Çalışan Verileri ve KVKK: İK Süreçlerinde Uyum ve Güvenlik

Bir işletmenin en kapsamlı kişisel veri setlerinden biri çoğu zaman kendi çalışanlarına aittir. Kimlik ve adres bilgisinden banka hesabına, sağlık raporlarından performans değerlendirmelerine, kartlı geçiş kayıtlarından kurumsal e-posta içeriklerine kadar geniş bir yelpazedeki veri, işe alım başvurusuyla başlayıp işten ayrılıştan yıllar sonrasına kadar süren bir döngüde işlenir. Bu yazıda çalışan verilerini 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde nasıl yönetebileceğinizi, İK ve BT ekiplerinin birlikte uygulayabileceği somut adımlarla anlatıyoruz. Metin genel bilgilendirme amaçlıdır; iş hukuku boyutu için hukuk danışmanınızla birlikte değerlendirme yapmanızı öneririz.

Hangi Çalışan Verileri Kişisel ve Özel Nitelikli Veridir?

Çalışanı doğrudan ya da dolaylı olarak tanımlayan her bilgi kişisel veridir. Tipik bir İK sürecinde işlenen veri kategorileri şunlardır:

• Kimlik ve iletişim: Ad soyad, T.C. kimlik numarası, doğum tarihi, adres, telefon, acil durumda aranacak kişi
• Özlük ve mesleki bilgiler: Özgeçmiş, diploma, sertifikalar, önceki iş deneyimi, pozisyon, performans ve disiplin kayıtları
• Finansal bilgiler: Maaş, banka hesap bilgisi, icra kayıtları, yan haklar
• Fiziksel mekân ve işlem güvenliği: Kamera görüntüleri, kartlı geçiş ve mesai kayıtları, sistem erişim logları
• Aile bilgileri: Özellikle yan haklar ve vergi işlemleri için eş ve çocuk bilgileri

Bunlardan bazıları Kanun'da özel nitelikli kişisel veri olarak sayılır ve daha sıkı kurallara tabidir. İK süreçlerinde en sık karşılaşılanlar sağlık verileri (sağlık raporları, işe giriş muayenesi, engellilik durumu, kan grubu), ceza mahkûmiyetine ilişkin veriler (adli sicil kaydı), sendika üyeliği ve biyometrik verilerdir (parmak izi veya yüz tanıma ile giriş). Din bilgisi ise eski tip nüfus cüzdanı fotokopilerinde farkında olmadan işlenebilir; bu fotokopileri özlük dosyalarından ayıklamak basit ama sık atlanan bir adımdır.

Özel nitelikli verilerin işlenme şartları, Kanun'da yapılan değişikliklerle yeniden düzenlenmiş ve istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeler bu şartlar arasına alınmıştır. Güncel metnin kendi süreçlerinize nasıl uygulanacağını hukuk danışmanınızla birlikte değerlendirin.

İşe Alımdan Ayrılışa: Çalışan Verisinin Yaşam Döngüsü

İşe alım

Aday verisi, kişi henüz çalışan olmadan işlenmeye başlar. İlan platformlarından, e-postayla veya referans yoluyla gelen özgeçmişler için ayrı bir aday aydınlatma metni hazırlanmalıdır. Referans kontrolü ve adayın herkese açık profesyonel profillerinin incelenmesi, adaya bu konuda bilgi verilmesi ve pozisyonla ilgili bilgilerle sınırlı kalınması şartıyla yapılmalıdır. Özgeçmişlerin yöneticilerin e-posta kutularında ve masaüstü klasörlerinde birikmesi işe alım sürecinin en yaygın açığıdır; başvuruları tek bir sistemde veya erişimi sınırlı bir klasörde toplayın. Başvuru formlarında veri minimizasyonu ilkesini uygulayın: Medeni durum, fotoğraf veya sağlık bilgisi gibi pozisyonla doğrudan ilgisi olmayan bilgileri zorunlu alan olarak istemeyin.

