23. Çalışma hayatında veri koruma

İş ilişkisinde kişisel verilerin korunması, işverenin çalışan hakkında bilgiye ihtiyaç duymasından hareketle başlar; fakat ihtiyaç ile sınırsız bilgi edinme yetkisini ayırarak ilerler. Bir göreve uygunluğu değerlendirmek, ücret ve izin yükümlülüklerini yerine getirmek, iş güvenliğini sağlamak veya belirli bir olayı araştırmak farklı amaçlardır. Her birinde hangi bilginin gerektiği ve kullanılacak yöntemin çalışanın özel yaşamına etkisi ayrıca belirlenmelidir. İşverene ait cihazın teknik olarak denetlenebilmesi de hukuki denetim yetkisinin kapsamını tek başına göstermez.

Bu bölümde işe başvurudan iş ilişkisinin sona ermesine kadar oluşan kayıtlar, bağımlılık ilişkisindeki rıza ve denetim yöntemleri üzerinden incelenmektedir. Sağlık ve sendika bilgileri gibi özel nitelikli verilerde işleme koşuluyla görev gereği erişim ayrılmakta; performans puanında verinin doğruluğu ile sonucun gerekçesi birlikte sorgulanmaktadır. Son olarak birden çok işverenin bulunduğu ilişkilerde bilginin hangi amaçla paylaşıldığı ele alınmaktadır. Böylece koruma, yalnız dosyanın saklandığı yere değil, bilginin elde edilmesinden kullanılmasına ve başka işverene aktarılmasına kadar her aşamaya yönelmektedir.

23.1. İşe alım, referans, özlük dosyası ve iş ilişkisinin sona ermesi

Bir iş başvurusunda alınan özgeçmiş, işe girildikten sonra açılan özlük dosyası ve işten ayrılan kişinin saklanan kayıtları aynı işleve sahip değildir. İlkinde belirli işe uygunluğun değerlendirilmesi, ikincisinde devam eden ilişkinin yürütülmesi ve kanuni yükümlülükler, sonuncusunda ise devam eden belirli saklama sebepleri incelenir. İşverenin kayıtları aynı sistemde tutması, bu amaçları ve her birine ait veri ihtiyacını birleştirmez.

Türk Borçlar Kanunu’nun 419. maddesi, işçiye ait verilerin kullanılmasını işe yatkınlıkla ilişki veya hizmet sözleşmesinin ifası için zorunlulukla sınırlar; özel kanun hükümlerini saklı tutar. KVKK’nın 4. ve 5. maddeleri de amaç, gereklilik ve hukuki sebep incelemesini gerektirir. Bu hükümler birlikte değerlendirildiğinde, işverenin iş ilişkisi nedeniyle bilgi edinme ihtiyacı bulunması ile çalışan hakkında öğrenebileceği her şeyi kaydetmesi arasında ayrım yapılmalıdır. “Personel işlemleri” gibi geniş bir adlandırma, her veri alanının neden gerektiğini açıklamaz.¹

İşe alımda da önce başvurulan görevin gerekleri belirlenmelidir. Belirli bir mesleki yeterliliğin veya deneyimin doğrulanması için gereken bilgi, işverenin yalnız merak ettiği kişisel ayrıntılardan ayrılır. Kaya, başvuru formlarında bütün adaylardan aynı geniş bilgi grubunu istemek yerine pozisyon için gerekli verilerle yetinilmesini savunur. Örneğin belirli bir görevin gerektirdiği belgenin doğrulanması, adayın bütün aile çevresine veya geçmiş yaşamına ilişkin sınırsız araştırmayı haklı kılmaz. Özel nitelikli verilerde ayrıca ilgili kanuni işleme koşulları uygulanır; bu verilerin çalışma hayatındaki özellikleri 23.5’te ele alınacaktır.²

Henüz iş sözleşmesi kurulmamış olması, adayın verilerini korumasız bırakmaz. Özgeçmişin alınması ve değerlendirilmesi de kişisel veri işlemedir; işleme sebebi, aydınlatma ve güvenlik yükümlülükleri bu aşamada incelenir. Kaya, iş görüşmelerindeki koruma yükümlülüğünü sözleşme öncesi sorumluluk üzerinden açıklar; bu sorumluluğun sözleşme benzeri sorumluluk veya haksız fiil olarak nitelendirilmesinin tartışmalı olduğunu da gösterir. Dolayısıyla korumanın varlığıyla, ihlal hâlindeki giderimin hangi sorumluluk rejimine dayanacağı ayrı sorulardır. Veri koruma gereklerini uygulamak için iş sözleşmesinin imzalanması beklenmez.³

Referans kontrolü ise adayın verdiği belgenin değerlendirilmesinden farklı olarak üçüncü kişiden bilgi edinilmesini içerir. Hangi kişinin neden arandığı, hangi soruların yöneltildiği ve verilen cevabın kapsamı belirlenmelidir. Kaya, adaya yöneltilemeyecek soruların eski işveren veya referans kişisi aracılığıyla sorulamayacağını vurgular. Manav’ın 2015 tarihli çalışması, eski işverenin referans gösterilmesini bilgi verilmesine izin olarak değerlendirir. Ancak bu açıklama, KVKK öncesi döneme aittir; bugün referans adının yazılmasından her tür kişisel bilginin açıklanmasına verilmiş sınırsız açık rıza çıkarılamaz. Bilgi isteyen ve açıklayan tarafların işleme sebebi ile açıklamanın sınırı ayrıca değerlendirilmelidir.⁴

İş ilişkisi kurulduğunda İş Kanunu’nun 75. maddesi kapsamındaki özlük dosyası yükümlülüğü gündeme gelir. İşveren, çalıştırdığı her işçi için dosya düzenler; kimlik bilgileriyle kanunlar uyarınca düzenlemek zorunda olduğu belge ve kayıtları saklar ve istendiğinde yetkili mercilere gösterir. Aynı hüküm, bilgilerin dürüstlük ve hukuka uygunluk içinde kullanılmasını, gizli kalmasında işçinin haklı çıkarı bulunan bilgilerin açıklanmamasını da öngörür. Dosya tutma ödevi, bu nedenle işverenin çalışan hakkında sınırsız bilgi toplamasına dayanak değildir. Manav da zorunlu dosya kayıtlarıyla gereksiz kişilik ayrıntılarının tutulmasını ayırır.⁵

