Son yıllarda dijitalleşme, kişisel verilerin toplanması ve işlenmesini daha da yaygın hale getirmiştir. Çalışanların kişisel verileri, yalnızca işyeri içinde değil, aynı zamanda işverenlerin işe alım, disiplin ve performans değerlendirme süreçlerinde de önemli bir yer tutmaktadır. Ancak, çalışanlara ait verilerin işlenmesi, özellikle hassas ve özel nitelikli kişisel veriler söz konusu olduğunda, ciddi hukuki riskler barındırmaktadır. Bu kapsamda, Türkiye'de kişisel verilerin korunmasına dair en önemli düzenleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ile yapılmıştır.
KVKK'nın 6. maddesi, özellikle özel nitelikli kişisel verilerin işlenmesine dair özel hükümler getirmiştir. 26.02.2025 tarihinde Kişisel Verileri Koruma Kurumu ("Kurum") tarafından yayımlanan "Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber" ("Rehber") ile bu tür verilerin işlenmesinde işverenlere yönelik önemli açıklamalar yapılmış ve iş hukukunun önemli bir unsuru olan verilerin korunması noktasında yol gösterilmiştir. Bu yazı, iş hukukuna odaklanarak işverenlerin işçilerden talep ettikleri ve niteliği tartışmalı olan verilerin işlenmesine ve işverenlerce saklanmasına dair değerlendirmeleri ele alacaktır.
1.Özel Nitelikli Kişisel Veriler ve İş Hukuku Bağlantısı
İş hukukunda, işverenin işçi ile olan ilişkisi sadece iş sözleşmesinden doğan hak ve yükümlülüklerle sınırlı kalmamaktadır. İşverenin işçiye ait verileri toplama, saklama ve işleme hakkı aynı zamanda KVKK çerçevesinde belirlenen sınırlar içinde olmalıdır. Özel nitelikli kişisel veriler, işçi-işveren ilişkisinin merkezinde yer alırken, işverenlerin bu verileri işleme koşulları, hem iş hukukunu hem de kişisel verilerin korunmasını düzenleyen mevzuatları doğrudan etkiler.
Özel nitelikli kişisel veriler, KVKK'nın 6. maddesinde tanımlanmış ve bu verilerin işlenmesi için daha sıkı şartlar öngörülmüştür. Bu tür veriler, genellikle bireylerin özel yaşamlarını yakından ilgilendiren; ırk, etnik köken, sağlık durumu, cinsel hayat, dini inanç, sendikal üyelik gibi verilerdir.
İşverenler, iş sağlığı ve güvenliği, işe alım süreçleri, işyeri politikaları gibi çeşitli gerekçelerle işçilere ait bazı özel nitelikli verileri talep edebilmektedir. Ancak, iş hukuku açısından bu özel nitelikli kişisel verilerin işlenmesi, KVKK'nın düzenlediği usul ve esaslara bağlıdır. Aksi takdirde işverenler, hukuki sorumluluklarla karşılaşabilecektir.
Bu noktada dikkat edilmesi gereken husus özel nitelikli kişisel verilerin özellikle işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri doğrultusunda işlenmesi gerektiğidir.
2.İşverenlerin İşçilerden Talep Ettikleri Mahiyeti Tartışmalı Verilerin Değerlendirilmesi
İşverenlerin işçilerden talep ettikleri bazı veriler, niteliği gereği hukuki açıdan tartışma konusu olabilmektedir. Özellikle özel nitelikli kişisel veriler, iş hukuku açısından önemli bir risk taşımaktadır. KVKK Rehberi'ne göre, işverenlerin işçilere ait bazı verileri işlemeleri yalnızca belirli şartlar altında mümkündür.
- Sağlık Verileri ve Genetik Veriler: İşverenler, çalışanların sağlık durumu ile ilgili bilgileri toplamak ve işlemek zorunda olduklarında, genellikle iş sağlığı ve güvenliği gerekçesine dayanırlar. Örneğin, işyerindeki bir tehlike nedeniyle çalışanların sağlık durumlarını belirlemek gerekebilecektir. Ancak, çalışanların sağlık bilgileri özel nitelikli kişisel veriler arasında yer almakta olup bu verilerin işlenmesi için çalışanların açık rızası gerekmektedir. Bir diğer yandan, çoğu kimse tarafından sağlık verisi olduğu düşünülen ancak ayrı bir veri formu mevcut olan "Genetik Verileri" Yargıtay kararları kapsamında işverenlerce iş süreçlerinde temin edilebilir verilerdir. Genetik veriler, kan örneği, tükürük örneği gibi genetik bilgi barındıran verilerdir. Bu veriler, Özel Nitelikli Kişisel Veri olmayıp yalnızca güvenli bir biçimde saklanmaları ve muhafaza edilmeleri gerekmektedir.
- Sendikal Üyelik Bilgileri: Çalışanların sendikalara üyelik durumları, özel nitelikli kişisel veriler arasında yer alır ve bu verilerin işverenler tarafından talep edilmesi ve işlenmesi, özellikle iş hukukuna aykırıdır. İşverenin, sendikal üyelik bilgilerini talep etmesi, işçilerin sendikal haklarını ihlal edebilecektir.
