İnsan kaynakları süreçlerinde KVKK, aday çalışanlardan mevcut personele, stajyerlerden eski çalışanlara kadar uzanan geniş bir veri işleme alanını kapsar. CV toplama, aday havuzu oluşturma, referans kontrolü, özlük dosyası, bordro, SGK kayıtları, sağlık ve iş güvenliği belgeleri, performans değerlendirme, disiplin kayıtları, çalışan izleme sistemleri ve işten ayrılış belgeleri ayrı ayrı değerlendirilmelidir.
Bu nedenle İK süreçlerinde KVKK uyumu, yalnızca çalışan aydınlatma metni hazırlamakla sınırlı değildir. Her kişisel veri için işleme amacı, hukuki sebep, saklama süresi, aktarım tarafı, erişim yetkisi ve güvenlik tedbiri belirlenmelidir.
İnsan kaynakları süreçlerinde KVKK, CV toplama, aday çalışan verileri, referans kontrolü, özlük dosyası, bordro, SGK kayıtları, sağlık ve iş güvenliği belgeleri, performans değerlendirme, disiplin kayıtları ve işten ayrılış belgelerinin hukuka uygun şekilde yönetilmesini gerektirir.
Çalışanlardan her durumda açık rıza alınması doğru bir yaklaşım değildir. Kanuni yükümlülük, iş sözleşmesinin kurulması veya ifası, bir hakkın tesisi veya korunması ve meşru menfaat gibi hukuki sebepler ayrıca değerlendirilmelidir. Sağlık raporu, engellilik bilgisi, biyometrik veri ve ceza mahkûmiyeti bilgisi gibi özel nitelikli kişisel veriler için daha sıkı teknik ve idari tedbirler uygulanmalıdır.
2026 yılında yayımlanan biyometrik veri ve kamera duyuruları ile 4 Temmuz 2026 tarihli kişisel sağlık verileri değişikliği, özellikle çalışan sağlık verileri, işe giriş süreçleri, mesai takibi, kamera kaydı ve geçmiş tanıların güncel değerlendirmelerde kullanılması bakımından ayrıca dikkate alınmalıdır.
İK süreçleriniz için KVKK uyum kontrolü
CV toplama, aday çalışan aydınlatması, özlük dosyası, bordro, SGK kayıtları, referans kontrolü, çalışan izleme ve işten ayrılış süreçlerinizin KVKK bakımından düzenli ilerlemesi için kurumunuza özel ön değerlendirme yapılabilir.
İnsan Kaynakları Süreçlerinde KVKK Neden Önemlidir?
İnsan kaynakları süreçlerinde KVKK, işverenin aday çalışan, çalışan, stajyer, eski çalışan ve bazı durumlarda çalışan yakını verilerini hukuka uygun şekilde işlemesini ifade eder. Bu süreç yalnızca işe giriş evraklarından ibaret değildir; işe alım ilanından CV havuzuna, referans kontrolünden özlük dosyasına, performans değerlendirmesinden işten ayrılış kayıtlarına kadar bütün İK yaşam döngüsünü kapsar.
Personel çalıştıran her şirket, çalışan verilerini işlerken kişisel veri işleme ilkelerine uygun hareket etmelidir. Bu ilkeler; hukuka ve dürüstlük kurallarına uygunluk, doğru ve güncel olma, belirli, açık ve meşru amaçlarla işleme, amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işleme amacı için gerekli süre kadar saklama şeklinde özetlenebilir.
Bu nedenle İK birimleri için doğru yaklaşım, “her belgeyi alalım ve süresiz saklayalım” anlayışı değildir. Her belge için şu sorular sorulmalıdır:
- Bu veriyi hangi amaçla topluyoruz?
- Bu verinin işlenmesi için hangi hukuki sebebe dayanıyoruz?
- Veri özel nitelikli kişisel veri içeriyor mu?
- Veriye kimler erişebilir?
- Veri hangi kişi, kurum veya hizmet sağlayıcıya aktarılıyor?
- Veri ne kadar süre saklanacak?
- Saklama süresi dolduğunda nasıl imha edilecek?
İK Süreçlerinde Hangi Kişisel Veriler İşlenir?
