İşçinin Kişisel Verilerinin Korunması

İşçi Verilerinin İşlenmesinde Ölçülülük

6098 sayılı Türk Borçlar Kanunu m.419, işverenin işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili olduğu ölçüde ya da sözleşmenin ifası için zorunlu olduğu ölçüde kullanabileceğini düzenler. Bu, işletme ihtiyacını aşan veri toplanmasını sınırlar.

6698 sayılı Kişisel Verilerin Korunması Kanunu m.4'te yer alan hukuka uygunluk, amaçla bağlantılılık ve ölçülülük ilkeleri iş ilişkisinde de aynen geçerlidir. Toplanan verinin amacı aşan biçimde saklanması hukuka aykırılık oluşturur.

Özlük Dosyası ve Saklama Yükümlülüğü

İşveren, 4857 sayılı İş Kanunu m.75 gereği çalıştırdığı her işçi için bir özlük dosyası düzenlemek ve bu belgeleri istendiğinde yetkili makamlara göstermekle yükümlüdür. İşveren bu bilgileri yalnızca yasal amaçlarla kullanabilir.

Özlük dosyasındaki bilgilerin üçüncü kişilerle hukuka aykırı biçimde paylaşılması hem 6698 sayılı Kanun hem de m.75 kapsamında sorumluluk doğurur. Verilerin güvenli ortamda ve gerekli teknik tedbirlerle saklanması gerekir.

Açık Rıza ve Aydınlatma

6698 sayılı Kanun m.10 uyarınca işveren, veri sorumlusu sıfatıyla işçiyi işleme amacı ve aktarım yapılacak taraflar konusunda aydınlatmak zorundadır. Aydınlatma, veri işlemeden önce yapılmalıdır.

Özel nitelikli sağlık verileri gibi hassas verilerin işlenmesi m.6'da ayrı ve daha sıkı koşullara bağlanmıştır. Açık rıza alınırken işçinin özgür iradesinin bulunması ve rızanın belirli bir konuya ilişkin olması aranır.

İşyerinde İzleme ve Denetim Araçları

İşverenin yönetim hakkı, işçinin kişisel verileri üzerinde sınırsız bir denetim yetkisi vermez. Kamera kaydı, konum takibi, kurumsal elektronik posta ve bilgisayar incelemesi gibi araçlar ancak meşru bir amaca dayanıyorsa, bu amaca ulaşmak bakımından elverişli ve gerekli ise ve daha az müdahaleci bir yöntem bulunmuyorsa hukuka uygun sayılabilir. Ölçülülük değerlendirmesi her somut olayın koşullarına göre ayrı ayrı yapılır. Verinin toplanmasında olduğu gibi saklanmasında da amaçla sınırlılık esastır; işleme amacı ortadan kalktığında kayıtların silinmesi ya da yok edilmesi gerekir.

İzlemenin varlığı, kapsamı, amacı ve süresi işçiye önceden açık biçimde bildirilmelidir; önceden bildirilmeyen gizli izleme kural olarak hukuka aykırıdır. Soyunma odası ve dinlenme alanı gibi mahremiyet beklentisinin yüksek olduğu yerlerde izleme yapılamaz. Kurumsal iletişim araçlarının denetiminde inceleme iş ile sınırlı tutulmalı, açıkça kişisel nitelikteki yazışmalara girilmemelidir. Bu ilkelere aykırı biçimde elde edilen kayıtların delil değeri yargılamada ciddi biçimde tartışılır. İzleme sistemleri kurulmadan önce kişisel veri işleme envanterinin ve saklama süresi politikasının hazırlanması da beklenir.

İhlal Hâlinde Başvuru Yolları

Kişisel verileri hukuka aykırı işlenen işçi, öncelikle veri sorumlusu sıfatındaki işverene yazılı olarak başvurarak bilgi talep edebilir, verilerinin düzeltilmesini, silinmesini ya da yok edilmesini isteyebilir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.13). Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir (m.14). Kurula şikâyet yolu, veri sorumlusuna başvuru yolu tüketilmeden işletilemez. Başvuruya ilişkin usul ve sürelere uyulması, şikâyet hakkının kaybedilmemesi bakımından önem taşır.

İdari başvuru yolu, işçinin genel hükümlere göre maddi ve manevi tazminat isteme hakkını ortadan kaldırmaz; bu talepler iş mahkemesinde ileri sürülebilir. Ayrıca fiil, kişisel verilerin hukuka aykırı biçimde kaydedilmesi, verilmesi, yayılması ya da ele geçirilmesi niteliğindeyse cezai sorumluluk da doğurabilir. İdari yaptırım süreci, ceza soruşturması ve tazminat davası birbirinden bağımsız yürür; birinde verilen karar diğerini kendiliğinden sonuçlandırmaz. İş sözleşmesi devam ederken yapılan başvurular nedeniyle işçiye olumsuz muamele edilmesi ise ayrıca eşit davranma yükümlülüğü tartışmasını gündeme getirir.

Sıkça Sorulan Sorular

İşveren işçinin her verisini işleyebilir mi?

Hayır. 6098 sayılı TBK m.419 uyarınca işveren, verileri yalnızca işe uygunlukla ilgili veya sözleşmenin ifası için gerekli olduğu ölçüde işleyebilir.

Özlük dosyası tutmak zorunlu mu?

Evet. 4857 sayılı İş Kanunu m.75 işverene her işçi için özlük dosyası düzenleme ve belgeleri yetkili makamlara sunma yükümlülüğü getirir.

Sağlık verileri için özel bir kural var mı?

Evet. Sağlık verileri 6698 sayılı Kanun m.6 kapsamında özel nitelikli veri sayılır ve işlenmesi daha sıkı koşullara ve kural olarak açık rızaya bağlıdır.