İş Başvuru ve İşe Alım Süreçlerinde Adaylara Ait Kişisel Verilerin İşlenmesi: Kurul Kararları Işığında Bir Değerlendirme
Yazar: Umar Toker – Hammurabi AI
Öz
İş başvuru ve işe alım süreçleri, işverenin adayın mesleki yeterliliğini ölçme menfaati ile adayın özel hayatının ve kişisel verilerinin korunması hakkının kesiştiği alanlardan biridir. Bu süreçte özgeçmiş bilgileri, iletişim verileri, eğitim ve mesleki geçmiş, referanslar, mülakat notları, sınav sonuçları; bazı hâllerde ise sağlık bilgileri, adli sicil kaydı veya biyometrik veriler işlenebilmektedir. Çalışmada, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) çerçevesinde aday verilerinin işlenmesinde uygulanacak temel ilkeler ele alınmakta; Kişisel Verileri Koruma Kurulu (“Kurul”) kararları üzerinden veri minimizasyonu, hukuki sebep, açık rıza, aydınlatma yükümlülüğü, veri aktarımı, saklama süresi ve imha yükümlülüğü değerlendirilmektedir. Çalışmanın temel sonucu, işverenin işe alma serbestisinin adayın verileri üzerinde sınırsız bir tasarruf yetkisi doğurmadığı; her veri işleme faaliyeti bakımından somut amaç, hukuki sebep, ölçülülük ve sınırlı saklama süresi değerlendirmesi yapılması gerektiğidir.
Anahtar Kelimeler: Kişisel verilerin korunması, iş başvurusu, çalışan adayı, açık rıza, aydınlatma yükümlülüğü, veri minimizasyonu, KVKK Kurul kararları.
Giriş
Dijitalleşen insan kaynakları uygulamaları, işe alım süreçlerinde işlenen kişisel veri çeşitliliğini ve miktarını kayda değer biçimde artırmıştır. Şirketlerin kendi kariyer sayfaları, çevrim içi istihdam platformları, video mülakat sistemleri, yetenek testleri ve aday takip yazılımları; aday verilerinin farklı kaynaklardan toplanmasına, saklanmasına, aktarılmasına ve değerlendirilmesine imkân tanımaktadır. Bu imkânlar, işe uygun adayın belirlenmesi bakımından işverenlere işlevsel fayda sağlasa da adayların mahremiyet alanına müdahale riskini de büyütmektedir.
İşe alım aşamasındaki kişi, henüz işçi sıfatını kazanmamış olsa dahi KVKK bakımından “ilgili kişi”dir. İşveren, insan kaynakları platformu veya aday verilerinin işleme amaç ve vasıtalarını belirleyen diğer gerçek ya da tüzel kişiler ise somut olayın özelliklerine göre “veri sorumlusu” sıfatını taşıyabilir. Bu nedenle iş görüşmesi, özgeçmiş incelemesi veya referans araştırması gibi faaliyetler, yalnızca iş hukukunun değil, aynı zamanda kişisel verilerin korunması hukukunun da denetimine tabidir.
Aday ile işveren arasındaki ilişki, iş sözleşmesi kurulmadan önceki müzakere aşamasında meydana gelir. Bununla birlikte, taraflar arasındaki ekonomik ve fiilî güç farklılığı daha bu aşamada ortaya çıkabilir. Adayın işe kabul edilme beklentisi, kendisine sunulan açık rıza metinlerini gerçek anlamda özgür iradeyle değerlendirmesini zorlaştırabilir. Bu nedenle özellikle açık rızaya dayanılan veri işleme faaliyetlerinde, rızanın belirli bir konuya ilişkin, yeterli bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması büyük önem taşır.
I. İşe Alım Sürecinde Uygulanacak Temel İlkeler
KVKK’nın 4. maddesi, tüm veri işleme faaliyetleri için geçerli olan temel ilkeleri düzenlemektedir. Buna göre kişisel veriler hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlarla; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar işlenmelidir.