Çalışma süresi

İş sözleşmesi imzalandıktan sonra bordro, sosyal güvenlik bildirimleri, izin yönetimi, eğitim ve performans süreçleri devreye girer. Bu verilerin önemli bölümü sözleşmenin ifası ve kanuni yükümlülükler kapsamında işlenir. İş mevzuatı işverene her çalışan için bir özlük dosyası tutma yükümlülüğü getirir ve bu bilgilerin dürüstlük kurallarına uygun kullanılmasını, gizli kalmasında çalışanın haklı menfaati bulunan bilgilerin açıklanmamasını ister.

Ayrılış

Çalışan ayrıldığında kullanıcı hesapları aynı gün kapatılmalı, cihazlar iade alınıp güvenli biçimde silinmeli, kurumsal e-posta kutusu için süresi belirli bir otomatik yanıt veya yönlendirme kurgulanmalıdır. Özlük dosyası aktif kullanımdan çıkarılıp erişimi daha da kısıtlı bir arşive alınmalı ve saklama süresi dolduğunda imha edilmelidir.

Çalışan Aydınlatma Metni ve Açık Rıza Gerektiren Durumlar

Çalışan aydınlatma metni; işlenen veri kategorilerini, her birinin amacını ve hukuki sebebini, verilerin aktarıldığı tarafları ve çalışanın haklarını içermelidir. Aktarılan taraflara tipik örnekler muhasebe bürosu, özel sağlık sigortası şirketi, iş sağlığı ve güvenliği hizmet sağlayıcısı ve bordro yazılımı sağlayıcısıdır. Metnin işe girişte imzalatılması yeterli değildir; kamera sistemi eklenmesi veya yeni bir İK yazılımına geçilmesi gibi değişikliklerde güncellenip yeniden duyurulmalıdır.

Açık rıza konusunda en yaygın hata, işe girişte her şeyi kapsayan tek bir rıza formu imzalatmaktır. İşveren ile çalışan arasındaki ilişki doğası gereği eşit değildir; bu nedenle çalışanın rızasını gerçekten özgür iradesiyle verdiğini göstermek zordur. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir şart varsa rıza yerine o şarta dayanılmalıdır. Açık rızanın gerçekten gerektiği tipik durumlar şunlardır:

• Çalışanın fotoğrafının veya videosunun kurumsal web sitesinde, sosyal medyada ya da tanıtım materyallerinde kullanılması
• Doğum günü gibi kişisel bilgilerin şirket içinde duyurulması
• İşe alınmayan adayın özgeçmişinin gelecekteki pozisyonlar için saklanması
• Zorunlu olmayan yan hak programları için ek veri toplanması

Rıza istenen her durumda çalışana reddetme seçeneği gerçekten sunulmalı ve reddetmek herhangi bir olumsuz sonuç doğurmamalıdır.

Kamera, Kartlı Geçiş ve E-posta İzlemede Sınırlar

İşveren, işyeri güvenliğini sağlamak ve iş süreçlerini yönetmek için izleme araçları kullanabilir; ancak her izleme faaliyeti ölçülülük ilkesiyle sınırlıdır. Karar verirken üç soru sorun: Amaç meşru mu? Bu amaca daha az müdahaleci bir yolla ulaşılabilir mi? Çalışan önceden bilgilendirildi mi?

• Kamera: Giriş çıkışlar, depo ve kasa gibi güvenlik gerektiren alanlarda kullanılabilir. Tuvalet, soyunma odası ve dinlenme alanları gibi mahremiyet beklenen yerlerde kamera bulunmamalıdır. Kamera bulunan alanlara bilgilendirme levhası asılmalı, ses kaydından kaçınılmalı, kayıtlara erişim birkaç yetkiliyle sınırlanmalı ve kayıtlar belirlenen süre sonunda otomatik olarak silinmelidir.
• Kartlı geçiş ve mesai takibi: Kart veya şifreyle yapılabilen bir takip için parmak izi ya da yüz tanıma gibi biyometrik yöntemler kullanmak, özel nitelikli veri işlendiği için ayrıca gerekçelendirilmelidir. Kişisel Verileri Koruma Kurulu kararlarında, daha az müdahaleci alternatifler varken biyometrik yöntemlerin ölçülülük ilkesiyle bağdaşmadığı yönünde değerlendirmeler bulunmaktadır.
• E-posta ve bilgisayar kullanımı: Kurumsal e-posta ve cihazların denetlenebileceği, önceden yazılı bir kullanım politikasıyla çalışanlara duyurulmalıdır. İzleme, güvenlik olayı incelemesi gibi belirli amaçlarla ve orantılı biçimde yapılmalı; sürekli ve gizli içerik izlemesinden kaçınılmalıdır. Tuş kaydı ve sürekli ekran görüntüsü alma gibi yoğun izleme araçları ciddi hukuki risk taşır.

