İşçi İşveren İlişkisinde Açık Rıza: KVKK Rehberi 2026

İşçi İşveren İlişkisinde Açık Rıza Nedir?

İşveren, bordro hazırlama, SGK bildirimleri, iş sözleşmesi düzenleme gibi yasal ve sözleşmesel yükümlülüklerini yerine getirirken zaten sözleşmenin kurulması (md. 5/2-c) ve hukuki yükümlülük (md. 5/2-ç) hukuki temellerine dayanır. Bu temeller mevcut olduğunda ayrıca rıza almak KVKK'ya aykırıdır; zira rıza çalışanın iradesini baskı altına alır.

Açık rıza yalnızca bu temellerin dışında kalan durumlar için gereklidir. Örnek senaryoda, personelin görüntülü kayıtlarını sosyal medyada paylaşmak veya sağlık verilerini sigorta şirketine aktarmak gibi işlemler için açık rıza şarttır. Deneyimlerimizde, kurumların en sık yaptığı hata, "önlem almak için herkesin rızasını alayım" düşüncesiyle gereksiz rıza formları dağıtmaktır.

Çalışan Verilerini İşlemenin Hukuki Temelleri

KVKK md. 5/2, işverenlere altı farklı hukuki temel sunar. İşçi işveren ilişkisinde en sık kullanılanlar:

• Sözleşmenin kurulması veya ifası (md. 5/2-c): İş sözleşmesi imzalama, maaş ödeme, izin takibi.
• Hukuki yükümlülük (md. 5/2-ç): İş Kanunu, SGK, vergi mevzuatı gereği tutulan kayıtlar.
• Meşru menfaat (md. 5/2-f): İşyeri güvenliği için kamera kayıtları, yetki kontrolü gibi orantılı işlemler.
• Açık rıza (md. 5/1): Yukarıdaki temellerin kapsamadığı, ek izin gerektiren durumlar.

Tipik bir durumda, işveren bordro ve özlük dosyası için rıza almamalı; bu veriler zaten sözleşme ve yasa gereği işleniyor. Ancak kurumsal tanıtım videosuna çekim izni verilirken yazılı belge şart.

Özel Nitelikli Veriler ve Açık Rıza Zorunluluğu

KVKK md. 6, sağlık, biyometrik, genetik, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, sendika üyeliği, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirlerini özel nitelikli kişisel veri olarak tanımlar. İşyerinde en sık karşılaşılanlar sağlık raporları, parmak izi giriş sistemleri ve sendika bilgileridir.

Bu verilerin işlenmesi için ya açık rıza ya da kanunda öngörülen istisnalar gerekir. İş Kanunu uyarınca işe giriş sağlık raporu almak yasal yükümlülüktür; burada ayrıca rıza istenmez. Ancak o raporda yer alan hastalık detaylarını İK dışındaki bir birimle paylaşmak için çalışan iznine ihtiyaç vardır.

Açık Rıza Belgesi Nasıl Hazırlanır?

Rıza formu aydınlatma metninden ayrı, belirli amaçla sınırlı, basit dilde olmalıdır. Genel "her türlü verimi işleyebilirsiniz" ibaresi geçersizdir. Her rıza talebi şu unsurları içermelidir:

1. Hangi veri işlenecek: "Kurumsal tanıtım videosunda görüntü ve sesiniz."
2. Amaç: "Şirket web sitesi ve sosyal medya hesaplarında yayınlamak."
3. Süre: "Video yayından kaldırılana kadar."
4. Geri alma hakkı: "İstediğiniz zaman rızanızı geri çekebilirsiniz."
5. İmza ve tarih: Fiziksel veya güvenli elektronik imza.

Deneyimlerimizde, şirketler en çok "genel rıza" hatasına düşüyor. Örneğin işe giriş formunda "kişisel verilerimin işlenmesine izin veriyorum" cümlesi KVKK uyumlu değildir; her işlem ayrı ayrı belirtilmelidir. Güncel rıza formlarınızı KVKK Uyum Danışmanlığı hizmetimizle gözden geçirebilirsiniz.