Bu ilkeler, iş başvuru formlarının hazırlanmasından aday verilerinin silinmesine kadar bütün süreçte belirleyicidir. Örneğin, yazılım geliştirici pozisyonu için adayın teknik yetkinlikleri, deneyimi ve eğitim bilgileri makul şekilde istenebilir. Buna karşılık adayın medeni hâli, aile bireylerinin kimlik bilgileri, sağlık geçmişi veya siyasi görüşü, pozisyonla açık ve doğrudan bir bağlantı kurulamadığı sürece talep edilmemelidir. İşverenin genel bir “ileride gerekli olabilir” düşüncesiyle veri toplaması, belirli ve meşru amaç ilkesi ile ölçülülük ilkesiyle bağdaşmaz.
Ölçülülük ilkesi, işverenin amacına ulaşmak için daha az müdahaleci bir yöntem bulunup bulunmadığını değerlendirmesini gerektirir. Aynı amaç, adaydan ayrıntılı sağlık raporu almak yerine yalnızca pozisyon için zorunlu mesleki yeterlilik belgesiyle sağlanabiliyorsa, daha geniş kapsamlı sağlık verisi toplanması ölçüsüz olabilir. Benzer biçimde, yüz tanıma veya ses analizi gibi biyometrik teknolojilerin kullanıldığı video mülakatlarda, bu araçların gerçekten gerekli olup olmadığı ve daha hafif araçların neden yetersiz kaldığı somut biçimde ortaya konulmalıdır.
II. Aday Verilerinin İşlenmesinde Hukuki Sebep
KVKK’nın 5. maddesi, kişisel verilerin kural olarak ilgili kişinin açık rızası olmaksızın işlenemeyeceğini; ancak maddede sayılan şartlardan birinin varlığı hâlinde açık rıza aranmaksızın veri işlenebileceğini düzenlemektedir. İşe alım bakımından en sık gündeme gelen hukuki sebepler, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ile veri sorumlusunun meşru menfaatidir.
İş sözleşmesinin kurulmasıyla doğrudan ilgili olma şartı, başvurunun değerlendirilmesi için gerekli temel verileri kapsayabilir. Adayın adı, iletişim bilgileri, mesleki deneyimi, eğitimi ve pozisyon için gerekli yetkinliklerine ilişkin veriler bu kapsamda değerlendirilebilir. Ancak bu hukuki sebebin kapsamı, işverenin aday hakkında sınırsız veri toplamasına imkân vermez. İstenen verinin, kurulması muhtemel iş sözleşmesiyle doğrudan bağlantısının ve gerekli olduğunun gösterilmesi gerekir.
Kurulun 6 Temmuz 2021 tarihli ve 2021/670 sayılı kararında, adayın iş başvurusunun değerlendirilmesi, mülakat yapılması ve pozisyona uygunluğunun incelenmesi amacıyla veri işlenmesinin çeşitli hukuki sebeplere dayanabileceği kabul edilmiştir. Bununla birlikte, Kurul kararında iş başvurusunun olumsuz sonuçlanmasından sonra aday verilerinin işlenmeye devam edilmesi ayrıca değerlendirilmiş; adayın silme talebine rağmen verilerin belirlenen süre içinde silinmemesi hukuka aykırı bulunmuştur (Kişisel Verileri Koruma Kurulu 2021a).
Bu karar, hukuki sebebin veri işleme faaliyeti boyunca sabit ve sınırsız kabul edilemeyeceğini göstermektedir. Başvuru değerlendirme amacı sona erdiğinde, bu amaç için dayanılan hukuki sebep de kural olarak ortadan kalkar. İşverenin, daha önce geçerli olan hukuki sebebe dayanarak aday verilerini süresiz biçimde saklaması mümkün değildir.
