24.03.2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu işe giriş aşamasın, iş sözleşmesinin ifasını ve sona erme aşamalarını yakından ilgilendiriyor.

KVKK kapsamında kişisel verilerin işlenmesi için veri kayıt sistemi oluşturulması ve bu verileri işlemekle görevli veri sorumlusu belirlenmesi gerekmektedir. Veri sorumlusu gerçek veya tüzel kişi olabilir.

İşçinin kişisel verilerinin işlenmesi 6698 sayılı Kanun’un yürürlüğe girmesinden önce de Türk Borçlar Kanunu’nun 419. Maddesinde ve İş Kanunu’nun “işçinin özlük dosyası” başlıklı 75. maddesinde de düzenlenmekteydi. 6698 sayılı Kanun kapsamında İşçinin kişisel verilerinin işlenmesine ilişkin şartlar bakımından esasen diğer veri sahibi kategorileri ile (müşteri, danışman gibi) bir fark bulunmamaktadır. Buna göre;

a) Hukuka ve dürüstlük kurallarına uygun olma.

b) Doğru ve gerektiğinde güncel olma.

c) Belirli, açık ve meşru amaçlar için işlenme.

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

• Açık rıza veya Kanun’da sayılan diğer kişisel veri işleme şartlarından en az birinin mevcut olması gerekir.

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

• Verilerin elde edildiği esnada Kanun’a uygun bilgilendirme yapılması gerekmektedir; Veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi, veri sahibinin hakları gibi bilgiler paylaşılmalıdır.

İşverenlerin bu kapsamda yapması gerekenler;

· Kişisel veri işleme faaliyetleri kanuna uygun olarak yürütülmeli

· Kişisel veri güvenliği kapsamında idari ve teknik tedbirler güçlendirilmeli

· Kişisel verilerin silinmesi, yok edilmesi, anonimleştirilmesi süreçleri doğru uygulanmalı

· Aydınlatma yükümlülüğü kapsamında şirketin KVKK politikaları açıklanmalı, bilgilendirme metinleri hazırlanmalı

· Kişisel veri aktarımı yapılan 3. taraflara karşı denetim yürütülmeli

· Kişisel veri aktarımı yapılan 3. Taraf şirketlerle sözleşmeler revize edilmeli.

· Kanun kapsamında kurulan kurum ve kurula uygun şekilde hareket edilmeli

KVKK kapsamında belirlenen şekilde ilerlenmediği takdirde ihlalin tipine göre ihlal başına 5.000 TL’den 1.000.000 TL’ye kadar para cezası ve yine ihlalin tipine göre 1 yıldan 4 yıla hapis cezası ortaya çıkabilmektedir.