İnsan kaynakları süreçlerinde işlenen kişisel veriler şirketin faaliyet alanına, çalışan sayısına, iş sağlığı ve güvenliği yükümlülüklerine, bordro düzenine, kullanılan yazılımlara ve işin niteliğine göre değişebilir. Ancak uygulamada en sık karşılaşılan veri kategorileri aşağıdaki gibidir.
| Veri Grubu | Örnekler | KVKK Açısından Dikkat Edilecek Nokta |
|---|---|---|
| Kimlik verileri | Ad, soyad, T.C. kimlik numarası, doğum tarihi, medeni hâl bilgisi | İş ilişkisi ve kanuni yükümlülüklerle sınırlı işlenmelidir. |
| İletişim verileri | Telefon, e-posta, adres, acil durum yakını bilgisi | Acil durum yakını verileri ayrıca dikkatle değerlendirilmelidir. |
| Mesleki deneyim verileri | CV, diploma, sertifika, önceki iş deneyimi, referans bilgileri | Aday çalışan ve çalışan süreçleri ayrı aydınlatılmalıdır. |
| Finansal veriler | Banka hesabı, ücret, prim, avans, icra kesintisi, yan hak bilgileri | Bordro ve muhasebe erişimleri sınırlanmalıdır. |
| Özlük verileri | İş sözleşmesi, işe giriş bildirgesi, izin kayıtları, görev tanımı, zimmet formları | Özlük dosyasında yalnızca gerekli belgeler bulunmalıdır. |
| Performans verileri | Hedef, değerlendirme, eğitim, disiplin, terfi ve görev değişikliği kayıtları | Objektif, işle bağlantılı ve ölçülü kayıt tutulmalıdır. |
| İşlem güvenliği verileri | Sistem giriş-çıkış kayıtları, log kayıtları, kullanıcı yetkileri | Erişim ve denetim amacıyla sınırlı kullanılmalıdır. |
| Görsel ve işitsel kayıtlar | Kamera kaydı, kartlı geçiş kaydı, bazı durumlarda eğitim veya toplantı kayıtları | Kamera ve çalışan izleme süreçleri önceden açıklanmalı ve ölçülü olmalıdır. |
| Özel nitelikli kişisel veriler | Sağlık raporu, engellilik bilgisi, kan grubu, biyometrik veri, ceza mahkûmiyeti bilgisi | Özel güvenlik tedbirleri, sınırlı erişim ve açık hukuki dayanak gerekir. |
Özel nitelikli kişisel veriler bakımından daha dikkatli hareket edilmelidir. Özellikle sağlık verileri, biyometrik veriler ve ceza mahkûmiyetine ilişkin bilgiler yalnızca gerekli olduğu ölçüde, uygun hukuki sebebe dayanılarak ve özel güvenlik tedbirleri alınarak işlenmelidir.
CV Toplama ve Aday Çalışan Verileri Nasıl Yönetilmelidir?
CV toplama süreci, işverenin aday çalışanla ilk kişisel veri temasını kurduğu alandır. Şirketin kariyer sayfası, e-posta adresi, insan kaynakları yazılımı, iş ilanı platformu veya fiziki başvuru formu üzerinden alınan CV’ler KVKK kapsamında kişisel veri niteliğindedir.
Aday çalışan verilerinde temel kural, başvurunun değerlendirilmesi için gerekli olmayan verilerin talep edilmemesidir. Örneğin başvurulan pozisyonla ilgisi olmayan aile bilgileri, detaylı sağlık bilgileri, gereksiz kimlik fotokopileri veya özel hayatı ilgilendiren bilgiler ilk başvuru aşamasında istenmemelidir.
Aday çalışanlardan toplanan veriler için ayrıca aday çalışan aydınlatma metni hazırlanmalıdır. Bu metinde en az şu hususlar yer almalıdır:
- Veri sorumlusunun kimliği,
- Kişisel verilerin hangi amaçlarla işlendiği,
- Hangi kişisel veri kategorilerinin işlendiği,
- Verilerin kimlere ve hangi amaçlarla aktarılabileceği,
- Veri toplama yöntemi ve hukuki sebebi,
- Aday çalışanın KVKK kapsamındaki hakları,
- Başvuru kanalları,
- CV’nin ne kadar süre saklanacağı veya aday havuzunda tutulup tutulmayacağı.
Adayın başvurduğu pozisyon için değerlendirme yapılması ile adayın ileride açılacak başka pozisyonlar için aday havuzunda tutulması aynı şey değildir. Aday havuzu oluşturulacaksa, bu amaç ayrıca açıklanmalı ve saklama süresi netleştirilmelidir. Şirket, süresi dolan veya artık gerekli olmayan CV’leri silme, yok etme veya anonim hale getirme sürecine dahil etmelidir.
Referans Kontrolü KVKK’ya Uygun Nasıl Yapılır?
