İşe Alım Sürecinde KVKK Aday ve Çalışan Verileri Nasıl Korunur?

1. İşe Alım Sürecinde KVKK Uyumunun Temelleri

İşe alım prosesinde veri sorumlusu; adayın değerlendirilmesi amacıyla kişisel verileri toplar ve işler. Bu süreçte temel prensipler: belirli ve meşru amaç, veri minimizasyonu, şeffaflık, güvenlik ve saklama sınırıdır.

• Yetki ve rol yönetimi: Aday verilerine yalnızca işe alımda görevli sınırlı personel erişebilmelidir.
• Eğitim ve farkındalık: İşe alımda görevlendirilen çalışanlara KVKK ve gizlilik odaklı özel eğitimler verilmelidir.
• Amaç dışı kullanım yasağı: Aday verileri reklam/pazarlama gibi işe alımla ilgisiz amaçlarla kullanılmamalıdır.
• Paylaşım kontrolü: Aday verileri üçüncü kişilerle ancak hukuki şartlar ve bilgilendirme çerçevesinde paylaşılmalıdır.

2. Aday Başvuru Formları ve Veri Minimizasyonu

Aday başvuru formları, veri minimizasyonu ilkesinin en görünür uygulama alanıdır. Adaydan yalnızca işe uygunluk değerlendirmesi için gerekli veriler istenmelidir. “Genel merak” veya “ileride lazım olabilir” yaklaşımı, uyumsuzluk riski doğurur.

Toplanmaması / sınırlanması gereken örnek veriler

• İşle ilgisiz finansal bilgiler: İşe alım aşamasında banka hesap bilgisi talebi (genellikle gereksizdir).
• İşle ilgisiz adli/ceza geçmişi: Pozisyon gerektirmiyorsa bu tür veriler sorulmamalıdır.
• Şoförlük gerektirmeyen pozisyonlarda trafik cezası/kaza geçmişi sorgulaması yapılmamalıdır.
• Ayrımcılığa yol açabilecek bilgiler: Adayın özel hayatı, aile durumu, inanç/siyasi görüş gibi alanlar işe alımda talep edilmemelidir.

3. Aydınlatma Yükümlülüğü: Adayı Nasıl Bilgilendirmelisiniz?

Adaylar; kişisel verilerinin hangi amaçlarla işlendiğini, kimlere aktarılabileceğini, hangi yöntemle toplandığını ve haklarını açıkça bilmelidir. İşe alım aydınlatması, “genel gizlilik politikası” yerine işe alım faaliyeti ile sınırlı ve erişilebilir bir metin olarak kurgulanmalıdır.

Aday aydınlatma metninde minimum içerik

• Veri sorumlusu (ve varsa temsilci) kimlik bilgileri
• İşleme amaçları (başvurunun alınması, değerlendirme, mülakat planlama, uygunluk analizi vb.)
• Aktarım (grup şirketleri, danışmanlık/İK yazılımı sağlayıcıları, yetkili kurumlar vb. varsa)
• Hukuki sebep (KVKK m.5/2 kapsamındaki şartlar veya açık rıza gerektiren haller)
• Saklama süresi ve imha yöntemi (silme/yok etme/anonimleştirme)
• İlgili kişi hakları ve başvuru kanalı

4. Özel Nitelikli Veriler: Ne Zaman Açık Rıza Gerekir?

İşe alım sürecinde ayrımcılığa yol açabilecek özel nitelikli kişisel verilerin talep edilmesi kural olarak kaçınılması gereken yüksek riskli bir alandır. Buna rağmen bazı pozisyonlarda (işin niteliği gereği) sağlık raporu, psikolojik değerlendirme veya alkol/uyuşturucu testi gibi uygulamalar gündeme gelebilir.

