En Sık Yapılan Hata: Her Şey İçin Rıza Almak
İşe giriş evrakları arasına konan "tüm kişisel verilerimin işlenmesine açık rıza veriyorum" metni, uyum sağlamaz — aksine risk yaratır. İki sebeple:
- Rıza gereksizdir. İş sözleşmesinin kurulması ve ifası için gerekli veriler zaten başka bir hukuki sebebe dayanır.
- Rıza serbest olmalıdır. İş ilişkisindeki bağımlılık nedeniyle çalışandan alınan rızanın "özgür irade" ile verildiği tartışmalıdır. Rızaya dayandırılan bir işlem, rıza geri alındığında dayanaksız kalır.
Doğru yaklaşım: önce hukuki sebebi belirleyin, rızayı yalnız zorunlu hâllerde kullanın.
Hukuki Sebep Haritası
| Veri | Hukuki sebep |
|---|---|
| Kimlik, iletişim, IBAN | Sözleşmenin ifası |
| SGK, vergi bildirimleri | Kanuni yükümlülük |
| Özlük dosyası belgeleri | Kanuni yükümlülük |
| Giriş-çıkış (PDKS) kaydı | Meşru menfaat / sözleşmenin ifası |
| İşyeri kamera kaydı | Meşru menfaat (ölçülülük şartıyla) |
| Sağlık raporu | Kanuni yükümlülük (İSG) |
| Fotoğrafın web sitesinde yayımı | Açık rıza |
| Referans için eski işverenle iletişim | Açık rıza |
| Kurumsal sosyal medyada paylaşım | Açık rıza |
Aydınlatma Metninde Bulunması Gerekenler
- Veri sorumlusunun kimliği
- Hangi verilerin işlendiği
- İşleme amaçları
- Hukuki sebepler
- Kimlere aktarıldığı (SGK, bankalar, OSGB, yazılım sağlayıcıları)
- Toplama yöntemi
- Saklama süresi
- İlgili kişinin hakları (md. 11) ve başvuru yolu
Metin, verinin alındığı anda sunulmalıdır; işe giriş evrak setinin ilk sayfası uygun yerdir.
Özel Nitelikli Veriler
Sağlık verisi, biyometrik veri (parmak izi ile giriş sistemleri), ceza mahkûmiyeti ve sendika üyeliği özel nitelikli sayılır.
- Sağlık verisi, yalnızca sır saklama yükümlülüğü altındaki kişilerce (işyeri hekimi) işlenebilir.
- Parmak izi/yüz tanıma ile giriş sistemleri için ölçülülük değerlendirmesi yapılmalı; alternatif yöntem (kart) sunulmalıdır.
- Bu veriler ayrı ve erişimi sınırlı biçimde saklanmalıdır.
Saklama ve İmha
Her veri türü için saklama süresi belirlenmeli ve süre dolduğunda imha edilmelidir. Saklama ve imha politikası yazılı olmalı; periyodik imha dönemleri (en geç 6 ayda bir) uygulanmalıdır.
"Ne olur ne olmaz saklayalım" yaklaşımı, KVKK açısından ihlaldir.
VERBİS Kaydı
Belirli kriterleri (çalışan sayısı, yıllık mali bilanço) aşan veri sorumluları VERBİS'e kayıt olmak ve işleme envanterini bildirmek zorundadır. Kayıt, envanterin çıkarılmasını gerektirir — bu envanter aynı zamanda iç uyumun da haritasıdır.
Sistemde Uyum
Yönetim İK'da erişim rol bazlıdır: maaş ve IBAN bilgisi yalnız İK ve yetkili yönetim rollerine görünür; düz yönetici rolüne bu alanlar hiç gönderilmez. Her kayıt değişikliği iz bırakır; kimin neyi ne zaman değiştirdiği kayıtlıdır.
Çalışan kendi verisini görebilir ve güncelleme talebi açabilir — talep onaya düşer. Bu akış, KVKK md. 11'deki "düzeltme talep etme" hakkının işleyen karşılığıdır.
Aydınlatma metinleri ve politikalar prosedür modülünden yayımlanır; kimin okuduğu tarihiyle kayıtlıdır.
