İnsan kaynakları, KVKK denetimlerinde en sık sorun çıkan alandır — çünkü burada şirketin elinde hem çok fazla veri vardır hem de bu verilerin bir kısmı özel nitelikli kategoriye girer. Üstelik İK'nın en sık yaptığı hata teknik değil hukukidir: çalışandan imza alıp "rıza aldık" sanmak.
Bu rehber, işveren tarafındaki süreçleri tek tek ele alıyor ve her biri için doğru hukuki sebebi gösteriyor.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. İş hukuku boyutu için ayrıca hukukçu görüşü alın.
Kısa cevap
İşveren, çalışanının verileri bakımından veri sorumlusudur. Özlük dosyası, bordro ve SGK bildirimleri kanuni yükümlülükten doğar ve rıza gerektirmez. Sağlık raporu, engel durumu, adli sicil gibi veriler özel niteliklidir ve ancak kanunun açıkça izin verdiği hâllerde işlenebilir. Çalışandan alınan açık rıza, iş ilişkisindeki bağımlılık nedeniyle "özgür irade" şartını çoğu zaman karşılamaz; bu yüzden İK'da rızaya yaslanmak zayıf bir stratejidir.
İşe alım aşaması: en çok unutulan süreç
Şirketlerin büyük kısmı çalışan aydınlatma metnini hazırlar ama aday aydınlatma metnini atlar. Oysa CV'si elinize ulaşan her kişi, henüz işe alınmamış olsa bile ilgili kişidir.
| Aşama | İşlenen veri | Hukuki sebep | Sık yapılan hata |
|---|---|---|---|
| CV toplama | Kimlik, iletişim, eğitim, iş geçmişi | Sözleşme öncesi hazırlık / meşru menfaat | Aydınlatma hiç yapılmaz |
| Mülakat notu | Değerlendirme, izlenim | Meşru menfaat | Sübjektif notlar süresiz saklanır |
| Referans arama | Üçüncü kişi beyanı | Meşru menfaat | Adaya haber verilmez |
| Test / envanter | Kişilik, yetkinlik | Açık rıza (tercihen) | Sonuç süresiz tutulur |
| Olumsuz sonuçlanan başvuru | Tüm dosya | — | Süresiz saklanır |
Son satır kritik: reddedilen adayın CV'sini "ileride lazım olur" diye süresiz saklamak, saklama ilkesine aykırıdır. İki seçeneğiniz var — ya belirli bir süre (örneğin 6 ay veya 1 yıl) belirleyip aydınlatma metninde açıklarsınız, ya da adaydan havuzda tutulması için ayrı bir rıza alırsınız. Rıza alıyorsanız geri alınabilir olmalı ve geri alındığında dosya gerçekten silinmelidir.
İş ilanınızın altında veya başvuru formunda erişilebilir bir aday aydınlatma metni bulunmalıdır. Şablonu doğrudan üretebilirsiniz: çalışan adayı aydınlatma metni.
Özlük dosyası: rıza istemeyin
İş Kanunu, işverene çalışan için özlük dosyası tutma yükümlülüğü getirir. Bu yükümlülükten doğan veri işleme, KVKK'nın 5. maddesindeki "kanunlarda açıkça öngörülme" ve "veri sorumlusunun hukuki yükümlülüğü" sebeplerine dayanır.
Buradaki en yaygın hata, çalışana "kişisel verilerinizin işlenmesine izin veriyorum" diye bir form imzalatmaktır. Bu form üç sorun yaratır:
- Gereksizdir. Zaten kanuni bir dayanağınız var.
- Yanıltıcıdır. Çalışan, rızasını geri çekerse verinin silineceğini sanır — oysa SGK bildirimi rızaya bağlı değildir.
- Risklidir. Denetimde hukuki sebebi yanlış gösterdiğiniz tespit edilebilir.
Doğru yaklaşım: özlük süreçleri için aydınlatma yapın, rıza istemeyin. Rızayı yalnızca gerçekten rızaya bağlı olan işlemler için ayırın.
Rıza gerçekten nerede gerekir?
Çalışan verilerinde açık rıza yalnızca dar bir alanda anlamlıdır — ve orada bile "özgür irade" tartışması vardır:
- Fotoğrafın kurumsal web sitesinde veya sosyal medyada yayımlanması
- Şirket içi doğum günü / kutlama duyurularında ad ve tarih paylaşımı
- Zorunlu olmayan yan haklar için verilen ek bilgiler (örneğin özel sağlık sigortasında aile bireyi bilgisi)
- Referans olarak kullanılma
Bu işlemlerin ortak özelliği şu: çalışan reddettiğinde işini kaybetmez, iş akışı da bozulmaz. Test kriteri budur. Eğer "hayır" demek çalışan için gerçek bir seçenek değilse, o rıza geçerli sayılmaz ve başka bir hukuki sebep bulmanız gerekir. Rıza metninin nasıl yazılacağı için: açık rıza metni nasıl yazılır.
