İşten Ayrılan Personelin
Kişisel Verileri

İş İlişkisi Biter, Veri İşleme Yetkisi Kendiliğinden Bitmez

Bir çalışan işten ayrıldığında ya da bir ortak şirketten çıktığında, çoğu işveren için o kişiyle ilgili veri işleme sorumluluğu da zihinsel olarak "kapanmış" sayılır. Oysa uygulamada en sık karşılaşılan Kişisel Verileri Koruma Kurulu (Kurul) ihlalleri tam da bu noktada doğar: eski çalışanın fotoğrafı reklam materyalinde kalmaya devam eder, kurumsal e-posta hesabı kapatılmadığı için gelen iletiler okunmaya devam eder, ya da işten ayrılan bir hekim eski hastalarının iletişim bilgilerini yeni pratiğinde reklam amacıyla kullanır.

Bu yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) iş/ortaklık ilişkisi sona erdikten sonraki veri işlemeye ilişkin temel kurallarını; Kurul'un istihdam ilişkisinin bitişiyle ilgili somut kararları ışığında ve işverenler için pratik bir kontrol listesiyle birlikte ele alıyoruz.

Hukuki Çerçeve

• KVKK m.4 — Genel ilkeler: Kişisel veriler "doğru ve gerektiğinde güncel" olmalı (b bendi), "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmalı (ç bendi) ve "işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir" (d bendi). İş ilişkisi sona erince, o ilişkiye dayalı veri işleme amacı da (bordro, erişim yetkisi, tanıtım materyali) kural olarak ortadan kalkar.
• KVKK m.5 — İşleme şartları: Açık rıza yoksa işleme ancak m.5/2'deki şartlardan birine dayanabilir. Fesih sonrası uyuşmazlıklarda en sık başvurulan şart, (e) bendi — "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması"dır: işverenin, fesih davasında delil olarak sınırlı veri kullanması bu kapsamda değerlendirilebilir; ama sınırları vardır (aşağıda 2021/1187 ↔ 2023/1548 karşılaştırması).
• KVKK m.7 — Silme/yok etme/anonimleştirme: "İşlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir." İş ilişkisinin bitişi, bordro/özlük dosyası gibi kanuni saklama yükümlülüğü dışındaki veriler (görüntü, reklam materyali, iletişim bilgisi) için tam olarak bu "sebebin ortadan kalkması" anıdır.
• KVKK m.12/4 — Süregelen gizlilik yükümlülüğü: "Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder." Bu fıkra kritik: yükümlülük yalnızca işverene değil, ayrılan çalışanın/ortağın KENDİSİNE de, görevi sırasında öğrendiği verileri kullanmama konusunda yüklenir.
• KVKK m.18 — İdari para cezası: Veri güvenliği yükümlülüğünün (m.12) ihlali 15.000 TL ile 1.000.000 TL arasında idari para cezasını gerektirir; aşağıdaki Kurul kararlarındaki tutarlar bu aralık içindedir.

Kurul Pratiğinden Örnekler

Kurul'un istihdam/ortaklık ilişkisinin sona ermesiyle ilgili kararları, üç ayrı problem kümesinde toplanıyor:

