İnsan kaynakları, bir kurumda kişisel verinin en yoğun ve en hassas biçimde işlendiği alandır. Aday CV'lerinden performans değerlendirmelerine, sağlık raporlarından maaş bordrolarına kadar geniş bir veri yelpazesi İK süreçlerinden geçer. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında bu verilerin her biri belirli bir hukuki dayanağa, sınırlı bir amaca ve tanımlı bir saklama süresine bağlanmalıdır. Bu rehber, İK ekiplerinin uyum yükümlülüklerini ilkesel bir çerçevede sadeleştirmeyi amaçlar.
Çalışan Veri Yaşam Döngüsü
Uyumun temeli, verinin yaşam döngüsünü baştan sona görebilmektir. İK verisi tipik olarak beş aşamadan geçer:
- Aday aşaması: Başvuru, CV, referans ve mülakat notları.
- İşe alım: Sözleşme, kimlik, banka ve SGK bilgileri.
- İstihdam süreci: Bordro, izin, performans, eğitim ve sağlık kayıtları.
- İşten ayrılış: İbraname, çıkış işlemleri, bonservis.
- Ayrılış sonrası saklama: Yasal zamanaşımı süreleri boyunca arşivleme.
Her aşamada işlenen veri kategorisi, dayanağı ve saklama gerekçesi farklıdır. Bu nedenle envanter, tek bir liste değil aşama bazlı bir haritadır.
Hukuki Dayanakların Doğru Seçimi
İK süreçlerinde en sık yapılan hata, her işlemi açık rızaya dayandırmaktır. Oysa istihdam ilişkisinde çalışan ile işveren arasında yapısal bir güç dengesizliği bulunduğundan, rızanın özgür iradeyle verildiğini savunmak çoğu zaman zordur. Bu nedenle açık rıza son çare olmalıdır. Doğru yaklaşım, her işleme faaliyetine en uygun dayanağı eşleştirmektir:
- Sözleşmenin ifası: Maaş ödemesi, bordro, izin takibi gibi iş sözleşmesinin doğrudan gerektirdiği işlemler.
- Hukuki yükümlülük: SGK bildirimleri, vergi kesintileri, İş Kanunu ve iş sağlığı-güvenliği kapsamındaki kayıtlar.
- Meşru menfaat: Kurum güvenliği, sınırlı ve orantılı denetim gibi çalışan haklarını aşırı zedelemeyen işlemler.
- Açık rıza: Yalnızca yukarıdaki dayanakların hiçbirinin uymadığı, isteğe bağlı faaliyetler (ör. kurum içi kutlama fotoğraflarının paylaşımı).
Aday ve Çalışan Aydınlatması
Aydınlatma yükümlülüğü, verinin elde edildiği anda yerine getirilmelidir. Bu, adaylar için başvuru formunda veya kariyer sayfasında, çalışanlar için ise işe giriş evrakları arasında ayrı bir aydınlatma metniyle sağlanır. Aday aydınlatması ile çalışan aydınlatması ayrı belgeler olmalıdır; çünkü işlenen veri kategorileri, dayanaklar ve saklama süreleri farklıdır. Aydınlatma metni; işlenen veri türlerini, amaçları, hukuki dayanağı, aktarılan tarafları ve ilgili kişi haklarını açık ve anlaşılır dille içermelidir.
Aday CV Saklama Sınırları
Açık pozisyon kapandıktan sonra elenen adayların CV'lerini süresiz saklamak, amaçla sınırlılık ve saklama süresi ilkelerine aykırıdır. Uygulamada iki yol vardır: verileri makul bir süre sonunda silmek/anonimleştirmek veya adayın açık rızasıyla ileride değerlendirilmek üzere bir aday havuzunda tutmak. Havuzda tutma isteğe bağlı olduğundan burada açık rıza uygun bir dayanaktır. Belirlenen sürenin sonunda otomatik imha süreçleri devreye girmelidir.
İşyeri İzleme ve Orantılılık
Kamera kayıtları, e-posta ve internet loglama, giriş-çıkış turnikeleri gibi izleme faaliyetleri meşru menfaate dayanabilir; ancak orantılılık testinden geçmelidir. Bu test üç soruyu içerir: İzlemenin meşru bir amacı var mı? Aynı amaca daha az müdahaleci bir yolla ulaşılabilir mi? Çalışanın mahremiyet beklentisi ile kurumun menfaati arasındaki denge korunuyor mu? Çalışanlar izleme faaliyetleri hakkında önceden bilgilendirilmeli; gizli izlemeden kaçınılmalıdır.
