I. Giriş

Belirli veri kategorilerinin saklanması için öngörülmüş genel süreler 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun"), ikincil düzenlemeleri ve Kişisel Verileri Koruma Kurulu ("Kurul") kararları çerçevesinde bulunmamaktadır. Bu nedenle, işlenen kişisel verilerin hukuka uygun saklama sürelerinin belirlenmesinde Kanun kapsamında veri işleme faaliyetlerine ilişkin olarak belirlenen ve aşağıda sıralanan genel kuralların dikkate alınması gerekmektedir.

  • Kişisel veriler işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmelidir (Madde 4),
  • Kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir (Madde 4),
  • Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde re'sen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmektedir (Madde 7).

Bu kapsamda kişisel veriler, geçerli bir hukuki sebebe (meşru menfaat, sözleşmenin ifası vb.) dayanan veri işleme amacı devam ettiği sürece saklanabilecektir.

II. İş Başvurusu Reddedilen Adayların Kişisel Verilerinin Saklanmasına İlişkin Dayanılabilecek Hukuki Sebepler

Aşağıda yasal ve pratik nedenleri detaylandırıldığı üzere, başvurusu kabul edilen çalışan adaylarının kişisel verilerinin saklanmasına yönelik amaç ve hukuki sebepler; iş başvurusu reddedilen adayların iş başvuru dosyalarında yer alan (özgeçmiş gibi) kişisel verilerin saklanmasındaki amaç ve hukuki sebeplerden daha nettir. Zira iş başvurusu reddedilen adayların verilerinin saklanması için Kanun'un genel ilkelerine, meşru bir amacın varlığına ve buna bağlı geçerli bir hukuki sebebin bulunmasına yönelik gerekliliklerin karşılanması daha katı koşullara bağlıdır.

İlk olarak, bahse konu iş başvuru dosyalarında yer alan kişisel verilerin kısa bir süre içinde değişmesi muhtemel olduğundan, bu tür verilerin hala güncel olacağını ve nispeten uzun bir süre sonra veri sorumlusunun amaçlarıyla ilgili olarak doğru ve güncel kabul edilebileceğini savunmak kolay olmayacaktır. Kanun'un kişisel verilerin saklanmasına bakımından da uygulanacak (Avrupa Birliği düzenlemelerine benzer şekilde) genel ilkeleri1 uyarınca hatalı / güncel olmayan verilerin saklanması ve işlenmesi Kanun'a aykırılık teşkil edecektir.

İkinci olarak, söz konusu verilerin saklanmasına yönelik yasal ve meşru (mevcut) amaç ile birlikte geçerli bir hukuki sebep bulunmalıdır. İş başvurusu reddedilen çalışan adayları özelinde, veri sorumlusunun bu belgeleri saklama amaçlarını dayandırabileceği hukuki sebepler oldukça sınırlıdır.

