📌 ÖzetKişisel Verilerin Korunması Kanunu (KVKK), işe alım süreçlerinde adayların mahremiyetini korumayı amaçlayan katı yasal standartlar getirmektedir. Şirketlerin aday verilerini işlerken aydınlatma yükümlülüğünü yerine getirmesi, veri minimizasyonu ilkesine bağlı kalması ve gerekli durumlarda açık rıza alması yasal uyum için zorunludur. İşverenler, veri sorumlusu sıfatıyla topladıkları bilgilerin güvenliğini sağlamak adına hem teknik hem de idari tedbirleri eksiksiz uygulamalıdır. Özellikle özel nitelikli verilerin işlenmesi ve aday havuzu oluşturulması süreçlerinde şeffaflık, hukuki riskleri minimize eden en önemli unsurdur. Yasal düzenlemelere uyum sağlamayan firmalar, ciddi idari para cezaları ile karşı karşıya kalabildiği gibi kurumsal itibar kaybı riskiyle de yüzleşmektedir. Bu rehber, işe alım döngüsünde KVKK uyumluluğunu sağlamak adına atılması gereken adımları, veri saklama politikalarını ve imha süreçlerini derinlemesine inceleyerek şirketlere profesyonel bir yol haritası sunmaktadır.
İşe Alım Süreçlerinde KVKK'nın Temel Prensipleri
İşe alım süreci, bir şirketin en yoğun kişisel veri işleme faaliyetlerinden biridir. Özgeçmişlerden (CV) referans kontrollerine, mülakat notlarından sağlık raporlarına kadar geniş bir veri yelpazesi KVKK kapsamında değerlendirilir. 6698 sayılı Kanun uyarınca, işverenlerin aday verilerini işlerken hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlar doğrultusunda hareket etmesi esastır.
Veri işleme sürecinde en kritik nokta "veri minimizasyonu" ilkesidir. Şirketler, işe alım amacıyla doğrudan ilişkisi olmayan veya ihtiyaç duyulmayan hiçbir veriyi talep etmemelidir. Örneğin, bir satış temsilcisi pozisyonu için adayın kan grubunu veya dini inancını sormak, hukuki dayanaktan yoksun bir veri işleme faaliyetidir ve KVKK nezdinde ağır ihlal sayılır.
Aydınlatma Yükümlülüğü ve Şeffaflık
İşverenlerin adaylara karşı en temel sorumluluğu, verilerin nasıl işleneceği konusunda şeffaf olmaktır. Aydınlatma metni, aday ile ilk temas kurulduğu anda (başvuru formu veya kariyer portalı üzerinden) sunulmalıdır.
Aydınlatma Metninde Yer Alması Gereken Unsurlar
- Veri Sorumlusu: Şirketin tam unvanı ve iletişim bilgileri.
- İşleme Amacı: Verilerin sadece işe alım süreçlerini yönetmek için kullanıldığına dair açık beyan.
- Veri Aktarımı: Verilerin üçüncü taraflarla (örneğin; dış kaynaklı mülakat platformları veya yetkili danışmanlık firmaları) paylaşılıp paylaşılmadığı bilgisi.
- Hukuki Dayanak: Verilerin işlenmesinin dayandığı kanuni maddeler (örneğin; sözleşmenin kurulması veya veri sorumlusunun meşru menfaati).
- Haklar: Adayın KVKK 11. madde kapsamındaki haklarını nasıl kullanabileceği.
Açık Rıza Gerektiren Durumlar
Her veri işleme faaliyeti için açık rıza gerekmemekle birlikte, bazı özel durumlarda rıza almak yasal zorunluluktur. Özellikle özel nitelikli kişisel veriler söz konusu olduğunda, adayın özgür iradesiyle verdiği yazılı onay şarttır.
Hangi Durumlarda Açık Rıza Şarttır?
- Aday Havuzu Oluşturma: Başvurusu olumsuz sonuçlanan bir adayın bilgilerinin, gelecekteki pozisyonlar için saklanması isteniyorsa mutlaka açık rıza alınmalıdır.
- Özel Nitelikli Veriler: Sağlık raporları, sendika üyeliği veya adli sicil kaydı (özel durumlarda) gibi veriler için rıza şarttır.
- Yurt Dışına Aktarım: Eğer aday verileri, bulut altyapısı gibi nedenlerle yurt dışındaki sunucularda işleniyorsa, açık rıza alınması bir gerekliliktir.
Veri Güvenliğinde Teknik ve İdari Tedbirler
KVKK, veri sorumlularına verilerin güvenliğini sağlama yükümlülüğü getirir. İK departmanları, dijital sistemlerini ve fiziksel arşivlerini korumak için şu önlemleri almalıdır:
Teknik Tedbirler
- Erişim Yetkilendirmesi: Aday verilerine sadece ilgili İK personelinin erişebileceği, rol tabanlı bir yetkilendirme sistemi kurulmalıdır.
- Şifreleme ve Maskeleme: Dijital özgeçmişlerin depolandığı veri tabanlarında şifreleme yöntemleri kullanılmalıdır.
- Siber Güvenlik: İşe alım platformlarında düzenli sızma testleri (pentest) yapılmalı ve ağ güvenliği güncel tutulmalıdır.
İdari Tedbirler
- Gizlilik Sözleşmeleri: İşe alım sürecinde görev alan tüm çalışanlarla gizlilik taahhütnameleri imzalanmalıdır.
- Eğitim ve Farkındalık: İK personeline KVKK uyum süreçleri hakkında düzenli eğitimler verilmelidir.
- İç Denetim: Veri işleme süreçleri yıllık periyotlarla gözden geçirilmeli ve uyumsuzluklar tespit edilmelidir.
Veri İmha Politikası ve Saklama Süreleri
Verilerin sonsuza kadar saklanması KVKK'ya aykırıdır. Şirketler, bir Saklama ve İmha Politikası oluşturmalı ve bu politikaya göre hareket etmelidir.
İmha Süreçleri Nasıl Yönetilir?
İşe alım süreci tamamlanan veya adayın reddedildiği durumlarda, verilerin saklanmasını gerektiren hukuki sebep ortadan kalkar. Bu durumda veriler; silme, yok etme veya anonim hale getirme yöntemlerinden biriyle imha edilmelidir. Anonim hale getirme, verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesidir. Tüm imha süreçleri, denetimlerde sunulmak üzere kayıt altına alınmalıdır.
KVKK Uyumsuzluğunun Mali ve İdari Riskleri
KVKK uyumuna gösterilmeyen özen, şirketler için sadece idari para cezası değil, aynı zamanda ciddi bir itibar kaybı anlamına gelir. Kişisel Verileri Koruma Kurumu (KVKK) tarafından uygulanan cezalar, ihlalin niteliğine göre milyonlarca liraya ulaşabilmektedir. Bunun yanı sıra, adayların verilerinin sızdırılması durumunda, ilgili kişilerin tazminat davası açma hakkı doğar. Kurumsal uyum süreçlerini başarıyla tamamlayan işletmeler, adaylar nezdinde güvenilir bir işveren markası haline gelerek yetenekli çalışanları çekme konusunda rekabet avantajı elde ederler.