İşveren, çalışanına ait kişisel verileri işlerken KVKK kapsamındadır. İş ilişkisinin varlığı, her türlü veriyi sınırsız işleme yetkisi vermez.
Çalışan verisinde denge daha hassastır çünkü taraflar arasında güç farkı vardır; bu nedenle "rıza" burada çoğu zaman geçerli bir dayanak sayılmaz.
Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir.
Rıza neden zayıf bir dayanak?
Açık rızanın geçerli olması için özgür iradeyle verilmiş olması gerekir.
Çalışan, işini kaybetme endişesiyle imza attığında bu özgür irade sayılmaz.
Bu yüzden çalışan verilerinde genelde başka sebeplere dayanılır: sözleşmenin ifası, hukuki yükümlülük ve meşru menfaat.
Örneğin maaş ödemesi için banka bilgisi işlemek sözleşmenin ifasıdır; SGK bildirimi hukuki yükümlülüktür. Bunlar için rıza gerekmez.
Açık rıza ve meşru menfaat farkı yazımızda bu ayrımı ele aldık.
Hangi veriler işlenir?
Özlük dosyası: kimlik, adres, eğitim, banka, SGK bilgileri.
İletişim: kurumsal e-posta, dahili numara, acil durumda aranacak kişi.
Performans: değerlendirme kayıtları, hedef gerçekleşmeleri.
Sağlık verisi: işe giriş raporu, rapor kayıtları. Bu özel nitelikli veridir ve daha sıkı korunur.
Özel nitelikli verilerde kural farklıdır; sağlık verisi işyeri hekimi ya da gizlilik yükümlülüğü altındaki kişilerce işlenmelidir.
Kurumsal kartvizit tarafı
Çalışanın adı, unvanı ve kurumsal iletişim bilgisi kartvizitte yer alır. Bu, iş ilişkisinin doğal bir parçasıdır.
Ancak kişisel cep telefonu ya da özel e-posta adresi kartta yer alacaksa, bunun çalışanın tercihine bırakılması doğru olur.
Fotoğraf kullanımı da tercihe bırakılmalıdır. Zorunlu tutmak tartışmalıdır.
Çalışan ayrıldığında kartın ne olacağı baştan yazılı olmalıdır. İşten ayrılan çalışanın kartviziti yazımızda bu süreci anlattık.
Aydınlatma yükümlülüğü
İşe giriş sırasında çalışana aydınlatma metni verilmelidir.
Metinde hangi verilerin, hangi amaçla, hangi hukuki sebeple işlendiği ve kimlerle paylaşıldığı yer alır.
İmza karşılığı teslim, ispat açısından önemlidir; ancak imza "rıza" anlamına gelmez, yalnızca bilgilendirmenin yapıldığını gösterir.
Sık yapılan hatalar
Özlük dosyasını süresiz saklamak. İş ilişkisi bittikten sonra da mevzuattaki süre kadar saklanır, sonra imha edilir. Kişisel veri saklama süresi yazımıza bakabilirsiniz.
Erişimi herkese açmak. Özlük verilerine yalnızca görevi gereği erişmesi gerekenler erişmelidir.
WhatsApp gruplarında veri paylaşmak. Çalışan bilgilerinin denetimsiz kanallarda dolaşması yaygın bir zafiyettir.
Ayrılan çalışanın erişimini kapatmamak. En sık görülen ve en kolay kapatılan açık budur.
Kamera kaydını sınırsız tutmak. İzleme yapılıyorsa amaç, kapsam ve süre belirlenmeli, çalışana bildirilmelidir.
Sık Sorulan Sorular
Çalışandan her konu için rıza almalı mıyım?
Hayır. Çoğu işleme sözleşmenin ifası ya da hukuki yükümlülük kapsamındadır; rıza bu ilişkide zayıf bir dayanaktır.
Çalışanın fotoğrafını kartvizitte kullanabilir miyim?
Tercihine bırakmak en güvenli yoldur; zorunlu tutmak tartışma yaratır.
İşten ayrılan çalışanın verilerini hemen silmeli miyim?
Mevzuattaki saklama süreleri devam eder. Süre dolunca imha edilir.
Çalışan e-postalarını okuyabilir miyim?
Sınırlı ve önceden bildirilmiş koşullarda mümkündür; keyfî ve habersiz inceleme hukuka aykırıdır.