Meşru menfaat hukuki sebebi de işe alım süreçlerinde dikkatli kullanılmalıdır. İşverenin nitelikli işgücünü seçme, başvuruları karşılaştırma ve süreç güvenliğini sağlama yönünde meşru menfaatleri bulunabilir. Ancak bu menfaat, adayın temel hak ve özgürlüklerine zarar vermemelidir. Meşru menfaat değerlendirmesinde işverenin menfaati, veri işlemenin aday üzerindeki etkisi ve daha az müdahaleci bir alternatifin bulunup bulunmadığı birlikte ele alınmalıdır.
III. Özel Nitelikli Kişisel Veriler ve Hassas Veri Talepleri
İşe alımda işlenen tüm veriler aynı risk düzeyinde değildir. Sağlık bilgisi, biyometrik veri, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile kişilerin siyasi düşüncesi, dinî inancı veya sendika üyeliği gibi özel nitelikli kişisel veriler, adayın ayrımcılığa uğraması veya özel hayatının ihlal edilmesi bakımından daha yüksek risk taşır.
Kurulun 24 Şubat 2022 tarihli ve 2022/172 sayılı kararına konu olayda, işe kabul aşamasında adaydan adli sicil kaydı, sağlık raporu, akciğer filmi raporu, kan grubu belgesi, ehliyet fotokopisi, evlilik cüzdanı fotokopisi ve aile bireylerine ait kimlik belgeleri istenmiştir. Karar, başvuruların cevaplandırılması, veri sorumlusunun tespiti ve imha işlemlerinin belgelendirilmesi yönlerinden önem taşımaktadır. Olayın kendisi ise işe giriş sürecinde istenen bilgi ve belgelerin işin niteliğiyle bağlantılı, sınırlı ve ölçülü olması gerektiğini ortaya koymaktadır (Kişisel Verileri Koruma Kurulu 2022).
Sağlık verileri bakımından, adayın tüm sağlık geçmişinin veya kronik rahatsızlıklarının başvuru aşamasında talep edilmesi kural olarak ölçülülük sorunu doğurur. İşin niteliği gerektiriyorsa, sağlık değerlendirmelerinin işe kabulden sonraki dönemde ve yetkili sağlık personeli aracılığıyla yapılması daha uygun bir yöntem olabilir. İşverenin yalnızca çalışanın ilgili görev bakımından çalışmaya elverişli olup olmadığına ilişkin gerekli bilgiyle yetinmesi, veri minimizasyonu ilkesine daha uygundur.
Adli sicil kaydı bakımından da pozisyonun gerektirdiği özel koşullar dikkate alınmalıdır. Her adaydan standart biçimde adli sicil belgesi istenmesi yerine, mevzuatın açıkça öngördüğü veya görevin güvenlik, finansal sorumluluk ya da çocuklarla çalışma gibi özelliklerinden kaynaklanan açık bir ihtiyaç bulunan pozisyonlar bakımından değerlendirme yapılmalıdır.
Adayın aile bireylerine ait veriler ise ayrıca üçüncü kişilere ait kişisel veriler niteliğindedir. Bu verilerin işlenmesi, adayın kendi verilerinden bağımsız olarak hukuki sebep ve aydınlatma değerlendirmesi gerektirir. Bu nedenle aile bireylerinin kimlik veya iletişim bilgilerinin işe alımın erken aşamalarında istenmesi, istisnai durumlar dışında uygun değildir.
IV. Aydınlatma Yükümlülüğü ve Açık Rızanın Ayrıştırılması
Aydınlatma yükümlülüğü, adayın verilerinin kim tarafından, hangi amaçlarla, hangi hukuki sebeple işlendiğini; verilerin kimlere aktarılabileceğini; veri toplama yöntemini ve adayın KVKK kapsamındaki haklarını öğrenmesini sağlar. Bu yükümlülük, veri sorumlusu tarafından kişisel verilerin elde edilmesi sırasında yerine getirilmelidir.
