Çalışan Veri Gizliliği Yönetimi: İK İhtiyaçlarını Gizlilik Haklarıyla Dengelemek

Çalışan verileri, çoğu şirketin işlediği kişisel verilerin en hassas kategorisidir. Finansal bilgileri (maaş, banka bilgileri), resmi tanımlayıcıları (SSN, vergi kimlikleri), sağlık verilerini (hastalık izni, engellilik düzenlemeleri) ve davranış verilerini (performans incelemeleri, disiplin kayıtları) içerir. Ancak İK departmanları rutin olarak gereğinden fazla çalışan verisi topluyor ve saklıyor, çoğu zaman yetersiz korumayla.

Bu kılavuz, tüm istihdam yaşam döngüsü boyunca çalışan veri gizliliğini yönetmeye yönelik yasal gereklilikleri, pratik çerçeveleri ve teknik uygulamaları kapsar.

Önemli Çıkarımlar

• Rıza, çalışanların verilerinin işlenmesi için nadiren uygun yasal dayanaktır --- güç dengesizliği, rızayı özgür olmaktan çıkarır
• Çalışan izlemesi orantılı, şeffaf olmalı ve yasal bir temele sahip olmalıdır
• Çalışan verilerinin sınır ötesi aktarımı (örn. grup genel merkezine) özel aktarım mekanizmaları gerektirir
• İK verileri için veri saklama süresi, türe bağlı olarak 1 yıl (işe alım reddi) ile 30+ yıl (emeklilik kayıtları) arasında değişir

---

Çalışan Verilerinin İşlenmesine İlişkin Yasal Dayanaklar

GDPR Yasal Dayanağı (Madde 6)

Önemli: Çalışan verileri için onay son çare olmalıdır. İşveren-çalışan güç dengesizliği, rızanın GDPR'nin gerektirdiği şekilde "özgürce verilemeyeceği" anlamına gelir. Mümkün olduğunda sözleşme performansını veya yasal yükümlülüğü kullanın.

Özel Kategoriler (Madde 9)

Sağlık verileri, biyometrik veriler, sendika üyeliği ve diğer özel kategoriler ek bir yasal dayanak gerektirir:

---

Yaşam Döngüsü Boyunca Çalışan Verileri

İşe Alım

Adaylar bilgilendirilmelidir: Veri toplamadan önce, hangi verilerin toplandığını, neden toplandığını, ne kadar süre saklandığını ve haklarını kapsayan bir gizlilik bildirimi sağlayın. Reddedilen adayların verileri, adayın yetenek havuzunda tutulmasına izin vermediği sürece 6-12 ay içerisinde silinmelidir.

İlk Katılım

Çalışma Sırasında

Ayrılma

---

Çalışan İzleme

Orantılılık Çerçevesi

Herhangi bir çalışan izlemesi orantılılık testini geçmelidir:

1. Meşru amaç: Özel amaç nedir? (Güvenlik, verimlilik, yasal uyumluluk)
2. Gereklilik: İzleme amaca ulaşmanın en az müdahaleci yolu mudur?
3. Orantılılık: İşletmenin gizlilik etkisinden daha ağır basması gerekiyor mu?
4. Şeffaflık: Çalışanlar neyin izlendiği konusunda açıkça bilgilendiriliyor mu?

Yargı Alanına Göre İzleme Karşılaştırması

---

Sınır Ötesi Çalışan Veri Transferleri

Yaygın Senaryolar

Uygulama

Merkezi bir İK sistemi kullanan küresel şirketler için:

1. Veri akışlarını haritalandırın: Hangi çalışan verilerinin hangi ülkeler arasında taşındığını belgeleyin
2. Uygunluğu değerlendirin: Alıcı ülkenin AB yeterlilik kararı olup olmadığını kontrol edin
3. SCC'leri uygulayın: Veriyi dışa aktaran ve içe aktaran taraf arasında Standart Sözleşme Maddelerini imzalayın
4. Transfer Etki Değerlendirmesi: Alıcı ülkenin yasalarının SCC korumalarını zayıflatıp zayıflatmadığını değerlendirin
5. Ek önlemler: Gerektiğinde şifreleme, takma ad kullanma veya erişim kısıtlamaları ekleyin

Ayrıntılı aktarım mekanizması rehberliği için sınır ötesi veri aktarımı kılavuzumuza bakın.

---

İK Veri Saklama Planı

---

Sıkça Sorulan Sorular

Çalışan verilerinin işlenmesinde rızayı temel olarak kullanabilir miyiz?

Yalnızca çalışanın, reddetmenin herhangi bir olumsuz sonucu olmaksızın gerçek bir özgür seçime sahip olduğu gerçekten isteğe bağlı faaliyetler için. Örnekler: isteğe bağlı şirket bülteni aboneliği, şirket web sitesinde bir çalışanın fotoğrafının kullanılması, zorunlu olmayan çalışan anketlerine katılım. Bordro, performans yönetimi veya iş ilişkisi için gerekli olan herhangi bir veri işleme için bunun yerine sözleşme performansını veya yasal yükümlülüğü kullanın.

Çalışanların e-postalarını izleyebilir miyiz?

Çoğu AB yargı bölgesinde, aşağıdaki durumlarda iş e-posta hesaplarını sınırlı bir ölçüde izleyebilirsiniz: (1) çalışanların izleme konusunda açıkça bilgilendirilmesi, (2) izlemenin meşru bir amaç ile orantılı olması, (3) iş e-postasının kişisel kullanımının yasaklanması (tüm e-posta işi haline gelir) veya kişisel e-postaların izleme kapsamı dışında tutulması, (4) izlemenin sebepsiz bireyleri hedeflemek yerine sistematik olması. Fransa ve Almanya en kısıtlayıcı olanlardır.

Odoo HR'da çalışan verilerini nasıl ele alıyoruz?

Odoo İK modülleri kapsamlı çalışan verilerini toplar. Şunları uygulayın: (1) İK verilerini yetkili personelle sınırlayan erişim grupları, (2) hassas alanlar (maaş, SSN) için alan düzeyinde erişim kontrolü, (3) eski çalışan verileri için otomatik arşivleme kuralları, (4) çalışanların veri sahibi istekleri için veri dışa aktarma işlevi, (5) hassas alan değişikliklerine ilişkin denetim günlüğü. ECOSIRE, yerleşik gizlilik kontrolleriyle birlikte Odoo HR uygulamasını sağlar.

Bir çalışan silme hakkını kullanırsa ne olur?

Silme hakkı (GDPR Madde 17), yasal saklama yükümlülüklerini geçersiz kılmaz. Kanunen verileri (vergi kayıtları, emeklilik kayıtları) saklamanız gerekiyorsa silmeyi reddedebilirsiniz. Saklama için yasal veya meşru bir dayanak bulunmayan verileri (eski çalışanların saklama süresinin ötesindeki eski performans değerlendirmeleri, reddedilen adaylar için işe alım verileri, eski çalışanların intranetteki fotoğrafları) silmelisiniz.

---

Sırada Ne Var?

Çalışan verilerinin gizliliği, yönetişim programınızın bir bileşenidir. Otomatik uygulama için veri saklama politikaları, yönetim yapısı için GDPR DPO uygulaması ve uluslararası iş gücü verileri için sınır ötesi veri aktarımları ile birleştirin.

İK veri gizliliği danışmanlığı ve gizlilik kontrolleriyle Odoo HR uygulaması için ECOSIRE ile iletişime geçin.

---

ECOSIRE tarafından yayınlanmıştır - işletmelerin çalışan verilerini saygı ve uyumlulukla korumasına yardımcı olur.