İş Başvurusu ve CV'leri KVKK Gereği Nasıl Saklanır?

Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

Aday verisi kişisel veri midir, hangi kategoriye girer?

İş başvurusu sırasında toplanan aday adı, soyadı, iletişim bilgileri, eğitim geçmişi ve iş deneyimi kişisel veri olarak kabul edilir. Bu bilgiler Kanunun dördüncü maddesindeki genel ilkeler kapsamında değerlendirilir; yani işleme şeffaflığı ve amaç sınırlılığı ilkeleri uygulanır. Beşinci madde ise bu verilerin işlenmesi için bir gerekçe gerektirir; açık rıza, sözleşme gerekçesi veya yasal yükümlülük gibi bir temel olmadan işlenemez. Ayrıca altıncı maddede belirtilen özel nitelikli veriler (sağlık, dinî inanç vb.) normal başvuru sürecinde toplanmamalıdır; bu tür verilerin işlenmesi için ayrı bir gerekçe ve açık rıza şartı gerekir. Başvuru formunda istenen her bilgi kişisel veri kategorisine girer ve bu yüzden aydınlatma, güvenlik ve silme yükümlülükleri doğar.

İşletme örneği: Bir teknoloji girişimi, yazılım geliştirici pozisyonu için başvuran adayların e-posta adreslerini ve telefon numaralarını toplar. Bu bilgileri kişisel veri olarak sınıflandırmazsa, aydınlatma metni vermemek ve veri güvenliği önlemleri almamak gibi ihlallerle karşılaşabilir.

Sık yapılan hata: İşletmeler, sadece adayın adı ve soyadını kişisel veri saymaz ve bu bilgileri güvenli olmayan bir tabloda tutar.

Pratik adım: Başvuru formunu oluştururken, toplanacak her alan için kişisel veri olduğunu belirten bir not ekleyin ve bu alanların korunması için şifreli bir veritabanı kullanın.

Daha fazla bilgi için /sablon/ sayfasındaki aydınlatma metni şablonunu inceleyebilirsiniz.

Başvuru anında aydınlatma nasıl yapılır?

Aydınlatma metni, onuncu maddede belirtilen veri sorumlusunun yükümlülüğüdür ve başvuru anında, yani adayın bilgilerini ilk kez sağladığı anda verilmelidir. Metinde veri sorumlusunun kimliği, toplanan verilerin türleri, işlenme amaçları, veri alıcıları (işveren, danışman firma), olası uluslararası veri transferi durumları, veri sorumlusuna başvuru yöntemi ve ilgili kişinin hakları (erişim, düzeltme, silme, karşıtlık) açıkça belirtilmelidir. Aydınlatma metni, /sablon/ sayfasından elde edilebilecek örnek bir şablon üzerinden hazırlanabilir; bu şablon, on birinci maddede tanımlanan hakların nasıl sunulacağını gösterir. Metin, teknik olmayan ve anlaşılır bir dille yazılmalı, adayın okuduğunu anlayabileceği şekilde düzenlenmelidir. Ayrıca, aydınlatma metni, /blog/aydinlatma-metni-nasil-hazirlanir/ adresindeki kılavuzda önerilen şekilde, elektronik başvuru formunda bir onay kutusu ile birlikte sunulabilir; bu sayede adayın bilgilendirilmesi ve rızasının alınması aynı adımda gerçekleşmiş olur.

İşletme örneği: Bir perakende zinciri, online başvuru formunda aydınlatma metni eklemeyi unutur; adaylar formu doldururken veri kullanım amacı hakkında bilgi edinemez.

Sık yapılan hata: Aydınlatma metni sadece iş web sitesinin gizlilik politikasına link vererek tamamlanır; bu, onuncu maddede belirtilen net ve ayrı bir bildirim yükümlülüğünü karşılamaz.

Pratik adım: Başvuru formunun ilk sayfasında, kısa ve açık bir aydınlatma metni yerleştirin; metnin sonunda adayın onayını almak için bir kutucuk ekleyin ve bu kutucuk işaretlenmeden formun gönderilmesini engelleyin.

İşe alınmayan adayın CV'si ne kadar saklanır?