Açık rıza ise bir aydınlatma yöntemi değil, belirli şartlarda başvurulan veri işleme hukuki sebebidir. Bu iki kavramın aynı metinde birleştirilmesi, adayın neye onay verdiğini belirsizleştirebilir. Kurulun 26 Temmuz 2018 tarihli ve 2018/90 sayılı kararı, çevrim içi iş başvurusu alan bir veri sorumlusunun aydınlatma metnini okuma bildirimi ile açık rıza onayını tek mekanizmada toplamasını hukuka uygun bulmamıştır. Kurul, aydınlatmanın yapıldığını gösteren işlem ile açık rızanın alındığını gösteren işlemin ayrıştırılması yönünde talimat vermiştir (Kişisel Verileri Koruma Kurulu 2018).
Bu yaklaşım, işe alım sistemlerinde kullanılan kutucukların ve metinlerin yeniden değerlendirilmesini gerektirir. “Aydınlatma metnini okudum ve kişisel verilerimin işlenmesini kabul ediyorum” biçimindeki tek bir onay kutusu, hem aydınlatmanın tek taraflı niteliğini hem de açık rızanın özgür iradeye dayanma şartını zedeleyebilir. Aydınlatma metni adayın erişimine kolayca sunulmalı; açık rızaya gerçekten ihtiyaç duyulan hâllerde ise rıza, ayrı bir metin ve ayrı bir seçimlik mekanizma ile alınmalıdır.
Örneğin adayın özgeçmişinin gelecekte açılabilecek pozisyonlar için aday havuzunda saklanması, başvurulan mevcut pozisyon için gerekli veri işlemeden farklı bir amaçtır. Aynı şekilde aday verilerinin grup şirketlerinin açık pozisyonlarında değerlendirilmek üzere paylaşılması da ayrı bir veri aktarımı niteliği taşıyabilir. Bu tür faaliyetler için adayın önceden, açık ve anlaşılır biçimde bilgilendirilmesi gerekir.
V. İnsan Kaynakları Platformları, Grup Şirketleri ve Veri Aktarımı
İşe alım süreçleri çoğu zaman yalnızca işveren ile aday arasındaki ilişkiden ibaret değildir. İnsan kaynakları danışmanlık firmaları, çevrim içi istihdam platformları, bulut tabanlı aday takip sistemleri ve grup şirketleri, aday verilerinin işlenmesinde rol alabilir. Bu yapıların her biri bakımından veri sorumlusu–veri işleyen ayrımının ve veri aktarımının hukuki dayanağının somut olay temelinde belirlenmesi gerekir.
Kurulun iş başvuru sürecinde işlenen kişisel verilerin hukuka aykırı şekilde paylaşılmasına ilişkin karar özetinde, adayın başvuru bilgileri, ad-soyadı ve e-posta adresinin diğer adaylarla paylaşılması ile grup şirketleri arasında ortak veri tabanı üzerinden aktarılması incelenmiştir. Kurul, söz konusu işlemleri veri güvenliği yükümlülüğü bakımından değerlendirmiş ve idari para cezası uygulanmasına karar vermiştir (Kişisel Verileri Koruma Kurulu, t.y.).
Bu karar, şirketler topluluğu içindeki veri hareketlerinin otomatik olarak “kurum içi paylaşım” sayılamayacağını göstermektedir. Ayrı tüzel kişiliğe sahip her şirket, kural olarak ayrı bir veri sorumlusu olabilir. Adayın bir şirkete yaptığı başvurunun diğer grup şirketlerine aktarılması, aday havuzu oluşturulması veya başka işverenlerin erişimine açılması; ayrı amaç, hukuki sebep ve aydınlatma değerlendirmesi gerektirir.