Özel nitelikli veriler: en riskli alan
Kanun'un 6. maddesi sağlık, biyometrik veri, din, sendika üyeliği, ceza mahkûmiyeti gibi verileri özel nitelikli sayar ve bunlara sıkı bir rejim uygular.
| Veri | İK'da nerede karşınıza çıkar | Dikkat |
|---|---|---|
| Sağlık raporu | İşe giriş muayenesi, istirahat raporu | İşyeri hekimi kanalıyla işlenir; İK'da ayrıntılı teşhis tutulmaz |
| Engel durumu | Kota, vergi indirimi | Yalnızca kanuni yükümlülük kapsamında |
| Adli sicil | Bazı pozisyonlarda kanunen zorunlu | Kanun zorunlu kılmıyorsa istemeyin |
| Kan grubu | Acil durum kartı | Amaçla sınırlı, ayrı saklama |
| Sendika üyeliği | Aidat kesintisi | Yalnızca kanuni süreç için |
| Biyometrik veri | Parmak iziyle giriş-çıkış | En riskli başlık |
Son satır ayrı bir yazıyı hak ediyor. Kurul'un yaklaşımı, parmak izi gibi biyometrik verilerin ancak başka bir yöntemle amaca ulaşılamıyorsa işlenebileceği yönündedir — yani kart veya şifreyle mesai takibi yapılabiliyorken parmak izi istemek ölçülülük ilkesine aykırıdır. Kurul'un konuya ilişkin değerlendirmesini şu yazıda inceledik: parmak izi kararı.
İzleme ve denetim araçları
İK'nın gri alanı burasıdır: işveren yönetim hakkını kullanır, çalışanın ise özel hayatın gizliliği hakkı vardır. İkisi arasındaki dengeyi ölçülülük kurar.
Kamera. Ortak alanlarda güvenlik amaçlı kamera meşru menfaate dayanabilir. Ancak dinlenme alanları, soyunma odaları ve tuvaletler kesinlikle kapsam dışıdır. Kameralı alanlarda görünür levha bulunmalı, kayıt süresi belirlenip aşılmamalıdır. Ayrıntı: kamera kaydı ve KVKK.
Kurumsal e-posta ve internet logları. İşveren, kendi tahsis ettiği araçlar üzerinde denetim yapabilir — ama bunu önceden ve açıkça duyurmuş olmak şartıyla. Çalışana hiç bilgi vermeden geçmişe dönük e-posta incelemek, hem KVKK hem iş hukuku açısından sorunludur. Politikanızı yazılı hâle getirin, işe girişte imzalatın (burada imza rıza değil, bilgilendirmenin ispatıdır).
Araç takip sistemi. Şirket aracına takılan GPS, mesai saatleri içinde meşru menfaate dayanabilir. Mesai dışında da izlemeye devam ediyorsa ölçülülük tartışması başlar. Aracın kişisel kullanıma açık olduğu hâllerde mesai dışı izlemeyi kapatın.
Personel takip yazılımı. Ekran görüntüsü alan, tuş vuruşu kaydeden yazılımlar en yüksek riskli kategoridir. Bunları kullanmadan önce mutlaka hukuki görüş alın; çoğu senaryoda daha az müdahaleci bir yöntem mevcuttur ve bu da ölçülülük savunmanızı çürütür.
Saklama süreleri
Silme yükümlülüğü, İK'da en sık ihmal edilen adımdır. Tipik yaklaşım şöyle kurgulanır:
| Kayıt | Tipik saklama mantığı |
|---|---|
| Özlük dosyası | İş ilişkisi + zamanaşımı süresi boyunca |
| Bordro ve mali kayıtlar | Vergi mevzuatının öngördüğü süre |
| İş kazası / sağlık gözetimi | İSG mevzuatının öngördüğü uzun süreler |
| Kamera kaydı | Genellikle 30-60 gün |
| Aday CV'si (olumsuz) | Önceden ilan edilen kısa süre veya rızaya bağlı havuz |
| Giriş-çıkış logu | Amaçla sınırlı kısa süre |
Süreleri şirketinize göre belirleyip yazılı hâle getirmeniz gerekir; bunun aracı saklama ve imha politikasıdır. Süre dolduğunda silme işleminin gerçekten yapıldığını gösteren bir kayıt tutun — denetimde sorulan ilk şey budur.