Referans kontrolü, insan kaynakları süreçlerinde en hassas alanlardan biridir. Çünkü bu işlemde yalnızca adayın verdiği bilgiler değil, üçüncü kişilerden elde edilen değerlendirmeler de işlenebilir.
KVKK’ya uygun referans kontrolünde temel yaklaşım şu olmalıdır:
- Aday, referans kontrolü yapılacağı konusunda önceden bilgilendirilmelidir.
- Referans alınacak kişiler mümkünse aday tarafından paylaşılmış kişiler olmalıdır.
- Adayın mevcut işvereniyle iletişime geçilecekse özel dikkat gösterilmelidir.
- Adayın iş aradığı veya iş görüşmesine katıldığı bilgisi üçüncü kişilerle ölçüsüz şekilde paylaşılmamalıdır.
- Referans görüşmesinde yalnızca pozisyonla bağlantılı ve gerekli bilgiler sorulmalıdır.
- Referans notları sınırsız ve kontrolsüz biçimde saklanmamalıdır.
Özellikle adayın hâlen çalıştığı işyerine, adayın bilgisi dışında “bu kişi bizde iş görüşmesine katıldı” şeklinde bilgi verilmesi ciddi risk doğurabilir. Bu tür paylaşım hem adayın mevcut iş ilişkisini etkileyebilir hem de kişisel verilerin hukuka aykırı aktarımı tartışmasını gündeme getirebilir.
Özlük Dosyası KVKK Bakımından Nasıl Düzenlenmelidir?
Özlük dosyası, işverenin çalışanla ilgili kanuni yükümlülüklerini yerine getirmek, iş ilişkisini yürütmek ve gerektiğinde yetkili kurumlara belge sunmak için tuttuğu temel dosyadır. Ancak özlük dosyasında yalnızca gerekli olan belge ve kayıtlar bulunmalıdır.
Özlük dosyasında yer alabilecek belgeler genel olarak şunlardır:
- Kimlik ve iletişim bilgileri,
- İş sözleşmesi ve ekleri,
- İşe giriş bildirgesi,
- Görev tanımı ve pozisyon bilgisi,
- Ücret ve yan hak belgeleri,
- Banka hesap bilgisi,
- İzin, devamsızlık ve puantaj kayıtları,
- Zimmet ve teslim formları,
- Eğitim ve sertifika belgeleri,
- İş sağlığı ve güvenliği belgeleri,
- Gerekli hallerde sağlık raporu ve benzeri özel nitelikli veri içeren belgeler,
- Disiplin, uyarı, savunma ve performans kayıtları,
- İşten ayrılış belgeleri.
Özlük dosyası düzenlenirken gereksiz belge toplama alışkanlığından kaçınılmalıdır. Örneğin her çalışan için standart şekilde adli sicil kaydı, detaylı sağlık raporu, aile bireylerine ait belgeler veya kimlik fotokopisi alınması her durumda ölçülü olmayabilir. Her belge, işin niteliği ve ilgili mevzuat yükümlülüğü bakımından ayrıca değerlendirilmelidir.
Özlük dosyalarına erişim sınırlandırılmalıdır. İnsan kaynakları, mali işler, hukuk, yönetim ve dış hizmet sağlayıcılar arasında erişim yetkileri açıkça belirlenmeli; herkesin tüm özlük dosyasına erişmesi engellenmelidir.
Bordro, SGK ve Mali Kayıtlar KVKK Kapsamında Nasıl Değerlendirilir?
Bordro, ücret, SGK bildirimi, vergi kesintisi, prim, ikramiye, avans, icra kesintisi, BES ve yan hak kayıtları kişisel veri içerir. Bu kayıtlar çoğu zaman işverenin kanuni yükümlülüklerini yerine getirmesi, iş sözleşmesinin ifası ve hukuki yükümlülüklerin yerine getirilmesi kapsamında işlenir.
Bu nedenle bordro ve SGK süreçlerinde her işlem için ayrıca açık rıza alınması genellikle doğru yaklaşım değildir. Asıl önemli olan, çalışanların bu süreçler hakkında aydınlatılması, verilerin yalnızca gerekli birimlerle paylaşılması, muhasebe veya bordro hizmet sağlayıcılarıyla veri işleme ilişkilerinin sözleşmesel olarak düzenlenmesi ve saklama sürelerinin mevzuata uygun belirlenmesidir.
Bordro ve SGK verilerinde dikkat edilmesi gereken başlıca noktalar şunlardır:
- Ücret bilgileri şirket içinde sınırlı erişime açık olmalıdır.
