Blogumuz vasıtasıyla
sizlere pek çok defa kişisel verilerin korunması alanındaki güncel gelişmeleri
ve bunlara dair hukuki tartışmaları aktarıyor olduk. Bugün dünya genelinde
olduğu gibi ülkemiz de küresel bir salgın ile karşı karşıya. Hal böyle olunca
şu an bir kişisel verilerin korunması hukuku tartışmasının ne önemi var diye
düşünebilirsiniz. Ancak resmin bütününe baktığımızda her geçen gün daha da
artan bu salgına karşı şirketlerin önlemlerini artırdığını ve bu vesileyle de
birtakım kişisel veri işleme senaryolarının oluştuğunu görüyoruz.
Bu yazımızla sizlere bu
süreçte şirketlerin Kişisel Verilerin Korunması Kanunu (“KVKK”) nezdinde karşılaşabileceği başlıca sorunlara
değinmeyi amaç edindik.
COVID-19 kapsamında ne gibi veriler işliyoruz? Bunları işlememizde bir
hukuki dayanağımız var mı?
Kuşkusuz COVID-19 bir
sağlık sorunu ve bu kapsamda ilk akla gelen husus sağlık verileri, yani özel
nitelikli verilerin işlenmesine dair özel hususlar. Elbette KVKK’nın 6.
maddesinden söz ediyoruz ve pek çoğumuzun bildiği üzere bu madde en çok da
sağlık verilerinin rızadan istisnai olarak işlenmesi noktasında şirketlerin
elini kolunu bağlar vaziyette.
Bu bakımından temel kuralın her ne kadar küresel bir salgın ile karşı karşıya
olunsa da bu verilerin ilgili kişinin rızası dahilinde işlenmesi olduğu
unutulmamalıdır. Bu yönüyle şirketler işlenen veri uyarınca gerekli
aydınlatmayı yapmalı ve istisnai süreçler bulunmadığı sürece ilgili kişinin
rızasını almalıdır.
Bu noktada hatırlatılması gereken en önemli konu,
sürecin “sır saklama yükümlülüğü altında olan” işyeri hekimlerince yürütülmesidir.
Böylelikle gerekli veri koruma önlemlerinin de alınmasıyla sağlık verileri
bakımından rıza alma koşulu bertaraf edilebilecektir.
Bunun yanında alınan her
verinin sağlık verisi olmadığına da değinmekte fayda var. Örneğin bir çalışanın
son bir aydaki seyahat geçmişi özel nitelikli bir veri olarak kabul
edilmeyecektir. Dolayısıyla bu veriler bakımından KVKK’nın 5.maddesinde yer
alan daha geniş kapsamdaki istisnai hükümler söz konusu olabilecektir.
Her halükârda KVKK’nın 4.
maddesinde yer alan temel ilkeler de göz ardı edilmemeli ve söz konusu kişisel
veriler özellikle amacına uygun bir şekilde ve ölçülülük ilkesine uymak
kaydıyla işlenmelidir.
Son olarak değinilmesi
gereken husus, GDPR’ın özellikle özel nitelikli veriler bakımından KVKK’ya göre
oldukça kapsamlı bir istisna rejimi barındırıyor oluşudur. Bu yönüyle özellikle
Türkiye’de faaliyet gösteren ancak küresel ayağı da bulunan şirketlerin KVKK’nın
bu noktadaki ayrıksı pozisyonunu göz ardı etmemeleri önem arz etmektedir.
Bir çalışanımızın COVID-19’a yakalandığından emin olduk. Peki, bu durumu
kimler ile paylaşmalıyız? Diğer çalışanımızı ve kamu otoritelerini ne ölçüde
bilgilendirebiliriz?
COVID-19’un yayılma hızı ve yıkıcı etkileri göz önüne alındığında, yetkili
otoritelere bildirimlerin hızlı bir şekilde yapılması ve tedbirlerin ivedilikle
alınması gerektiği açıktır.
KVKK anlamında, mevcut durum kamu güvenliğini ve kamu düzenini tehdit
ettiğinden verilerin Sağlık Bakanlığı ve ilgili otoritelerce işlenmesinin
önünde bir engel bulunmamaktadır. Ancak, sağlık verilerinin işveren tarafından
otoritelere aktarımı, KVKK’ya tabi olacaktır. Çalışanın enfekte olduğu bilgisi sağlık
verisi olarak kabul edileceğinden, özel nitelikli kişisel verilere ilişkin
hükümler göz önüne alınmalıdır. Çalışanın rızasını alma yoluna gidilmesi tercih
edilebilir. Ancak özellikle içinde bulunduğumuz durumun potansiyel mali etkileri
göz önüne alınırsa, enfekte olan çalışanın iş güvenliği anlamında kendini baskı
altında hissetme riski bulunmaktadır. Bu doğrultuda çalışanın rızasına
dayanarak gerçekleştirilen işleme ve aktarım faaliyetleri riskli gözükmektedir.
Diğer yandan, teoride bu bildirimlerin iş yeri hekimleri tarafından yapılması
gerekeceği söylenebilir. Ancak, mevcut durumda bu yöntemin uygulanabilirliği
tartışmalı olacaktır. Geniş pencereden incelediğimizde hekimler her zaman işyerinde
bulunmayabilir. Salgının yayılma hızı düşünülürse, çalışan işyerine gelmeden ya
da hekimi ziyaret etmeden de hastalık bildirimi yapabilir.
