Personel Dosyalarında KVKK: Çalışan Verileri Nasıl Saklanmalı?

İnsan kaynakları bir şirket içindeki en yoğun kişisel veri alanlarından biridir. Kimlik bilgileri, iletişim, maaş, banka hesabı, izin, performans, sağlık raporu, engellilik durumu, disiplin kayıtları ve aile bilgileri aynı çalışanın dosyasında bir araya gelebilir. Bu nedenle personel dosyasını yalnız “İK klasörü” olarak görmek yeterli değildir; aynı zamanda ciddi bir kişisel veri işleme faaliyetidir.

KVKK uyumu için her belgenin altına “açık rıza aldık” yazmak da doğru yaklaşım değildir. Çalışan verilerinin bir bölümü kanuni yükümlülük, iş sözleşmesinin kurulması veya ifası, hakkın tesisi ya da işverenin hukuki yükümlülüğü gibi başka işleme şartlarına dayanabilir. Önce hangi veriyi neden işlediğinizi bilmek gerekir.

Her çalışan verisi için aynı hukuki sebep kullanılmaz

İş Kanunu’nun özlük dosyası hükmü işverene kimlik bilgileri ve kanunların gerektirdiği belge/kayıtları saklama yükümlülüğü verir. KVKK Kurulu da çalışan verilerinin bir kısmının kanunlarda açıkça öngörülme veya işverenin hukuki yükümlülüğünü yerine getirmesi gibi sebeplerle işlenebileceğini kararlarında açıklar.

Bu, işverenin çalışan hakkında istediği her veriyi toplayabileceği anlamına gelmez. Her veri kategorisinin amacı, gerekliliği ve işleme şartı ayrı değerlendirilmelidir.

Aydınlatma yükümlülüğü açık rızadan ayrı bir konudur

Çalışana hangi verilerin hangi amaçlarla işlendiği, kimlere ve hangi amaçlarla aktarılabileceği, toplama yöntemi, hukuki sebep ve KVKK kapsamındaki hakları hakkında bilgi verilmelidir. Aydınlatma metni, çalışanın yalnız imzalayıp dosyaya kaldırdığı anlaşılmaz bir hukuk metni olmamalı; gerçek veri akışını yansıtmalıdır.

Sağlık verileri daha sıkı korunmalı

Sağlık raporları, engellilik bilgileri ve diğer sağlık kayıtları özel nitelikli kişisel veridir. 2024’te KVKK’nın özel nitelikli kişisel verilerin işlenmesine ilişkin maddesinde değişiklik yapıldı. Bu veriler işlenirken güncel hukuki şartlar, gerekli teknik/idari önlemler ve erişim sınırları ayrıca değerlendirilmelidir.

Örneğin tüm departman yöneticilerinin çalışanların sağlık raporlarının ayrıntısını görmesi çoğu işyerinde gerekli değildir. Yönetici yalnız “izinli/raporlu” bilgisini görürken sağlık belgesinin kendisine İK veya yetkili sağlık biriminin erişmesi daha ölçülü olabilir.

Özlük dosyasına erişim rol bazlı olmalı

“İK klasörüne erişimi olan herkes her şeyi görsün” yaklaşımı veri güvenliğini zayıflatır. Ücret bilgisi, sağlık belgesi, disiplin kaydı ve kimlik verileri aynı hassasiyet düzeyinde değildir. Sistem erişimleri iş rolüne göre sınırlandırılmalı ve gereksiz geniş yetkiler düzenli olarak gözden geçirilmelidir.

E-posta ve ortak klasörler en sık kontrol edilmesi gereken alanlardır

Çalışan bir sağlık raporunu e-postayla gönderdiğinde belge posta kutusunda, indirilenler klasöründe, masaüstünde ve ortak ağ klasöründe birden fazla kopya halinde kalabilir. Personel belgesini asıl arşive aldıktan sonra gereksiz kopyaların nasıl yönetileceği şirket prosedüründe düşünülmelidir.

