KVKK İK departmanını neden doğrudan ilgilendirir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her bilginin işlenmesini düzenler. Bir şirkette en çok kişisel veriyi, en uzun süre ve en hassas kategorilerde işleyen birim genellikle İK'dır. Aday özgeçmişleri, kimlik ve adres bilgileri, banka hesapları, sağlık raporları, PDKS kayıtları, performans notları ve bordro verileri tek bir çalışanın dosyasında bir araya gelir.
Kanuna göre işveren, çalışan verileri bakımından veri sorumlusudur. Yani verilerin hangi amaçla ve hangi yöntemle işleneceğine karar veren ve bunun hukuka uygunluğundan sorumlu olan taraftır. Bordro hizmeti aldığınız mali müşavir, bulut İK yazılımı ya da sağlık hizmeti aldığınız işyeri hekimi gibi taraflar ise çoğu durumda veri işleyen konumundadır. Bu ayrım, sözleşmelerinizi ve sorumluluk dağılımını belirler.
Bu rehber genel bilgilendirme amaçlıdır. Kişisel Verileri Koruma Kurulu kararları ve ikincil düzenlemeler değişebildiği için uygulamadan önce güncel düzenlemeyi resmi kaynaktan teyit edin.
Çalışan verilerini hangi hukuki sebeple işleyebilirsiniz?
KVKK'da kişisel veri işleme kural olarak açık rızaya bağlıdır; ancak kanun açık rıza aranmayan durumları da sayar. İK süreçlerinin büyük bölümü bu istisnalara dayanır. En sık kullanılan hukuki sebepler şunlardır:
- Kanunlarda açıkça öngörülmesi: İş Kanunu, SGK mevzuatı ve vergi mevzuatının zorunlu kıldığı kayıtlar.
- Sözleşmenin kurulması veya ifası: İş sözleşmesinin yürütülmesi için gereken bilgiler (ör. ücret ödemesi için banka hesabı).
- Hukuki yükümlülüğün yerine getirilmesi: SGK bildirgeleri, MUHSGK beyannamesi, iş sağlığı ve güvenliği kayıtları.
- Bir hakkın tesisi, kullanılması veya korunması: Olası bir işçilik davasında savunma için gerekli kayıtların saklanması.
- Meşru menfaat: Çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla işverenin meşru menfaati (ör. bilgi güvenliği kayıtları). Bu sebebe dayanırken bir menfaat dengesi değerlendirmesi yapıp belgelemeniz önerilir.
Sağlık, biyometrik veri, sendika üyeliği, ceza mahkûmiyeti gibi özel nitelikli kişisel veriler için kanun daha sıkı bir şart listesi öngörür. 2024 yılında yapılan değişiklikle bu verilerin açık rıza dışında hangi şartlarla işlenebileceği genişletilmiş, örneğin istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki hukuki yükümlülükler için işleme imkânı tanınmıştır. Yine de özel nitelikli veriler için Kurul'un belirlediği ek güvenlik önlemlerinin alınması gerekir.
Biyometrik veriler için ayrıca Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı (Resmî Gazete 2.6.2026, sayı 33268) uygulanır. Karara göre mesai takibi amacıyla parmak izi, yüz tanıma, iris, retina gibi biyometrik veri işlenmesi, çalışandan açık rıza alınsa bile hukuka uygun değildir. Giriş-çıkış kaydı için kart, PIN, RFID/NFC, QR kod ya da konum gibi biyometrik olmayan yöntemler kullanılmalıdır.
Açık rıza ne zaman gerekir, ne zaman gereksizdir?
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. İş ilişkisinde çalışan işverene bağımlı olduğu için rızanın gerçekten özgür olup olmadığı sorgulanabilir. Bu nedenle iyi uygulama şudur: Başka bir hukuki sebep varsa açık rıza alınmaz; açık rıza yalnız başka sebebin bulunmadığı durumlarda istenir.
| İşleme | Tipik hukuki sebep | Açık rıza gerekir mi? |
|---|---|---|
| Kimlik, adres, SGK bildirimi | Kanunda öngörülme, hukuki yükümlülük | Hayır |
| Banka hesabına ücret ödemesi | Sözleşmenin ifası | Hayır |
| İşe giriş ve periyodik sağlık muayenesi | İSG mevzuatından doğan yükümlülük | Kural olarak hayır, ek güvenlik önlemleriyle |
| Kurumsal etkinlik fotoğrafının sosyal medyada paylaşılması | Başka sebep yoksa | Evet |
| Özgeçmişin ileriki pozisyonlar için havuzda tutulması | Başka sebep yoksa | Evet |
| Parmak izi ile giriş-çıkış (PDKS) | Açık rıza dahil hiçbir hukuki sebep yeterli değil; kart, PIN, RFID/NFC, QR kod ya da konum kullanılmalı | mesai takibinde kullanılamaz (KVK Kurulu 2026/921) |
Açık rıza alınırken dikkat edilecek noktalar: rıza aydınlatma metninden ayrı alınmalı, iş sözleşmesinin bir maddesine gömülmemeli, işe alım veya bir hakkın verilmesi şartına bağlanmamalı ve çalışan rızasını her zaman geri alabilmelidir. Hukuki sebebi olan bir işleme için "garanti olsun" diye rıza almak, rıza geri alındığında süreci belirsiz bırakır ve önerilmez.
Aydınlatma metni nasıl hazırlanır?