- Cinsel Yönelim ve Aile Durumu: İşverenlerin çalışanların cinsel yönelimlerini ve aile durumları özel nitelikli kişisel veri statüsünde olup işverenlerin işbu hususları öğrenmesi, sadece çalışanların açık rızasıyla ve belirli gereklilikler doğrultusunda olmalıdır. Ancak, bu tür veriler genellikle iş hukuku açısından gereksiz ve kişisel mahremiyetin ihlali anlamına gelmektedir.
- Uyruk Bilgisi: Uyruk bilgisi, özel nitelikli kişisel veri niteliğinde yer almamaktadır.
- Sicil Kayıtları: Sicil kayıtları kapsamında içeriksel olarak ayrıma gidilip değerlendirme gerçekleştirilmesi gerekmektedir. Zira, bu konu çok tartışmalı bir konumda yer almakla birlikte işçilerin işe giriş süreçlerinde işverenlerce talep edilen evraklar arasında da yer almaktadır. Kurum, Rehberde sicil kayıtlarının kesinleşmiş mahkumiyet kararı barındırması halinde özel nitelikli kişisel veri statüsünde yer aldıklarını aksi halde ise özel nitelikli kişisel veri statüsünde yer almadığını açıklamaktadır.
- Biyometrik Veriler: Biyometrik veriler, bir kişinin fiziksel veya davranışsal özelliklerini kullanarak kimliğini belirlemeye yönelik veriler olarak tanımlanır. Bu veriler, parmak izi, yüz tanıma, iris taraması, ses tanıma, DNA örnekleri ve yürüyüş gibi özellikleri içerebilir. Biyometrik veriler, kişisel kimlik doğrulama işlemlerinde yaygın olarak kullanılmaktadır. Biyometrik veriler, özel nitelikli veri statüsünde yer almaktadır. Ancak, her biyometrik unsur içeren görsel, video vb. unsurlar özel nitelikli veri olarak kabul edilemeyecektir. Örneğin, fotoğrafların biyometrik veri olup olmadığı konusu, önemli bir tartışma konusudur. Genel Veri Koruma Tüzüğü ("GVKT") Resital 51'de biyometrik verilerle ilgili açıklamalar bulunmaktadır. Bu açıklamaya göre, biyometrik fotoğraflar da dahil olmak üzere fotoğrafların işlenmesi, doğrudan biyometrik verilerin işlenmesi olarak kabul edilmez. Fotoğrafın biyometrik veri sayılabilmesi için; yalnızca belirli bir teknik yöntemle işlendiğinde, gerçek bir kişinin benzersiz şekilde tanımlanmasına veya doğrulanmasına imkân tanıyan özelliklere sahip olması gerekmektedir. Yani, bir verinin biyometrik veri olarak kabul edilebilmesi için, ilgili verinin yalnızca o kişiyi tanımlama ya da doğrulama işlevini yerine getirebilmesi gerekmektedir.
3. İşverenlerin Yükümlülükleri ve KVKK'ya Uyum
İşverenler, işçi verilerini işlerken KVKK'ya uygun hareket etmek zorundadır. Çalışanlardan alınan her türlü kişisel verinin güvenliği, korunması ve hukuka uygun şekilde işlenmesi işverenlerin sorumluluğundadır. İşverenler ayrıca, verilerin işlenme amacı ve süresi hakkında çalışanları bilgilendirmekle yükümlüdür. Çalışanlar, rıza alınması gereken hallerde, kendilerine ait verilerin işlenmesi konusunda rızalarını açıkça belirtmelidir.
KVKK, işverenlere kişisel verilerin işlenmesinde, aşağıdaki yükümlülükleri getirmiştir:
- Açık Rıza Alınması: Özel nitelikli kişisel verilerin işlenebilmesi için işçinin açık rızası alınması gerekmektedir.
- Verilerin İhtiyaç Dışı İşlenmemesi: İşverenler, yalnızca işyerindeki faaliyetler için gerekli olan verileri toplayabilir ve işleyebilir.
- Veri Güvenliği: İşverenler, topladıkları kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari önlemleri almak zorundadır.
- Veri Sahibiyle İletişim: Çalışanlar, kendilerine ait verilerin nasıl işlendiği hakkında bilgi sahibi olmalıdır.
4. SONUÇ
İşverenlerin işçilerden talep ettikleri özel nitelikli kişisel veriler, hem iş hukuku hem de kişisel verilerin korunması açısından büyük bir hassasiyet gerektirmektedir. KVKK, işverenlerin bu verileri toplarken, işlemeyi ve güvenliğini sağlarken uyması gereken çok önemli kurallar getirmiştir. İşverenler, işçilerin özel nitelikli kişisel verilerini yalnızca belirli, hukuki gerekçelerle ve açık rıza ile işleyebilecektir. Aksi takdirde, işverenler hem iş hukuku hem de KVKK çerçevesinde ciddi hukuki sorumluluklarla karşılaşabileceklerdir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
