Kısaca
- Kişisel veriler kural olarak açık rızayla işlenir; ancak kanunda sayılan yedi hâlden biri varsa açık rıza aranmaz.
- Bordro, SGK bildirimi ve iş sözleşmesinin ifası gibi İK işlemleri çoğu zaman kanuni yükümlülük ve sözleşmenin ifası sebeplerine dayanır.
- Hangi sebeple işlenirse işlensin, veri toplanırken çalışana aydınlatma yapılmalıdır.
- Veriler belirli ve meşru amaçla, ölçülü ve gerektiği kadar süre işlenmelidir.
Bu yazıda
İnsan kaynakları, bir şirkette kişisel verinin en yoğun işlendiği birimdir: aday özgeçmişleri, kimlik ve adres bilgileri, banka hesapları, bordro, izin ve sağlık raporları. 6698 sayılı Kişisel Verilerin Korunması Kanunu, bu verilerin hangi hukuki sebeplerle ve nasıl işlenebileceğini belirler.
Temel kavramlar
| Kavram | Kanundaki tanım |
|---|---|
| Kişisel veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi |
| İlgili kişi | Kişisel verisi işlenen gerçek kişi (çalışan, aday) |
| Veri sorumlusu | İşleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminden sorumlu kişi (işveren) |
| Veri işleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi (ör. bordro hizmeti veren firma) |
| Açık rıza | Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza |
Genel ilkeler (madde 4)
Kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenir ve ilgili mevzuatta öngörülen veya amaç için gerekli olan süre kadar muhafaza edilir.
Açık rıza her zaman gerekmez (madde 5)
Kural, kişisel verilerin açık rıza olmadan işlenemeyeceğidir. Ancak aşağıdaki şartlardan birinin varlığı hâlinde açık rıza aranmaz:
| Hukuki sebep | İK'dan örnek |
|---|---|
| a) Kanunlarda açıkça öngörülmesi | SGK işe giriş bildirgesindeki bilgiler |
| b) Fiili imkânsızlık nedeniyle rıza açıklayamayan kişinin hayatı veya beden bütünlüğü için zorunluluk | İşyerinde bilinci kapalı çalışanın bilgilerinin sağlık ekibine verilmesi |
| c) Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması | Ücretin ödenmesi için banka hesap bilgisi |
| ç) Veri sorumlusunun hukuki yükümlülüğü | Bordro ve vergi kayıtlarının tutulması |
| d) İlgili kişinin kendisi tarafından alenileştirilmesi | Kişinin herkese açık profesyonel profilinde paylaştığı iş unvanı |
| e) Bir hakkın tesisi, kullanılması veya korunması için zorunluluk | Bir iş davasında savunma için kayıtların kullanılması |
| f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati | İşyeri güvenliği için makul ölçüde giriş kayıtlarının tutulması |
Tablodaki örnekler, hukuki sebeplerin İK'daki olası karşılıklarını göstermek içindir; her somut işlemde sebebin gerçekten uygun olup olmadığı ayrıca değerlendirilmelidir.
Pratik sonuç: Kanuni yükümlülük ya da sözleşmenin ifası gibi bir sebebe dayanan işlem için ayrıca açık rıza istemek gerekmez; böyle bir işlemi açık rızaya bağlamak, çalışan rızasını geri aldığında işlemin dayanaksız kalması gibi bir sorun da doğurur.
Aydınlatma yükümlülüğü (madde 10)
Hangi hukuki sebebe dayanılırsa dayanılsın, veri elde edilirken veri sorumlusu ilgili kişiye şu konularda bilgi vermekle yükümlüdür:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
- Veri toplamanın yöntemi ve hukuki sebebi,
- maddede sayılan diğer hakları.
Aydınlatma bir onay değildir; çalışanın imzasıyla “rıza” alınmasını gerektirmez, ama yapıldığının ispatlanabilmesi için yazılı ya da elektronik bir iz bırakılması yararlıdır.
İK için kontrol listesi
- Aday ve çalışan için ayrı aydınlatma metinleri hazırlayın; özgeçmiş toplama kanallarında aday metnini görünür kılın.
- Her veri kategorisi için hukuki sebebi bir envanterde yazın; açık rızayı yalnız gerçekten gereken işlemlere ayırın.
- Bordro ya da İK yazılımı sağlayıcıları gibi veri işleyenlerle veri güvenliğine ilişkin sözleşme yapın.
- Sağlık raporu gibi özel nitelikli veriler için özel nitelikli veri yazımıza bakın.
Kaynaklar
Bu yazı 23 Ekim 2026 tarihinde yürürlükteki mevzuata göre hazırlandı. Genel bilgilendirme amaçlıdır; somut bir olayda hukuki ya da mali müşavirlik desteği yerine geçmez. Bir hata görürseniz bize yazın.