- Bordro dosyaları herkesin erişebileceği ortak klasörlerde tutulmamalıdır.
- Muhasebe, bordro yazılımı veya dış hizmet sağlayıcılarla KVKK hükümleri içeren sözleşmeler yapılmalıdır.
- SGK ve vergi kayıtları için ilgili mevzuattaki saklama ve ibraz süreleri dikkate alınmalıdır.
- E-posta ile bordro gönderimi yapılacaksa yanlış alıcı riski ve güvenli iletim yöntemleri değerlendirilmelidir.
- Çalışanın banka, ücret, icra veya aile yardımı gibi hassas sonuç doğurabilecek bilgilerine erişim sınırlandırılmalıdır.
Çalışan Sağlık Verileri ve 2026 Sağlık Verileri Değişikliği
İnsan kaynakları süreçlerinde sağlık raporu, işe giriş sağlık muayenesi, periyodik muayene kayıtları, iş kazası ve meslek hastalığı kayıtları, engellilik bilgisi, gebelik veya emzirme bilgisi, iş sağlığı ve güvenliği belgeleri, istirahat raporları ve bazı durumlarda sağlık kurulu raporları özel nitelikli kişisel veri niteliği taşıyabilir.
Bu tür veriler için genel özlük dosyası mantığı yeterli değildir. Sağlık verilerine erişim sınırlı tutulmalı, görev tanımına göre yetkilendirme yapılmalı, açıkta veya ortak klasörlerde saklanmamalı ve yalnızca gerekli olduğu süre boyunca korunmalıdır.
4 Temmuz 2026 tarihli değişiklikle Kişisel Sağlık Verileri Hakkında Yönetmelikte kişisel sağlık verilerinin yeniden değerlendirilmesine ilişkin yeni bir süreç öne çıkmıştır. Bu düzenleme özellikle geçmiş tanılar, güncel sağlık durumu, işe giriş süreçleri, mesleki yeterlilik değerlendirmeleri, sağlık kurulu raporları ve geçmiş sağlık kayıtlarının tek başına esas alınması bakımından dikkatle değerlendirilmelidir.
İşverenler açısından bu değişiklik, geçmişte alınmış sağlık raporu veya tanı bilgisinin her durumda çalışanın güncel sağlık durumunu temsil ettiği varsayımıyla hareket edilmemesi gerektiğini gösterir. Çalışanın güncel sağlık durumu, ilgili mevzuat hükümleri, iş sağlığı ve güvenliği yükümlülükleri, işin niteliği ve kişisel verilerin doğru ve güncel tutulması ilkesi birlikte değerlendirilmelidir.
Performans, Disiplin ve Çalışan İzleme Süreçlerinde Nelere Dikkat Edilmelidir?
Performans değerlendirme, hedef takibi, eğitim kayıtları, disiplin süreçleri, uyarı yazıları, savunmalar ve görev değişiklikleri de kişisel veri işleme faaliyetidir. Bu kayıtlar çalışan hakkında mesleki değerlendirme, davranış, uyum, verimlilik veya iş ilişkisi bakımından sonuç doğurabilir.
Bu nedenle performans ve disiplin süreçlerinde şu kurallara dikkat edilmelidir:
- Değerlendirme kriterleri objektif ve işle bağlantılı olmalıdır.
- Performans notları gereksiz kişisel yorumlar içermemelidir.
- Disiplin kayıtları yalnızca yetkili kişiler tarafından görülebilmelidir.
- Çalışana ilişkin özel hayat bilgileri performans kaydına eklenmemelidir.
- Çalışan izleme sistemleri önceden açıklanmalı ve ölçülü olmalıdır.
- Kurumsal e-posta, bilgisayar, telefon ve sistem kayıtlarına erişim kuralları yazılı olarak belirlenmelidir.
- Kamera sistemleri güvenlik amacıyla sınırlı kullanılmalı, çalışanları sürekli performans izleme aracına dönüşmemelidir.
- Ses kaydı, yüz tanıma veya biyometrik takip gibi daha müdahaleci sistemler ayrıca ve daha sıkı biçimde değerlendirilmelidir.
İşverenin yönetim hakkı, çalışan verilerinin sınırsız şekilde izlenebileceği anlamına gelmez. Kamera, kartlı geçiş, log kayıtları, kurumsal e-posta ve cihaz kullanımı gibi alanlarda açık politika, ölçülü uygulama ve önceden bilgilendirme büyük önem taşır.