Açık rıza + ekstra güvenlik gerektirebilecek örnekler

• Psikolojik test sonuçları / değerlendirme raporları
• Sağlık verileri (işe uygunluk raporu dahil)
• Alkol/uyuşturucu testleri

Bu gibi veriler toplanacaksa; aday önceden ayrıntılı bilgilendirilmeli, açık rıza özgür iradeye dayalı şekilde alınmalı ve veri güvenliği tedbirleri (erişim kısıtı, şifreleme, ayrı saklama, kısa saklama süresi, loglama) artırılmalıdır.

5. Saklama – İmha: Süreç Bitince Ne Yapılmalı?

İşe alım ve değerlendirme süreci tamamlandığında, aday verileri “otomatik arşiv” mantığıyla tutulmamalıdır. Olumsuz sonuçlanan başvurular için, kurumun saklama ve imha politikasında belirlenen makul süre sonunda veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir.

İyi uygulama örnekleri

• Süre bazlı otomasyon: ATS/İK sisteminde otomatik imha tetikleyicileri.
• Arşiv ayrımı: Aktif aday havuzu ile kapalı başvuruların ayrı saklanması.
• İmha kayıtları: Silme/yok etme işlemlerinin kayıt altına alınması (hesap verebilirlik).

6. Çalışma Boyunca Kişisel Verilerin Korunması

İstihdam başladıktan sonra işveren; çalışan verilerini bordro, yan haklar, performans, erişim yönetimi ve iş sağlığı-güvenliği gibi süreçlerde işler. Bu süreçlerde temel hedef; verilerin doğru-güncel tutulması, erişimin ihtiyaç kadar sınırlandırılması ve güvenliğin teknik-idari tedbirlerle sürdürülebilir hale getirilmesidir.

Çalışanların hakları ve kontrol mekanizması

• Çalışanlar, kendileriyle ilgili tutulan kişisel verilere erişim ve hatalı verilerin düzeltilmesini talep edebilir.
• İşveren, çalışanlara veri doğrulama/düzeltme kanalları sağlamalı ve başvuruları yönetmelidir.

7. Özlük Dosyası: Hukuki Dayanak ve Güvenlik

4857 sayılı İş Kanunu uyarınca işveren, her işçi için özlük dosyası tutmak ve belirli kayıtları muhafaza etmekle yükümlüdür. Bu kapsamda özlük dosyasında yer alan kişisel veriler bakımından işveren; çalışanı aydınlatmak ve güvenliği sağlamakla sorumludur.

Özlük dosyasında güvenlik ilkeleri

• Fiziksel güvenlik: Basılı evraklar kilitli alanlarda, erişimi sınırlı biçimde saklanmalıdır.
• Dijital güvenlik: Personel verileri şifreleme ve erişim yetkisiyle korunmalı; rol bazlı erişim uygulanmalıdır.
• Ayrıcalıklı erişimler: Özlük verilerine erişebilen personele gizlilik taahhüdü ve disiplin hükümleri uygulanmalıdır.

8. Teknik ve İdari Tedbirler (İK İçin)

İK süreçlerinde veri güvenliği; yalnızca BT kontrolü değil, süreç sahipliğidir. Aşağıdaki tedbirler işe alım + çalışma yaşam döngüsünde temel kontrol setini oluşturur.

İdari tedbirler

• İşe alımda görevli personele KVKK ve gizlilik eğitimleri (periyodik)
• İK için rol ve sorumluluk matrisi, yetki tanımları
• Gizlilik sözleşmeleri ve iş sözleşmesine KVKK hükümleri
• İmha süreçleri ve kayıtlarının tutulması (hesap verebilirlik)
• Üçüncü taraf İK yazılımları/ajanslar için veri işleme sözleşmeleri

Teknik tedbirler

• İK sistemlerinde güçlü parola + mümkünse çok faktörlü doğrulama (MFA)
• Şifreleme (veri tabanı ve yedekler dahil), anahtar yönetimi
• Loglama ve izleme (yetkisiz erişim denemeleri dahil)
• USB/CD gibi taşınabilir ortamlara veri aktarım kısıtları
• Güvenlik duvarı, ağ geçidi, antivirüs/EDR gibi uç nokta korumaları

9. Sık Sorulan Sorular (SSS)