Veri minimizasyonu: gerçekten ihtiyacınız olmayan belgeyi istemeyin

İşe giriş listesine yıllar önce eklenmiş bir belge, artık hiçbir süreçte kullanılmıyor olabilir. Adli sicil, aile bireylerine ait ayrıntılar veya sağlık bilgileri “belki lazım olur” düşüncesiyle standart talep listesine konulmamalıdır. İşin niteliği ve hukuki gereklilik yoksa gereksiz veriyi hiç toplamamak en güvenli yöntemdir.

Saklama süresi dolan veriler için imha planı olmalı

Çalışanın işten ayrılması bütün verilerin hemen silineceği anlamına gelmez; iş ve sosyal güvenlik yükümlülükleri veya olası hukuki talepler nedeniyle belirli kayıtların saklanması gerekir. Ancak bu da özlük dosyasının süresiz saklanacağı anlamına gelmez. Belge bazlı saklama ve imha süreleri tanımlanmalıdır.

Dijital personel dosyasında temel güvenlik kontrol listesi

• Kullanıcı bazlı yetkilendirme ve güçlü kimlik doğrulama.
• Sağlık ve ücret verilerinde daraltılmış erişim.
• Belge görüntüleme/değişiklik kayıtlarının tutulması.
• Yedeklerin güvenli ve yetkili erişime kapalı olması.
• Çalışan ayrıldığında kullanıcı hesabının ve gereksiz erişimlerin kapatılması.
• Saklama süresi dolan veriler için silme/yok etme süreci.

İşverenin veri işlemesi her zaman açık rızaya dayanmaz

Personel verilerinde KVKK uyumu yalnız aydınlatma metni imzalatmaktan ibaret değildir. Doğru hukuki sebep, gerekli veriyi toplama, erişimi sınırlama, özel nitelikli verileri daha sıkı koruma ve saklama süresi bittiğinde imha etme birbirini tamamlayan adımlardır. En iyi başlangıç, mevcut özlük dosyasında hangi verilerin neden tutulduğunu tek tek haritalamaktır.

Aydınlatma metni çalışanın anlayacağı dille yazılmalı

Personel süreçlerinde sık yapılan hata, her veri için çalışana bir açık rıza metni imzalatmaktır. Oysa iş sözleşmesinin kurulması veya ifası, işverenin hukuki yükümlülükleri ya da bir hakkın tesisi/kullanılması gibi farklı hukuki sebepler gündeme gelebilir. Hangi veri için hangi sebebe dayanıldığını süreç bazında belirlemek gerekir. Açık rıza gerçekten gerekli olan alanlarda kullanılmalı; zorunlu iş süreçlerinin genel onay belgesine dönüştürülmemelidir.

Sağlık raporu ile sağlık bilgisinin kendisini ayırın

Çalışana verilerinin kim tarafından, hangi amaçlarla, hangi hukuki sebeple işlendiği ve kimlere aktarılabileceği anlatılmalıdır. Sayfalarca mevzuat maddesini kopyalayan ancak “maaş bilgilerimi kim görüyor?” sorusuna cevap vermeyen bir metin amacını kaçırır. Aydınlatmayı işe giriş paketinin görünmez bir eki değil, gerçekten okunabilir bir belge olarak tasarlamak daha doğrudur.

İşten ayrılan çalışanın hesabını kapatmak KVKK sürecinin sonu değildir

Yönetici çoğu zaman çalışanın raporlu olduğunu ve işe dönüş tarihini bilmek ister; tanı, tetkik sonucu veya ayrıntılı sağlık geçmişini bilmesine gerek yoktur. İnsan kaynakları sistemi de benzer şekilde belgeye erişimi sınırlayabilir. Özel nitelikli kişisel verilerin daha sıkı korunması, “herkes personel kartını görebiliyor” yaklaşımından kaçınmayı gerektirir.

Veri ihlali riskini azaltan günlük alışkanlıklar

Çalışanın uygulama hesabını pasife almak önemli bir adımdır; ancak ortak klasörler, e-posta ekleri, yerel bilgisayar kopyaları, yedekler ve basılı dosyalar da veri yaşam döngüsünün parçasıdır. Ayrılık sonrasında hangi verilerin hangi gerekçeyle saklanacağı, hangilerinin silineceği ve kimlerin erişmeye devam edeceği belirlenmelidir.

