Çalışan Verileri ve KVKK: Aydınlatma mı, Açık Rıza mı?

İK'nın işlediği verilerin büyük kısmı için çalışandan açık rıza almak gerekmez: bordro, SGK bildirimi ve ücretin ödenmesi gibi işlemler Kişisel Verilerin Korunması Kanunu'nun saydığı diğer hukuki sebeplere, özellikle kanuni yükümlülüğe ve sözleşmenin ifasına dayanır. Buna karşılık her durumda veri toplanırken çalışana aydınlatma yapılır: kimin, hangi amaçla, kime aktararak veri işlediği anlatılır.

Temel kavramlar

6698 sayılı Kanun'un 3. maddesindeki tanımların İK'daki karşılıkları:

Kavram	Kanundaki anlamı	İK'da
Kişisel veri	Kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi	Ad, T.C. kimlik numarası, ücret, IBAN
İlgili kişi	Kişisel verisi işlenen gerçek kişi	Çalışan, aday, eski çalışan
Veri sorumlusu	İşleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminden sorumlu kişi	İşveren
Veri işleyen	Veri sorumlusunun verdiği yetkiyle onun adına veri işleyen kişi	Bordro hizmeti veren mali müşavir, İK yazılımı sağlayıcısı
Açık rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza	Gönüllü bir yan hak programına katılım onayı

Genel ilkeler

4. madde her işlemde uyulacak beş ilkeyi sayar:

a) Hukuka ve dürüstlük kurallarına uygun olma. b) Doğru ve gerektiğinde güncel olma. c) Belirli, açık ve meşru amaçlar için işlenme. ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Ölçülülük ilkesi İK'da en sık çiğnenen ilkedir: bordro için gerekmeyen bir bilgiyi işe giriş formunda istemek, amaçla bağlantılı ve sınırlı olma şartına aykırıdır.

Açık rıza her zaman gerekmez

5. maddenin ilk fıkrası kuralı koyar: kişisel veriler ilgili kişinin açık rızası olmadan işlenemez. İkinci fıkra ise açık rızanın aranmadığı yedi hâli sayar:

Hukuki sebep (5/2)	İK'dan olası örnek
a) Kanunlarda açıkça öngörülmesi	SGK işe giriş bildirgesindeki bilgiler
b) Rıza açıklayamayan kişinin hayatı ya da beden bütünlüğü için zorunluluk	İşyerinde bilinci kapalı çalışanın bilgilerinin sağlık ekibine verilmesi
c) Sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması	Ücretin ödenmesi için IBAN
ç) Veri sorumlusunun hukuki yükümlülüğü	Bordro, muhtasar ve prim hizmet beyannamesi kayıtları
d) İlgili kişinin kendisinin alenileştirmesi	Çalışanın herkese açık profesyonel profilindeki unvanı
e) Bir hakkın tesisi, kullanılması ya da korunması için zorunluluk	İş davasında savunma için puantaj ve bordroların kullanılması
f) Temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat	Güvenlik için makul ölçüde işyeri giriş kayıtları

Örnekler hukuki sebeplerin İK'daki olası karşılıklarıdır; her somut işlemde sebebin gerçekten uyup uymadığı ayrıca değerlendirilmelidir.

Pratik sonuç. Kanuni yükümlülüğe ya da sözleşmenin ifasına dayanan bir işlem için ayrıca açık rıza istemek gerekmez. Böyle bir işlemi rızaya bağlamak, çalışan rızasını geri aldığında işlemin dayanaksız kalmış gibi görünmesi sorununu da doğurur.

Bordrodaki veriler ve hukuki sebepleri

Bordrodaki veri	Olası hukuki sebep
Ad, T.C. kimlik numarası, SGK sicil bilgisi	Kanuni yükümlülük (SGK bildirimleri, vergi beyannameleri)
Brüt ücret, kesintiler, gelir vergisi matrahı	Kanuni yükümlülük
IBAN	Sözleşmenin ifası (ücretin ödenmesi)
İcra kesintisi	Kanuni yükümlülük (icra dairesinin yazısı)
Engellilik derecesi, sendika aidatı, rapor günleri	Özel nitelikli veri; 6. maddedeki şartlar aranır

Son satırdaki veriler sağlık ve sendika üyeliği bilgisi taşıdığı için daha sıkı kurallara tabidir; ayrıntı özel nitelikli veriler yazımızda.

Aydınlatma yükümlülüğü

Hukuki sebep ne olursa olsun, 10. maddeye göre veri elde edilirken ilgili kişiye bilgi verilir:

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.

Aydınlatma bir onay değildir; çalışanın "rıza" imzasını gerektirmez. Ancak yapıldığını ispat edebilmek için yazılı ya da elektronik bir iz bırakmak yararlıdır.

İK için kontrol listesi

• Ayrı metinler hazırlayın. Aday ve çalışan için ayrı aydınlatma metni yazın; özgeçmiş toplanan her kanalda aday metnini görünür kılın.
• Envanter tutun. Her veri türü için hukuki sebebi bir veri envanterine yazın; açık rızayı yalnız gerçekten gereken işlemlere ayırın.
• Veri işleyenle sözleşme yapın. Bordro ya da İK yazılımı sağlayıcısıyla veri güvenliğine ilişkin yazılı sözleşme imzalayın.
• Formları sadeleştirin. İşe giriş formunda bordro ve SGK işlemleri için gerekmeyen bilgileri istemeyin.

Sık sorulan sorular

Bordro için çalışandan açık rıza almak gerekir mi? Genellikle hayır. Bordro ve SGK işlemleri kanuni yükümlülüğe, ücretin ödenmesi sözleşmenin ifasına dayanır.

Aydınlatma metni ile açık rıza aynı şey mi? Hayır. Aydınlatma bilgi vermektir ve her durumda yapılır; açık rıza ise belirli bir işleme özgür iradeyle verilen onaydır.

Aydınlatma metninde neler bulunur? Veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ilgili kişinin hakları.

Bordro hizmeti veren firma veri sorumlusu mudur? Genellikle veri işleyendir: işveren adına ve onun verdiği yetkiyle veri işler. Veri sorumlusu işverendir.