Dosyanın varlığı kadar erişim çevresi de önemlidir. Ücret işlemini yürüten kişinin belirli ödeme bilgilerine ihtiyaç duyması, aynı dosyadaki bütün değerlendirme veya sağlık kayıtlarına erişmesini gerektirmez. Erişim, yürütülen iş ve geçerli amaçla ilişkilendirilmelidir. Bir belgenin yetkili mercie gösterilmesi için kanuni yükümlülük bulunmasıyla, kurum içindeki herkese açılması da aynı işlem değildir. Veri güvenliği ve görev dağılımına ilişkin genel esaslar, özlük dosyasının her parçasına uygulanır.⁶

İş ilişkisinin sona ermesi de bütün belgelerin aynı gün silinmesi veya bütün dosyanın süresiz korunması seçeneklerinden birine indirgenemez. Belirli kanuni yükümlülük ya da bir hakkın korunması için gerekli kayıt tutulabilir; hangi veri için hangi sebebin devam ettiği gösterilmelidir. Buna karşılık sona ermiş ilişki nedeniyle artık gerekmeyen kayıtlar bakımından imha yükümlülüğü değerlendirilir. İşe alınmayan adayın belgesini gelecekte yararlı olabileceği düşüncesiyle saklamak da ayrı ve belirli amaç ile geçerli işleme sebebi incelemesini ortadan kaldırmaz. Saklama süreleri ve imha takviminin ayrıntıları 14. bölümde açıklanmıştır.⁷

İşten ayrılma sonrasında verilecek çalışma belgesiyle referans görüşü de ayrılmalıdır. İş Kanunu’nun 28. maddesi, yapılan işin çeşidi ve süresini gösteren belgeyi düzenler; belgenin zamanında verilmemesi veya yanlış bilgi içermesi nedeniyle zarar doğması hâlinde tazminat talebine yer verir. Bu belgeyi düzenleme ödevi, eski işverenin çalışana ilişkin bütün görüşlerini yeni işverene açıklayabileceği anlamına gelmez. Bilginin doğruluğu, açıklamanın amacı ve kapsamı birlikte değerlendirilerek iş ilişkisi sona erdikten sonra da kişisel verilerin korunması sürdürülmelidir.⁸

23.2. Çalışan rızası ve bağımlılık ilişkisinde özgür irade

İşçinin rıza açıklaması, iş ilişkisindeki bağımlılıktan ayrı değerlendirilemez. İşe alınma, gelirini sürdürme ve mesleki geleceğine ilişkin kaygı, görünüşte isteğe bağlı bir talebi fiilen zorunlu hâle getirebilir. Manav, rızanın işe alınmama veya sözleşmenin sona erdirilmesi tehdidi altında verilmemesi gerektiğini vurgular. Bu nedenle işverenin elinde imzalı bir belge bulunmasıyla işçinin özgürce karar verebildiğinin gösterilmesi aynı şey değildir. İnceleme, belgenin biçiminin yanında talebin yöneltildiği koşulları da kapsar.⁹

Önce işlemin gerçekten rızaya dayanıp dayanmadığı belirlenmelidir. Ücretin ödenmesi için gerekli bilgilerin kullanılmasıyla, çalışanın görüntüsünün şirketin tanıtımında değerlendirilmesi aynı hukuki sebebe bağlanamaz. KVKK’nın 5. maddesindeki sözleşmenin ifası için gereklilik veya hukuki yükümlülük koşulları somut işlemde karşılanıyorsa, işlem bu koşullar çerçevesinde değerlendirilir. İşverenin zaten yerine getirmek zorunda olduğu işlemi çalışanın dilediğinde vazgeçebileceği bir kullanım gibi sunması, rızanın anlamını belirsizleştirir. Bununla birlikte sözleşme veya kanuni ödev, veri ihtiyacını aşan kullanımlara kendiliğinden dayanak olmaz; Türk Borçlar Kanunu’nun 419. maddesindeki sınır ve KVKK’nın genel ilkeleri korunur.¹⁰

Rızaya dayanılacak kullanımda ise işçinin reddetme imkânı gerçek olmalıdır. İşini kaybetme tehdidi açıkça ifade edilmese bile, reddin performans değerlendirmesine, görevlendirmeye veya yöneticinin tutumuna olumsuz yansıyacağına ilişkin baskı önem taşır. Bunlar her işyerinde gerçekleştiği varsayılan ampirik sonuçlar değildir; özgür irade incelemesinde somut koşullarla araştırılması gereken ihtimallerdir. Formdaki “kendi isteğimle” ibaresi, bu koşulların değerlendirilmesinin yerine geçmez.

Baskının değerlendirilmesinde yalnız olumsuz sonucun parasal büyüklüğüyle yetinilmesi de sorunludur. Gürler’in aktardığı bir görüş, küçük bir cezai şartın rızayı her durumda geçersiz kılmayabileceğini kabul eder. Gürler ise kişinin bilgisi, içinde bulunduğu koşullar ve taraflar arasındaki güç ilişkisi gibi etkenlere de bakılması gerektiğini savunur. İş ilişkisine uygulandığında bu tartışma, düşük tutarlı bir kaybın otomatik olarak önemsiz sayılmasını engeller: aynı kaybın çalışan üzerindeki etkisi ve reddin diğer sonuçları birlikte incelenmelidir. Bu değerlendirme, her menfaat kaybını kendiliğinden aynı ağırlıkta bir irade sakatlığı saymayı da gerektirmez.¹¹

Karşılaştırmalı olarak Avrupa Veri Koruma Kurulu da iş ilişkisindeki güç dengesizliğinin özgür rızayı çoğu işlem bakımından sorunlu kıldığını belirtir. Bununla birlikte rızayı bütünüyle dışlamaz; kabul ve ret seçeneklerinin çalışan açısından olumsuz sonuç doğurmadığı istisnai koşulları ayırır. Bu, GDPR bağlamında bir rehber açıklamasıdır; Türk hukukunda doğrudan uygulanacak kanun hükmü değildir. Türk hukuku bakımından değerlendirme, KVKK’nın özgür irade koşulu ile iş ilişkisine ait koruyucu hükümler üzerinden yapılmalıdır.¹²

Örneğin şirket tanıtımında çalışanın fotoğrafının kullanılması için başvurulan rıza, hangi görüntünün hangi mecrada ve hangi amaçla kullanılacağını anlaşılır biçimde kapsamalıdır. Katılmayan çalışanın iş ilişkisinin yürütülmesinde olumsuzlukla karşılaşmaması, tercihin gerçekliğini değerlendirmeyi sağlar. Bu varsayımsal örnekte belirli bir kullanıma onay verilmesi, sonraki her kampanyaya veya farklı amaçlara sınırsız izin oluşturmaz. İş sözleşmesi, aydınlatma ve belirli kullanıma ilişkin rıza metinlerinin işlevleri birbirine karıştırılmamalıdır; genel koşullar 9. bölümde açıklanmıştır.¹³

