İşçi-İşveren İlişkisinde Kişisel Verilerin İşlenmesi

İş sözleşmesi, işçinin bağımlı olarak iş görmeyi, işverenin de ücret ödemeyi üstlenmesinden oluşan sözleşme olarak tanımlanmaktadır. Sözleşmenin zorunlu unsurlarından bağımlılık unsuru, işverenin işin görülmesine ilişkin olarak belirli ölçüde denetim yetkisine sahip olması sonucunu doğurur. Peki işveren bu denetim yetkisini kullanırken işçinin veri koruma hukuku açısından nelere dikkat etmelidir? Bu kapsamda gerçekleştirilebilecek veri işleme faaliyetlerinin sınırları nelerdir?

İşçiye İlişkin Hangi Bilgiler Kişisel Veridir?

Kişisel Veri Nedir? başlıklı yazımızda detaylı olarak açıklandığı üzere kişisel veri, belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Bu kapsamda doğrudan işçi hakkında olan ya da böyle olmamakla birlikte işçiye ilişkin bir fikir edinilmesini sağlayan bütün bilgiler işçinin kişisel verisi sayılır. Örneğin;

• İşçinin adı ve soyadı, adresi, maaş bilgisi, özlük dosyasında yer alan diğer bilgileri,
• İşçinin adli sicil kaydı, sağlık raporu,
• İşçinin fotoğrafı, video görüntüsü,
• İşçiye tahsis edilen aracın konum bilgisi,
• İşçinin ses kaydı, e-mail yazışmaları vb. bilgiler kişisel verileridir.

Hatta bir yöneticinin çalışanının performansı hakkında tuttuğu notlar da kişisel veri olarak kabul edilmektedir.

İşçinin Kişisel Verileri Nasıl İşlenmelidir?

İşçinin kişisel verilerinin işlenmesi 6698 sayılı Kanun’un yürürlüğe girmesinden önce de Türk Borçlar Kanunu’nda düzenlenmekteydi. TBK’nın konuya ilişkin m. 419 hükmü şu şekildedir:

“İşveren, işçiye ait kişisel verileri, ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Özel kanun hükümleri saklıdır.”

Bunun yanı sıra İş Kanunu’nun “işçinin özlük dosyası” başlıklı 75. maddesinde de işçinin kişisel verilerin işlenmesi düzenlenmektedir. İlgili hükme göre:

“İşveren çalıştırdığı her işçi için bir özlük dosyası düzenler. İşveren bu dosyada, işçinin kimlik bilgilerinin yanında, bu Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunları istendiği zaman yetkili memur ve mercilere göstermek zorundadır. İşveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür.”

6698 sayılı Kanun kapsamında İşçinin kişisel verilerinin işlenmesine ilişkin şartlar bakımından esasen diğer veri sahibi kategorileri ile (müşteri, danışman gibi) bir fark bulunmamaktadır. Buna göre

• Veri işlemede genel ilkelere uyulması,
• Açık rıza veya Kanun’da sayılan diğer kişisel veri işleme şartlarından en az birinin mevcut olması ve
• Verilerin elde edildiği esnada Kanun’a uygun bilgilendirme yapılması gerekmektedir.

Bu konuda daha detaylı bilgi edinmek için veri işlemede dikkat edilmesi gereken diğer hususların da incelendiği “Kişisel Verileri İşlerken Nelere Dikkat Etmek Gereklidir?” başlıklı yazımızı inceleyebilirsiniz.

Bu şartlar kapsamında işverenler tarafından sıklıkla tatbik edilen denetleme yöntemlerini inceleyelim.

E-posta Yazışmalarının ve Telefon Görüşmelerinin Kontrol Edilmesi

İşveren, işçiye görmekte olduğu iş için tahsis ettiği kurumsal e-posta adresini ve telefonu belirli şartlar dahilinde kontrol etme hakkına sahiptir. Bunun için mutlaka işçiye önceden detaylı bir şekilde bilgilendirmeli, iş için tahsis edilen e-posta adresinin ve telefon hattının özel amaçlarla kullanılmaması, bunların şirket yetkilileri tarafından denetlenebileceği yönündeki uyarılar yapılmalıdır.

Ancak işverenin, işçilerin bireysel e-postalarını ve telefon görüşmelerini denetlemesinin meşru bir amaca dayandırılması zor görünmektedir.

İşyerine Kamera Yerleştirilmesi

İşverenin işyerine güvenlik amacıyla ya da diğer bir meşru amaca dayanarak kamera yerleştirmesi de mümkündür. Bu uygulama için de mutlaka işçinin önceden bilgilendirilmesi zorunlu olup gizli kamera kaydı kural olarak hukuka aykırı ve yasaktır. (İşyerine gizli kamera yerleştirilmesinin mümkün olduğu istisnai durumlara ilişkin yazı için tıklayınız.)

Ayrıca söz konusu uygulamanın kapsadığı alanın orantılı bir biçimde belirlenmesi zorunludur. İşçinin rızası alınmış olsa dahi mahremiyet hakkına ölçüsüz müdahale teşkil edecek ve meşru bir amaca dayandırılamayacak şekilde lavabo gibi alanlara kamera yerleştirilmemelidir. Aksi halde işveren, TCK m. 135’de tanımlı “kişisel verileri kaydetme” suçunun yaptırımı olan 1 yıldan 3 yıla kadar hapis cezası ile karşılaşabilecektir.

İşçiye Tahsis Edilen Aracın Konum Bilgisinin İşlenmesi

İşverenin işçiye iş ilişkisi için tahsis ettiği araçlara takip cihazı yerleştirmesi ve aracın konumunu denetlemesi de sıklıkla uygulanan bir denetleme yöntemidir. İşverenin denetim yetkisi kapsamında değerlendirilebilecek bu faaliyet için de mutlaka önceden detaylı bir bilgilendirme yapılmalıdır.

Eğer araç işçinin özel hayatında da kullanabilmesi için tahsis edilmişse, işçiler iş saatleri dışında araçlarında bulunan her türlü takip cihazını kapatabilmelidir. Bu takip cihazlarının amacı araçları izlemek olup, işçilerin davranışlarını veya özel hayatlarını izlemek için kullanılamaz. 

İşçinin kendisine ait özel aracının konumunun izlenmesi ise açık rızası elde edilmeksizin uygulanması ancak çok istisnai hallerde mümkündür. Zira “Konum Verisinin İşlenmesi” başlıklı yazıda detaylı olarak açıklandığı üzere bireyin konum bilgisinden ev adresine, hobilerine, katılım sağladığı siyasi parti faaliyetlerine, ziyaret ettiği kutsal mekanlara kadar birçok özel bilgiye ulaşılabilmektedir.

Özetle, işverenin denetim yetkisi kullanması işçinin kişisel verilerinin işlenmesini birçok durumda zorunlu kılar. İşveren, bu kapsamda işçilerin kişisel verilerini işlerken genel ilkelere uymalı, yalnızca gerektiği ölçüde veriyi işlemeli, rıza gerektiren hallerde işçinin rızasına başvurmalı ve her halde işçiyi önceden bilgilendirmelidir.