  • Başvurusu reddedilen adaylar için "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması" hukuki sebebine dayanılamayacaktır.
  • İşverenin Türk kanunlarında öngörülen iş başvuru dosyalarını saklamasına ilişkin genel bir hukuki zorunluluk bulunmadığından "veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması" veya "kanunlarda açıkça öngörülme" hukuki sebeplerine doğrudan dayanılamayacaktır.
  • İş başvurusu reddedilen adayın işe alım süreciyle ilgili olarak işverene karşı dava açma/yasal işlem başlatma riskinin bulunduğu durumlarda (örn: ayrımcılığa uğranıldığına dair iddialar), "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" hukuki sebebine dayanılabilecektir. Bu gibi durumlarda işveren, olası bir adli kovuşturmada delil olarak kullanmak üzere bu verileri normalden daha uzun süre saklamayabileceğini (olay özelindeki bir değerlendirme sonucunda) iddia edebilecektir.
  • Veri sorumlusunun meşru menfaatinin, Avrupa Birliği veri koruma mevzuatı kapsamındakine benzer bir meşru menfaat dengesi testi2 ile ortaya konulabileceği sınırlı durumlarda "ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" hukuki sebebine dayanılabilecektir.
  • Örneğin, başvurulan pozisyona kabul edilen başka bir adayın işe başlamaması durumunda iş başvurusu reddedilen çalışan adayına iş teklifi yapılabilmesi için iş başvuru dosyasındaki kişisel verilerinin uygun bir süre saklanması hukuka uygun kabul edilebilecektir.
  • Aşağıda ayrıntılı olarak açıklandığı üzere; Kurul, kısa bir süre önce iş başvurusu reddedilen çalışan adaylarının kişisel verilerinin saklanması için "meşru menfaat" hukuki sebebine dayanılması hususunu değerlendirdiği bir karar vermiştir. Kurul'un bu yaklaşımının da meşru menfaat değerlendirmelerinde göz önünde bulundurulması önerilir.
  • Başka bir hukuki sebebin bulunmadığı durumlarda "ilgili kişinin açık rızası"na dayanılabilecektir. Bu çerçevede Kanun'un 4. maddesinde yer alan genel ilkelere ve açık rıza alınırken (i) belirli bir konuya ilişkin olma, (ii) bilgilendirilmeye dayanma ve (iii) özgür iradeyle açıklanma kriterlerine uyulmalıdır.

III. Başvurusu Reddedilmiş Çalışan Adaylarının Kişisel Verilerinin Saklanmasına İlişkin Kurul Kararı

Kurul, yakın bir tarihte, bir bankaya başvuran, başvurusu reddedilen ve veri sorumlusu bankadan kişisel verilerinin silinmesini talep eden çalışan adayına ait kişisel verilerin saklanmasına ilişkin bir karar vermiştir ("Karar"). Karar, Kurul'un reddedilen çalışan adaylarına ait verilerin muhafaza edilmesi için "meşru menfaat" hukuki sebebine dayanılmasına ilişkin değerlendirmesini içermektedir.

Kurul'un 27 Aralık 2021 tarihinde resmi internet sitesinde yayımlanmış olan "İlgili kişinin veri sorumlusu bankaya yaptığı iş başvurusunun olumsuz sonuçlanması sonrası kişisel verilerinin işlenmeye devam etmesi" başlıklı, 06/07/2021 tarih ve 2021/670 sayılı Karar'ında çalışan adayının işverenden bu tür verileri silmesini talep etmesi halinde, reddedilen adayların iş başvuru dosyalarının saklanması için meşru menfaatin geçerli bir hukuki sebep olarak kabul edilemeyeceği aşağıdaki şekilde belirtilmiştir:

"Bu çerçevede "ilgili kişinin ileride yapacağı olası başvurular adına kişisel verilerinin bu başvurularda kullanılacak ve veri sorumlusuna bildirilecek kişisel verilerin teyit edilmesi" amacıyla veri sorumlusu tarafından muhafaza edilmesi hususunda, veri sorumlusunun meşru menfaate dayanarak yaptığı savunmasının değerlendirilmesi gerektiği, [...] ilgili kişinin verilerinin saklanması hususunda veri sorumlusunun meşru menfaatinin açık ve belirli olmadığı, veri sorumlusunun işleme faaliyetinden sağlaması beklenen yararın kişisel veri işlenmeksizin başkaca bir yol ve yöntemle elde edilebileceği ve söz konusu veri işleme faaliyetinin çok sayıda kişiyi etkileyecek şekilde kurumsal bir fayda sağlamadığı değerlendirildiğinden söz konusu kişisel verilerin işlenmesinde veri sorumlusunun meşru menfaatinin ilgili kişinin temel hak ve özgürlüklerine baskın gelmediği [...]"

Kurul ayrıca veri sorumlusunu, başvuru sahibi ilgili kişinin işe başvuru dosyasındaki kişisel verileri ve varsa reddedilen diğer tüm adayların kişisel verilerinin imha edilmesi yönünde talimatlandırmıştır.