Biyometrik Veri ve Mesai Takibi Nasıl Değerlendirilmelidir?
Parmak izi, yüz tanıma, avuç içi, retina veya benzeri biyometrik veriler özel nitelikli kişisel veri niteliğindedir. Bu verilerin mesai takibi, giriş-çıkış kontrolü veya güvenlik amacıyla işlenmesi, sıradan kartlı geçiş ya da imza çizelgesi uygulamalarına göre çok daha yüksek risk taşır.
2026 yılında yayımlanan mesai takibi amacıyla biyometrik veri işlenmesine ilişkin Kurul yaklaşımı, biyometrik sistemlerin gereklilik ve ölçülülük bakımından daha sıkı değerlendirilmesi gerektiğini göstermektedir. İşverenler yalnızca pratiklik, hız veya personel takibini kolaylaştırma gerekçesiyle biyometrik veri işlememelidir.
Biyometrik veri kullanılmadan önce şu sorular cevaplanmalıdır:
- Aynı amaç kartlı geçiş, şifre, imza veya daha az müdahaleci bir yöntemle sağlanabilir mi?
- Biyometrik veri işleme gerçekten zorunlu mu?
- Çalışanlar açık ve ayrı şekilde bilgilendirildi mi?
- Veri minimizasyonu, şifreleme, erişim yetkisi ve saklama süresi belirlendi mi?
- Biyometrik veri üçüncü kişi yazılım veya cihaz sağlayıcısı tarafından işleniyor mu?
- İmha süreci ve çalışan işten ayrıldığında verinin silinmesi planlandı mı?
Bu nedenle biyometrik mesai takip sistemi kurulmadan önce hukuki dayanak, ölçülülük, alternatif yöntemler, çalışan aydınlatması, teknik güvenlik ve imha süreçleri birlikte değerlendirilmelidir.
İşten Ayrılan Çalışan Verileri Ne Kadar Süre Saklanmalıdır?
İşten ayrılan çalışan verilerinin saklama süresi tek bir süreyle belirlenemez. Çünkü özlük dosyası, bordro, SGK bildirimi, vergi kayıtları, iş sağlığı ve güvenliği belgeleri, zimmet formları, disiplin kayıtları, dava dosyaları ve kurumsal e-posta hesapları farklı hukuki sebeplere ve farklı saklama ihtiyaçlarına dayanabilir.
Doğru yaklaşım, “eski çalışan dosyası süresiz saklanır” demek değildir. Her veri kategorisi için ayrı saklama ve imha tablosu hazırlanmalıdır. İşten ayrılış sonrası saklama süresi belirlenirken şu ölçütler dikkate alınmalıdır:
- İş mevzuatından doğan belge saklama ve ispat yükümlülükleri,
- SGK ve vergi mevzuatından doğan kayıt ve ibraz yükümlülükleri,
- İşçilik alacakları, tazminat, fazla mesai, yıllık izin ve benzeri uyuşmazlık riskleri,
- İş sağlığı ve güvenliği kayıtlarının niteliği,
- Devam eden dava, arabuluculuk, icra veya idari inceleme süreçleri,
- Kurumsal e-posta, cihaz ve hesapların kapatılması veya arşivlenmesi ihtiyacı,
- Verinin özel nitelikli kişisel veri içerip içermediği.
Saklama süresi sona eren veriler, şirketin saklama ve imha politikasına uygun olarak silinmeli, yok edilmeli veya anonim hale getirilmelidir. İmha işlemleri kayıt altına alınmalı ve yetkisiz erişimi önleyecek teknik-idari tedbirlerle desteklenmelidir.