Rızanın geri alınabilmesi de bu tercihin devamıdır. Kurumun açıklamasına göre geri alma ileriye etkili olur ve beyanın veri sorumlusuna ulaşmasından itibaren rızaya dayanan faaliyet durdurulmalıdır. İşveren, isteğe bağlı kullanımın sürmesini istemediğini bildiren çalışan için bu bildirimi uygulanabilir bir işleme dönüştürmelidir. Önceden geçerli rızaya dayanarak yapılmış işlemin hukuki değerlendirmesiyle gelecekteki kullanımın durması ayrı sorulardır.¹⁴

Geri alma, bağımsız kanuni saklama yükümlülüğünü ortadan kaldırmaz. Örneğin tanıtım kullanımına verilen rızanın geri alınması, ücret işlemleri için geçerli başka bir hukuki sebebe dayanılarak tutulan kayıtların da aynı nedenle silinmesini gerektirmez. Buna karşılık işveren, geri alınan rızaya dayanmış aynı isteğe bağlı kullanımı sürdürmek için sonradan soyut bir “işveren menfaati” ileri sürmekle yetinemez. İşlem, amaç ve hukuki sebep ayrımı baştan kurulmalı; devam eden saklama ile sona ermesi gereken kullanım ayrı ayrı gösterilmelidir. Geri almanın genel sonuçları 9.6’da, saklama ve imha ise 14. bölümde ele alınmıştır.¹⁵

23.3. E-posta, mesajlaşma, internet ve uzaktan çalışma denetimi

Bir işyerinde zararlı yazılım şüphesinin araştırılmasıyla, bütün çalışanların bütün yazışmalarının okunması aynı denetim değildir. İlkinde belirli bir güvenlik sorununun hangi kayıtlarla açıklanabileceği, ikincisinde ise kapsamı çok daha geniş bir müdahalenin neden gerektiği sorulur. İletişim aracının şirket tarafından sağlanmış olması, bu ayrımı ortadan kaldırmaz. Denetimin konusu; cihaz, hesap, bağlantı kaydı veya yazışma içeriği olarak somutlaştırılmalıdır.

KVKK’nın 3. maddesindeki işleme tanımı yalnız mesajın okunmasını kapsamaz. Belirlenebilir bir çalışanın internete bağlanma veya iletişim kayıtlarının elde edilmesi, saklanması ve incelenmesi de bu kapsamda değerlendirilir. İçeriğe bakılmaması, veri işlenmediğini göstermez. 4. ve 5. maddeler uyarınca belirli amaç ve uygulanabilir işleme şartı açıklanmalı; gerekli veriyle yetinilmelidir. “İşyeri güvenliği” ifadesi, bütün kayıtların aynı kapsamda tutulmasının gerekçesi sayılamaz.¹⁶

Kurumun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararına ilişkin açıklaması, teknik erişim imkânıyla hukuki erişim yetkisini ayırır. Çalışanın kişisel hesabının iş bilgisayarında açık kalması, yöneticinin oradaki özel yazışmalara serbestçe erişebilmesini sağlamaz. Açıklama, özel kullanım yasaklansa bile denetimin ölçülü olması gerektiğini; iş ve özel kullanımın ayrılamadığı durumlarda yetkinin daha dar değerlendirilmesini vurgular.¹⁷

Denetim ihtimalinin duyurulmasıyla, veri işleme hakkında aydınlatma da ayrılmalıdır. KVKK’nın 10. maddesinde kimlik, amaç, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları hakkında bilgi verilmesi öngörülür. Kurumun anılan açıklamasına göre yalnız hesabın denetlenebileceğini bildiren genel bir kayıt yeterli sayılmaz; amaç, kapsam, yöntem ve içeriğe erişim koşulları somutlaştırılmalıdır. Çalışanın imzası, açıklanmamış kapsamı kendiliğinden belirli hâle getirmez. Rızanın bağımlılık ilişkisindeki koşulları ise yukarıda 23.2’de incelenmiştir.¹⁸

İşverenin denetim ihtiyacını bütünüyle reddetmek de sorunu çözmez. Demir, iş ve bilgi güvenliğini denetim yetkisinin gerekçeleri arasında ele alır; fakat meşru amaç ve önceden bilgilendirmeyle yetinmeyerek daha az müdahaleci yöntemin incelenmesini gerekli görür. Bu yaklaşım, denetimin varlığıyla seçilen yöntemin haklılığını ayırır. Kurum da içerik incelemesini, kural olarak somut şüphe veya belirli olayla bağlantılı amaçla sınırlar ve genel, sürekli içerik incelemesinden kaçınılmasını ister.¹⁹

Uzaktan çalışmada iletişimin nasıl yürütüleceği ayrıca düzenlenir. Uzaktan Çalışma Yönetmeliği’nin 10. maddesi, iletişim yöntemi ve zaman aralığının taraflarca belirlenmesini öngörür. 11. madde, işverenin işle ilgili verilerin korunması ve paylaşılması kuralları hakkında bilgilendirmesini, gerekli tedbirleri almasını ve korunacak verinin kapsamını sözleşmede belirlemesini düzenler; çalışana da işletme kurallarına uyma yükümlülüğü getirir. Bu hükümler, işle ilgili veri güvenliğinin karşılıklı görevlerini belirler; çalışanın evindeki bütün dijital faaliyetin izlenmesi için genel bir yetki oluşturmaz.²⁰

Evden çalışma, denetimin etkileyebileceği özel alanı da değiştirir. Demir, konutun iş için kullanılmayan bölümleri üzerinden denetimin yer ve süre sınırını açıklar; teknolojik araçların özgürlük sağlarken denetim imkânlarını da artırabildiğine dikkat çeker. Buradan hareketle, işin hangi saatte yapıldığını araştırmak ile ev içi yaşamı sürekli görünür kılmak ayrı müdahaleler olarak değerlendirilmelidir. İşçinin aynı cihazı özel amaçla da kullanması veya aile bireylerinin verilerinin görüntüye girmesi, denetimin işin gerektirdiği alanla sınırlandırılması sorununu ağırlaştırır. Bunlar her evde gerçekleştiği varsayılan olgular değil, seçilen yöntemde araştırılacak ihtimallerdir.²¹

