İnsan kaynakları, bir şirkette en yoğun kişisel veri işleyen birimdir: CV'ler, kimlik bilgileri, sağlık raporları, banka hesapları, performans notları. Bu verilerin çoğu 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır ve bir kısmı "özel nitelikli" veri sayılarak daha ağır korumaya tabidir. Bu yazı, hukuki metin okumadan işin özünü kavramak isteyen İK ekipleri için hazırlandı.
Not: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Şirketinize özgü durumlar için hukuk danışmanınıza başvurun.
İK'da hangi veriler işlenir?
- Kimlik ve iletişim: Ad-soyad, T.C. kimlik numarası, adres, telefon, e-posta.
- Özlük: Sözleşme, ücret, SGK bilgileri, izin kayıtları.
- Eğitim ve mesleki deneyim: Diploma, sertifika, referanslar, CV içeriği.
- Özel nitelikli veriler: Sağlık raporu, engellilik durumu, adli sicil, sendika üyeliği, biyometrik veri (parmak izli giriş sistemleri dâhil).
Özel nitelikli veriler kritik ayrımdır: bunların işlenmesi kural olarak açık rıza gerektirir ve kanunda sayılan istisnalar dışında saklanamaz. Örneğin işe alım aşamasında adaydan sağlık raporu ya da adli sicil kaydı istemek, pozisyonun gerektirdiği istisnai durumlar dışında savunulabilir değildir.
Hukuki dayanak: her şey için rıza almak yanlıştır
Yaygın bir yanılgı, tüm veri işleme faaliyetleri için çalışandan rıza almaktır. Oysa iş sözleşmesinin kurulması ve ifası için gerekli veriler ile kanunen zorunlu bildirimler zaten rıza dışındaki dayanaklara girer. Üstelik çalışanla işveren arasındaki ilişkide rızanın "özgür iradeyle" verildiğini savunmak zordur; bu nedenle rızaya dayandırılan işlemler denetimde daha kırılgandır.
Buna karşılık, iş ilişkisi için zorunlu olmayan kullanımlar açık rıza ister. Tipik örnekler: adayın CV'sinin başka şirketlerle paylaşılması, çalışan fotoğrafının web sitesinde yayınlanması, işe alım için toplanan verinin sonradan farklı bir amaçla kullanılması.
Aday CV'leri ne kadar süreyle saklanabilir?
Kanun tek bir süre belirtmez; ölçüt, verinin işlendiği amacın ortadan kalkmasıdır. Başvurulan pozisyon kapandığında amaç da sona erer. CV'yi ileride değerlendirmek üzere havuzda tutmak istiyorsanız bu ayrı bir amaçtır ve adayı bilgilendirip rızasını almanız gerekir. Uygulamada makul kabul edilen yaklaşım şudur:
- Başvuru sürecinde: pozisyon sonuçlanana kadar.
- Havuzda saklama: adayın açık rızasıyla ve belirli bir süre (yaygın uygulama 1-2 yıl), süre sonunda otomatik silme.
- Rıza geri çekildiğinde: gecikmeksizin silme ve adaya bilgi verme.
Aydınlatma yükümlülüğü ne zaman doğar?
Veri toplanmadan önce. Yani başvuru formunun gönderildiği anda değil, form doldurulmaya başlanmadan önce adayın; kimin, hangi veriyi, hangi amaçla, hangi hukuki sebeple işlediğini ve haklarını öğrenmiş olması gerekir. Aydınlatma metni ile rıza metni ayrı belgelerdir; ikisini tek bir onay kutusunda birleştirmek, rızayı sakatlar.
İK ekipleri için uyum kontrol listesi
- Aday ve çalışan için ayrı aydınlatma metinleri hazır mı?
- Açık rıza gereken işlemler ayrı ayrı onaylanıyor mu (tek kutuda toplu onay değil)?
- Veri envanteri (hangi veri, nerede, ne kadar süre) çıkarıldı mı?
- Saklama süreleri tanımlı ve süre sonunda silme işletiliyor mu?
- İK klasörlerine erişim rol bazlı sınırlandırıldı mı? Herkesin eriştiği bir ortak klasör var mı?
- Kullanılan yazılımlarla veri işleyen sözleşmesi imzalandı mı?
- Veri ihlali durumunda kim, kaç saat içinde, kime bildirecek — yazılı mı?
- Özel nitelikli veriler ayrı ve daha kısıtlı bir yerde mi tutuluyor?
- İşten ayrılan çalışanın verileri için ne yapılacağı tanımlı mı?
- Çalışanların bilgi talebine (erişim, silme) verilecek cevap süreci var mı?
En sık görülen üç hata
- CV'lerin ortak e-posta kutusunda süresiz durması: Silme işletilemez, erişim sınırlanamaz, kim gördü izlenemez.
- Tek onay kutusuyla toplu rıza: Aydınlatma, rıza ve elektronik ileti izni tek kutuda toplandığında hiçbiri geçerli sayılmaz.
- Rızanın geri çekilmesinin karşılıksız kalması: Rızayı geri çeken adayın verisi sistemde aranabilir kalmaya devam ediyorsa, uyum kâğıt üstündedir.
Bu üç noktayı sistem tarafında çözmek, prosedür yazmaktan daha güvenlidir. ProCvLab'ın CV havuzunda firmalar yalnızca paylaşıma açık rıza vermiş adayları görebilir; rıza geri çekildiğinde kayıt havuzdan otomatik olarak çıkar. Kendi başvurularınızdan oluşan CV bankası ise şirketinize özeldir ve dışarıya açılmaz.
Sonraki adım: Kendi aydınlatma metinlerimizi KVKK aydınlatma sayfamızda yayınlıyoruz; kendi metinlerinizi hazırlarken yapı açısından inceleyebilirsiniz.