İK Verileri İçin Hızlı Kontrol Tablosu
| İK Süreci | İşlenen Veri Örnekleri | Dikkat Edilecek Nokta | Önerilen KVKK Aksiyonu |
|---|---|---|---|
| CV ve iş başvurusu | CV, iletişim, eğitim, deneyim | Gereksiz veri talep edilmemeli | Aday çalışan aydınlatma metni hazırlanmalı |
| Aday havuzu | CV, pozisyon tercihi, mülakat notu | Başvuru dışı saklama ayrıca açıklanmalı | Saklama süresi ve aday havuzu amacı belirlenmeli |
| Referans kontrolü | Referans kişi, görüşme notu | Adayın mevcut işvereniyle temasta dikkatli olunmalı | Referans prosedürü yazılı hale getirilmeli |
| Özlük dosyası | Kimlik, sözleşme, izin, zimmet | Her belge ölçülü olmalı | Özlük dosyası belge listesi oluşturulmalı |
| Bordro ve SGK | Ücret, banka, prim, SGK kaydı | Erişim yetkileri sınırlanmalı | Bordro ve SGK veri envanteri hazırlanmalı |
| Sağlık ve İSG | Sağlık raporu, iş kazası, engellilik | Özel nitelikli veri güvenliği gerekir | Ayrı erişim ve saklama tedbiri uygulanmalı |
| Performans ve disiplin | Değerlendirme, savunma, uyarı | Objektif ve işle bağlantılı kayıt tutulmalı | Performans/disiplin prosedürü oluşturulmalı |
| Çalışan izleme | Kamera, log, kartlı geçiş, e-posta erişimi | Ölçülülük ve önceden bilgilendirme gerekir | Çalışan izleme ve kamera politikası hazırlanmalı |
| Biyometrik mesai takibi | Parmak izi, yüz tanıma, avuç içi | Çok yüksek riskli özel nitelikli veri işleme faaliyetidir | Alternatif yöntem ve ölçülülük analizi yapılmalı |
| İşten ayrılış | Fesih, ibraname, çıkış bildirimi | Süresiz saklama yapılmamalı | Saklama-imha tablosu hazırlanmalı |
| Kurumsal e-posta | İş yazışmaları, hesap kayıtları | Eski çalışan hesabına erişimde aydınlatma gerekir | E-posta ve cihaz kullanım politikası hazırlanmalı |
Uygulamada Dikkat Edilmesi Gerekenler
İK süreçlerinde KVKK uyumu sağlamak isteyen şirketler, yalnızca çalışan aydınlatma metni hazırlamakla yetinmemelidir. Aydınlatma metni önemli bir belgedir; ancak tek başına bütün uyum sürecini tamamlamaz.
Uygulamada özellikle şu adımlar izlenmelidir:
- Aday çalışan, çalışan, stajyer ve eski çalışan süreçleri ayrı ayrı veri envanterine işlenmelidir.
- CV toplama kanalları belirlenmeli; e-posta, web formu, kariyer platformu ve fiziki başvuru süreçleri ayrı değerlendirilmelidir.
- Aydınlatma metni ile açık rıza metni birbirine karıştırılmamalıdır.
- Çalışanlardan her işlem için toplu açık rıza alınmamalı; önce diğer hukuki sebepler değerlendirilmelidir.
- Özel nitelikli kişisel veriler için ayrı güvenlik tedbirleri uygulanmalıdır.
- İK dosyalarına erişen kişiler sınırlanmalı ve yetki matrisi oluşturulmalıdır.
- Bordro, SGK, muhasebe, insan kaynakları yazılımı ve dış hizmet sağlayıcılarla veri işleme ilişkileri gözden geçirilmelidir.
- Kamera ve çalışan izleme süreçlerinde önceden bilgilendirme, ölçülülük ve makul saklama süresi sağlanmalıdır.
- Biyometrik veri kullanımı varsa alternatif yöntem analizi yapılmalıdır.
- Eski çalışan e-posta hesaplarına erişim, şirket politikası ve önceden bilgilendirme olmadan yapılmamalıdır.
- İşten ayrılan çalışan verileri için saklama ve imha tablosu hazırlanmalıdır.
- İmha işlemleri kayıt altına alınmalı ve periyodik olarak kontrol edilmelidir.
Lilyum Danışmanlık’ın uygulama yaklaşımına göre İK süreçlerinde en sağlıklı yöntem, belge bazlı değil süreç bazlı ilerlemektir. Yani yalnızca “çalışan aydınlatma metni var mı?” sorusu değil; “CV nereden geliyor, kim görüyor, ne kadar saklanıyor, bordroya kim erişiyor, eski çalışan e-postası nasıl kapatılıyor?” soruları birlikte cevaplanmalıdır.
İK Süreçlerinde Sık Yapılan KVKK Hataları
- Aday çalışanlardan gereğinden fazla kişisel veri talep edilmesi.
- CV’lerin süresiz şekilde e-posta kutularında veya ortak klasörlerde tutulması.
- Aday havuzu için ayrıca bilgilendirme yapılmaması.
- Referans kontrolünde adayın mevcut işyerine ölçüsüz bilgi verilmesi.
- Aydınlatma metni ile açık rıza metninin tek belge içinde karıştırılması.
- Çalışanlardan her işlem için genel ve kapsamı belirsiz açık rıza alınması.
