İşe Alımda Kişisel Verilerin Korunması ve Temel İlkeler
İnsan kaynakları departmanları, bir şirketin en yoğun ve hassas kişisel veri işleyen birimlerinin başında gelir. İlan yayımından mülakat aşamasına, teknik testlerden referans kontrollerine kadar geçen süreçte yüzlerce adayın adı, soyadı, iletişim bilgileri, eğitim geçmişi, sağlık beyanları ve referans değerlendirmeleri kayıt altına alınır.
6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin gelişi güzel toplanmasını ve sınırsız sürelerle arşivlerde tutulmasını kesin bir dille yasaklamaktadır. Özellikle işe alım sürecinde elenen adayların özgeçmişlerinin "ileride doğabilecek pozisyonlar için havuzda tutuyoruz" denilerek yıllarca saklanması, Kişisel Verileri Koruma Kurulu tarafından en sık idari para cezası uygulanan ihlaller arasında yer almaktadır.
Bu makalede, KVKK ilkeleri doğrultusunda aday verilerinin, özgeçmişlerin ve referans kontrol raporlarının yasal saklama sürelerini, periyodik imha kurallarını ve şirketlerin alması gereken teknik-idari tedbirleri mercek altına alıyoruz.
KVKK Madde 4 ve 7: Amaçla Bağlantılılık ve İmha Zorunluluğu
KVKK'nın 4. maddesi, kişisel verilerin işlenmesinde uyulması zorunlu olan genel ilkeleri düzenler. Bu ilkelerin başında şunlar gelir:
- Belirli, açık ve meşru amaçlar için işlenme
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
Kanun'un 7. maddesi ise işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde, kişisel verilerin resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerektiğini açıkça belirtir.
Buradaki temel hukuki kural şudur: Bir veriyi sonsuza kadar saklayamazsınız. Bir veri yalnızca toplanış amacını gerçekleştirmek için gereken asgari süre boyunca tutulabilir. Amaç tamamlandığında o verinin hukuki geçerliliği sona erer.
Kabul Edilen ve Edilmeyen Adaylar İçin Saklama Süreleri
İşe alım sürecinde verisi toplanan adaylar hukuki açıdan iki ayrı grupta değerlendirilir:
1. İşe Kabul Edilen Adaylar
İşe kabul edilen adayın başvuru formu, mülakat notları ve referans kontrol raporları, çalışanın özlük dosyasına devredilir. 4857 Sayılı İş Kanunu'nun 75. maddesi işverene özlük dosyası tutma yükümlülüğü getirir; dosyanın ne kadar süre saklanacağı ise doğrudan bu maddede değil, iş hukukundaki genel zamanaşımı ve dava hakları sürelerinden (örneğin kıdem/ihbar tazminatı ve işe iade davalarındaki zamanaşımı süreleri) pratikte türetilir. Uygulamada şirketler bu nedenle özlük dosyasını uzun yıllar (yaygın pratikte 10 yıla varan sürelerle) saklayabilmektedir; somut saklama süresi her şirketin kendi hukuk danışmanınca teyit edilmelidir.
2. İşe Kabul Edilmeyen (Elenen) Adaylar
İşe kabul edilmeyen adaylar için işleme amacı, o açık pozisyona ilişkin işe alım kararının kesinleşmesiyle birlikte sona erer. Ancak işverenin olası ayrımcılık iddialarına, İş Kanunu eşit davranma ilkesi ihlali davalarına veya işe alım uyuşmazlıklarına karşı savunma hakkı bulunmaktadır.
Bu çerçevede Kişisel Verileri Koruma Kurulu kararları ve yerleşik yargı uygulamaları uyarınca:
- Adayın açık rızası yoksa: İşe alım sürecinin tamamlanmasından ve ret bildiriminin yapılmasından itibaren 6 ay ila en fazla 1 yıl saklanabilir. Bu süre sonunda veriler silinmelidir.
- Adayın yetenek havuzu için açık rızası varsa: Aday başvuru esnasında açıkça "Gelecekteki uygun pozisyonlar için özgeçmişimin ve verilerimin saklanmasını onaylıyorum" şeklinde özgür iradesiyle rıza vermişse, bu süre en fazla 1 ila 2 yıl olarak belirlenebilir. 2 yılı aşan saklama süreleri Kurul tarafından ölçülülük ilkesine aykırı kabul edilmektedir.