Denetim sonucunda oluşan kayıtlar da korunmalıdır. KVKK’nın 12. maddesindeki güvenlik ve amaç dışı kullanmama yükümlülükleri, inceleme dosyasına da uygulanır. 4. maddedeki saklama sınırı uyarınca kayıtların hangi süreyle gerekli olduğu belirlenir. Güvenlik amacıyla alınmış bir mesajın ilgisiz yöneticiler arasında dolaştırılması, ilk incelemeden ayrı değerlendirilmesi gereken bir kullanımdır. Kaydın daha sonra disiplin sürecinde kullanılabilmesi de elde edilmesini kendiliğinden hukuka uygun kılmaz; delil ve performans soruları 23.6’da ele alınacaktır.²²

Örneğin belirli bir dosyanın dışarı gönderildiği şüphesinde, önce gönderim zamanı, ilgili hesap ve dosyayla bağlantılı kayıtların neyi gösterebildiği araştırılabilir. Bu veriler soruyu cevaplıyorsa bütün posta kutularının açılması aynı gerekçeyle savunulamaz. İçerik incelemesi gerekiyorsa hangi yazışmaların neden inceleneceği, kimlerin erişeceği ve kayıtların ne zaman kaldırılacağı belirlenmelidir. Böylece gerekçelendirme, yalnız denetim yapılıp yapılamayacağından, seçilen kapsamın somut ihtiyaca neden uygun olduğuna ilerler. Örnek varsayımsaldır; belirli bir olayda denetimin hukuka uygunluğu için işleme şartları ve diğer güvenceler birlikte değerlendirilmelidir.

23.4. Kamera, konum, giriş-çıkış ve biyometrik mesai takibi

İşyerine kimin girdiğini belirlemek, bir güvenlik olayını araştırmak ve çalışanın gün boyunca nerede bulunduğunu izlemek farklı amaçlardır. Aynı sistem bunların hepsine teknik olarak elverişli olsa da, her kullanım ayrıca gerekçelendirilmelidir. Özellikle giriş-çıkış saatini gösteren bir kayıtla, kişinin hareketlerini sürekli görünür kılan kayıt aynı müdahale yoğunluğunda değildir. Yöntem seçimi, işverenin öğrenmek istediği belirli bilgiyle başlamalıdır.

Kamera bakımından yalnız cihazın bulunduğu yer değil, görüntüye giren alan, kayıt süresi ve görüntüye kimlerin erişebildiği önem taşır. Üstün ve Günal, giriş kontrolü, iş güvenliği ve işletme malvarlığının korunması gibi amaçları ayırarak kameranın amaca hizmet etmesini ve ölçülü kullanılmasını vurgular. Bu bakımdan depo girişindeki belirli bir güvenlik sorunuyla ilgilenmek, bütün çalışma alanlarını aynı ayrıntıda kaydetmenin kendiliğinden gerekçesi değildir. Güvenlik amacıyla seçilen açının iş için ilgisiz alanları da görüntülemesi ayrıca değerlendirilmelidir.²³

Gizli kamera ise daha ağır bir şeffaflık sorunu doğurur. Üstün ve Günal, gizli izlemeye bütünüyle karşı çıkar; belirli bir kaybı önlemenin görünür ve önceden bildirilen bir sistemle de mümkün olabileceğini savunur. Bu, yazarların görüşüdür. KVKK’nın 28. maddesinin ikinci fıkrasındaki istisnalar da belirli koşullara bağlıdır; aydınlatmaya ilişkin bir istisna tartışması, bütün işleme şartlarının ortadan kalkmasıyla aynı şey değildir. Bu nedenle “suç şüphesi var” ifadesinden sınırsız veya süresiz gizli izleme yetkisi çıkarılmamalıdır.²⁴

Konum takibinde de aracın güvenliğini sağlamakla, onu kullanan kişinin özel yaşamını izlemek ayrılır. Dulay Yangın, GPS denetiminin mekânsal ve zamansal kapsamını ve kayıtlara erişen kişileri değerlendirme ölçütleri arasında ele alır. Yazar, izlemeyi kapatmaya imkân vermeyen ve mesai dışında da sürdüren sistemin müdahalesinin, erişen kişi sayısı az olsa bile ağırlaşabileceğini belirtir. Dolayısıyla yalnız “verileri iki görevli görüyor” denilmesi, neden bütün gün kayıt gerektiğini açıklamaz. Bu, yazarın hukuki değerlendirmesidir; bütün GPS sistemleri hakkında verilmiş tek bir mahkeme sonucu değildir.²⁵

Konuma başvurulan amaç bakımından öğretide daha sınırlayıcı açıklamalar da vardır. Üstün ve Günal, olağan güzergâh veya teslim zamanı kontrolünde çalışana ulaşma gibi alternatifleri öne çıkarır ve zorunluluk koşulunun gösterilmesini ister. Araç güvenliği ile çalışanın çalışma düzeninin kontrolünü aynı menfaat başlığı altında birleştirmezler. Bu yaklaşım uygulamada şu soruyu gerektirir: İstenen bilgi belirli aralıklarla bildirim veya olay gerçekleşince inceleme yoluyla elde edilebiliyorsa, kesintisiz takibin ek gerekliliği nedir? Rıza ve diğer işleme şartları da bu yöntem incelemesinden ayrı olarak gösterilmelidir.²⁶

Biyometrik mesai takibi ise sıradan bir devam çizelgesiyle aynı veri kategorisini kullanmaz. Parmak izi veya kişiyi benzersiz biçimde tanımaya yönelik yüz eşleştirme, biyometrik veri rejimini gündeme getirir. Kurumun 27 Ağustos 2026 tarihli açıklaması, bu verilerin matematiksel koda dönüştürülmesinin biyometrik niteliği ortadan kaldırmadığını belirtir. Bu nedenle sistemin yalnız şablon tuttuğunun söylenmesi, tek başına özel nitelikli veri işlenmediğini göstermez. Kavramın genel açıklaması 2.6 ve 10. bölümde yer almaktadır.²⁷

KVKK’nın 6. maddesinin 2024’te değişen rejiminde istihdam alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk da işleme koşulları arasındadır. Ancak devam takibi yükümlülüğünün varlığından, bunun mutlaka biyometriyle yerine getirilmesi gerektiği sonucu çıkmaz. Kurum, 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararına ilişkin açıklamasında, mesai takibi için biyometriyi uygun görmediğini; geçerli rızanın da daha az müdahaleci alternatifler karşısındaki ölçülülük sorununu gidermediğini bildirir. Kart, PIN veya devam çizelgesi gibi yöntemleri alternatifler arasında gösterir.²⁸

