Personel özlük dosyası ve KVKK: Kimler erişebilir, TC kimlik ve IBAN nasıl korunur?

Bir ekip sorumlusu, avans yatırılacak diye çalışanın IBAN’ını WhatsApp’tan istiyor. Başka bir yönetici “ekibimin dosyalarına bakabilir miyim?” diye soruyor. Bir çalışan ise “dosyamda neler var, kimler gördü?” diye merak ediyor. Üç soru aynı yere çıkar: özlük dosyası yalnızca bir evrak klasörü değil, kişisel veri barındıran bir kayıt sistemidir ve bu sistemin kuralları KVKK’da yazılıdır. Bu yazı personel özlük dosyasında hangi verilerin bulunduğunu, rızanın ne zaman gerekmediğini, kimin neye erişebileceğini ve hassas alanların nasıl korunacağını adım adım ele alıyor.

Özlük dosyasında KVKK yükümlülüğü, işverenin çalışanın kimlik, iletişim, ücret ve sağlık gibi verilerini hukuka uygun işlemesi, çalışanı bilgilendirmesi ve verilere yetkisiz erişimi önlemesidir (6698 sayılı Kanun m.4, m.10 ve m.12).

Personel özlük dosyasında hangi kişisel veriler bulunur?

Özlük dosyası KVKK onayı: açık rıza gerekir mi?

Kanunun çıkış noktası şudur: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak aynı madde, bazı şartlardan biri varsa açık rıza aranmadan işlemeye izin verir. İş ilişkisi açısından öne çıkanlar şunlardır (m.5):

• Kanunlarda açıkça öngörülmesi.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla, sözleşmenin taraflarına ait verilerin işlenmesinin gerekli olması.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olması.

Bu yüzden her belge için toplu bir “KVKK onayı” imzalatmak yerine, her veri grubunun hangi şarta dayandığını belirlemek daha sağlam bir yoldur. Özel nitelikli veriler için kural daha sıkıdır: işlenmeleri yasaktır, ancak sayılan şartlardan biri varsa mümkündür; bunlar arasında istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması vardır ve ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır (m.6).

Rıza gerekmese bile aydınlatma her zaman gerekir. Veri elde edilirken işveren çalışanı şu konularda bilgilendirir (m.10):

• Veri sorumlusunun ve varsa temsilcisinin kimliği.
• Verilerin hangi amaçla işleneceği.
• Verilerin kimlere ve hangi amaçla aktarılabileceği.
• Veri toplamanın yöntemi ve hukuki sebebi.
• Çalışanın m.11’de sayılan hakları.

Özlük dosyasına kimler erişebilir?

Kanun bir erişim listesi vermez; ilke olarak verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını (m.4) ve yetkisiz erişimin önlenmesini (m.12) ister. İş Kanunu da işverenin çalışan hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanmasını, gizli kalmasında çalışanın haklı çıkarı olan bilgileri açıklamamasını ister (m.75). Veriye erişen herkes için de sır tutma yükümlülüğü, görevden ayrıldıktan sonra da sürer (KVKK m.12).

Aşağıdaki tablo kanundan gelen bir kural değil, ölçülülük ilkesine dayanan örnek bir erişim önerisidir. Kendi organizasyonunuza göre uyarlayın.

Çalışanın T.C. kimlik ve IBAN bilgisi nasıl korunur?

T.C. kimlik numarası ve IBAN, KVKK m.6’daki özel nitelikli veri listesinde yer almaz; ama kişisel veridir ve veri sorumlusu bunların hukuka aykırı işlenmesini, yetkisiz erişimi ve kaybı önlemek için gerekli teknik ve idari tedbirleri almak zorundadır (m.12). Veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında kanun idari para cezası öngörür (m.18); tutarlar güncellendiği için güncel rakamı Kurum duyurularından kontrol edin.