Referans Veren Kişinin Verilerinin Hukuki Statüsü
Referans kontrolü sürecinde çoğu zaman gözden kaçan kritik bir detay, referans veren kişinin kişisel verileridir. Referans olan kişinin adı, unvanı, çalıştığı kurum, iş e-postası, telefon numarası ve aday hakkındaki kişisel değerlendirmeleri de birer kişisel veridir.
Burada çifte sorumluluk doğar:
Referans veren kişiye, yanıt vermeden önce mutlaka aydınlatma yapılmalı ve verilerinin yalnızca söz konusu adayın işe alım değerlendirmesi amacıyla işleneceği bildirilmelidir. Aday işe alınmadığı takdirde, adayın verisiyle birlikte referans veren kişinin verileri de belirlenen saklama süresi sonunda imha edilmelidir.
Kişisel Veri Saklama ve İmha Politikası Nasıl Hazırlanır?
Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü olan veya çalışan sayısı/mali bilanço kriterlerini sağlayan tüm şirketlerin "Kişisel Veri Saklama ve İmha Politikası" hazırlaması kanuni bir zorunluluktur.
İnsan kaynakları süreçlerine özel bir imha politikasında şu başlıklar mutlaka yer almalıdır:
- Aday verilerinin saklanmasını gerektiren hukuki ve fiili sebepler
- Verilerin silinmesi, yok edilmesi veya anonim hale getirilmesinde uygulanacak teknik yöntemler
- Periyodik imha süreleri (Kanun gereği en geç 6 ayda bir periyodik imha gerçekleştirilmelidir)
- İmha süreçlerinde görevli birimler ve unvanlar
- İmha işlemlerinin kayıt altına alınması (loglama ve imha tutanağı)
Hazırlanan bu politika şirket içi intranet veya dokümantasyon sisteminde erişilebilir olmalı ve işe alım ekipleri bu kurallara harfiyen uymalıdır.
Silme, Yok Etme ve Anonim Hale Getirme Yöntemleri
KVKK Yönetmeliği, verilerin imhası için üç farklı yöntem tanımlar:
Adayın Veri Silme Talebi (Madde 11) Karşısında İK’nın Yükümlülüğü
KVKK'nın 11. maddesi veri sahiplerine, kendileriyle ilgili kişisel verilerin silinmesini veya yok edilmesini talep etme hakkı tanır.
Bir aday, iş başvurusu reddedildikten sonra veya hatta süreç devam ederken şirkete başvurarak:
*"Şirketinize ilettiğim özgeçmişimin, mülakat notlarımın ve toplanan referans kontrol kayıtlarımın derhal silinmesini talep ediyorum."*
şeklinde bir talepte bulunabilir. Veri sorumlusu olan işveren, bu talebi en geç 30 gün içinde ücretsiz olarak sonuçlandırmak ve adaya yazılı veya elektronik ortamda gerekçeli yanıt vermekle yükümlüdür.
Eğer şirketin veriyi saklamasını gerektiren kanuni bir zorunluluk (örneğin açılmış bir dava) yoksa, talep derhal yerine getirilmeli ve adayın tüm referans ve CV kayıtları sistemden silinmelidir. Ayrıca referans verileri üçüncü taraf bir hizmet sağlayıcıda tutuluyorsa, silme talimatı bu sağlayıcıya da iletilmelidir.
Sonuç: Hukuki Güvenlik İçin Otomasyonun Önemi
Manuel olarak Excel tablolarında, e-posta kutularında veya yerel bilgisayar klasörlerinde tutulan aday verilerinin takibi imkansıza yakındır. Hangi adayın verisinin 1 yıl önce toplandığı, kimin açık rızasının süresinin dolduğu ve hangi referans dosyasının imha edilmesi gerektiği manuel süreçlerle yönetilemez.
AuditCV.io gibi KVKK uyumlu dijital referans yönetim platformları, saklama sürelerini otomatik olarak takip eder. Belirlenen yasal saklama süresi dolduğunda veya aday rızasını geri çektiğinde ("Revoke"), sistem verileri otomatik olarak siler veya anonimleştirir. Bu otomasyon, şirketleri yüz binlerce liralık idari para cezalarından ve itibar kaybından koruyan en etkili güvencedir.