İş Yerlerinde KVKK Uygulamaları Nasıl Olmalı?

İş Yerlerinde KVKK Uygulamaları: İşverenler İçin Yasal Uyum Rehberi

İş yerleri; üretim ve hizmet faaliyetlerinin yanı sıra, aday personelden emekli çalışanlara kadar uzanan geniş bir yelpazede yoğun kişisel veri işleme merkezleridir. özgeçmişler, sağlık raporları, banka hesap bilgileri ve güvenlik kamerası kayıtları, her gün işverenin kontrolü altında işlenen verilerdir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), işveren ile çalışan arasındaki bu asimetrik ilişkide veri işleme faaliyetlerini sıkı kurallara bağlamıştır. İşverenlerin "yönetim hakkı" ile çalışanın "özel hayatın gizliliği" arasındaki dengeyi kurması, sadece etik bir sorumluluk değil; idari para cezaları ve cezai yaptırımlardan korunmak için yasal bir zorunluluktur.

1. İşe Alım Süreci ve Aday Personel Verilerinin Yönetimi

İşverenin veri sorumlusu sıfatıyla yükümlülükleri, iş sözleşmesi imzalanmadan önce, aday personel aşamasında başlar.

Aydınlatma Yükümlülüğü: CV toplama aşamasında (fiziksel veya dijital fark etmeksizin) adaya bir "Aday Personel Aydınlatma Metni" sunulmalıdır.
Veri Minimizasyonu: Pozisyonla ilgisi olmayan (örn: Dini inanç, medeni hal, babasının mesleği vb.) veriler talep edilmemelidir.
Referans Kontrolü: Adayın referans olarak gösterdiği üçüncü kişilerin verilerinin işlenmesi, bu kişilerin de dolaylı olarak sisteme dahil edilmesi anlamına gelir. Bu süreçte adayın referans kişilerini önceden bilgilendirdiği varsayılmalı veya adaydan bu yönde beyan alınmalıdır.

2. Personel özlük Dosyası ve Sağlık Verilerinin Gizliliği

4857 sayılı İş Kanunu uyarınca tutulması zorunlu olan "Personel özlük Dosyası", aynı zamanda bir kişisel veri havuzudur.

2.1. özel Nitelikli Kişisel Veriler (Sağlık ve Adli Sicil)

Sağlık raporları, kan grubu ve sabıka kaydı gibi veriler "özel Nitelikli Kişisel Veri" kategorisindedir ve işlenmeleri için çalışanın Açık Rızası önem arz etmektedir.

Sır Saklama Yükümlülüğü: Sağlık verileri (teşhisler, tahliller) kural olarak sadece iş yeri hekimi tarafından işlenebilir. İnsan Kaynakları departmanı, çalışanın hastalığının detayına değil, sadece "çalışmaya uygunluk" sonucuna erişebilmelidir.

3. İş Yerinde İzleme: Kamera, E-Posta ve GPS Denetimi

İşverenin denetim hakkı, "ölçülülük" ve "şeffaflık" ilkeleriyle sınırlıdır.

Güvenlik Kameraları: çalışanların mola alanları, soyunma odaları veya tuvaletler gibi mahremiyet alanlarında kamera kullanımı kesinlikle yasaktır. çalışma alanındaki kameralar ise sadece güvenlik amacı gütmeli, doğrudan çalışanı taciz (mobbing) boyutunda izlememelidir.
E-Posta Denetimi: Kurumsal e-postaların denetlenebilmesi için çalışanın bu konuda önceden bilgilendirilmiş olması önem arz etmektedir. Bildirim yapılmadan e-postaların okunması, Anayasa Mahkemesi kararlarına göre hak ihlalidir.
GPS Takibi: Şirket araçlarındaki GPS sistemleri mesai saatleri dışında kapatılmalı veya "özel mod" seçeneği sunulmalıdır.

4. Biyometrik Veri Kullanımında Hukuki Sınırlar (PDKS)

Mesai takibi amacıyla parmak izi, yüz tanıma veya retina taraması gibi biyometrik verilerin kullanılması, KVKK Kurulu tarafından "ölçüsüz" bulunmaktadır.

Kurul Görüşü: Mesai takibi kartlı geçiş veya imza gibi daha az müdahaleci yöntemlerle yapılabiliyorsa, biyometrik veri işlenemez. Açık rıza alınmış olması bu ihlali ortadan kaldırmaz.

5. Veri Güvenliği, Yetki Matrisi ve İmha Süreçleri

İşveren, çalışan verilerine erişimi "bilmesi gereken" ilkesiyle sınırlamalıdır.

Erişim Yetkileri: Her departman sadece kendi yetki alanındaki verilere erişebilmelidir (örn: Pazarlama birimi, İK'nın tuttuğu disiplin cezalarını görmemelidir).
Veri Saklama Süreleri: İşten ayrılan çalışanın verileri, İş Kanunu ve SGK mevzuatındaki zamanaşımı süreleri (Genellikle 10 yıl) boyunca saklanmalı, bu süre sonunda periyodik imha politikasına göre imha edilmelidir.

Sıkça Sorulan Sorular

çalışanın maaş bilgisini diğer çalışanlara duyurmak suç mudur? Evet. Maaş bilgisi kişisel veridir. Bu bilginin yetkisiz kişilerle paylaşılması hem KVKK ihlali (idari para cezası) hem de TCK 136 kapsamında suç teşkil edebilir.

İşçi, KVKK uyumu için hazırlanan belgeleri imzalamazsa ne yapılmalıdır? Aydınlatma yükümlülüğünü yerine getirdiğinizi ispatlamanız (örn: İmza karşılığı tebliğ veya kayıtlı e-posta) yeterlidir. Ancak veri işleme "açık rıza" gerektiriyorsa ve işçi rıza vermiyorsa, o veri (yasal zorunluluk yoksa) işlenemez.

Eski çalışanların WhatsApp grubundan çıkarılmaması veri ihlali midir? İşten ayrılan kişinin kurumsal iletişim gruplarında kalması ve güncel çalışan verilerine (veya müşteri bilgilerine) erişmeye devam etmesi ciddi bir veri güvenliği zafiyetidir.

Yasal Uyarı (Disclaimer): Bu içerik, iş yerlerindeki KVKK uygulamaları ve işverenlerin yasal yükümlülükleri hakkında genel bilgilendirme amacıyla hazırlanmıştır. İş Hukuku ve Kişisel Verilerin Korunması Hukuku; dinamik Kurul kararları, teknik güvenlik tedbirleri ve hassas usul kuralları içeren bir alandır. Yanlış bir rıza formu veya eksik aydınlatma süreci, ağır idari para cezalarına ve işe iade davalarında aleyhte delil oluşmasına yol açabilir. Bu nedenle, işletmenizin KVKK uyum süreçlerini bir hukukçu rehberliğinde yürütmeniz ve hukuki destek almanız tavsiye edilir.

Yasal Uyarı: Bu içerik, teknolojik imkanlar desteğiyle hazırlanmış bir bilgilendirme metnidir. Sitede yer alan veriler genel bilgilendirme amaçlı olup, hukuki tavsiye veya mütalaa teşkil etmez. Mevzuat ve yargı kararları zamanla değişkenlik gösterebileceğinden, buradaki bilgilerin doğruluğu ve güncelliği noktasında kesinlik arz etmeyebilir. Olası hak kayıplarının önlenmesi adına, sürecin takibi için bir avukattan hukuki yardım alınması önem arz etmektedir. Sitedeki bilgilere dayanarak gerçekleştirilen işlemlerden doğabilecek sorumluluk kullanıcıya aittir.