrıca Sosyal Medya ve Kişisel Verilerin Korunması isimli yazıyı da okuyabilirsiniz.
7. Sayımızın tüm yazılarını bağlantıdan okuyabilirsiniz.
KAYNAKÇA
1.https://www.mevzuat.gov.tr/MevzuatMetin/1.5.6698.pdf
2.https://www.mevzuat.gov.tr/MevzuatMetin/1.5.4857.pdf
3.Nilgün Başalp, Kişisel Verilerin Korunması ve Saklanması, Ankara 2004, s.105,
4.https://www.resmigazete.gov.tr/eskiler/2018/03/20180310-5.htm
5.https://www.kvkk.gov.tr/Icerik/4110/2018-10
6.Kaplan, Borçlar, s.45
7.https://www.kvkk.gov.tr/yayinlar/veri_guvenligi_rehberi.pdf
8.https://www.kvkk.gov.tr/Icerik/5386/KVKK-KISISEL-VERI-SAKLAMA-ve-IMHA-POLITIKASI
10.https://www.kvkk.gov.tr/Icerik/6867/TAAHHUTNAME-BASVURUSU-HAKKINDA-DUYURU
11.https://www.kvkk.gov.tr/Icerik/6985/TAAHHUTNAME-BASVURUSU-HAKKINDA-DUYURU
12.https://www.resmigazete.gov.tr/eskiler/2021/03/20210316-8.pdf