Kişisel cihazlarla kurumsal verilere erişilen ortamlarda, çalışanın kişisel verisine dokunmadan yalnızca kurumsal veriyi yöneten çözümler tercih edilmelidir. Bu yaklaşımı mobil cihaz yönetimi ve BYOD rehberimizde ele aldık.

İK Sistemlerinde Erişim Yetkisi ve Teknik Tedbirler

Sahada karşılaştığımız çalışan verisi olayları çoğunlukla karmaşık saldırılardan değil, yanlış klasöre kaydedilmiş bir maaş tablosundan veya yanlış kişiye gönderilmiş bir bordrodan kaynaklanır. BT tarafında öncelikli tedbirler şunlardır:

1. Rol bazlı erişim: İK yazılımında, bordro sisteminde ve paylaşımlı klasörlerde yetkileri görev gereğine göre tanımlayın. Yöneticiler yalnızca kendi ekiplerinin gerekli bilgilerini görmeli; maaş ve sağlık bilgileri ayrı bir yetki seviyesinde tutulmalıdır.
2. Özel nitelikli veriler için ayrı ortam: Sağlık raporları ve adli sicil kayıtları, genel özlük dosyasından ayrı, erişimi daha dar ve her erişimin kaydedildiği bir alanda saklanmalıdır.
3. Güçlü kimlik doğrulama: İK ve bordro sistemlerine erişimde çok faktörlü doğrulama kullanın.
4. Şifreli paylaşım: Bordro ve özlük belgelerini düz e-posta eki olarak göndermek yerine çalışan portalı veya şifreli dosya paylaşımı kullanın.
5. Log kayıtları: Kimin hangi çalışan kaydını görüntülediğini veya değiştirdiğini kayıt altına alın ve bu kayıtları periyodik olarak inceleyin.
6. Uç nokta güvenliği: İK personelinin dizüstü bilgisayarlarında disk şifreleme, otomatik ekran kilidi ve güncel uç nokta koruması bulunmalıdır.
7. Fiziksel dosyalar: Kâğıt özlük dosyaları kilitli dolaplarda tutulmalı, anahtar ve erişim yetkisi sınırlı kişilerde olmalıdır.
8. Tedarikçi yönetimi: Bordro, sağlık sigortası ve İK yazılımı sağlayıcılarıyla veri işleme sözleşmesi yapın; verilerin nerede barındırıldığını ve yurt dışına aktarılıp aktarılmadığını öğrenin.

Teknik tedbirler, İK ekibi ve yöneticiler eğitilmedikçe eksik kalır. İK birimleri; sahte bordro, maaş hesabı değişikliği talebi veya özgeçmiş eki görünümündeki kimlik avı e-postalarının sık hedefidir. Bu senaryoları içeren düzenli farkındalık eğitimleri ve kontrollü kimlik avı testleri, bu tür olayların riskini belirgin biçimde azaltır. Tedbirlere rağmen bir çalışan verisi yanlış kişiye ulaşır veya yetkisiz erişime uğrarsa olayı hemen sınırlamak, kayıt altına almak ve bildirim yükümlülüğünü değerlendirmek gerekir; izlenecek adımları veri ihlali bildirim süreci rehberimizde anlattık.