İK'nın yaptığı aktarımlar
Çalışan verisi çoğu şirkette düşünülenden fazla yere gider:
- Mali müşavir / muhasebe bürosu — bordro ve SGK için
- Bordro yazılımı ve İK yazılımı — çoğu bulut tabanlı
- Özel sağlık sigortası şirketi
- İşyeri hekimi ve İSG firması
- Banka — maaş ödemesi için
- Yemek kartı / servis firması
Bunların her biri aydınlatma metninde alıcı grubu olarak yer almalı, envanterde görünmelidir. Yazılımın sunucusu yurt dışındaysa ayrıca aktarım rejimi devreye girer: yurt dışına veri aktarımı.
Çalışan başvurusu gelirse
Çalışan da ilgili kişidir; verilerine erişme, düzeltme ve silme talebiyle size başvurabilir. Başvuruyu 30 gün içinde sonuçlandırmanız gerekir. "Sen zaten çalışanımızsın" diyerek geçiştirmek, doğrudan şikâyet ve inceleme sebebidir. Süreci nasıl kuracağınız için: veri sorumlusuna başvuru.
İK için 8 maddelik kontrol listesi
- Çalışan aydınlatma metni var ve tebliğ edildi mi?
- Aday aydınlatma metni ilan/başvuru formunda erişilebilir mi?
- Özlük süreçleri için rıza yerine kanuni sebep gösteriliyor mu?
- Rıza yalnızca gerçekten seçimlik işlemler için mi alınıyor?
- Özel nitelikli veriler ayrı ve sınırlı erişimle mi saklanıyor?
- İzleme araçları (kamera, log, GPS) önceden duyuruldu mu?
- Saklama süreleri yazılı mı ve süre sonunda silme yapılıyor mu?
- Aktarılan taraflar envanterde ve aydınlatma metninde görünüyor mu?
Bu maddelerin çıktısını üretmek için belge sihirbazını çalıştırabilirsiniz — İK süreçlerini işaretlediğinizde aydınlatma metni, envanter ve saklama politikası birlikte üretilir. Araç tamamen ücretsizdir.
Sık sorulan sorular
Çalışandan KVKK rızası almak zorunlu mu?
Hayır, çoğu süreçte zorunlu olmadığı gibi doğru da değildir. Özlük, bordro ve SGK süreçleri kanuni yükümlülüğe dayanır; bunlar için rıza istemek hukuki sebebi yanlış göstermek anlamına gelir. Rıza yalnızca fotoğraf yayımı gibi gerçekten seçimlik işlemler için alınmalıdır.
Çalışanın rızası geçerli sayılmaz mı?
Kural olarak sayılabilir, ancak iş ilişkisindeki bağımlılık nedeniyle "özgür irade" şartı tartışmalıdır. Ölçüt şudur: çalışan reddettiğinde olumsuz bir sonuçla karşılaşacaksa o rıza özgür değildir. Bu yüzden mümkün olduğunca rıza dışı hukuki sebeplere dayanmak gerekir.
İşten ayrılan çalışanın verilerini hemen silmeli miyim?
Hayır. Özlük ve mali kayıtlar için mevzuattan doğan saklama süreleri ve dava zamanaşımı süreleri devam eder. Ancak bu süre boyunca veriye erişim kısıtlanmalı, süre dolduğunda silme gerçekten yapılmalıdır.
Parmak iziyle mesai takibi yapabilir miyim?
Yalnızca aynı amaca daha az müdahaleci bir yöntemle ulaşılamıyorsa. Kart, şifre veya QR ile giriş-çıkış takibi mümkünken parmak izi istemek ölçülülük ilkesine aykırı kabul edilir. Bu alanda hukuki destek almadan uygulamaya geçmeyin.
Çalışanların WhatsApp grubunda telefon numaraları görünüyor, sorun mu?
Numaraların iş amacıyla paylaşılması meşru menfaate dayanabilir ama çalışanın bilgilendirilmiş olması gerekir. Kişisel telefon numarasının kurumsal amaçla kullanılmasında zorlama olmamalı; mümkünse kurumsal iletişim kanalı tercih edin.
İK yazılımımızın sunucusu yurt dışında, ne yapmalıyım?
Bu bir yurt dışına aktarımdır ve ayrı bir hukuki rejime tabidir. Sağlayıcının sunucu konumunu teyit edin, aktarımı envanterde gösterin ve uygun aktarım mekanizmasını kurun.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, md. 5, 6, 10, 11, 12
- Kişisel Verileri Koruma Kurulu yayımlanmış kararları — karar arşivi
- 4857 sayılı İş Kanunu, özlük dosyası yükümlülüğü