İnsan kaynakları bilgi sistemlerinde teknik tedbirler de bu değerlendirmeyi tamamlar. Rol bazlı erişim, yetki matrisi, kayıtların düzenli denetlenmesi, aday dosyalarına erişim loglarının tutulması ve personelin gizlilik yükümlülükleri hakkında eğitilmesi, KVKK’nın 12. maddesi kapsamındaki veri güvenliği yükümlülüğünün önemli unsurlarıdır.
VI. Saklama Süresi, İmha ve İlgili Kişinin Başvuru Hakkı
Başvurunun reddedilmesi, aday verilerinin hangi süreyle saklanabileceği sorununu doğurur. İşveren, ayrımcılık iddiaları veya olası uyuşmazlıklar karşısında kendisini savunabilmek için belirli kayıtları makul bir süre muhafaza etmek isteyebilir. Ancak bu ihtiyaç, bütün aday verilerinin süresiz biçimde saklanmasını haklı kılmaz.
Kurulun 2021/670 sayılı kararı, olumsuz sonuçlanan başvurunun ardından bazı verilerin gelecekteki başvurularda kullanılmak üzere saklanması ve adayın silme talebinin gereği gibi yerine getirilmemesi bakımından önem taşımaktadır. Karar, silme talebi sonrasında veri işleme faaliyetine devam edilmesinin ayrıca hukuki sebebe dayanması gerektiğini ve imha yükümlülüğünün etkin biçimde yerine getirilmesi gerektiğini ortaya koymaktadır (Kişisel Verileri Koruma Kurulu 2021a).
İşverenler, aday verileri için ayrı bir saklama ve imha politikası belirlemelidir. Politikada hangi veri kategorisinin hangi amaçla, ne kadar süre saklanacağı; sürenin sonunda hangi imha yönteminin uygulanacağı ve imha işlemlerinin nasıl kayıt altına alınacağı gösterilmelidir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik, imha işlemlerinin kayıt altına alınmasını ve bu kayıtların diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl muhafaza edilmesini düzenlemektedir (Kişisel Verileri Koruma Kurumu 2017).
Adayların KVKK’nın 11. maddesi kapsamında veri işlenip işlenmediğini öğrenme, işlenen veriler hakkında bilgi talep etme, aktarım yapılan üçüncü kişileri öğrenme ve şartların oluşması hâlinde verilerinin silinmesini isteme hakları bulunmaktadır. Kurulun 14 Ekim 2021 tarihli ve 2021/1051 sayılı kararı, istihdam platformlarının adayların erişim taleplerini süresinde ve yeterli biçimde cevaplamasının önemini göstermektedir. Kararda, adayın erişim talebinin Kanun’da belirtilen süre içinde karşılanmış olması nedeniyle işlem yapılmasına yer olmadığı sonucuna ulaşılmıştır (Kişisel Verileri Koruma Kurulu 2021b).
Sonuç
İşe alma serbestisi, adayların kişisel verileri üzerinde sınırsız bir işleme, aktarma veya saklama yetkisi vermez. İşveren, adaydan hangi veriyi istediğini; bu verinin başvurulan pozisyonla neden ilgili olduğunu; hangi hukuki sebebe dayandığını; kimlerle paylaşıldığını ve ne kadar süre saklanacağını ortaya koyabilmelidir.
Kurul kararları birlikte değerlendirildiğinde, işe alım süreçleri bakımından dört ana sonuç öne çıkmaktadır. İlk olarak, işveren yalnızca başvurunun değerlendirilmesi için gerekli verileri toplamalıdır. İkinci olarak, aydınlatma metni ile açık rıza metni birbirinden ayrılmalı; adayın işe alınma beklentisinden yararlanılarak rıza zorunlu tutulmamalıdır. Üçüncü olarak, grup şirketleri, istihdam platformları ve danışmanlık firmalarıyla yapılan veri aktarımlarında her bir alıcı ve amaç bakımından ayrıca hukuki değerlendirme yapılmalıdır. Son olarak, başvuru sürecinin sona ermesiyle işleme amacı ortadan kalkmışsa veriler belirlenen saklama süresi sonunda güvenli biçimde imha edilmelidir.
