İşyerinde İşçinin Kişisel Verilerinin Korunması

İşçinin kişisel verileri, 6698 sayılı Kişisel Verilerin Korunması Kanununda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Kişisel verisi işlenen gerçek kişi ilgili kişidir. İşyeri kamerası görüntüleri, araç takibinden gelen konum ve hız bilgileri ile kurumsal e-posta içeriği ve trafik veya meta verileri, belirli ya da belirlenebilir bir işçiye bağlandığında bu tanım içinde değerlendirilir.

Veri sorumlusu, veri işleyen ve işleme

Veri sorumlusu, verilerin hangi amaçla ve hangi vasıtalarla işleneceğini belirleyen, veri kayıt sistemini kurup yönetmekten sorumlu gerçek veya tüzel kişidir. Veri işleyen, bu sorumlunun verdiği yetkiyle onun adına verileri işleyen gerçek veya tüzel kişidir. İşleme; tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak şartıyla otomatik olmayan yollarla veriyi elde etmeyi, kaydetmeyi, depolamayı, muhafaza etmeyi, değiştirmeyi, yeniden düzenlemeyi, açıklamayı, aktarmayı, devralmayı, elde edilebilir hâle getirmeyi, sınıflandırmayı veya kullanılmasını engellemeyi kapsar.

Açık rıza ve rıza aranmayan hâller

Kişisel veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Aynı maddenin ikinci fıkrasındaki şartlardan biri varsa açık rıza aranmaksızın işleme mümkün olabilir.

Bu şartlar şunlardır: kanunlarda açıkça öngörülme; fiilî imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünü korumak için zorunlu olma; sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla taraflara ait verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olma; ilgili kişinin veriyi kendisinin alenileştirmiş olması; bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olması; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için işlemenin zorunlu olması.

İş ilişkisinde rızanın özgür iradeye dayanıp dayanmadığı tartışmalıdır. Bu nedenle birçok senaryoda sözleşmenin ifası veya meşru menfaat daha sağlıklı bir dayanak olarak değerlendirilebilir. Meşru menfaat seçildiğinde, işçinin temel hak ve özgürlüklerinin üstün gelip gelmediği yazılı olarak analiz edilmelidir. Kanundaki meşru menfaat şartı ise hem temel hak ve özgürlüklere zarar vermemeyi hem de işlemenin bu menfaat için zorunlu olmasını arar.

İşlemede gözetilecek ilkeler

Veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olmalıdır. Belirli, açık ve meşru amaçlarla; bu amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Muhafaza süresi ilgili mevzuatta öngörülen veya amacın gerektirdiği süreyle sınırlıdır. Maddede bütün veriler için tek bir gün veya ay süresi belirlenmemiştir.

Özel nitelikli kişisel veriler

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli kişisel veridir. Yüz tanıma ve parmak izi biyometrik veri örnekleri arasında anılır; sağlık ve sendika bilgisi de bu rejime girer.

Özel nitelikli verilerin işlenmesi kural olarak yasaktır. İlgili kişinin açık rızası, kanunun açıkça öngörmesi ve aynı fıkrada ayrıca sayılan diğer durumlar bu yasağın dışındadır. Çalıştırma ilişkisi, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler veya sosyal yardım bakımından doğan bir yükümlülüğün yerine getirilmesi zorunluysa bu veriler de işlenebilir. İşleme sırasında ayrıca Kurulun belirlediği yeterli önlemler alınır.

Yüz tanıma, biyometrik veri olarak özel nitelikli veri rejimine girer. Bu verilerin işlenmesi yasak olmakla birlikte ilgili kişinin açık rızası, işleme imkânı veren hâllerden biridir. Kanunda açıkça öngörülen veya aynı fıkrada sayılan başka bir hâlin bulunup bulunmadığı ayrıca değerlendirilir. İşleme sırasında Kurul tarafından belirlenen yeterli önlemler alınmalıdır.

Kamera görüntüsü, ses ve ölçülülük

Güvenlik için kurulan kameranın sürekli performans ölçümüne ayrılması ölçülülüğü zedeler ve işçi üzerinde aşırı, sürekli bir gözetim baskısı oluşturabilir. Performans için çıktı verileri veya kalite kontrol süreçleri gibi daha az müdahaleli yollar öncelenebilir. Kameralar işle ilgili alanları görmelidir. Tuvalet, soyunma odası, duş ve emzirme odasında kamera bulundurulmamalı; dinlenme alanında zorunluluk yoksa kameradan kaçınılmalıdır.

İzleme başlamadan önce işçilere aydınlatma metni sunulmalıdır. Metinde veri sorumlusu veya irtibat kişisi, amaçlar, hukuki sebep, görüntü ve varsa ses gibi veri kategorileri, saklama süreleri, alıcı grupları, haklar ve başvuru yolu açıkça yazılmalıdır. Kamera bölgesi girişlerinde piktogram ve kısa açıklama içeren görsel işaret bulunmalıdır. Sesi de kaydetmek müdahaleyi artırır. Güvenlik amacı çoğu durumda sessiz görüntüyle de sağlanabildiğinden ses kaydı istisnai olmalı ve açık, güçlü bir gerekçeye dayanmalıdır.

Konum verisi ve kurumsal e-posta

Araç takip verileri kişisel veri kapsamında ele alınabilir. İşle ilgisi bulunmayan zaman ve alanlarda çalışanın konumu izlenmemelidir. Araç mesai dışında personelce kullanılıyorsa, mesai bitiminde takibin kendiliğinden kapanması veya kişinin takibi kapatabilmesi için bir mekanizma sağlanmalıdır. Bu tercih, verinin amaçla bağlantılı, sınırlı ve ölçülü işlenmesi ilkesiyle birlikte değerlendirilir.

Kurumsal e-posta işverene ait bir iş aracıdır. İşveren, hesabın iş amacıyla kullanılıp kullanılmadığını makul ölçüde denetleyebilir. Denetim haberleşmenin gizliliğine gereğinden fazla girmemelidir. Sürekli ve içerik düzeyinde genel tarama yerine kademeli ve hedefli yöntemler tercih edilmelidir. Denetimin amacı belirli, açık ve meşru olmalı; kapsam bu amaçla sınırlı kalmalıdır.

Etki değerlendirmesi ve görevli

6698 sayılı Kanun, ayrı bir veri koruma etki değerlendirmesini açık bir hükümle zorunlu tutmaz. Risk temelli yaklaşım ile teknik ve idari tedbirlerin mantığı, fiilen benzer bir değerlendirmeyi gerektirebilir. Doğrudan bir veri koruma görevlisi atama yükümlülüğü de ayrıca öngörülmemiştir. Özel nitelikli verilerde Kurulca belirlenen yeterli önlemlerin alınması şartı geçerliliğini korur.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy