İş İlişkisinde Kişisel Verilerin İşlenmesi ve Genel İlkeler

Dijitalleşme ve teknolojideki hızlı gelişmelerin iş hukukuna yansımasıyla birlikte, işçinin kişisel verilerinin işlenmesi konusu hem hukuki hem de pratik düzeyde büyük bir önem kazanmıştır. Temel olarak işçinin iş görmesini, işverenin ise ücret ödemesini barındıran iş sözleşmesi sürecinde; işçi ve işveren arasında karşılıklı haklar ve yükümlülükler doğmaktadır. Bu süreçte, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında "veri sorumlusu" olarak hareket eden işverenin en önemli yükümlülüklerinden birisi, işçiye ait kişisel verileri hukuka uygun bir şekilde işlemek ve korumaktır. İşçinin kimlik bilgileri, yaşı, medeni hali, eğitim durumu, çocuk sayısı veya banka bilgileri gibi kimliği belirli veya belirlenebilir kılan her türlü bilgi bu kapsamda değerlendirilmektedir. Hukuk sistemimizde yalnızca KVKK değil, aynı zamanda Türk Borçlar Kanunu ve İş Kanunu gibi temel mevzuat metinleri de işçinin maddi ve manevi bütünlüğünü güvence altına alan koruyucu hükümler ihtiva etmektedir. Dolayısıyla, iş ilişkisinin kuruluşundan sona ermesine kadar geçen tüm aşamalarda işverenin, işçinin zayıf konumunu gözeterek veri işleme süreçlerini kanuni çerçevede yürütmesi yasal bir mecburiyettir.

Kişisel Verilerin İşlenmesinde Temel İlkeler

İşverenlerin, işçilerine ait verileri kayıt altına alırken veya kullanırken riayet etmesi gereken temel sınırlar, KVKK'nın 4. maddesinde açıkça ortaya konulmuştur. Her şeyden önce, gerçekleştirilen her türlü veri işleme faaliyeti hukuka ve dürüstlük kurallarına uygun olmalıdır. İşverenin topladığı verilerin doğru ve gerektiğinde güncel olması yasal bir şarttır. Verilerin işlenmesinde belirli, açık ve meşru amaçlar güdülmeli; yani işçinin işe yatkınlığı veya işin ifası ile doğrudan ilgisi olmayan, muğlak amaçlarla veri toplanmamalıdır. Toplanan verilerin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması da iş hukukunun doğası gereği büyük önem taşır. Ölçülülük ilkesi gereği, işverenin amacına ulaşması için gerekenden daha fazla bilgi talep etmesi hukuka aykırıdır. Ayrıca işçiye ait kişisel verilerin, yalnızca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi şarttır. İş ilişkisinin sona ermesinden sonra yasal saklama süreleri dolduğunda, işveren bu verileri resen veya işçinin talebi üzerine silmek ya da anonim hale getirmek zorundadır.

Aydınlatma Yükümlülüğü ve Açık Rıza Kavramı

Kişisel verilerin işlenmesi sürecinde, genel ilkelere uyulmasının yanı sıra kural olarak işçinin açık rızasının alınması gerekmektedir. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve işçinin özgür iradesiyle açıkladığı rıza olarak tanımlanmaktadır. Ancak rızanın hukuken geçerli olabilmesi için, işverenin "veri sorumlusu" sıfatıyla yerine getirmesi gereken bir ön şart bulunmaktadır: Aydınlatma yükümlülüğü. İşveren; hangi kişisel verilerin işleneceği, verilerin ne amaçla, nerede, nasıl ve kim tarafından kullanılacağı ile hangi hukuki sebeplere dayanıldığı hususlarında işçiyi tereddüde mahal vermeyecek şekilde bilgilendirmelidir. Buna ek olarak, kanundan doğan hakları konusunda ilgili kişiye detaylı bilgi sunulması zorunludur. İşçinin, işverene karşı ekonomik bir bağımlılık içinde bulunması, zaman zaman kişilik haklarının zedelenmesine sessiz kalmasına neden olabilmektedir. Bu nedenle, aydınlatma işleminin şeffaf bir biçimde yapılması ve rızanın hiçbir baskı altında kalmadan özgürce verilmesi, ileride doğabilecek hukuki uyuşmazlıkların ve işveren aleyhine uygulanabilecek cezai ya da idari yaptırımların önüne geçilmesi açısından elzemdir.

Açık Rıza Aranmayan İstisnai Haller

İş ilişkisinin dinamik yapısı gereği, işverenin işçiye ait bazı verileri işlemesi kanuni yükümlülüklerin ifası için kaçınılmaz olabilmektedir. Bu bağlamda, KVKK'nın 5. maddesinde açık rıza aranmaksızın verilerin işlenebileceği istisnai durumlar şu şekilde sıralanmıştır:

• Kanunlarda açıkça öngörülmesi.
• Fiili imkânsızlık sebebiyle rızasını açıklayamayacak durumda olan kişinin hayatı veya beden bütünlüğünün korunması.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşme taraflarına ait verilerin işlenmesinin gerekli olması.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• İlgili kişinin kendisi tarafından verinin alenileştirilmiş olması.
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, işverenin meşru menfaatleri için zorunlu olması.

İş sözleşmeleri bakımından, sözleşmenin ifası ve yasal yükümlülüklerin yerine getirilmesi en sık karşılaşılan istisnalardır.

İşçinin Kişiliğinin ve Verilerinin Korunması

İş hukukunda işçinin korunması ilkesi gereği, işçinin maddi ve manevi bütünlüğüne zarar verebilecek, özel hayatının gizliliğini ihlal edebilecek her türlü davranış yasaklanmıştır. Türk Borçlar Kanunu'nun 417. maddesi uyarınca işveren, işçinin kişiliğini korumak ve ona saygı göstermekle yükümlüdür. Aynı kanunun 419. maddesi, işverenin işçiye ait verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini kesin bir dille kurala bağlamıştır. İşveren tarafından, dürüstlük kuralına aykırı bir biçimde, ölçüsüz sorular sorularak işçinin özel yaşamına müdahale edilmesi veya işçinin açık rızasını aşan amaçlarla verilerinin kullanılması hukuka aykırıdır. İşçinin kişilik haklarının ihlal edilmesi durumunda; hukuka aykırılığın tespiti, önleme veya durdurma davası gibi medeni usul yollarına başvurulabilir. Ayrıca şartları oluştuğunda işçi, maddi ve manevi tazminat talep edebilir veya Kişisel Verileri Koruma Kurulu'na şikayette bulunabilir. İşverenin yasal sınırlar dışına çıkması, işçi açısından haklı nedenle derhal fesih hakkı doğuran ciddi bir ihlal sebebidir.