Mesai takibi dışındaki kritik alan güvenliği ise ayrıca değerlendirilmelidir. Kurumun sonraki açıklaması, bu faaliyetleri ilke kararının mesai takibi kapsamından ayırır; gerekli kişi ve alanla sınırlılık, alternatiflerin yetersizliği ve somut güvenlik ihtiyacı üzerinde durur. Bu ayrım, her işyerinin “güvenlik” sözcüğünü kullanarak aynı sonuca ulaşabileceği anlamına gelmez. Şıracı da 2023 tarihli çalışmasında hassas bir veri merkezine erişim ile mesai takibini farklılaştırır. Bununla birlikte çalışmanın açık rızaya ilişkin eski norm dönemi açıklaması, 2024 sonrası bütün işleme koşullarının yerine geçirilmemelidir.²⁹

Örneğin aynı kapıdaki biyometrik cihazın hem kritik bir odaya erişimi doğrulamak hem bütün çalışanların aylık devamını hesaplamak için kullanıldığı varsayılsın. İlk amacın ayrıca gerekçelendirilmesi, ikinci kullanımı kendiliğinden haklı kılmaz. Hangi kişilerin hangi alan için doğrulandığı ve hangi verinin devam hesabına aktarıldığı ayrı gösterilmelidir. Benzer biçimde kartlı giriş sisteminin seçilmesi de her ayrıntının süresiz saklanmasına izin vermez. Yöntemin veri kategorisi, amacı, kapsamı, saklama süresi ve erişim çevresi birlikte belirlenerek denetim somutlaştırılmalıdır.³⁰

23.5. İş sağlığı, sendika ve adli sicil verileri

Çalışanın sağlık raporu, sendika üyelik bilgisi ve adli sicil kaydı aynı özlük dosyasında bulunabilir; fakat dosyanın ortak olması bunların aynı amaçla ve aynı kişilerce kullanılmasını haklı kılmaz. Her veri bakımından hangi görevin yerine getirileceği, hangi bilginin gerekli olduğu ve bu bilginin kime açıklanacağı belirlenmelidir. “Personel işlemleri” başlığı, özel nitelikli verilerin farklı koruma ihtiyaçlarını ortadan kaldırmaz.

Sağlık, sendika üyeliği ve ceza mahkûmiyeti ile güvenlik tedbirlerine ilişkin bilgiler, KVKK’nın 6. maddesindeki özel nitelikli veri kategorileri arasındadır. 1 Haziran 2024’te yürürlüğe giren değişiklik, istihdam ve iş sağlığı ve güvenliği gibi alanlardaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemlere de dayanak sağlar. Buradaki ölçüt, verinin işveren açısından yararlı olması değil, belirli yükümlülük için zorunlu olmasıdır. Açık rıza ve diğer işleme şartlarının genel rejimi 10. bölümde açıklanmıştır.³¹

İş sağlığı bakımından birbiriyle birlikte uygulanması gereken iki görev vardır. 6331 sayılı Kanun’un 15. maddesi, işyerindeki risklere göre sağlık gözetiminin ve belirli hâllerde muayenenin sağlanmasını; aynı maddenin beşinci fıkrası ise çalışanın özel hayatı ve itibarı için sağlık bilgilerinin gizli tutulmasını öngörür. Sağlık gözetimi görevini yerine getirmek, gizliliği ikinci plana iten bir gerekçe değildir. İşin güvenle yürütülmesine ilişkin bilgi ihtiyacıyla, kişinin bütün tıbbi geçmişine erişme isteği ayrılmalıdır.³²

Bu ayrım, hekimin yaptığı değerlendirmeyle işverenin uygulayacağı tedbir arasında somutlaşır. Örneğin belirli bir işin yapılmasında sağlık yönünden kısıtlama varsa, görevlendirmeyi yapacak kişinin hangi çalışma koşulunu değiştirmesi gerektiğini bilmesi gerekebilir. Bundan, değerlendirmeye temel olan bütün tetkiklerin ve ilgisiz tanıların aynı kişiye açıklanması sonucu çıkmaz. Hangi sonucun ve hangi ayrıntının gerekli olduğu, yürütülen görev üzerinden belirlenmelidir. Örnek, her sağlık raporunun tek biçimde düzenleneceği veya her durumda aynı kapsamda paylaşılacağı anlamına gelmez.

Öğretide Evci Eralp, sağlık verilerinin işyerindeki işlenmesini sır saklama yükümlülüğü ve farklı mesleki roller üzerinden inceler. İşyeri hekiminin konumuyla iş güvenliği uzmanının görevlerini ayırır; uzmanların sağlık bilgisine erişimi ve sır yükümlülüğünün kapsamı bakımından açıklığa ihtiyaç bulunduğunu belirtir. Çalışmasının 2023 tarihli olması önemlidir: işverenin istihdam yükümlülükleri için rızasız işlemeye ilişkin o dönemde önerdiği genişleme, 2024 sonrasındaki kanuni koşullardan ayrı değerlendirilmelidir. Bununla birlikte yeni işleme şartı da görevle ilgisiz herkese aynı sağlık dosyasını açmaz.³³

Kurumun 2025 tarihli rehberi, istihdam alanındaki yükümlülüğün yalnız kanun hükmünden değil, ilgili diğer düzenlemelerden ve sözleşmeden de kaynaklanabileceğini açıklar. Ancak aynı rehber, iş mevzuatının gerektirdiği kadar veriyle yetinilmesini vurgular. Bu nedenle iş sözleşmesine geniş bir sağlık bilgisi verme kaydı konulması, tek başına bütün bilgileri gerekli hâle getirmez. Yükümlülüğün konusu, geçerliliği ve yerine getirilmesi için gereken veri ayrıca gösterilmelidir.³⁴

Sendika bilgisi bakımından da kanuni işlemi yürütmekle çalışanı üyeliğine göre değerlendirmek ayrılır. 6356 sayılı Kanun’un 18. maddesi, yetkili işçi sendikasının yazılı başvurusu üzerine üyelik ve dayanışma aidatlarının ücretten kesilerek sendikaya ödenmesini düzenler. Bu işlem için gereken bilginin ücret birimince kullanılmasıyla, çalışanların sendikal tercihlerine ilişkin genel listelerin işe alım veya işten çıkarma kararlarında kullanılması aynı amaç değildir.³⁵

Nitekim aynı Kanun’un 25. maddesi, işe alınmanın sendika üyeliği veya üye olmama koşuluna bağlanmasını yasaklar; çalışma şartları ve iş ilişkisinin sona erdirilmesinde sendikal ayrımı engeller. Ücret ve paraya ilişkin konularda toplu iş sözleşmesine ait saklı hükümler de gözetilmelidir. Böylece bir üyelik bilgisinin belirli bir kanuni işlem için işlenebilmesi, sendika özgürlüğünü zedeleyen başka bir kullanımın dayanağına dönüşmez. Verinin kimlere açık tutulduğu, yalnız güvenlik meselesi olmayıp kullanım amacının korunmasının da parçasıdır.³⁶