Personel verisini dış hizmet sağlayıcılarla paylaşırken aktarımı belgeleyin

Personel belgelerini kişisel WhatsApp hesaplarından istememek, T.C. kimlik numarasını dosya adına yazmamak, ortak klasörleri “herkese açık” bırakmamak, eski kullanıcı yetkilerini düzenli kapatmak ve hassas belgeleri e-posta zincirlerinde dolaştırmamak küçük ama etkili önlemlerdir. Güvenlik yalnız teknik ekip işi değildir; belge akışını tasarlayan insan kaynakları da doğrudan rol oynar.

Excel dosyaları da kişisel veri sisteminin parçasıdır

Bordro firması, özel sağlık sigortası, yemek kartı, yan hak platformu veya iş sağlığı hizmeti gibi üçüncü taraflar çalışan verisi işleyebilir. “Zaten hizmet aldığımız firma” demek tek başına yeterli değildir. Hangi veri kategorilerinin hangi amaçla aktarıldığı, tarafların rolü, güvenlik yükümlülükleri ve aktarım sona erdiğinde verinin ne olacağı sözleşme ve süreçlerde açık olmalıdır.

Çalışan talep ettiğinde veriye erişim süreci hazır olmalı

KVKK çalışması yapılırken yalnız ana İK yazılımına bakıp departmanların masaüstündeki Excel listelerini unutmak yaygın bir hatadır. Maaş listesi, sağlık raporu takibi, aday listesi veya izin çizelgesi e-posta eki olarak dolaşıyorsa ana sistemdeki rol yetkileri bu kopyaları korumaz. Veri envanteri gerçek akışı kapsamalıdır.

Yetki matrisi “İK / yönetici / çalışan” üçlüsünden daha ayrıntılı olabilir

Çalışan kendi kişisel verileriyle ilgili kanundaki haklarını kullanmak istediğinde başvurunun kime yapılacağı ve nasıl cevaplanacağı bilinmelidir. İK ekibinin “hangi sistemlerde bu kişinin verisi var?” sorusuna cevap verebilmesi için personel kimliğinin farklı sistemlerde tutarlı olması önemlidir. Dağınık klasörler bu talepleri yönetmeyi zorlaştırır.

Bordro uzmanı ücret verisine, işyeri hekimi sağlık verisine, ekip yöneticisi izin ve görev bilgisine, çalışan ise kendi kayıtlarına ihtiyaç duyabilir. Her rolün aynı personel kartını aynı ayrıntıyla görmesi gerekmez. Belge türü ve işlem bazında okuma/yazma yetkisi tanımlamak, en az yetki prensibini günlük İK kullanımına taşır.

Sonuç

Sık Sorulan Sorular

Çalışan verileri için her zaman açık rıza gerekir mi?

Hayır. Kanunda öngörülme, sözleşmenin ifası veya hukuki yükümlülük gibi başka işleme şartları bulunabilir; veri türü ve amaç ayrı değerlendirilmelidir.

Sağlık raporları özel nitelikli veri mi?

Evet. Sağlık verileri özel nitelikli kişisel veridir ve daha sıkı işleme/güvenlik şartlarına tabidir.

İK yöneticisi bütün personel verilerini görebilir mi?

Yetki iş ihtiyacına göre sınırlandırılmalıdır. Her rolün bütün çalışan verilerine sınırsız erişmesi gerekli değildir.

İşten çıkan çalışanın verileri hemen silinir mi?

Hukuki saklama gereklilikleri nedeniyle belirli kayıtlar tutulabilir; ancak amaç ve süre sona erdiğinde uygun imha yöntemi uygulanmalıdır.

BasitİK’ta ilgili konu

Çalışan belgelerini yetkili kullanıcılarla kişi bazında düzenlemek için Dijital Özlük Dosyası

Kaynaklar

• KVKK Kurul Kararı 2022/896
• Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber
• KVKK Kurul Kararı 2020/404