Bu yaklaşım, yalnızca KVKK yaptırımlarından kaçınmak için değil, adayların adil, şeffaf ve öngörülebilir bir işe alım sürecine erişebilmesi bakımından da gereklidir. Kişisel verilerin korunmasına saygılı bir insan kaynakları politikası, işverenin kurumsal güvenilirliğini ve aday deneyimini de doğrudan etkileyen bir unsur hâline gelmiştir.
Yazar: Umar Toker – Hammurabi AI
Kaynakça
Kişisel Verileri Koruma Kurulu. 2018. “[Veri sorumlusu tarafından aydınlatma yükümlülüğü ve açık rıza onayı alınması süreçlerinin ayrı ayrı yerine getirilmesi gerektiği ile ilgili] 26 Temmuz 2018 tarihli ve 2018/90 sayılı Karar Özeti.” Erişim 29 Eylül 2026. https://www.kvkk.gov.tr/Icerik/5420/2018-90.
Kişisel Verileri Koruma Kurulu. 2021a. “[İlgili kişinin veri sorumlusu bankaya yaptığı iş başvurusunun olumsuz sonuçlanması sonrası kişisel verilerinin işlenmeye devam etmesi] 6 Temmuz 2021 tarihli ve 2021/670 sayılı Karar Özeti.” Erişim 29 Eylül 2026. https://www.kvkk.gov.tr/Icerik/7136/2021-670.
Kişisel Verileri Koruma Kurulu. 2021b. “[İş arama ve işe alım süreçlerini yürüten bir istihdam platformunun KVKK’ya aykırı uygulamalarda bulunması] 14 Ekim 2021 tarihli ve 2021/1051 sayılı Karar Özeti.” Erişim 29 Eylül 2026. https://www.kvkk.gov.tr/Icerik/7261/2021-1051.
Kişisel Verileri Koruma Kurulu. 2022. “[Yurt dışında mukim veri sorumlusunun Türkiye’deki irtibat bürosu tarafından işe alım sürecinde adaylardan özel nitelikli kişisel veri talep edilmesi] 24 Şubat 2022 tarihli ve 2022/172 sayılı Karar Özeti.” Erişim 29 Eylül 2026. https://www.kvkk.gov.tr/Icerik/7294/2022-172.
Kişisel Verileri Koruma Kurulu. t.y. “İş Başvurusu Sürecinde İşlenen Kişisel Verilerin Hukuka Aykırı Şekilde Paylaşılması.” Erişim 29 Eylül 2026. https://www.kvkk.gov.tr/Icerik/5410/Is-Basvurusu-Surecinde-Islenen-Kisisel-Verilerin-Hukuka-Aykiri-Sekilde-Paylasilmasi.
Kişisel Verileri Koruma Kurumu. 2017. “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik.” Erişim 29 Eylül 2026. https://www.kvkk.gov.tr/Icerik/5441/KISISEL-VERILERIN-SILINMESI-YOK-EDILMESI-VEYA-ANONIM-HALE-GETIRILMESI-HAKKINDA-YONETMELIK.
Türkiye Cumhuriyeti. 2016. “6698 Sayılı Kişisel Verilerin Korunması Kanunu.” Resmî Gazete, 7 Nisan 2016, Sayı 29677.
Hukuk ve Bilişim Dergisi ve Blog kısmımızda,
Bilişim Suçları
Blockchain ve Dijital Paralar
Yapay Zekâ ve Robot Hukuku
Elektronik Ticaret Hukuku
İnternet Hukuku
Kişisel Verilerin Korunması Hukuku
Start-Up Hukuku
E-Spor Hukuku
Fikri Mülkiyet Hukuku ve benzer teknoloji hukuku alanlarında yazılar okuyucularımıza sunulmaktadır.