1) Dış-yüz materyalinin ve hesapların derhal kapatılmaması

• İşten ayrılan personelin görüntüsü reklamda (2022/1147): İş akdi feshedilen bir iç mimarın görüntüsü, işten ayrıldıktan sonra da reklam/pazarlama materyalinde ve kargo/satış sistemlerinde kullanılmaya devam etmiş; hatta iş akdi bittikten sonra dahi "satış sorumlusu" olarak gösterilmiştir. Kurul, KVKK m.4 (doğruluk/güncellik) ve m.12 ihlali nedeniyle 250.000 TL idari para cezası vermiş ve hem veri sorumlusunun hem kargo şirketinin kayıtlarından verinin imhasını talimatlandırmıştır.
• Eski işverenin sosyal medyada fotoğraf kullanmaya devam etmesi (2021/422): Bir pilates stüdyosu, iş ilişkisi bittikten sonra da eski eğitmenin fotoğraflarını sosyal medya hesabında yayında tutmuş, kaldırma talebine rağmen kaldırmamıştır. Kurul açık rızasız işleme nedeniyle idari para cezası vermiş, fotoğrafların kaldırılıp yok edilmesini talimatlandırmıştır.
• Ortaklıktan ayrılan kişinin e-postası kapatılmamış (2023/1321): Şikâyetçi, ortağı olduğu şirketten ayrılıp yeni firma kurmuş; ancak eski e-posta adresi aktif kalmış ve şirket bu adrese (eski müşterilerden ve yeni firmasının çalışanından gelenler dâhil) gelen iletileri okumaya devam etmiştir. Şirketin "e-posta kapatıldı, tanımsız mail olarak yönlendiriliyor" savunması yeterli görülmemiş; Kurul, m.5 kapsamında hiçbir işleme şartına dayanmayan bu işlemeyi ihlal sayarak 50.000 TL idari para cezası vermiş ve sistemin işten/ortaklıktan ayrılan kişilere veri işlemeyi durduracak şekilde düzeltilmesini istemiştir.

2) Fesih uyuşmazlığında delil toplama sınırı (m.5/2-e)

Kurul'un iki kararı, aynı hukuki dayanağın (m.5/2-e — hakkın tesisi/korunması) nasıl farklı sonuçlara götürebileceğini gösteriyor:

• İhlal VAR — aydınlatmasız erişim (2021/1187): İşveren, eski çalışanının kurumsal e-postasına ÖNCEDEN hiçbir aydınlatma yapmaksızın erişip inceleme yapmış; özel e-postalar ve banka hesap dökümü gibi İŞLE İLGİSİZ verileri de mahkemeye delil olarak sunmuştur. Kurul, "e-posta yalnızca iş amaçlı kullanılabilir/incelenebilir" bildirimi hiç yapılmadığından ve kapsam işle sınırlı tutulmadığından ihlal tespit etmiş, 250.000 TL idari para cezası vermiştir.
• İhlal YOK — dar kapsamlı ve güvenli delil (2023/1548): Bir enerji dağıtım şirketinde işten çıkarılan çalışan, fesih gerekçesinin rızasız alınan ses kaydı olduğunu ileri sürüp imhasını istemiştir. İşveren kaydı şifreli tutmuş ve YALNIZCA mahkeme dosyasına sunmuştur. Kurul, m.5/2-e kapsamında bunun hukuka uygun olduğuna karar vermiş, ceza uygulamamıştır.

Farkı belirleyen unsurlar: önceden aydınlatma yapılıp yapılmadığı, delilin yalnızca işle/uyuşmazlıkla ilgili dar kapsamda tutulup tutulmadığı ve güvenli/şifreli saklanıp yalnızca mahkemeye sunulup sunulmadığıdır.

3) İşe alım süreci ve meslek değişikliğinde veri gizliliği

• Mülakatta mevcut işverene ifşa (2022/798): Bir kişi, hâlâ çalışmakta olduğu işyerini bırakmadan başka bir şirkete iş görüşmesine gitmiş, görüşmede mevcut işvereni hakkında olumsuz görüş bildirmiştir. Görüşmeyi yapan şirket bu bilgiyi kişinin MEVCUT işverenine aktarmış; kişi önce ücretsiz izne çıkarılmış, sonra işten ayrılmıştır. Kurul, aktarımı (m.8) ve veri güvenliği eksikliğini ihlal sayarak 100.000 TL idari para cezası vermiştir — mülakat içeriğinin gizliliği, işe alım süreci yürüten her kurum için bağlayıcı bir yükümlülüktür.
• Ayrılan hekimin eski hasta verisiyle reklam yapması (2022/923): Bir doktor, hastaneden ayrılıp özel muayenehane açtıktan sonra, dört yıl önce o hastanede muayene olmuş bir kişiye reklam SMS'i göndermek için elindeki telefon numarasını kullanmıştır. Kurul, doktor hakkında m.5 ve m.12 ihlali nedeniyle 100.000 TL idari para cezası vermiş; verinin hastane veri tabanından alındığı ispatlanamadığından hastane hakkında işlem yapmamıştır. Bu, m.12/4'teki "görevden ayrılsa da gizlilik devam eder" kuralının bizzat çalışanın/ortağın kendisine uygulanışına örnektir.
• Reddedilen aday verisinin süresiz saklanması (2021/670): İş başvurusu reddedilen bir kişi verilerinin silinmesini istemiş; banka "meşru menfaat" gerekçesiyle saklamaya devam etmiştir. Kurul, başvuru reddedilince veri işleme amacının ortadan kalktığını, bankanın kendi imha takvimini uygulamasının m.7 anlamında yeterli olmadığını belirterek idari para cezası vermiştir.