Çalışan Rızasını Geri Çekerse Ne Olur?

KVKK md. 11/1(h), ilgili kişiye rızasını her zaman geri çekme hakkı tanır. İşveren, bu talebi 30 gün içinde sonuçlandırmalı ve geri çekmenin etkilerini baştan açıklamalıdır. Örnek senaryoda, personel tanıtım videosundan çıkmak isterse yayındaki videoyu kaldırmalı veya yüzünü bulanıklaştırmalısınız.

Ancak rıza geri çekilse bile, sözleşme ve yasal temele dayalı veri işleme devam eder. Yani personel "artık bordro verimi işlemeyin" diyemez; zira bordro hukuki yükümlülüktür. Geri çekme yalnızca rızaya dayalı işlemleri etkiler. Bu ayrımı netleştirmek için Dijital Güvenlik & Uyum Danışmanlığı desteği almanızı öneriyoruz.

Rıza ve Hukuki Temellerin Kayıt Altına Alınması

KVKK md. 10 uyarınca, hangi veriyi hangi hukuki temelde işlediğinizi Veri İşleme Envanteri ve Veri Saklama ve İmha Politikası ile belgelemelisiniz. Kişisel Verileri Koruma Kurulu denetiminde, "biz rıza aldık" demeniz yetmez; imzalı belgeyi sunmanız gerekir.

Ayrıca işçi özlük dosyalarını minimum yetki prensibiyle korumalı, yedekleri şifreli tutmalı ve silinme taleplerine yanıt sürecinizi yazılı hale getirmelisiniz. Çoğu kurum bu kayıtları Excel'de tutuyor; bu hem güvensiz hem de denetim sırasında yetersiz kalıyor. DLP (Veri Kaybı Önleme) ve Uç Nokta Güvenliği çözümleriyle çalışan verilerinizi izinsiz aktarıma karşı koruyabilirsiniz.

İşverenlerin Sık Yaptığı KVKK Hataları

Sahada en sık rastladığımız KVKK ihlalleri şunlardır:

• Her şey için rıza istemek: Bordro, SGK bildirimi gibi yasal yükümlülükler için rıza gereksizdir; bu yaklaşım çalışanı yanıltır.
• Genel rıza metni kullanmak: "Tüm verilerim işlenebilir" ifadesi KVKK'ya aykırıdır; her amaç ayrı belirtilmelidir.
• Biyometrik veri için sadece rıza almak: Kurul bildirimi ve alternatif yöntem sunulmalıdır.
• Rıza geri çekme sürecini tanımlamamak: Çalışan nasıl başvuracağını ve ne olacağını bilmelidir.

Bu hataları düzeltmek ve kapsamlı bir uyum süreci kurmak için KVKK Uyum Danışmanlığı hizmetimizden yararlanabilir, iletişim sayfamızdan randevu oluşturabilirsiniz.

Sıkça Sorulan Sorular (SSS)

Sonuç: Dengeli ve Hukuka Uygun Bir Rıza Yönetimi

İşçi işveren ilişkisinde açık rıza, ne her veri işleme için zorunludur ne de tek başına yeterlidir. KVKK'nın temel mantığı, her veri işlemenin uygun bir hukuki temele dayanmasıdır. İşveren olarak önce mevcut yasal ve sözleşmesel dayanaklarınızı netleştirmeli, yalnızca bunların dışında kalan durumlar için çalışanlarınızdan belirli, özgür iradeli rıza almalısınız. Gereksiz rıza formları hem çalışanı yanıltır hem de KVKK denetiminde sizi zor duruma sokar. Kurumunuza özel KVKK uyum sürecini danışmanlık ekibimizle birlikte kurmak, hem yasal riskleri azaltır hem de çalışan güvenini güçlendirir. Doğru temellendirme ve dokümantasyonla hem yasalara uygun hem de verimli bir insan kaynakları süreci işletebilirsiniz.