İşe alınmayan adayın CV'si, dördüncü maddede yer alan süre ilkesi ve yedinci maddede belirtilen silme koşulları çerçevesinde değerlendirilmelidir. Veri, işe alma sürecinin sonucunu belirlemek amacıyla toplanmıştır; bu amaç sağlandığında (yani aday işe alınmadığında) veri artık gerekli değildir ve yedinci madde kapsamında silinmesi, yok edilmesi veya anonim hâle getirilmesi zorunludur. Dolayısıyla, işe alınmayan adayın CV'si, işe alma sürecinin sona ermesiyle birlikte silinmelidir; bu süreç, işe alınmayanın duyarlı bilgilerinin gereksizce tutulmasını önler. İşe alınan adayın CV'si ise, iş süresi boyunca on ikinci maddede belirtilen veri güvenliği yükümlülükleri çerçevesinde saklanabilir ve iş sonu ile ilişkin yedinci madde yeniden devreye girer.

İşletme örneği: Bir lojistik firması, işe alınmayan adayların CV'lerini beş yıl boyunca bir arşivde tutar; bu, amaç bittiğinde veri tutma yükümlülüğünü ihlal eder.

Sık yapılan hata: İşe alınmayan adayların verilerini "gelecekteki pozisyonlar için" diye belirli bir süre belirtmeden saklamak.

Pratik adım: İşe alma sürecinin her aşamasını bitirdikten sonra, o adayın CV'sini güvenli bir şekilde silmek veya anonimleştirmek için bir iş akışı oluşturun; bu iş akışı, takvim üzerinden otomatik tetiklenebilir.

Referans araması için rıza gerekir mi?

Referans araması, başvuru sürecinin bir parçası olarak kabul edilse de, beşinci maddede belirtilen işlenme şartları açısından ayrı bir işleme faaliyetidir. Bu yüzden, referans bilgilerini almak için adaydan açık bir rıza alınması gerekir; rıza, referans kişisinin kimliği, sorulacak soruların türü ve verinin nasıl kullanılacağı konusunda net olmalıdır. /blog/veri-sorumlusuna-basvuru-nasil-yapilir/ sayfasında açıklanan başvuru prosedürü, referans araması için alınacak rızanın nasıl belgelenmesi gerektiğini gösterir. Rıza alınmadan referans çağrısı yapılması, beşinci maddenin şartlarını ihlal eder ve bu durumda veri sorumlusuna yönelik bir şikayetin temel oluşturabileceği unutulmamalıdır.

İşletme örneği: Bir danışmanlık şirketi, adayın eski yöneticisine izin aramadan ulaşarak performans hakkında detaylı sorular sorar; bu, adaydan ayrı rıza alınmadan yapılan bir işleme faaliyeti olarak değerlendirilir.

Sık yapılan hata: Referans bilgilerini işe alma formunda zorunlu alan olarak eklemek, ancak adaydan ayrı rıza almayı unutmak.

Pratik adım: Başvuru formunda referans bilgilerini toplamak isteyen bir kutucuk ekleyin; kutucuk işaretlendiğinde, adayya referans kişisinin kimliği, sorulan sorular ve veri kullanım amacını açıklayan ayrı bir rıza metni gösterin ve bu metni onaylayana kadar işlemi durdurun.

Sosyal medya taraması hukuka uygun mu?

Sosyal medya profillerinin incelenmesi, beşinci maddede belirtilen işlenme şartlarıyla değerlendirilmelidir. Eğer sosyal medya üzerinden elde edilecek bilgiler, işe alma ile doğrudan ilgili bir amaçla toplanıyorsa ve bu amaç, dördüncü maddedeki genel ilkeler (hukuka uygunluk, dürüstlük, amaç sınırlılığı) çerçevesinde belirtiliyorsa, bu işlem yapılabilir. Ancak, bu durumda da adaydan ayrı bir rıza alınması gerekir; çünkü sosyal medya profilleri, işe alma sürecinin dışında kişisel yaşamla ilgili veri içerebilir ve bu verilerin işlenmesi altıncı maddedeki özel nitelikli verilerle örtüşebilir. Dolayısıyla, sosyal medya taraması yapılması için, /blog/saklama-ve-imha-politikasi-nasil-hazirlanir/ adresindeki politika örneği gibi, amaç, kapsam ve süre belirtilen bir politika oluşturulmalı ve bu politika adayya aydınlatma metni içinde yer almalıdır.