Adli sicil belgesinde ise önce hangi bilginin hangi görev için istendiği sorulmalıdır. Kurum rehberi, kesinleşmiş mahkûmiyet ve ilgili güvenlik tedbiri bilgilerinin özel nitelikli veri kapsamını açıklar. Aynı rehberde belirli mesleki koşulların doğrulanmasına ilişkin örnekler bulunması, bütün iş başvurularında belgenin tamamının istenmesine verilmiş genel bir izin değildir. Başvurulan iş için aranan koşul, uygulanabilir işleme şartı ve gerekli doğrulamanın kapsamı belirlenmelidir.³⁷

Bir göreve ilişkin belirli mahkûmiyet koşulunun araştırılmasıyla, kişinin geçmişine dair mümkün olan bütün kayıtların toplanması bu nedenle ayrılır. İşverenin belgeyi özlük dosyasına koyma alışkanlığı, gereklilik incelemesinin yerini tutmaz. İlgili koşulun gerçekten bulunduğu gösterildikten sonra da belgenin kim tarafından inceleneceği, hangi kısmının hangi amaçla tutulacağı ve saklamanın ne kadar süreceği değerlendirilmelidir. Saklama ve imhanın genel esasları 14. bölümde yer almaktadır.³⁸

Sağlık, sendika ve adli sicil verilerinin korunmasında ortak uygulama sorusu böylece dosyaya erişimin unvana göre topluca açılması değildir. Sağlık tedbirini uygulayan kişi, aidat kesintisini yapan kişi ve belirli mesleki koşulu doğrulayan kişi farklı bilgilere ihtiyaç duyabilir. Görevlerin aynı çalışan tarafından yürütüldüğü küçük bir işyerinde bile, her kullanımın amacı ve gerekli kapsamı ayrı kalır. Kurumsal görev dağılımı, bu ayrımları görünür kılacak biçimde kurulmalıdır.

23.6. Performans, algoritmik değerlendirme ve disiplin delilleri

Performans değerlendirmesinde çalışana ait kaydın doğru olması ile bu kayıttan çıkarılan sonucun haklılığı farklı sorulardır. Bir sistem, belirli sürede tamamlanan iş sayısını hatasız kaydetse bile bu sayının işin niteliğini, güçlüğünü veya çalışanın katkısını yeterince gösterip göstermediği ayrıca araştırılmalıdır. Sayısal sonuç, değerlendirmede kullanılan ölçütün işe uygunluğunu kendiliğinden kanıtlamaz. İşverenin değerlendirme ihtiyacı, hangi bilgilerin hangi nedenle kullanılacağını belirleyerek karşılanmalıdır.

Türk Borçlar Kanunu’nun 419. maddesindeki işe yatkınlık ve hizmet sözleşmesinin ifasıyla bağlantılı sınır, performans kayıtları için de geçerlidir. KVKK’nın 4. maddesi ise verinin doğru ve gerektiğinde güncel olmasını, amacın belirli, açık ve meşru olmasını, işlemenin amaçla bağlantılı, sınırlı ve ölçülü yürütülmesini gerektirir. Dolayısıyla değerlendirme sistemi kurulurken yalnız hangi puanın üretileceği değil, kullanılan verinin işin görülmesiyle ilişkisi de açıklanmalıdır. İşleme şartı ile genel ilkeler birlikte uygulanır; “performans ölçümü” adı, bütün izleme yöntemleri için tek başına hukuki sebep oluşturmaz.³⁹

Öğretide Ses ve Korkusuz, algoritmik yöntemlerin performans takibindeki işlevini ve işverenin buna ilişkin menfaatini ele alırken, yalnız niceliksel verilere dayanmanın doğurabileceği adaletsizlikleri de vurgular. Yazarlar, ölçütün seçimiyle sonucun güvenilirliği arasında bağ kurar; çalışanın özgün katkısının değerlendirilmesini ve insan gözetimini savunur. Bu yaklaşım, teknolojinin değerlendirmeye yardımcı olabilmesi ile üretilen puanın tartışılmaz kabul edilmesini ayırmaya elverişlidir. İşverenin meşru değerlendirme ihtiyacı, seçilen veri ve yöntemin sınırlandırılması gereğini ortadan kaldırmaz.⁴⁰

Örneğin müşteri görüşmelerinin süresini ölçen bir sistemde kısa görüşme, her durumda daha iyi hizmet anlamına gelmez. Güç bir sorunu çözen çalışanın görüşmesi daha uzun sürebilir; teknik kesinti de aynı kişinin tamamladığı işlem sayısını azaltabilir. Bu varsayımsal durumda tarih veya işlem sayısındaki yanlışlık düzeltilirken, doğru kayıttan yapılan eksik değerlendirme de ayrıca sorgulanmalıdır. Hata incelemesini yalnız verinin sisteme doğru girilip girilmediğine indirgemek, ölçütün neyi temsil ettiği sorusunu cevapsız bırakır.

Çalışan, KVKK’nın 11. maddesi uyarınca kendisiyle ilgili veri işlenmesini ve işleme amacını öğrenebilir, eksik veya yanlış işlenen verilerin düzeltilmesini isteyebilir. Bu haklar, performans dosyasının çalışan açısından bütünüyle kapalı tutulması anlayışıyla bağdaşmaz. 10. maddedeki aydınlatma yükümlülüğü de toplama yöntemi, amaç ve hukuki sebep hakkında bilgi verilmesini gerektirir. Bununla birlikte bu hükümlerden, kullanılan yazılımın bütün kaynak kodunun her durumda çalışana teslim edilmesi biçiminde sınırsız bir hak çıkarılamaz. Talep edilen bilgi, kişinin verilerinin nasıl kullanıldığını ve itirazının konusunu anlayabilmesi bakımından değerlendirilmelidir.⁴¹

Otomatik analiz için ayrıca 11. maddenin birinci fıkrasının (g) bendi önem taşır. Hüküm, işlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi suretiyle kişinin aleyhine bir sonuç ortaya çıkmasına itiraz hakkı tanır. Burada otomatik analiz, münhasırlık ve aleyhe sonuç koşulları birlikte dikkate alınmalıdır. Her yazılım kullanımı bu özel itirazın koşullarını aynı biçimde karşılamaz; koşulların karşılanmaması da genel doğruluk, amaç ve ölçülülük ilkelerini uygulanmaz hâle getirmez. Kanunun tanıdığı itiraz hakkıyla, otomatik araçların bütün kullanımını baştan yasaklayan genel bir kural birbirine karıştırılmamalıdır.⁴²