- Özlük dosyasına gereksiz belge ve özel nitelikli veri eklenmesi.
- Bordro ve ücret bilgilerinin yetkisiz kişilerce görüntülenebilmesi.
- Sağlık raporları ve engellilik bilgilerinin genel personel dosyasında kontrolsüz tutulması.
- Geçmiş sağlık raporu veya tanı bilgisinin güncel durum gibi kullanılmaya devam edilmesi.
- Biyometrik mesai takip sisteminin alternatif yöntemler değerlendirilmeden kullanılması.
- Kamera kayıtlarının çalışan performansını sürekli izleme aracına dönüşmesi.
- İşten ayrılan çalışanların kurumsal e-posta hesaplarına politika olmadan erişilmesi.
- Eski çalışan verilerinin süresiz saklanması.
- İK yazılımları ve bordro hizmet sağlayıcılarıyla KVKK hükümleri içeren sözleşme yapılmaması.
Lilyum Danışmanlık Nasıl Destek Olur?
Lilyum Danışmanlık, insan kaynakları süreçlerinde KVKK uyumunu yalnızca belge hazırlama faaliyeti olarak değil, aday çalışan verisinden işten ayrılan çalışan dosyasına kadar bütün İK veri akışının düzenlenmesi olarak ele alır.
KVKK Danışmanlığı hizmetimiz kapsamında İK süreçleri için şu başlıklarda destek sağlanabilir:
- aday çalışan, çalışan, stajyer ve eski çalışan veri akışlarının çıkarılması,
- kişisel veri işleme envanteri hazırlanması,
- aday çalışan aydınlatma metni hazırlanması,
- çalışan aydınlatma metni hazırlanması,
- özlük dosyası belge listesinin gözden geçirilmesi,
- bordro, SGK ve muhasebe süreçlerinin veri envanterine işlenmesi,
- sağlık raporu ve özel nitelikli veri güvenliği tedbirlerinin belirlenmesi,
- kamera, çalışan izleme ve biyometrik veri uygulamalarının değerlendirilmesi,
- referans kontrolü ve aday havuzu prosedürlerinin hazırlanması,
- işten ayrılan çalışan verileri için saklama-imha tablosu oluşturulması,
- İK yazılımı, bordro hizmet sağlayıcı ve dış hizmet ilişkilerinin KVKK bakımından kontrolü.
İK süreçlerinizde KVKK uyumunu birlikte değerlendirebiliriz.
CV toplama, aday çalışan aydınlatması, özlük dosyası, bordro, SGK kayıtları, referans kontrolü, çalışan izleme, biyometrik veri ve işten ayrılış süreçleriniz için KVKK uyum kontrolü yapılabilir.
Sık Sorulan Sorular
CV’ler KVKK kapsamında kişisel veri sayılır mı?
Evet. CV içinde ad, soyad, iletişim bilgisi, eğitim, mesleki deneyim ve bazı durumlarda fotoğraf gibi kişisel veriler bulunur. Bu nedenle CV toplama, saklama, paylaşma ve imha süreçleri KVKK kapsamında değerlendirilmelidir.
Aday çalışan için ayrıca aydınlatma metni gerekir mi?
Evet. Aday çalışanın kişisel verileri işleniyorsa, başvuru sürecinde hangi verilerin hangi amaçlarla işlendiği, kimlere aktarılabileceği, hangi hukuki sebebe dayanıldığı ve hakların nasıl kullanılacağı açıklanmalıdır.
Şirketler CV’leri süresiz saklayabilir mi?
Hayır. CV’ler süresiz saklanmamalıdır. Başvuru süreci tamamlandıktan sonra saklama amacı ve süresi belirlenmeli; aday havuzu oluşturulacaksa bu durum ayrıca açıklanmalı ve süresi dolan veriler imha edilmelidir.
Referans kontrolü için açık rıza gerekir mi?
Referans kontrolünde adayın bilgilendirilmesi ve sürecin ölçülü yürütülmesi gerekir. Aday tarafından verilen referans kişilerle sınırlı kalmak, adayın mevcut işvereniyle temas kurulacaksa ayrıca dikkatli hareket etmek uygun bir uygulamadır. Somut sürece göre hukuki sebep ayrıca değerlendirilmelidir.
Özlük dosyasında hangi belgeler bulunmalıdır?