Bu durumda, kamu sağlığının korunması adına hızlı aksiyon alabilmek için
şirketler, insan kaynakları gibi çalışana doğrudan temas eden birimleri
içerisinde sınırlı sayıda ekipler oluşturularak, gerekli bildirimleri bu
ekipler üzerinden gerçekleştirmeyi tercih edebilirler. Bu noktada, genel veri
işleme prensipleri göz önüne alınarak, çalışanın enfekte olduğuna dair bilginin
mümkün olduğunca dar bir çevrede bilinmesi, ekiplerin az sayıda (bir veya iki
kişi) çalışandan oluşturulması gerekmekte ve enfekte olan çalışanın gizliliğine
üst seviyede dikkat edilmelidir.
Bir diğer yandan, enfekte olan çalışanın gizliliği göz önüne alınarak, çalışanın
kimliğinin şirket içerisinde duyurulmaması gerekmektedir. Ancak yukarıda da
açıkladığımız üzere, maalesef salgın çok ciddi bir hızla yayılmaktadır. Bu
doğrultuda, iş sağlığı ve güvenliğinin önemi göz önüne alınarak, diğer çalışanın
sağlığının ve bağışıklığının korunması adına, şirket içerisinde COVID-19
enfekte bir çalışanın bulunduğunun isim belirtmeksizin duyurulması gerekebilir.
Şirket içerisinde yapılacak duyurularda şirket çalışanlarına COVID-19
enfekte bir çalışanın bulunduğu, evden çalıştığı ya da izinde olduğu belirtilmeli;
ancak şirket içi seviye ya da ekip gibi çalışanın kim olduğunun tespitini
sağlayacak detaylar paylaşılmamalıdır.
Pek çok şirket evden/uzaktan çalışma metodunu benimsemiş gözüküyor. Peki,
uzaktan çalışan personeli takip edebilir miyiz?
Sosyal medya üzerinde ve Whatsapp gruplarında, şirketlerin evden çalışan
personeli farklı şekillerde denetlediğine dair söylemlerle karşılaşmaktayız.
İşveren’in, çalışanlara teslim etmiş olduğu işlerin akıbetini takip etmek
istemesi, yönetim hakkı kapsamında mümkündür. Ancak personelin çalışma takibini
gerçekleştirirken, kişisel verilerin korunması kapsamındaki genel ilkelere
riayet edilmesi çok önemlidir. Buradan doğabilecek olumsuz sonuçların yansıması
yalnızca kişisel verilerin korunması alanında değil, iş hukuku açısından da
işverenleri zor durumda bırakabilir.
Bu doğrultuda, çalışan cihazlarından konum takibi, web cam ve benzeri
izleme teknolojileri aracılığıyla çalışanın kontrolü gibi ‘aşırı’ veri işleme
faaliyetlerinden kaçınılmalı, çalışan ile günlük bazda gerçekleştirilecek
telefon görüşmeleri gibi biraz daha düşük teknolojili ve eski usul metotların
tercih edilmesi önerilmektedir.
Uzaktan çalışmanın doğurduğu riskleri veri güvenliği açısından ne şekilde
minimize edebiliriz?
Pek çok şirket hali hazırda 21.yüzyılın gereklerine ve tehlikelerine ayak
uydurmuş ve ofisteki çalışma cihazları ve sistemleri için veri güvenliğini üst
düzeye taşımıştır. Ancak şirketlerin ister istemez evden çalışma metoduna
eğilim gösterdiği bu dönemde, aynı güvenlik önlemlerinin evden/uzaktan çalışma
için de uygulanması gerekmektedir.
COVID-19 salgınının bu kadar hızlı bir şekilde yayılmış olması sebebiyle,
maalesef pek çok şirket her bir çalışana ayrı bir uzaktan çalışma cihazı tesis
etme fırsatı bulamadı. Bu sebeple zaman zaman çalışanın şahsi cihazlarından
ofis işlerini yürüttüğünü görmekteyiz.
Bu durumun doğurabileceği risklerin minimize edilmesi adına, başta şirket sistemlerine
ve dokümanlarına VPN bağlantısı ile erişim, anti-virüs sistemlerinin ve
güvenlik duvarlarının güncelliği ve işlerliğinin sağlanması olmak üzere, her
türlü iyi piyasa uygulaması izlenmeli ve şirketler bünyesinde uygulamaya
alınmalıdır.
Ek olarak, iş hayatındaki veri gizliliği (hem kişisel veri hem de ticari
anlamda gizli bilgiler babında) ihlallerinin çok büyük oranı, çalışanın doküman
gönderirken ya da uzaktan çalışırken kişisel e-posta hesaplarını kullanması
neticesinde gerçekleşmektedir. Herkesin uzaktan çalışma metoduna geçtiği
bugünlerde, çalışanın bu uygulamanın olumsuz sonuçları konusunda dikkatle
bilgilendirilmesi gerekmektedir.
Sonuç olarak,
COVID-19 küresel bir salgın olsa da hukuksal açıdan da şirketler bakımından
ele alınması gereken yeni konuları beraberinde getiriyor. Bu süreçle mücadele
ederken şirketlerin hukuk düzenin gerekliliklerini yerine getirmesi de hala
önem arz ediyor.
Kişisel verilerin korunması alanı bu süreci en yakından ilgilendiren regüle
alanlardan bir tanesi. Pek çok veri koruma otoritesi bu süreçte uyulması
gereken kurallara ilişkin yönlendirici açıklamalar yaparken ülkemizde Kişisel
Verilerin Korunması Kurumu halen sessizliğini korumakta. Bu konuda Kurum’dan
bir açıklama yapılması durumda sizleri bilgilendirmeye devam ediyor olacağız.