İtirazın veri sorumlusuna yöneltilebilmesi için uygulamada incelenebilir bir değerlendirme düzeni kurulmalıdır. Kanımızca işverenin puanı hangi kayıtlara dayanarak verdiğini araştırabilecek ve yanlışlığı giderebilecek bir kişiyi görevlendirmesi, bu hakkın etkili kullanılmasına hizmet eder. Bir yöneticinin yalnız sistem sonucunu tekrarlamasıyla, çalışanın açıklamasını ve sonucun dayanaklarını gerçekten incelemesi aynı işlevi görmez. İnsan gözetimine ilişkin bu öneri, Türk kanununda her algoritmik işlem için aynı ayrıntıda düzenlenmiş bağımsız bir usul bulunduğu iddiası değildir. Başvuru ve gerekçeli cevap bakımından KVKK’nın 13. maddesi uygulanır; genel başvuru yolları 18. bölümde açıklanmıştır.⁴³

Performans puanının fesih gerekçesi yapılmasında veri koruma denetimine iş hukuku denetimi eklenir. İş Kanunu’nun 18. maddesi kapsamındaki iş güvencesi rejiminde işveren, yeterlilik, davranış veya işletme gerekleriyle bağlantılı geçerli sebebi göstermek zorundadır. Aynı rejimde 19. madde, yazılı bildirim ve sebebin açık ve kesin belirtilmesini; davranış veya verim nedeniyle fesihte çalışanın savunmasının alınmasını öngörür. 25. maddenin ikinci bendinin şartlarına uygun fesih hakkı saklıdır. Sistemin “düşük performans” işareti üretmesi, bu koşulların somut olayda neden gerçekleştiğini açıklamanın yerine geçmez. 20. maddedeki geçerli sebebi ispat yükü de puanın bir yazılımdan çıkmasıyla işverenden kalkmaz.⁴⁴

Disiplin incelemesinde ise önce kaydın elde edilme yöntemi, sonra neyi gösterebildiği ve hangi amaçla kullanılacağı ayrılmalıdır. Belirli bir iddianın araştırılması, ilgisiz bütün yazışmaların veya çalışan geçmişinin incelenmesini kendiliğinden gerektirmez. KVKK’nın 5. maddesinde bir hakkın tesisi, kullanılması veya korunması için zorunlu veri işlemeye yer verilmesi, bu zorunluluğun her kayıt için gösterilmesi ihtiyacını ortadan kaldırmaz. Daha sonra uyuşmazlık çıkabileceği düşüncesi de baştan hukuka aykırı biçimde veri toplamanın genel gerekçesi yapılamaz. İletişim ve görüntü kayıtlarının elde edilmesine ilişkin sınırlar yukarıda 23.3 ve 23.4’te incelenmiştir.⁴⁵

Mahkemeye delil sunulması aşaması ayrıca usul hukukuna tabidir. Hukuk Muhakemeleri Kanunu’nun 189. maddesi, hukuka aykırı elde edilmiş delilin bir vakıanın ispatında dikkate alınmasını yasaklar; delilin kullanılabilirliğine mahkeme karar verir. Elektronik kaydın aynı Kanunun 199. maddesi anlamında belge sayılabilmesi, hukuka aykırı elde edilme sorununu gidermez. Buna karşılık bir veri koruma yükümlülüğünün ihlal edildiğinin söylenmesiyle, somut kaydın nasıl elde edildiği ve uyuşmazlığın diğer delilleri araştırılmadan bütün fesih sonuçları hakkında karar verilemez. İhlal, delilin kullanılabilirliği ve fesih sebebinin ispatı ayrı hukuki incelemelerdir.⁴⁶

İnceleme dosyasının kapsamı bu ayrımları uygulamaya taşımalıdır. Belirli olayı açıklayan kayıtların kim tarafından, ne zaman ve hangi amaçla incelendiğinin izlenebilmesi; kayıtta bulunmayan bir davranışın varmış gibi kabul edilmesini ve ilgisiz bilginin dolaşıma girmesini önlemeye hizmet eder. Çalışanın açıklamasıyla ortaya çıkan yanlışlığın değerlendirme sonucuna da yansıtılması gerekir. İnceleme bittikten sonra erişim ve saklama ihtiyacı yeniden ele alınır; dosyaya “disiplin” adının verilmesi süresiz saklamayı veya sınırsız kurum içi erişimi haklı kılmaz.⁴⁷

23.7. İşverenler, alt işverenler ve grup şirketleri arasında veri akışı

Aynı işyerinde çalışmak, aynı gruba bağlı olmak veya ortak insan kaynakları yazılımını kullanmak farklı işverenlerin veri ihtiyaçlarını birleştirmez. Bir çalışanın izin hakkını denetlemek için gereken kayıtla, başka bir şirketin gelecekteki işe alımını planlamak için istediği bilgi aynı amaçla işlenmez. Veri akışında önce hangi işverenin hangi görevi yerine getirdiği, sonra bu görev için hangi bilginin kime verilmesinin gerektiği belirlenmelidir.

Bu inceleme, iş hukukundaki unvanlardan hareketle otomatik bir veri koruma rolü tayin edilmesini de önler. KVKK’nın 3. maddesi bakımından amaçları ve vasıtaları belirleyen veri sorumlusu ile onun verdiği yetkiye dayanarak adına işlem yapan veri işleyen ayrılır. Ermumcu, asıl işveren ile alt işverenin konumunun, işleme amaç ve araçlarını kimin belirlediğine bakılarak değerlendirilmesini savunur; ilişkinin her durumda aynı role indirgenemeyeceğini belirtir. Dolayısıyla sözleşmede bir tarafa “veri işleyen” denilmesiyle yetinilmemeli, o tarafın veriler üzerinde gerçekte hangi kararları aldığı araştırılmalıdır.⁴⁸

İş Kanunu’nun 2. maddesindeki asıl işveren-alt işveren ilişkisinde belirli işçilik yükümlülüklerinden birlikte sorumluluk öngörülmesi de veri koruma rollerinin yerine geçmez. Bu sorumluluk, çalışanın haklarının yerine getirilmesini güvenceye alır; bütün özlük dosyasının iki işveren arasında sınırsız dolaşacağı anlamına gelmez. İşçilik borcundan birlikte sorumluluk ile KVKK’nın 12. maddesindeki veri güvenliği yükümlülükleri ayrı hukuki dayanaklara sahiptir. Her birinde sorumluluğun konusu ve şartları kendi hükmüne göre belirlenmelidir.⁴⁹

