İş Sözleşmelerinde KVKK Maddeleri Nasıl Düzenlenmelidir?

1. KVKK’nın İş Sözleşmeleri Açısından Önemi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), çalışanların iş ilişkisi kapsamında paylaştığı tüm kişisel verilerin, hukuka uygun, amaca bağlı ve ölçülülük ilkesi çerçevesinde işlenmesini zorunlu kılar. Bu kapsamda iş sözleşmeleri de KVKK ile uyumlu biçimde düzenlenmeli ve çalışanın kişisel verilerinin ne şekilde işleneceği açık şekilde belirtilmelidir. Aksi takdirde işveren, hukuka aykırı veri işleme faaliyeti nedeniyle idari para cezası, tazminat ve hatta ceza yaptırımı ile karşılaşabilir.

2. İş Sözleşmesinde KVKK’ya Atıf Yapılması

İş sözleşmesinde, işverenin veri sorumlusu sıfatıyla KVKK kapsamında hareket edeceğine dair açık bir madde bulunmalıdır. Bu maddede, işverenin kanuna uygun veri işleme yükümlülüğünün bulunduğu, verilerin yalnızca iş ilişkisinin yürütülmesi amacıyla kullanılacağı ve ilgili çalışan haklarına saygı gösterileceği belirtilmelidir. Bu tür bir atıf, hem taraflar arasındaki hukuki güvenliği sağlar hem de işverenin yükümlülük bilinciyle hareket ettiğini gösterir.

3. İşlenen Veri Türlerinin Belirlenmesi

Sözleşmede, çalışandan hangi kişisel verilerin alınacağı açıkça belirtilmelidir. Bu veriler; kimlik bilgileri, iletişim bilgileri, sağlık verileri, özgeçmiş, performans verileri, kamera kayıtları, giriş-çıkış bilgileri ve benzeri şekilde kategorilere ayrılmalıdır. Bu belirleme, çalışanın hangi verilerinin işleneceği konusunda bilgi sahibi olmasını sağlar ve bilgilendirmeye dayalı onay ilkesini destekler.

4. Veri İşleme Amaçlarının Açıklanması

KVKK, veri işleme amacının belirli, açık ve meşru olmasını şart koşar. Bu nedenle iş sözleşmesinde işverenin kişisel verileri neden işlediği net bir şekilde yazılmalıdır. Örneğin, iş sağlığı ve güvenliğini sağlamak, maaş ödemesi yapmak, SGK bildirimi gerçekleştirmek, bordro hazırlamak gibi amaçlara yer verilmelidir. Bu amaçlar dışına çıkıldığında, veri işleme faaliyetinin ihlale dönüşeceği de ayrıca belirtilmelidir.

5. Aydınlatma Yükümlülüğü ve Açık Rıza Süreci

İş sözleşmesinde, çalışana KVKK kapsamındaki aydınlatma yükümlülüğünün yerine getirileceği ve gerekli hallerde açık rızasının alınacağı belirtilmelidir. Ancak açık rıza, iş sözleşmesinin ayrılmaz parçası gibi dayatılmamalıdır. Açık rıza için ayrı bir form hazırlanmalı ve çalışanın özgür iradesiyle doldurması sağlanmalıdır. Sözleşmeye yalnızca açık rızanın gerekebileceği durumlara dair bilgilendirme eklenmeli; onayın ayrı alınacağı açıkça yazılmalıdır.

6. Verilerin Aktarımı ve Üçüncü Kişilere Paylaşımı

Veri aktarımı, KVKK kapsamında özel düzenlemelere tabidir. İş sözleşmesinde, kişisel verilerin yurt içinde veya yurt dışında kimlerle ve ne amaçla paylaşılabileceği detaylı şekilde açıklanmalıdır. Örneğin, bordro hizmeti veren dış firmalar, iş sağlığı ve güvenliği uzmanları veya bulut hizmeti sağlayıcıları bu kapsamda olabilir. Özellikle yurt dışına veri aktarımı söz konusuysa, KVKK’nın 9. maddesi gereği açık rıza alınması gerektiği belirtilmelidir.

7. Veri Güvenliği Önlemlerine İlişkin Bilgilendirme

İş sözleşmesinde işverenin, çalışan verilerini korumak adına KVKK’nın 12. maddesi uyarınca gerekli teknik ve idari tedbirleri alacağına dair bir ifade bulunmalıdır. Bu madde ile işveren, siber güvenlik önlemleri, yetki sınırlamaları, erişim kontrolü, şifreleme ve fiziksel veri güvenliği tedbirlerini uygulayacağını taahhüt etmiş olur. Bu da olası ihlallerde işverenin özen yükümlülüğünü yerine getirdiğini gösteren önemli bir savunma niteliği taşır.

8. Verilerin Saklanma Süresi ve İmhası

İş sözleşmesinde, verilerin ne kadar süreyle saklanacağı ve bu sürenin sonunda nasıl imha edileceği de belirtilmelidir. Örneğin; özlük dosyasındaki belgeler yasal zorunluluk nedeniyle 10 yıl saklanabilirken, giriş-çıkış kayıtları için daha kısa bir süre öngörülebilir. Saklama süresi sona erdiğinde verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi gerektiği ve bu işlemlerin kayıt altına alınacağı ifade edilmelidir.

9. Çalışanın KVKK Kapsamındaki Hakları

Sözleşmede çalışanın KVKK’nın 11. maddesi kapsamındaki haklarına da yer verilmelidir. Bunlar arasında; kişisel verilerinin işlenip işlenmediğini öğrenme, verilerine erişim, hatalıysa düzeltilmesini isteme, hukuka aykırı işleme durumunda zararının giderilmesini talep etme gibi haklar bulunur. İşverenin bu haklara saygı göstereceğini ve gerekli başvuru kanallarını çalışanla paylaşacağını taahhüt etmesi, yasal uyum açısından önemlidir.

10. İhlal Durumunda Başvuru ve Denetim Mekanizmaları

Son olarak iş sözleşmesinde, veri ihlali durumunda çalışanın başvuru yollarına ilişkin bilgi verilmelidir. Çalışanın işverene başvurabileceği iç mekanizma tanımlanmalı; yanıtsız kalması durumunda Kişisel Verileri Koruma Kurulu’na ve gerekirse adli mercilere başvurabileceği belirtilmelidir. Ayrıca bu ihlallerin işverenin sorumluluğunda olduğu ve zararın tazmini yönünde çalışanın haklarını kullanabileceği de açık şekilde ifade edilmelidir.

---

İlgili Resmi Kurumlar ve Bağlantılar

• Kişisel Verileri Koruma Kurumu (KVKK) Resmi Sitesi
  🔗 https://www.kvkk.gov.tr
• KVKK – İş Sözleşmelerinde Veri İşleme Kılavuzu
  🔗 https://www.kvkk.gov.tr/Icerik/6757/Veri-Sorumlulari-Icin-Rehberler
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu
  🔗 https://www.mevzuat.gov.tr/MevzuatMetin/1.5.6698.pdf

Daha detaylı bilgi almak ve hukuki destek almak için FFK Partner Hukuk olarak sizlere profesyonel destek sağlıyoruz!