Çalışanın Açık Rızası Geçerli mi? KVKK'da Rıza Şartları

Açık Rıza Nedir ve KVKK'daki Anlamı

Ancak özgürlük şartı, istihdam ilişkisinde sorun yaratır. Çalışan, işini kaybetme endişesi veya kariyer ilerlemesini riske atmama düşüncesiyle gerçekten bağımsız bir tercih yapamaz. KVKK'nın ruhuna göre açık rıza, ilgili kişinin herhangi bir baskı, zorlama ya da karşılıklı bağımlılık olmaksızın verebileceği iradenin ürünü olmalıdır.

Günlük uygulamada birçok işveren, işe giriş formunda geniş kapsamlı bir açık rıza metni imzalatır. Yasa koyucu ve denetim otoritesi bu yaklaşımı "özgür irade yok" gerekçesiyle kabul etmiyor. Dolayısıyla çalışandan alınan rızanın, veri işleme için tek başına güvenilir bir hukuki zemin olmadığını bilmek gerekir.

İstihdam İlişkisinde Güç Dengesizliği ve Özgür İrade

KVKK'nın dayandığı Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) md. 7/4, açık rızanın sözleşmenin ifası için zorunlu şart haline getirilmesini yasaklar. İş hukukundaki bağımlılık ilişkisi de bu ilkeyle paraleldir: çalışan, geçimini işverene bağladığı için işten çıkarılma veya yan hakları kaybetme korkusuyla "hayır" deme özgürlüğünü kaybeder.

Sahada gördüğümüz tipik bir durumda, işe yeni başlayan personele "kişisel verilerimin işlenmesine onay veriyorum" şeklinde genel bir form sunulur. Çalışan bu metni okumadan imzalayabilir; çünkü reddederse işe alınmayacağını düşünür. İşte bu noktada özgür irade yoktur. Kişisel Verileri Koruma Kurumu tarafından yayımlanan rehberlerde, istihdam ilişkisinde rızanın varsayılan olarak "geçersiz" kabul edilmesi önerilir ve alternatif hukuki dayanaklar kullanılması istenir.

KVKK'da Veri İşlemenin Alternatif Hukuki Dayanakları

KVKK md. 5/2, açık rıza dışında altı ayrı işleme şartı sunar. İşverenler çalışan verisi işlerken öncelikle bu alternatif şartları değerlendirmelidir:

• (c) Kanunlarda açıkça öngörülmesi: Sosyal Güvenlik Kurumu bildirimleri, vergi beyanları, iş sağlığı ve güvenliği kayıtları gibi yasal zorunluluklar bu bende girer.
• (ç) Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması: İş sözleşmesi gereği maaş ödeme, izin hesaplama, puantaj takibi, performans değerlendirmesi gibi işlemler bu kapsamda yapılabilir.
• (e) Veri sorumlusunun meşru menfaatleri: İşyeri güvenliği, itibar yönetimi, hukuki yükümlülüklerin yerine getirilmesi gibi durumlarda, çalışanın hak ve özgürlüklerine zarar vermemek koşuluyla işleme yapılabilir.

Bu hukuki dayanaklar, rıza almaktan daha güvenli ve denetlenebilir bir zeminde ilerler. Örneğin, iş sözleşmesi gereği sicil numarası, IBAN numarası, unvan gibi verileri saklamak için ayrıca açık rıza istemeye gerek yoktur; sözleşme zaten yeterli hukuki dayanak sağlar.

Rıza Temelli İşleme ile Kanuni Dayanak Karşılaştırması

Yukarıdaki karşılaştırma, rızaya dayanmanın operasyonel ve hukuki riskleri nasıl artırdığını gösterir. Çalışan rızasını her an geri çekebileceği için maaş ödeme, SGK bildirimi gibi zorunlu süreçler aksayabilir. Kanuni veya sözleşmesel dayanak ise bu sorunu ortadan kaldırır.

Özel Nitelikli Kişisel Verilerde Durum

Örneğin, işyeri hekiminin sağlık raporu tutması iş sağlığı ve güvenliği mevzuatının zorunlu kıldığı bir işlemdir (KVKK md. 6/3). Burada çalışanın rızası değil, kanuni bir istisna veri işlemeye izin verir. Benzer şekilde parmak izi veya yüz tanıma gibi biyometrik sistemler, yalnızca güvenlik veya iş sürekliliği amacıyla ve meşru menfaat dengesinde kurulmalı; "genel rıza" yeterli değildir.