Özlük Dosyası Yönetimi
İş Kanunu, işverene her çalışan için özlük dosyası tutma yükümlülüğü getirir. Bu yasal zorunluluk KVKK ile çelişmez; aksine "hukuki yükümlülük" dayanağını oluşturur. Ancak özlük dosyasına yalnızca istihdam ilişkisi için gerekli belgeler konulmalı, gereksiz hassas veriler (ör. amaçsız sağlık detayları) dosyada tutulmamalıdır. Fiziksel dosyalar kilitli ortamda, dijital kayıtlar erişim kontrollü sistemlerde saklanmalıdır.
Saklama Süreleri Tablosu
Aşağıdaki tablo ilkesel bir çerçeve sunar; kesin süreler ilgili mevzuattaki zamanaşımı ve saklama gerekliliklerine göre belirlenmelidir.
| Veri Kategorisi | Hukuki Dayanak | Saklama İlkesi |
|---|---|---|
| Bordro ve mali kayıt | Hukuki yükümlülük | Yasal zamanaşımı boyunca |
| Özlük dosyası | Hukuki yükümlülük | İlişki + yasal zamanaşımı süresince |
| Kamera kaydı | Meşru menfaat | Kısa ve orantılı süre |
| Performans değerlendirme | Sözleşmenin ifası | İhtiyaç süresince, sonra imha |
Uygulama Adımları Kontrol Listesi
- İK süreçlerini aşama aşama kişisel veri envanterine bağlayın.
- Her işleme faaliyetine tek ve doğru hukuki dayanağı eşleştirin.
- Ayrı aday ve çalışan aydınlatma metinleri hazırlayın.
- Aday CV saklama süresini tanımlayıp otomatik imhayı kurun.
- İzleme faaliyetleri için orantılılık analizi belgeleyin.
- Özlük dosyası erişimini rol bazlı sınırlayın.
- Saklama ve imha politikasını yazılı hale getirip periyodik denetleyin.
Örnek Senaryo
Bir teknoloji şirketi, yazılım geliştirici pozisyonu için 80 başvuru alır. Üç aday işe alınır, kalan 77 aday elenir. İK ekibi, işe alınanların verilerini sözleşmenin ifası ve hukuki yükümlülük dayanaklarıyla özlük dosyasına aktarır. Elenen adaylardan gelecekte değerlendirilmek isteyenlere ise ayrı bir onay kutusu sunulur; onay verenlerin CV'si 12 ay boyunca aday havuzunda tutulur, onay vermeyenlerin verileri süreç kapanışında anonimleştirilir. Böylece hem yetenek havuzu korunur hem de amaçla sınırlılık ilkesi ihlal edilmez.
Sık Sorulan Sorular
Çalışanın açık rızası olmadan verisini işleyebilir miyim?
Evet. İstihdam ilişkisinin gerektirdiği çoğu işlem sözleşmenin ifası veya hukuki yükümlülük dayanağına oturur. Açık rıza yalnızca isteğe bağlı işlemler için son çare olarak kullanılmalıdır.
Elenen adayların CV'lerini ne kadar saklayabilirim?
Başvurulan pozisyon kapandığında saklama amacı da sona erer. CV'leri süresiz tutamazsınız; makul sürede imha etmeli ya da adayın açık rızasıyla belirli süreli bir aday havuzunda tutmalısınız.
İşyerinde kamera ve e-posta izlemesi yasal mı?
Meşru menfaat dayanağıyla mümkündür, ancak orantılılık testinden geçmeli, çalışanlar önceden bilgilendirilmeli ve gizli izlemeden kaçınılmalıdır.
Özlük dosyası tutmak KVKK'ya aykırı mı?
Hayır. Özlük dosyası İş Kanunu'ndan doğan bir hukuki yükümlülüktür ve bu dayanakla tutulur. Yalnızca dosyaya gereksiz ve amaçsız hassas veriler eklenmemelidir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
JUS. ile İK süreçlerinizi veri envanteri, aydınlatma ve saklama takibiyle tek platformda yönetmek için demo talep edin.