Saklama Süreleri ve Güvenli İmha

Çalışan verileri için tek bir saklama süresi yoktur. Özlük dosyası, bordro ve sosyal güvenlik kayıtları; iş, vergi ve sosyal güvenlik mevzuatındaki saklama yükümlülükleri ile olası uyuşmazlıklardaki zamanaşımı süreleri dikkate alınarak saklanır. Kamera kayıtları ise genellikle çok daha kısa süre tutulur. Önemli olan her veri kategorisi için süreyi hukuki gerekçesiyle birlikte belirlemek ve yazılı bir saklama ve imha politikasında toplamaktır.

• İşe alınmayan adayların özgeçmişleri, rıza alınmadıysa süreç tamamlandıktan sonra makul bir süre içinde silinmelidir.
• Ayrılan çalışanların verileri aktif sistemlerden arşive taşınmalı ve yalnızca yasal saklama amacıyla erişilebilir olmalıdır.
• Kamera kayıtları için kısa ve sabit bir döngü belirlenmeli, kayıt cihazında otomatik silme ayarlanmalıdır.
• Kâğıt belgeler kâğıt imha makinesiyle, diskler ise güvenli silme veya fiziksel imha yöntemleriyle yok edilmelidir.
• E-posta arşivleri ve yedekler de bu sürelere dahil edilmelidir; aksi hâlde silinen veri yıllarca yedeklerde yaşamaya devam eder.

Politika hazırlama ve imhayı otomatikleştirme adımlarını saklama ve imha politikası rehberimizde ayrıntılı olarak ele aldık.

Sık Yapılan Hatalar ve Uyum Kontrol Listesi

Sık yapılan hatalar:

• Maaş bilgilerinin geniş erişimli bir tablo dosyasında tutulması
• Tüm çalışanlara tek tip, her şeyi kapsayan bir açık rıza formu imzalatılması
• Sağlık raporlarının genel özlük dosyasında, dosyaya erişen herkesin görebileceği şekilde durması
• Ayrılan çalışanın hesaplarının günlerce, hatta haftalarca açık kalması
• Kamera kayıtlarının süresiz saklanması veya mahremiyet alanlarında kamera bulunması
• Çalışan belgelerinin kişisel mesajlaşma uygulamalarındaki gruplarda paylaşılması

Kontrol listesi:

• Çalışan ve aday aydınlatma metinleri güncel ve duyurulmuş
• İK süreçlerine ait veri envanteri çıkarılmış, hukuki sebepler belirlenmiş
• Açık rıza yalnızca gerçekten gerekli durumlar için ve ayrı olarak alınıyor
• İK sistemlerinde rol bazlı yetki ve çok faktörlü doğrulama aktif
• Özel nitelikli veriler ayrı ve kısıtlı bir ortamda saklanıyor
• Kamera, kartlı geçiş ve e-posta kullanım politikaları yazılı ve duyurulmuş
• İşe giriş ve çıkış süreçleri BT hesap açma ve kapatma adımlarını içeriyor
• Tedarikçilerle veri işleme sözleşmeleri imzalanmış
• Saklama süreleri belirlenmiş ve periyodik imha uygulanıyor
• İK ekibi ve yöneticiler KVKK konusunda eğitim almış

İşletme genelindeki uyum çerçevesi için KVKK uyum rehberimize göz atabilirsiniz.

Sonuç

Çalışan verilerinin doğru yönetimi hem yasal bir yükümlülük hem de çalışanlarınıza verdiğiniz güvenin somut bir göstergesidir. İK'nın süreç bilgisi ile BT'nin erişim, şifreleme ve log altyapısı bir araya geldiğinde bu alan, kontrol altına alınması en kolay uyum başlıklarından birine dönüşür. Ümraniye Bilişim olarak siber güvenlik hizmetlerimiz kapsamında İK sistemlerinizin yetki yapısını gözden geçiriyor, işe giriş ve çıkış süreçlerini BT tarafında otomatikleştiriyor ve teknik tedbirleri belgeliyoruz. İK süreçlerinizi birlikte değerlendirmek için ücretsiz ön görüşme planlayabilirsiniz.