Sendika üyeliği gibi veriler ise son derece hassastır. İşveren, bu verileri asla işçiden talep edemez veya üyelik bilgisini rıza aldığı gerekçesiyle saklayamaz. Kanuni istisna olmadığı sürece özel nitelikli veri işleme yasaktır.

Çalışan Verisi İşlemede Uyum Süreci

1. Envanter Çıkarmaİşlenen tüm çalışan verilerini listeleyin: kimlik, iletişim, maaş, performans, sağlık raporu, mesai kayıtları vb.
2. Hukuki Dayanak BelirlemeHer veri kategorisi için hangi KVKK md. 5/2 şartının geçerli olduğunu yazılı hale getirin (sözleşme/kanun/meşru menfaat).
3. VERBİS Kayıt & AydınlatmaVeri Sorumluları Sicil Bilgi Sistemi'ne kaydolun; çalışanlara katmanlı aydınlatma metni sunun (işe giriş + periyodik).
4. Veri MinimizasyonuGereksiz veya aşırı veri toplama alışkanlığını kırın; yalnızca sözleşme veya yasa gerektirdiği veriyi işleyin.
5. Erişim & Saklama SüreleriPersonel dosyalarına erişim yetkilerini sınırlayın; mevzuatın öngördüğü süre dolduktan sonra verileri imha edin (ör. SGK kayıt 10 yıl).

Bu adımları tamamladığınızda, çalışanın "açık rızasına" güvenmekten kurtulur, kanuni ve kurumsal zemine oturmuş bir veri yönetim sistemi elde edersiniz. Deneyimlerimize göre, VERBİS kaydı ve katmanlı aydınlatma yapan kurumlar, denetim süreçlerinde çok daha rahat ilerliyor.

İnvekor ile KVKK Uyum Danışmanlığı

Ayrıca Dijital Güvenlik & Uyum Danışmanlığı hizmetimizle, çalışan verilerinin bulutta veya şirket içi sistemlerde teknik olarak korunmasını da sağlıyoruz. DLP, erişim yönetimi, log takibi ve yedekleme politikaları sayesinde hem hukuken hem teknik olarak güvendeyiz diyebilirsiniz.

Özellikle DLP (Data Loss Prevention) çözümlerimiz, çalışan verilerinin e-posta, USB veya bulut kanallarıyla dışarı sızmasını önleyerek KVKK md. 12 kapsamındaki teknik önlem yükümlülüğünü yerine getirir. Performans izleme, kamera kayıtları veya mail içeriği tarama gibi hassas noktalarda meşru menfaat-mahremiyet dengesi kurmanızda rehberlik ediyoruz.

Sıkça Sorulan Sorular (SSS)

Sonuç: Rıza Değil, Hukuki Dayanak Kullanın

Çalışanın açık rızası, istihdam ilişkisindeki yapısal eşitsizlik nedeniyle KVKK çerçevesinde geçerli bir veri işleme temeli değildir. İşverenler, kanuni yükümlülük, sözleşmenin ifası ve meşru menfaat gibi alternatif hukuki dayanakları kullanarak hem daha güvenli hem de operasyonel açıdan kesintisiz bir veri yönetimi kurabilir. Özel nitelikli veriler için de genel rıza yeterli olmaz; iş sağlığı ve güvenliği, kamu sağlığı gibi istisnalar titizlikle değerlendirilmelidir.

2026 yılında Kurul denetimleri sıklaştıkça, yalnızca imzalı bir forma güvenmek kurumları ağır idari yaptırımlarla karşı karşıya bırakabiliyor. VERBİS kaydı, aydınlatma metinleri, veri minimizasyonu ve teknik önlemlerden oluşan bütünlüklü bir uyum programı hem yasal gereklilikleri karşılar hem de çalışan güvenini pekiştirir. Eğer mevcut uygulamalarınızı gözden geçirmek veya sıfırdan kurumsal bir KVKK yol haritası oluşturmak istiyorsanız, bizimle iletişime geçerek 15 yıllık saha deneyimimizden yararlanabilirsiniz.