• Ekranda ve listelerde T.C. kimlik numarasını ve IBAN’ı maskeleyin; tam değeri yalnızca gerektiği yerde gösterin.
• Erişimi role bağlayın ve her belge erişimini kayıt altına alın.
• T.C. kimlik numarası ve IBAN’ın WhatsApp ya da e-postayla istenmesini yasaklayın; güvenli bir kanal tanımlayın.
• Dosya adlarına T.C. kimlik numarası yazmayın.
• Paylaşılan klasörlerde ve yazıcı çıktılarında bu alanların kimlere görünür olduğunu düzenli kontrol edin.
• Verinin hukuka aykırı biçimde başkalarının eline geçmesi halinde ilgilisine ve Kurula en kısa sürede bildirim yapacak bir sorumlu belirleyin (m.12).

Çalışan kendi verilerini sorarsa ya da silinmesini isterse ne olur?

KVKK m.11’e göre herkes veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini, işlenmişse buna ilişkin bilgiyi, işleme amacını ve aktarıldığı üçüncü kişileri öğrenebilir; eksik ya da yanlış verinin düzeltilmesini isteyebilir. Silme veya yok etme talebinde veri sorumlusu, işleme şartlarının tamamı ortadan kalkmışsa talebi en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir; şartlar ortadan kalkmamışsa gerekçesini açıklayarak reddedebilir (Silme Yönetmeliği m.12). Özlükte yasal saklama süresi devam eden belgeler için ret gerekçesi bu süredir.

Özlük dosyası için KVKK kontrol listesi

1. Özlükte hangi veri gruplarını tuttuğunuzu yazılı bir envanterde listeleyin.
2. Her veri grubunun hukuki dayanağını belirleyin: kanun, sözleşme, hukuki yükümlülük, meşru menfaat ya da açık rıza.
3. Çalışanlara aydınlatma metnini işe girişte verin ve verildiğini kaydedin.
4. Özel nitelikli verileri (sağlık, adli sicil, sendika üyeliği) ayrı ve daha dar bir yetki grubuna bağlayın.
5. Rol bazlı erişim matrisi hazırlayın ve yılda en az bir kez gözden geçirin.
6. T.C. kimlik numarası ve IBAN gibi alanlar için maskeleme ve kanal kuralı belirleyin.
7. Saklama ve imha sürelerini yazılı bir politikada gösterin.
8. Veri ihlali halinde kimin kime ne kadar sürede haber vereceğini yazın.

Kâğıt dosya ve ortak klasör özlük verisini nerede açıkta bırakır?

Kilitli bir dolap bile anahtarı olan herkese açıktır ve kimin ne zaman baktığı bilinmez. Ortak klasörde ise sağlık raporu, bordro ve IBAN beyanı aynı dizinde durabilir; klasörü açan herkes hepsini görür. Sorun iyi niyetli çalışanlarda değil, erişimin kademelendirilememesidir: ihtiyacı olmayan kişi de görür ve bir sızıntı olduğunda kimin eriştiğini bulmak imkânsızlaşır.

Dijital özlük dosyasında rol bazlı kapsam, maskeleme ve erişim kaydı

YazSis KurumsalPortal’ın Dijital Özlük Dosyası & İK Yönetimi modülünde özlük dosyasına erişim yetki kontrollüdür: İK, yetkili yöneticiler ve çalışanlar yalnızca rollerine tanımlanan kapsamı görür. T.C. kimlik numarası ve IBAN gibi hassas alanlar maskelenir. Belgelere yapılan erişimler belge erişim kaydında tutulur ve platformda ayrıca denetim kaydı bulunur. Yetki tanımlarının ayrıntısı için Menü & Yetki Yönetimi modül sayfasına bakabilirsiniz.

Bu kontroller KVKK odaklı bir süreç kurmanıza yardımcı olur. Portal tek başına hukuki yükümlülüklerinizin yerine geçmez: aydınlatma metnini hazırlamak, her veri grubunun hukuki dayanağını belirlemek ve saklama politikasını yazmak işletmeye aittir. Sistem müşterinin kendi sunucusunda çalışır ve çalışanlar telefon tarayıcısından, uygulama kurmadan erişir.

Rol bazlı erişimi, maskelemeyi ve erişim kaydını özlük dosyası üzerinde görmek isterseniz Dijital Özlük Dosyası & İK Yönetimi sayfasına bakabilirsiniz.