KVKK Çalışan Hakları: Çalışanların Kişisel Verileri ve İşveren Yükümlülükleri
KVKK çalışanları, yani bir işletmede çalışan gerçek kişiler, kişisel verileri bakımından kanun karşısında geniş bir hak setine sahiptir. Kimlik, unvan, iletişim, özlük ve performans bilgileri; bordro, izin, vardiya ve benzeri tüm kayıtlar, KVKK kapsamında kişisel veri olarak değerlendirilir ve belirli kurallara göre işlenmek zorundadır.
Günümüzde çalışan kayıtları, genellikle otomatik sistemler veya düzenli bilgi girişi yapılan veri tabanları üzerinde tutulmaktadır. Bu tablolar; özel veya kamu ayrımı olmaksızın, veri sorumlusu sıfatına sahip tüm kurum ve kuruluşların hukuki sorumluluk ve yükümlülükleri dışında değildir. Çalışan verilerinin işlenmesi, saklanması ve silinmesi süreçlerinde, KVKK’ya ve dürüstlük kurallarına uygun hareket edilmesi zorunludur.
Çalışan verisi: Kimlik, iletişim, özlük, performans ve benzeri tüm kayıtlar kişisel
veridir.
İşveren yükümlülüğü: Verilerin; hukuka uygun, doğru, güncel, belirli amaçlı,
sınırlı ve ölçülü işlenmesi gerekir.
Çalışan hakları: Aydınlatılma, erişim, düzeltme, silme/anonimleştirme talebi ve
Kurul’a şikâyet hakkı.
Önemli nokta: Gereksiz, amacı aşan veri talebi ve saklaması, KVKK ihlali doğurabilir.
1. KVKK Kapsamında Çalışan Verileri
Çalışanlara ait kişisel veriler; elektronik ortamda yer alan ve veri kayıt sistemine uygun olarak sistemli biçimde işlenen tüm verileri kapsar. Bunlara örnek olarak:
- Kimlik bilgileri (ad, soyad, T.C. kimlik numarası, doğum tarihi vb.),
- Unvan, pozisyon ve görev bilgileri,
- İletişim ve haberleşme bilgileri,
- Özlük dosyaları, bordro, izin, vardiya bilgileri,
- Performans değerlendirme, eğitim ve yetkinlik kayıtları
verilebilir. Bu verilerin bir kısmı hassas veri niteliğinde de olabilir (örneğin sağlık verileri, sendika üyeliği vb.) ve bu durumda daha sıkı koruma tedbirleri uygulanmalıdır.
Şirketlerde kadro bilgileri ve çalışan kayıtları; ister otomatik sistemler, ister düzenli bilgi girişi yapılan dosya ve tablolarda tutulsun, KVKK’ya göre kişisel veri işleme faaliyeti olarak değerlendirilir. Bu nedenle; özel veya kamu tüm veri sorumluları, çalışan verilerinin gizliliğini korumakla yükümlüdür.
2. İşverenin (Veri Sorumlusunun) Yükümlülükleri
Çalışanların verileri noktasında, veri sorumlusunun yani kayıtları işleyen kurum veya işletmenin KVKK kapsamında bir dizi yükümlülüğü vardır. Bunların başlıcaları:
- Hukuka ve dürüstlük kuralına uygun işleme: Kişisel veriler, kanunlara ve genel dürüstlük ilkelerine uygun şekilde işlenmelidir.
- Doğru ve güncel olma: Bilgilerin gerçek, doğru ve gerektiğinde güncel tutulması gerekir. Eksik veya yanlış veri, çalışan açısından hak kaybına yol açabilir.
- Belirli, açık ve meşru amaç: Verilerin hangi amaçla işlendiği belirli ve açık olmalı; çalışanlara bu amaç şeffaf şekilde açıklanmalıdır.
- İlgili, sınırlı ve ölçülü olma: İşlenen veriler, iş ilişkisinin gerektirdiği kadar ve amaçla bağlantılı olmalıdır; gereksiz veri toplamak KVKK’ya aykırıdır.
- Saklama süresi yönetimi: Veriler, yalnızca ilgili amaç için gerekli süre boyunca saklanmalı; süre sonunda silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
Bu çerçevede işveren, çalışan verilerini hem teknik tedbirlerle (erişim kısıtları, şifreleme, loglama vb.) hem de idari tedbirlerle (politikalar, prosedürler, eğitimler) korumakla yükümlüdür.
3. Amaçla Sınırlı ve Orantılı Veri İşleme
Kişisel verilerin alınmasında bir çalışan olarak özellikle dikkat etmeniz gereken nokta, bilgilerin hangi amaçla istendiğidir. İşveren yalnızca iş ilişkisiyle doğrudan ilgili, gerekli verileri talep edebilir.
Örneğin; bir temizlik şirketine iş başvurusu yaparken, sizden sendika üyelikleriniz, siyasi görüşleriniz veya vakıf/dernek üyelikleriniz gibi hassas bilgilerin istenmesi, genellikle amacı aşan ve KVKK’ya aykırı bir veri talebi olacaktır. Bu tür bilgilerin, işin niteliği ile doğrudan bir ilgisi bulunmadığı sürece işlenmesi hukuka aykırı sayılabilir.
Benzer şekilde; işten ayrıldığınızda veya verilerin saklama süresi dolduğunda, kişisel verilerinizin silinmesi, yok edilmesi ya da anonim hâle getirilmesi gerekir. Bu yönde talepte bulunabilir; talebin yerine getirilmemesi hâlinde Kişisel Verileri Koruma Kurumu’na başvuru ve akabinde şikâyet hakkınızı kullanabilirsiniz.
