Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) yürürlüğe girmesi ile birlikte, işçi işveren arasında da kişisel verilerin korunmasına ilişkin yükümlülükler gündeme gelmiştir.
Her ne kadar İş Kanunu’nun 75. maddesi uyarınca işveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlü ise de, kişisel verilerin korunması mevzuatı uyarınca, işverenin yükümlülükleri boyut değiştirmiştir. Çünkü Kanun kapsamında işverenler veri sorumlusu sıfatını haizken, işçiler ilgili kişi konumuna gelmişlerdir.
Günümüzde işverenler, gerek işe alım sürecinde gerekse işçinin çalışması süresince işçiden birçok kişisel veri elde etmekte ve bu verileri farklı amaç ve yollarla işlemektedirler. İşveren, iş sözleşmesi kapsamında edindiği işçiden edinmiş olduğu kişisel verileri Kanun kapsamında ve Kanun’un öngördüğü biçimde korumakla yükümlüdür.
Ayrıca işe alım sürecinde adaylardan form doldurularak ya da özgeçmiş talebi ile elde edilen bilgilerinin de kişisel veri olduğu ve Kanun kapsamında korunması gerektiği unutulmamalıdır. Adayın işe alınmadığı durumlarda, kişisel verilerin işlenmesini gerektiren meşru bir neden olmadığı takdirde adayın işverene verdiği bilgiler silinmeli, yok edilmeli ya da anonim hale getirilmelidir.
Diğer kişisel verilerde olduğu gibi, işçinin kişisel verilerinin işlenmesinde de kural, Kanun’da öngörülen hukuka uygunluk sebeplerinin varlığı ya da işçinin açık rızasının alınmasıdır.
İşçinin Açık Rızası
İş sözleşmesinin imzalanması gibi taraflardan birinin diğeri üzerinde etkili olduğu durumlarda rızanın özgür iradeyle verilip verilmediğinin dikkatle değerlendirilmesi gerekir. Özellikle işçi-işveren ilişkisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğuracağı durumlarda, rızanın özgür iradeye dayandığı kabul edilemez.
Bu halde öncelikli olarak işçiden alınacak açık rızanın, aydınlatma yükümlülüğünün yerine getirilmesinin ardından, tamamen özgür iradesine dayanacak şekilde alınması gerekmektedir.
İşçinin açık rızasının, iş sözleşmesinden ve ayrı bir doküman düzenlenerek alınması önem arz etmektedir. İş sözleşmesi içerisinde yer verilen bir rıza hükmünün özgür iradeye dayandığının söylenebilmesi mümkün olmayacaktır. Bu halde, işçinin iş sözleşmesinden bağımsız olarak bir aydınlatma metni ve açık rıza metni hazırlanması gerekmektedir.
Bu koşullarla işçiden alınacak açık rıza metninde, işçinin hangi kişisel verilerinin işleneceği ve bu verilerin hangi amaçla işleneceği açıkça belirtilmelidir. Bu noktada ucu açık ifadelerden kaçınmak gerekir. Örneğin “belirtilenlerle sınırlı olmamak üzere”, “… gibi”, “diğer bilgi ve belgeler” gibi ifadelere yer verilmemelidir.
Ayrıca işveren, işçinin kişisel verilerini nerede depoladığı, hangi veri gruplarına kimlerin erişim sağlayabildiği, ne amaçla depolandığı, üçüncü kişilere aktarılıp aktarılmadığı hususlarının da anılan belgede yer alması gerekmektedir. Kısaca, işçinin neye rıza gösteriyor olduğu konusunda herhangi bir şüphe kalmamalıdır.
İşçilerin görüntüsü ve sesi üzerindeki ihlallerin önüne geçilebilmesi adına, işçinin usule uygun şekilde bilgilendirilmesi ve açık rızasının alınması gerekmektedir. Ayrıca, söz konusu olabilecek ihlallerin önüne geçilmesi açısından veri güvenliğine ilişkin her türlü tedbirin alınması ve sıkı şekilde uygulanması gerekmektedir.
Açık Rıza Alınmasını Gerektirmeyen Haller
Kanun, sınırlı olarak saydığı bazı istisnai hallerde açık rızaya gerek duyulmaksızın işlemeye izin vermektedir. İş hukuku alanında bu hallerden en önemlisinin işlemenin kanunda açıkça öngörülmüş olması hali olduğu söylenebilir.
Örneğin işverenin İş Kanunu uyarınca özlük dosyası hazırlaması bir zorunluluktur. Özlük dosyasında yer alan belgeler bakımından açık rıza söz konusu olmadığı gibi, yetkili kamu otoriteleri ile bu dosyaların paylaşılması da işçinin açık rızasına tabi değildir.
Bu noktada dikkat edilmesi gereken husus, Kanun’da yer alan istisna hükümlerinin titizlikle uygulanması gerektiğidir. Örneğin, işveren yalnızca özlük dosyasında bulundurulması zorunlu bilgi ve belgeler bakımından açık rıza almayacaktır. İşçinin kanunlarda yer alan bilgileri dışındaki her türlü verisi bakımından yine açık rıza prosedürünün izlenmesi gerekecektir.
Kanunlarda açıkça öngörülmesi gibi istisna hükümlerinin bulunmadığı durumlarda işçinin açık rızası usulüne uygun olarak alınmalıdır. Örneğin işçiye bir araç tahsis edilmesi araç takip sistemi ile işçinin konum verisi işleniyorsa işçinin rızası alınmalıdır. Çünkü bu durum kanunlarda işverenin zorunluluğu olarak düzenlenmiş bir konu olmadığı gibi, diğer istisna hallerine de girmemektedir.
Burada hemen belirtmek gerekir ki, son istisna hali olan veri sorumlusunun meşru menfaatinin bulunması dar yorumlanmalı ve çok istisnai hallerde bu hükümden faydalanılarak işleme gerçekleştirilmelidir.
Her türlü kişisel verinin işlenmesinde olduğu gibi, işverenlerin veri sorumlusu olarak verilerin işlenmesinde uyulması gereken temel prensiplere uyulması gerektiğini de unutmamalıdır.