İşbu Karar kapsamında çalışan adayının ilgili verilerin silinmesini talep etmesi üzerine "aynı adayın iş yerinde yapacağı iş başvurularının değerlendirilmesinde adayın önceki başvurusunu dikkate alabilmesi" amacıyla başvuru dosyalarında yer alan kişisel verilerin meşru menfaate dayanılarak saklanması halinde Kurum tarafından idari yaptırım uygulanması riski gündeme gelmektedir.

IV. Sonuç

Sonuç olarak, mevcut durumda veri sorumluları reddedilen çalışan adaylarının verilerine ilişkin saklama amaçlarını dikkatle değerlendirmelidir ve;

  1. Veri sorumlusunun meşru menfaate dayandığı durumlarda, aşağıdaki kriterler doğrultusunda veri sorumlusu tarafından meşru menfaate yönelik bir denge testi yapılmalıdır:
    1. İlgili kişinin temel hak ve özgürlüklerinin kişisel verilerin işlenmesi sonucunda elde edilecek fayda ile rekabet edebilecek düzeyde olup olmadığı,
    2. Kişisel verilerin işlenmesinin söz konusu yararın sağlanması için gerekli olup olmadığı,
    3. Meşru menfaatin mevcut, belirli ve açık olup olmadığı,
    4. Kişisel verileri işlenmeden bu menfaatin başka yol ve yöntemlerle elde edilmesinin mümkün olup olmadığı,
    5. Söz konusu faydanın çok sayıda insanı etkileyip etkilemediği ve sadece veri sorumlusunun ekonomik faydası için değil, iş süreçlerinin kolaylaştırılmasına yardımcı olup olmadığı veya şeffaf ve hesap verilebilir kriterlere dayalı bir işlevsellik olup olmadığı,
    6. Kişisel verilerin korunması başta olmak üzere temel hak ve özgürlüklerinin zarar görmemesi için ilgili kişinin öngörülebilir, açık ve yakın tehlikelerden uzak tutulup tutulmadığı,
    7. Kişisel verilerin güvenliğini sağlamaya yönelik her türlü teknik ve idari tedbirlerin alınıp alınmadığı,
    8. Kanun'un 4. maddesinde belirtilen genel ilkelere uyulup uyulmadığı.
  2. Söz konusu saklama için başka bir hukuki sebep yoksa ilgili kişinin (çalışan adayının) açık rızası alınmalıdır. Yukarıdaki Giriş bölümünde belirtildiği üzere, açık rızanın geçerlilik kriterlerine uyumun sağlanması gerekecektir.

Her iki durumda da işlenen veriler her zaman ilgili amaçlarla bağlantılı, sınırlı ve orantılı olmalıdır.

Hukuki sebepler uygun olarak belirlendikten sonra Kanun'un 4. maddesinde öngörülen ve yukarıda belirtilen genel ilkeler doğrultusunda saklama süreleri öngörülmelidir. Bazı belgelerin (özellikle özgeçmişlerin) kısa bir süre içerisinde güncelliğini kaybetme ihtimali olduğundan, saklama süresi nispeten katı bir yaklaşımla belirlenmelidir.

Son olarak, saklama süresi sona erdiğinde (veri sorumlusunun meşru menfaati ile bağlantılı amaç ortadan kalktığında, ilgili kişi verilerinin silinmesini talep ettiğinde veya ilgili kişi açık rızasını geri aldığında), ilgili verilerin Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silinmesi, yok edilmesi veya anonim hale getirilmesi gerekmektedir.

Footnotes

1. Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: a) Hukuka ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

2. Kurul, 25/03/2019 tarihli ve 2019/78 sayılı Kararında meşru menfaat denge testi uygularken dikkat edilmesi gereken unsurları açıkça belirtmiştir; https://www.kvkk.gov.tr/Icerik/5434/2019-78

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.