4. Çalışanların KVKK Kapsamındaki Hakları
Çalışanlar da diğer tüm ilgili kişiler gibi KVKK kapsamında geniş haklara sahiptir. Bu haklar özetle:
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- Verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurtiçi veya yurtdışında verilerin aktarıldığı üçüncü kişileri bilme,
- Eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
- İşleme amaç veya süresinin ortadan kalkması hâlinde verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini talep etme,
- Talep ve başvurularının sonucu hakkında bilgi alma, talebin reddi hâlinde ise Kurum’a şikâyet etme.
Aydınlatılma hakkı da çalışanlar için son derece önemlidir. Kişisel verileriniz işlenirken; işvereninizden:
- Hangi verilerinizin,
- Hangi amaçlarla,
- Hangi hukuki sebebe dayanarak,
- Kimlerle paylaşıldığı ve ne kadar süre saklandığı
konularında bilgi isteme hakkınız vardır. İşveren, bu sorularınıza KVKK’da belirtilen süreler içinde ve açıklayıcı bir biçimde yanıt vermek zorundadır. Aksi durumda şikâyet yoluna başvurabilirsiniz.
5. İtiraz, Şikâyet ve Destek Mekanizmaları
İşvereninizin kişisel verilerinizi hukuka aykırı şekilde işlediğini, amacı aşan veri talebinde bulunduğunu veya silme/anonimleştirme taleplerinizi karşılamadığını düşünüyorsanız, şu adımları izleyebilirsiniz:
- Öncelikle veri sorumlusuna (işvereninize) yazılı başvuru yapmak,
- Başvurunuzun reddedilmesi veya süresinde yanıt verilmemesi hâlinde KVKK Kurumu’na şikâyet etmek,
- Gerekiyorsa yargı yoluna başvurmak.
Kişisel verilerin korunması, yalnızca hukuki metinlerin değil, kurumsal kültür ve işyeri uygulamalarının da bir parçası hâline gelmelidir. Bu nedenle işletmelerin, çalışan verilerini korumaya yönelik gerekli teknik ve idari tedbirleri almaları, eğitimler düzenlemeleri ve güncel mevzuatı takip etmeleri büyük önem taşır.
NESİL TEKNOLOJİ olarak; hem kurumların KVKK uyum süreçlerinde hem de çalışanların haklarının doğru anlaşılması ve uygulanmasında destek sunmayı hedefliyoruz. Gerek çalışanlar gerekse işverenler açısından bilinçli, şeffaf ve güvenli veri işleme süreçleri inşa etmek mümkündür.
6. Sık Sorulan Sorular
İşverenim benden hangi çalışan verilerini isteyebilir?
İşveren, iş ilişkisinin kurulması ve yürütülmesi için gerekli ve ilgili olan kişisel verilerinizi isteyebilir. Kimlik, iletişim, özlük ve bordro bilgileri buna örnekken; siyasi görüş, sendika üyeliği veya vakıf/dernek üyeliği gibi veriler, işin niteliğiyle doğrudan ilgili değilse genellikle talep edilemez.
İşten ayrıldıktan sonra kişisel verilerim ne olacak?
İşten ayrılmanız hâlinde, verileriniz yalnızca ilgili mevzuatta öngörülen veya ispat yükümlülükleri gereği gerekli olduğu süre boyunca saklanabilir. Bu sürenin sonunda kişisel verilerinizin silinmesini, yok edilmesini veya anonim hâle getirilmesini isteyebilirsiniz.
İşveren hangi verileri talep ederse KVKK’ya aykırı olur?
İşle ilgisi olmayan, amacı aşan ve ölçüsüz nitelikteki veri talepleri KVKK’ya aykırı olabilir. Örneğin, sıradan bir pozisyon için başvuruda bulunan çalışandan, din, mezhep, siyasi görüş, sağlık geçmişi gibi detaylı bilgiler istenmesi çoğu durumda hukuka aykırı veri işleme anlamına gelir.
Aydınlatılma hakkımı nasıl kullanabilirim?
Veri sorumlusu olan işvereninize yazılı veya uygun iletişim kanallarıyla başvurarak; hangi verilerinizin, hangi amaçlarla, hangi hukuki sebebe dayanarak işlendiğini; kimlere aktarıldığını ve ne kadar süre saklanacağını sorabilirsiniz. İşveren bu sorularınızı KVKK’da belirtilen sürelerde yanıtlamak zorundadır.
Verilerimin silinmesini talep etme hakkım var mı?
Evet. Verilerinizin işlenme amacı ortadan kalkmışsa veya saklama süresi dolmuşsa; kişisel verilerinizin silinmesini, yok edilmesini veya anonim hâle getirilmesini isteyebilirsiniz. Talebinizin reddi veya cevapsız bırakılması hâlinde Kurum’a şikâyet hakkınız bulunmaktadır.
İşveren KVKK’ya uymazsa nereye şikâyet edebilirim?
Önce işvereninize (veri sorumlusuna) başvuru yapmanız gerekir. Başvuruya olumsuz cevap verilmesi veya yanıt alınamaması hâlinde, KVKK’da belirtilen süreler içinde Kişisel Verileri Koruma Kurumu’na şikâyette bulunabilirsiniz. Gerekirse yargı yoluna başvurmanız da mümkündür.