Bazı veri akışlarının dayanağı ise somut bir kanuni görevdir. İş Kanunu’nun 56. maddesi, alt işveren işçilerinin hak kazandıkları yıllık izinleri kullanıp kullanmadıklarını asıl işverenin kontrol etmesini ve ilgili yılda kullanılmasını sağlamasını öngörür; alt işveren de tutmak zorunda olduğu izin kayıt belgesinin bir örneğini asıl işverene verir. Burada belirli belge ve belirli denetim görevi arasındaki bağ görünürdür. Belgenin verilmesi, bu görevle ilgisiz sağlık ayrıntılarının, aile bilgilerinin veya bütün performans geçmişinin aynı gerekçeyle istenebilmesini sağlamaz.⁵⁰

Grup şirketleri bakımından da ekonomik birlik ile veri sorumluları arasındaki aktarım ayrılmalıdır. Kurumun yayımladığı iş başvurularına ilişkin karar özetinde, topluluk bünyesindeki birden çok veri sorumlusu arasında paylaşımın üçüncü kişiye aktarım olduğu ve 8. maddeye göre değerlendirilmesi gerektiği açıklanır. Ortak veri tabanında aday bilgilerinin paylaşılması da bu çerçevede ele alınmıştır. Dolayısıyla verinin ayrı bir dosya gönderilmeksizin ortak ekrandan görülebilmesi, paylaşımın hukuki niteliğini ortadan kaldırmaz. Bununla birlikte özetin somut olayındaki rıza eksikliğinden, grup içindeki her aktarımın istisnasız yalnız rızayla yapılabileceği sonucu çıkarılmamalıdır.⁵¹

Aktarım için uygulanabilir şart, veriyi ilk toplayan şirketin işleme sebebinden ayrıca değerlendirilir. KVKK’nın 8. maddesi, açık rıza dışındaki kanuni aktarım imkânlarını da düzenler; Kurumun yurt içi aktarım açıklaması da hukuka uygun toplamanın doğrudan her aktarımı meşru kılmadığını vurgular. Örneğin belirli şirketteki göreve başvurmak için verilen özgeçmişin bütün grup şirketlerinin gelecekteki her pozisyonuna açılması, ilk başvurunun amacıyla kendiliğinden birleşmez. Hangi alıcının hangi değerlendirmeyi yapacağı ve bu paylaşımın hukuki şartı belirlenmelidir. Çalışan rızasının özgür irade koşulları yukarıda 23.2’de incelenmiştir.⁵²

Merkezî bordro veya bilgi işlem hizmetinde ise her işlem bakımından yetkinin sınırı önem taşır. Yalnız işveren adına ve belirlenmiş amaç için hizmet sunulmasıyla, hizmeti sunan şirketin çalışan verilerini kendi işe alım veya başka ticari amaçları için değerlendirmesi farklıdır. Aynı şirketin farklı faaliyetlerinde farklı rolleri bulunabileceğinden, bütün ilişkiyi tek bir etiket altında toplamak yetersiz kalabilir. KVKK’nın 12. maddesinde veri sorumlusunun kendi adına veri işleyen kişilerle güvenlik tedbirleri bakımından müşterek sorumluluğu düzenlenmiştir; bu hüküm işverenin hizmet aldığı gerekçesiyle güvenlik yükümlülüğünden çekilmesine izin vermez.⁵³

Şirketler arasında geçici görevlendirmede de iş ilişkisinin kurulma koşullarıyla veri işlemeye ilişkin koşullar ayrılır. İş Kanunu’nun 7. maddesinde holding bünyesinde veya aynı şirketler topluluğuna bağlı işyerinde geçici iş ilişkisi için işçinin devir sırasında yazılı rızası düzenlenmiştir. Bu rıza, ilgili iş hukuku işleminin koşuludur; çalışanın bütün verilerinin her amaçla paylaşılmasına verilmiş genel açık rıza sayılamaz. Görevlendirmenin yürütülmesi ve kanuni yükümlülükler için gerekli kayıtlar belirlenmeli; gerekmeyen kayıtlar aynı işlemle aktarılmamalıdır.⁵⁴

Yurt dışındaki grup şirketine veya hizmet sağlayıcıya yönelen akışta ayrıca 9. madde uygulanır. 2024’te değişen rejimde işleme şartıyla birlikte yeterlilik kararı veya koşulları karşılanan uygun güvence gibi aktarım düzenekleri değerlendirilir. Aynı grupta bulunmak, bunların yerine geçen bir istisna değildir. Nitekim ortak ekonomik faaliyette bulunan teşebbüs grubunun bağlayıcı şirket kuralları, kanunda Kurul tarafından onaylanma koşuluyla uygun güvencelerden biri olarak düzenlenmiştir. Şirketin kendi içinde “grup politikası” adını verdiği belgeyle bu kanuni güvence aynı şey değildir; ayrıntılı rejim 13. bölümde açıklanmıştır.⁵⁵

Akışın hukuki gerekçesi belirlendikten sonra uygulanma biçimi de sınırlandırılmalıdır. Hangi şirketin hangi veri alanlarını göreceği, yetkinin ne zaman sona ereceği ve yanlış verinin düzeltilmesinin alıcılara nasıl yansıyacağı açık olmalıdır. Aydınlatmada verilerin kimlere ve hangi amaçla aktarılabileceğinin gösterilmesi, çalışanın karşısındaki işleme düzenini anlayabilmesine hizmet eder. İşverenler arasındaki sözleşmenin varlığı, çalışana bilgi verilmesinin veya kanuni hakların uygulanmasının yerine geçmez.⁵⁶

Bu nedenle ortak sistem, erişimin ortak ve sınırsız olması üzerine kurulmamalıdır. İzin denetimi için açılan erişim başka bir işverenin işe alım araştırmasına dönüşmemeli; görevlendirme sona erdiğinde devam eden belirli saklama ihtiyacıyla günlük kullanım yetkisi ayrılmalıdır. Sağlık ve sendika bilgileri gibi özel nitelikli veriler için ayrıca 6. madde ve yeterli önlemler uygulanır. İşverenler arası koordinasyon, gerekli bilginin doğru kişiye ulaşmasını sağlarken işçinin bütün yaşamını şirketler arasında dolaşan tek bir dosyaya dönüştürmemelidir.⁵⁷

Dipnotlar

İçindekiler · Ayrıntılı kitap planı