İşletme örneği: Bir moda markası, adayların Instagram profillerini izleyerek kişisel yaşam ve tercihlerini değerlendirir, ancak bu işlem için ayrı rıza almaz.

Sık yapılan hata: Sosyal medya kontrolünü "genel uygulama" olarak görüp, adaydan bilgi almayı gerekli görmemek.

Pratik adım: Sosyal medya taraması yapacak olan kişilere, amaç ve sınırları açıklayan kısa bir eğitim verin; taramadan önce adaydan ayrı rıza alın ve bu rızayı belgeleyerek saklayın.

Kariyer siteleri üzerinden gelen başvurular

Kariyer siteleri üzerinden gelen başvurular, veri sorumlusu tarafından doğrudan toplanan verilerle aynı KVKK yükümlülüklerini taşır. Bu platformlar, genellikle veri işleyici olarak hareket eder; bu yüzden veri sorumlusu ile kariyer sitesi arasında sekizinci maddede belirtilen veri aktarım sözleşmesi bulunması gerekir. Aktarım sözleşmesi, verinin hangi amaçla kullanılacağını, kimlerin erişeceğini ve veri güvenliği nasıl sağlanacağını detaylandırmalıdır. Ayrıca, kariyer sitesi tarafından sunulan aydınlatma metni, veri sorumlusunun kendi metniyle tutarlı olmalı; çünkü onuncu madde, veri sorumlusunun aydınlatma yükümlülüğünü ortadan kaldırmaz. Başvuru alınan veri, /sihirbaz/ üzerinden oluşturulan belge şablonlarıyla uyumlu bir şekilde saklanmalı ve on ikinci madde kapsamındaki teknik ve idari önlemler alınmalıdır.

İşletme örneği: Bir finans kurumu, popüler bir kariyer sitesinden gelen başvuruları doğrudan kendi veritabanına aktarır, ancak bu aktarım için veri sorumlusu ile site arasında bir sözleşme yapmaz.

Sık yapılan hata: Kariyer sitesi tarafından sağlanan varsayılan aydınlatma metnini kullanmak, kendi yükümlülüğünü karşılamayan ve veri sorumlusunun yükümlülüğünü ortadan kaldıran bir uygulama olarak görmek.

Pratik adım: Kariyer sitesi ile veri aktarım sözleşmesini imzalayın; sözleşmede veri türleri, amaç, erişim yetkileri ve güvenlik önlemleri net şekilde belirtilsin. Ayrıca, site tarafından sunulan aydınlatma metnini kendi metninizle karşılaştırarak tutarsızlıkları düzeltin.

Aday havuzu tutmak mümkün mü?

Aday havuzu, belirli bir iş pozisyonu için toplanan CV'lerin gelecekteki benzer pozisyonlar için saklanması anlamına gelir. Bu uygulama, dördüncü maddedeki amaç ilkesi ile çelişebilir; çünkü havuzdaki veriler, özgün işe alma amacının dışında kullanılmak isteniyorsa, yeni bir işleme faaliyeti olarak değerlendirilir ve bu durumda beşinci madde kapsamında yeni bir gerekçe (örneğin açık rıza) gerekir. Eğer işletme, aday havuzunu sadece aynı iş pozisyonu için gelecekteki ihtiyaçlara yanıt vermek amacıyla tutuyorsa ve bu amaç net bir şekilde aydınlatma metni içinde belirtiliyorsa, havuz tutulabilir. Ancak, havuzdaki verilerin süresi, yedinci madde kapsamında amaç bittiğinde sona ermelidir; dolayısıyla havuz periyodik olarak kontrol edilip, amaçla uygun olmayan kayıtlar silinmelidir.

İşletme örneği: Bir oyun geliştirme stüdyosu, aynı pozisyon için gelecekteki ihtiyaçlara yönelik bir aday havuzu oluşturur, ancak havuzdaki CV'leri süresiz tutar ve periyodik kontrol yapmaz.

Sık yapılan hata: Aday havuzunu "genel yetenek havuzu" olarak tanımlayıp, farklı departmanlardaki pozisyonlar için kullanmak.