Özlük dosyasında iş ilişkisinin kurulması, yürütülmesi ve kanuni yükümlülüklerin yerine getirilmesi için gerekli belgeler bulunmalıdır. Kimlik, iş sözleşmesi, işe giriş bildirgesi, ücret ve izin kayıtları gibi belgeler buna örnek olabilir; ancak gereksiz ve işle ilgisiz belgeler dosyaya eklenmemelidir.
Çalışanlardan her işlem için açık rıza almak doğru mudur?
Hayır. Çalışan verilerinde her işlem için açık rıza almak doğru bir genel yaklaşım değildir. Önce kanuni yükümlülük, sözleşmenin kurulması veya ifası, bir hakkın tesisi veya korunması ve meşru menfaat gibi diğer hukuki sebepler değerlendirilmelidir. Açık rıza gerekiyorsa aydınlatmadan ayrı ve özgür iradeye dayalı şekilde alınmalıdır.
Sağlık raporu ve engellilik bilgisi özel nitelikli kişisel veri midir?
Evet. Sağlık verileri ve engellilik bilgileri özel nitelikli kişisel veri niteliğindedir. Bu veriler yalnızca gerekli hallerde, uygun hukuki sebebe dayanılarak ve özel güvenlik tedbirleri alınarak işlenmelidir.
4 Temmuz 2026 sağlık verileri değişikliği İK süreçlerini etkiler mi?
Evet, somut duruma göre etkileyebilir. Özellikle işe giriş sağlık raporu, geçmiş tanı, güncel sağlık durumu, mesleki yeterlilik değerlendirmesi, engellilik bilgisi veya sağlık kurulu raporu gibi kayıtlar söz konusuysa kişisel sağlık verilerinin yeniden değerlendirilmesine ilişkin 4 Temmuz 2026 tarihli düzenleme ayrıca dikkate alınmalıdır.
Çalışan mesai takibi için parmak izi veya yüz tanıma kullanılabilir mi?
Parmak izi, yüz tanıma ve benzeri biyometrik veriler özel nitelikli kişisel veridir. Mesai takibi için biyometrik veri kullanılmadan önce zorunluluk, ölçülülük, daha az müdahaleci alternatif yöntemler, veri güvenliği ve imha süreci ayrıca değerlendirilmelidir.
İşten ayrılan çalışanın kurumsal e-posta hesabına erişilebilir mi?
Kurumsal e-posta hesabına erişim, önceden belirlenmiş şirket politikası, çalışan bilgilendirmesi, iş amacı, ölçülülük ve yetki sınırları dikkate alınarak değerlendirilmelidir. Eski çalışan hesabına sınırsız ve belirsiz erişim KVKK bakımından risk doğurabilir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu — Rehberler
- Kişisel Verileri Koruma Kurumu — Yönetmelikler
- Kişisel Verileri Koruma Kurumu — Tebliğler
- Kişisel Verileri Koruma Kurumu — İlke Kararları
- Kişisel Verileri Koruma Kurumu — Kurul Kararları
- Kişisel Verileri Koruma Kurumu — Kurul Karar Özetleri
- 31.01.2018 tarihli ve 2018/10 sayılı Kurul Kararı — Özel Nitelikli Kişisel Veriler İçin Yeterli Önlemler
- KVKK — 2026/921 Sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi İlke Kararı Duyurusu
- KVKK — İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlar
- KVKK — 2022/797 Sayılı Kamera ve Yüz Tanıma Karar Özeti
- KVKK — 2025/1572 Sayılı Kurul Kararının Uygulama Esaslarına İlişkin Duyuru
- VERBİS
- T.C. Sağlık Bakanlığı — Kişisel Sağlık Verileri Hakkında Yönetmelik
- 4 Temmuz 2026 tarihli Resmî Gazete — Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik
- T.C. Sağlık Bakanlığı — Kişisel Sağlık Verileri Portalı
- SGK — Sosyal Güvenlik Kurumu Nezdindeki Verilerin Korunmasına ve İşlenmesine İlişkin Yönetmelik
- 4857 sayılı İş Kanunu
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
- 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
- 213 sayılı Vergi Usul Kanunu
Bilgilendirme Notu
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. KVKK kapsamındaki yükümlülükler; veri sorumlusunun faaliyet konusu, çalışan sayısı, mali bilanço durumu, işlenen kişisel veri türleri, özel nitelikli veri işleme faaliyeti, yurt dışına aktarım yapılıp yapılmadığı, kullanılan insan kaynakları yazılımları, dış hizmet sağlayıcılar, çalışan izleme sistemleri, biyometrik veri uygulamaları ve somut olayın özellikleri dikkate alınarak ayrıca değerlendirilmelidir.