Aydınlatma yükümlülüğü, açık rızadan bağımsızdır ve her durumda yerine getirilir. Veri sahibine, verileri elde edilirken şu bilgiler verilmelidir:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
- Verilerin toplanma yöntemi ve hukuki sebebi
- Veri sahibinin KVKK'dan doğan hakları
İK'da tek bir genel metin yerine süreç bazlı metinler hazırlamak daha anlaşılır olur: aday aydınlatma metni, çalışan aydınlatma metni, kamera ve PDKS aydınlatma metni, ziyaretçi aydınlatma metni gibi. Metin sade bir dille yazılmalı, kanun maddeleriyle doldurulmamalıdır. Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır; bu nedenle tebliğ edildiğine dair kayıt (imza, e-posta onayı, sistem kaydı) tutulmalıdır.
İK süreçlerinde veri akışı nasıl haritalanır?
Uyumun temeli, hangi verinin nereden geldiğini, nerede saklandığını, kime aktarıldığını ve ne zaman silindiğini gösteren bir kişisel veri envanteridir. İK için envanteri süreç süreç çıkarmak pratik bir yöntemdir:
| Süreç | Örnek veri | Aktarım | Saklama yaklaşımı |
|---|---|---|---|
| İşe alım | Özgeçmiş, mülakat notları | Yönetici, işe alım danışmanı | Olumsuz sonuçta kısa ve tanımlı bir süre; havuz için ayrı rıza |
| İşe giriş | Kimlik, adres, diploma, sağlık raporu | SGK, işyeri hekimi | İş ilişkisi süresince ve sonrasında mevzuattaki süreler |
| Bordro | Ücret, banka, aile durumu | SGK, Gelir İdaresi, banka, mali müşavir | Vergi ve SGK mevzuatındaki süreler |
| PDKS ve puantaj | Giriş-çıkış saatleri, konum | Bordro birimi | Fazla mesai ve işçilik alacakları için en az zamanaşımı süresi |
| Performans | Hedefler, değerlendirme notları | Yönetici, üst yönetim | Şirket politikasında tanımlı süre |
| İşten ayrılış | Fesih yazışmaları, ibraname | SGK, avukat | İşçilik alacaklarında 5 yıllık zamanaşımı dikkate alınarak |
Saklama sürelerini belirlerken ilgili mevzuattaki zorunlu süreleri ve işçilik alacaklarındaki 5 yıllık zamanaşımını birlikte değerlendirin. Süresi dolan veriler kişisel veri saklama ve imha politikasına göre silinir, yok edilir ya da anonim hale getirilir. Yönetmeliğe göre periyodik imha, politikada belirlenen ve altı ayı geçmeyen aralıklarla yapılır.
VERBİS kaydı gerekli mi?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının kayıt olduğu kamuya açık sicildir. Kayıt yükümlülüğü, Kurul'un belirlediği çalışan sayısı ve yıllık mali bilanço eşiklerine, ayrıca ana faaliyet konusunun özel nitelikli veri işleme olup olmadığına göre belirlenir. Yurt dışında yerleşik veri sorumluları için ayrı kurallar vardır. Eşikler Kurul kararlarıyla belirlendiği ve değişebildiği için şirketinizin durumunu Kişisel Verileri Koruma Kurumu'nun güncel duyurusundan kontrol edin. Kayıt yükümlülüğünden muaf olmak, kanunun diğer yükümlülüklerinden muaf olmak anlamına gelmez.
Veri güvenliği için işveren ne yapmalı?
Kanun, veri sorumlusundan verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri almasını ister. İK için öne çıkan tedbirler:
- Rol bazlı yetkilendirme: bordro verisini yalnız bordro ekibi, sağlık verisini yalnız işyeri hekimi ve yetkili kişiler görmeli
- Kâğıt özlük dosyalarının kilitli dolapta, erişim kaydıyla tutulması
- E-posta ile toplu Excel bordro gönderiminin terk edilmesi, şifreli ve kayıtlı kanalların kullanılması
- Veri işleyenlerle (yazılım sağlayıcı, mali müşavir, hekim) veri işleme sözleşmesi yapılması
- İK ekibine düzenli KVKK eğitimi ve gizlilik taahhüdü
- İşten ayrılan çalışanların sistem erişimlerinin aynı gün kapatılması
Bir veri ihlali olduğunda Kurul'a ve ilgili kişilere bildirim yapılması gerekir. Kurul kararına göre Kurul'a bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. İhlal müdahale planınızın bu süreyi karşılayacak şekilde hazırlanması gerekir.
Çalışan bilgi talep ederse ne kadar sürede cevap verilir?
Çalışan ya da aday, KVKK'nın 11. maddesindeki haklarını kullanarak verilerinin işlenip işlenmediğini öğrenmek, düzeltilmesini veya silinmesini istemek gibi taleplerde bulunabilir. Veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Bunun için İK'da bir başvuru kanalı (ör. belirli bir e-posta adresi ya da form) ve başvuruları kaydeden bir takip yöntemi tanımlayın.
Yurt dışına veri aktarımında nelere dikkat edilmeli?
Grup şirketinin yurt dışındaki merkezi, yurt dışı sunuculu bir İK yazılımı ya da yurt dışındaki bir bordro hizmet sağlayıcısı kullanıyorsanız, çalışan verileri yurt dışına aktarılmış olur. 2024 değişikliğiyle yurt dışı aktarım için yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları gibi uygun güvenceler tanımlanmıştır. Standart sözleşme kullanıldığında Kurum'a belirlenen süre içinde bildirim yapılması gerekir. Hangi aktarım aracının kullanılacağını ve güncel usulü Kurum'un ikincil düzenlemelerinden teyit edin.