Pratik adım: Aday havuzu için bir politika belgesi hazırlayın; bu politika, havuzun amacı, tutulacak maksimum süre ve silme prosedürünü detaylandırın. Her ay başında havuzdaki kayıtları kontrol edin ve amaç dışı olanları güvenli bir şekilde silin.

Kurul kararlarında aday ve çalışan verisi

Kurul kararları, veri işleme uygulamalarının nasıl değerlendirildiğini gösterir; aday ve çalışan verisi ile ilgili kararlar, beşinci ve yedinci maddelerin uygulanışını somutlaştırır.

Kaynak: kvkk.gov.tr karar özetleri; sitemizdeki Kurul kararları indeksi 313 kararı konu, yıl ve ceza tutarına göre süzer.

• Kararlarda sıkça vurgulanan nokta, veri işleme amacının net ve belirli olmasıdır; belirsiz amaçlar, dördüncü maddenin ihlali olarak değerlendirilir.
• Aydınlatma metninin eksikliği veya apaçık olmayan bir şekilde sunulması, onuncu madde kapsamındaki yükümlülüklerin ihlali olarak görülür.
• Silme veya anonim hâle getirme işlemi yapılmadan veri uzun süre tutulması, yedinci madde kapsamındaki cezai uygulamanın temel nedenidir.

Aday verisi vs çalışan verisi vs eski çalışan verisi — hukuki sebep, saklama mantığı, aydınlatma zamanı, silme tetikleyicisi açısından karşılaştırma

Bu tablo, her veri türünün neden toplandığını, ne kadar süreyle tutulabileceğini, aydınlatmanın ne zaman yapılması gerektiğini ve silmenin ne zaman zorunlu hale geldiğini gösterir.

Örnek hesap: aydınlatmaz aday havuzu

Bir işletme, işe alınmayan adayların CV'lerini aydınlatma metni sunmadan bir veri havuzunda biriktirir. Bu durumda, onuncu madde kapsamındaki aydınlatma yükümlülüğü ihlali olur ve veri sorumlusu, on sekizinci madde kapsamındaki idari para cezasına maruz kalabilir.

Senaryo: Bir işletme üç yıldır kariyer sitesinden gelen tüm CV'leri ortak bir klasörde tutuyor; adaylara hiç aydınlatma yapılmamış, saklama süresi belirlenmemiş. Bir aday başvuru yapıp verisinin silinmesini istiyor ve 30 gün içinde cevap alamıyor.

Uygulanabilir kalemler ve kanundaki bantlar:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL – 1.709.200 TL
• Veri güvenliği yükümlülüklerinin yerine getirilmemesi: 256.357 TL – 17.092.242 TL

Kalemlerin alt sınırları toplandığında 341.794 TL, üst sınırları toplandığında 18.801.442 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.

Kanundaki bantlar

Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.

Sık sorulan sorular

İş başvurusu sırasında toplanan veriler hangi kategoriye girer?

Bu veriler, kişisel veri olarak kabul edilir ve beşinci madde kapsamındaki işlenme şartlarına tabidir.

Aydınlatma metni ne zaman verilmelidir?

Aydınlatma metni, başvuru anında, yani adayın ilk kez bilgilerini sağladığı anda verilmelidir; bu onuncu maddeyle örtüşür.

Referans araması için ayrı rıza gerekir mi?

Evet, referans araması ayrı bir işleme faaliyetidir ve adaydan açık rıza alınması gerekir; aksi takdirde beşinci madde ihlali olur.

Sosyal medya taraması yapılırken nelere dikkat edilmelidir?

Sosyal medya taraması, beşinci madde kapsamındaki işlenme şartlarına uygun olmalı ve adaydan ayrı bir rıza alınmalıdır; ayrıca toplanan bilgilerin işe alma ile doğrudan ilişkili olması gerekir.

Aday havuzu ne kadar süreyle tutulabilir?

Aday havuzu sadece açıkça belirtilen amaçla ve bu amaç bittiğinde silinme zorunluluğu olacak şekilde tutulabilir; süre, yedinci madde kapsamındaki amaç ilkesiyle sınırlıdır.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
• Kişisel Verileri Koruma Kurumu
• Kurul ilke kararları
• VERBİS — Veri Sorumluları Sicil Bilgi Sistemi