İşverenler İçin Kontrol Listesi

1. Hesapları aynı gün kapat: İşten/ortaklıktan ayrılışla birlikte kurumsal e-posta ve sistem erişimleri derhal kapatılmalı; "tanımsız mail" gibi otomatik yönlendirme çözümleri yeterli değildir (2023/1321) — iletiler reddedilmeli (bounce) veya hesap tamamen kapatılmalıdır.
2. Dış-yüz materyalini tara: Web sitesi, reklam, katalog, kargo/satış sistemi gibi tüm dış-yüz materyallerinden ayrılan personelin görüntü ve iletişim bilgisi derhal kaldırılmalıdır (2022/1147, 2021/422); bu kontrol İK'nın işten ayrılış sürecine standart madde olarak eklenmelidir.
3. Fesih delilini dar tut: Uyuşmazlık çıkması ihtimaline karşı toplanan delil (e-posta, ses kaydı vb.) yalnızca uyuşmazlıkla ilgili dar kapsamda olmalı, güvenli/şifreli saklanmalı ve yalnızca mahkemeye sunulmalıdır; önceden yazılı aydınlatma yapılmamışsa ve kapsam işle sınırlı tutulmamışsa yüksek ceza riski doğar (2021/1187 ↔ 2023/1548).
4. Mülakat gizliliğini koru: Bir adayın mevcut işvereni hakkında söyledikleri, o işverenle hiçbir şekilde paylaşılmamalıdır (2022/798); işe alım süreci yürüten kurumlar için bu, hem KVKK hem iş hukuku tazminatı riski taşır.
5. Ayrılan personelin/ortağın kendi yükümlülüğünü hatırlat: KVKK m.12/4 gereği, görevi sırasında öğrenilen verilerin yeni işte/pratikte kullanılmaması yükümlülüğü ayrılıştan sonra da devam eder (2022/923); bu, işten ayrılış görüşmesinde ayrılan kişiye hatırlatılmalıdır.
6. Reddedilen aday verisini süresiz saklama: İş başvurusu reddedilen kişilerin verileri, m.7 kapsamında makul bir sürede silinmeli/imha edilmelidir; "meşru menfaat" gerekçesi tek başına süresiz saklamayı haklı kılmaz (2021/670).

Sonuç

KVKK m.12/4'teki "bu yükümlülük görevden ayrılmalarından sonra da devam eder" ifadesi, aslında bu yazıdaki tüm örneklerin ortak paydasıdır: iş veya ortaklık ilişkisinin sona ermesi, veri koruma yükümlülüğünü sona erdirmez — tam tersine, ilişkinin bittiği an, biriken verilerin (görüntü, e-posta, iletişim bilgisi) durumunun yeniden değerlendirilmesi gereken andır. İşverenler için pratik öncelik, işten ayrılış sürecini yalnızca bir İK formalitesi değil, aynı zamanda bir veri kapatma/imha protokolü olarak tasarlamaktır.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.4, 5, 7, 12, 18 (mevzuat.gov.tr)
• KVKK Kurulu, 20/10/2022 t. 2022/1147 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 27/04/2021 t. 2021/422 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 03/08/2023 t. 2023/1321 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 25/11/2021 t. 2021/1187 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 07/09/2023 t. 2023/1548 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 04/08/2022 t. 2022/798 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 08/09/2022 t. 2022/923 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 06/07/2021 t. 2021/670 s. Karar Özeti — kvkk.gov.tr