Çalışan izin verileri KVKK'ya göre nasıl işlenir, açık rıza gerekir mi?

İzin yönetimi kimlik, iletişim, ücret ve izin bilgilerinin yanında bazen sağlık raporu gibi hassas veriler de içerir. Bu rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Kişisel Verileri Koruma Kurulu (Kurul) kararlarından doğan temel yükümlülükleri İK'nın bakış açısıyla özetler.

Veri sorumlusu kim, veri işleyen kim?

KVKK'ya göre veri sorumlusu, verilerin işlenme amaçlarını ve vasıtalarını belirler (m.3/1-ı); veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işler (m.3/1-ğ).

• İşveren veri sorumlusudur. Çalışanların izin, kimlik, ücret ve rapor verilerini hangi amaçla ve nasıl işleyeceğine şirketiniz karar verir.
• İzin yazılımı sağlayıcısı veri işleyendir. Kurum'un rehberi bulut hizmet sağlayıcısını veri işleyene örnek olarak verir. Amaç, veri türleri, alıcılar ve saklama süresi veri sorumlusunun kararıdır.

Veri sorumlusu, kendi adına veri işleyenle birlikte veri güvenliği tedbirlerinden sorumludur (m.12/2); gizlilik yükümlülüğü görev bittikten sonra da sürer (m.12/4).

İzin verisi hangi hukuki sebeplere dayanır?

m.6/3-(f) şartına dayanabilmek için işlemenin bu yükümlülüğü yerine getirmek için zorunlu olması ve ölçülülük dahil m.4'teki ilkelere uyulması gerekir.

Açık rıza değil, aydınlatma

Kurul 2022/797 sayılı kararında, açık rıza dışında bir dayanakla yürütülebilecek bir işlemeyi açık rızaya dayandırmayı "aldatıcı ve hakkın kötüye kullanımı" olarak nitelendirdi; kararın örnekleri arasında izin hesaplama ve izin talebi açıkça sayılır. 2026/347 sayılı İlke Kararı (RG 24.03.2026) da başka bir işleme şartına dayanılıyorsa ayrıca açık rıza metni sunulmamasını, aydınlatma için yalnızca metnin okunduğuna ilişkin geri bildirim alınmasını ister. "Okudum ve kabul ediyorum" ya da "onaylıyorum" kalıpları bu nedenle uygun değildir.

Çalışanın fiilen reddedemediği rıza özgür sayılmaz (Kurul 2020/404); 2026/2035 sayılı İlke Kararı'na göre de çalışan açık rızası kural olarak öncelikli dayanak olamaz.

Aydınlatma metni en az veri sorumlusunun kimliğini, işleme amaçlarını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ve hukuki sebebi ve çalışanın m.11'deki haklarını içerir (Aydınlatma Yükümlülüğü Tebliği m.4); aydınlatmanın yapıldığını veri sorumlusu ispat eder (Tebliğ m.5).

Sağlık verisi: özel nitelikli veri

Sağlık verisi özel nitelikli kişisel veridir (m.6/1). İzin süreçlerinde sağlık raporu, engelli ya da süreğen hastalığı olan çocuğun raporu, gebelik ve doğum bilgisi bu kapsamdadır. Bu verileri işlerken Kurul'un 2018/10 sayılı kararındaki yeterli önlemlerin alınması şarttır (m.6/4):

Tanı bilgisini tutmayın. İzin için raporun tarihleri ve türü yeterlidir. Kurul'un tanı bilgisini özel olarak ele alan yayımlanmış bir kararı bulunamadı; ancak ölçülülük ilkesi (m.4/2-ç) ve Kurul'un işyeri sağlık kayıtlarına ilişkin kararları (ör. 2020/769, 2022/172) İK sisteminde tanı tutulmamasını destekler.

İzin türünü herkese göstermeyin. Kurul, çalışanların izin durumunun birimdeki diğer çalışanlarla paylaşılması için sözleşmenin geçerli bir dayanak olmayacağını belirtmiştir (2023/646); ekip arkadaşlarına yalnızca kişinin izinli olduğunu göstermek daha güvenlidir.

Saklama süreleri ve imha

Kanun izin kayıtları için belirli bir saklama süresi öngörmez; süreyi zamanaşımı ve ispat ihtiyacı belirler.

10 yıllık öneri, Türk Borçlar Kanunu m.146 ve 5510 m.86 ile uyumlu ihtiyatlı bir seçimdir; Kurul'un özlük dosyası için belirlediği genel bir süre yoktur.

Süre dolduğunda Silme Yönetmeliği uygulanır: veriler silinir, yok edilir ya da başka verilerle eşleştirilse bile bir kişiyle ilişkilendirilemeyecek şekilde anonim hâle getirilir (m.10/1); periyodik imha aralığı altı ayı geçemez (m.11/2); çalışanın silme talebi 30 gün içinde sonuçlandırılır, işleme şartı sürüyorsa gerekçesiyle reddedilir (m.12).

Çalışanın başvuruları (KVKK m.11)

Çalışanlar bilgi alma, erişim, düzeltme ve silme gibi m.11 haklarını kullanmak için işverene başvurabilir.

• Süre ve ücret: Başvuru en geç 30 gün içinde ücretsiz sonuçlandırılır (m.13/2); on sayfaya kadar ücret alınmaz, aşan her sayfa için 1 TL işlem ücreti alınabilir (Başvuru Tebliği m.7).
• Yanıt: Yazılı ya da elektronik verilir, ret gerekçeli olmalıdır; sözlü iletişim yanıt yerine geçmez (Kurum duyurusu, 01.10.2026).
• Şikâyet: Çalışan, yanıtı öğrendiği tarihten itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde Kurul'a şikâyette bulunabilir (m.14/1).

Veri işleyene gelen başvurular gecikmeksizin veri sorumlusuna iletilir; yanıtı veri sorumlusu verir.

Veri ihlali olursa

Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a, etkilenen kişilere de makul olan en kısa sürede bildirim yapar. Veri işleyen, kendi nezdindeki ihlali gecikmeye yer vermeksizin veri sorumlusuna bildirir. İhlaller, etkileri ve alınan önlemler kayıt altına alınır; bir veri ihlali müdahale planı hazırlanıp düzenli gözden geçirilir.

VERBİS ve yurt dışına aktarım

VERBİS: Kurul'un 2025/1572 sayılı kararına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyetleri özel nitelikli veri işleme değilse kayıttan muaftır (ana faaliyeti bu olanlarda eşikler 10 çalışan ve 10 milyon TL'dir). Yükümlü hâle gelen veri sorumlusu 30 gün içinde kaydolur; veri işleyenler VERBİS'e kaydolmaz.

Yurt dışına aktarım: Verilerin yurt dışındaki bir sunucuda saklanması ya da oradan erişilebilir kılınması aktarımdır. Hiçbir ülke için yeterlilik kararı bulunmadığından aktarım, m.9'daki güvencelerden birine, örneğin Kurul'un standart sözleşmesine dayanır; sözleşme değiştirilmeden kullanılır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir (m.9/5). Sürekli barındırma arızi olmadığından açık rızaya dayanılamaz. Yazılım sağlayıcınıza verilerin nerede tutulduğunu ve hangi güvencenin kullanıldığını sorun.

İzin360'ta nasıl uygulanır?

İzin360 bu veriler için şirketiniz adına çalışan veri işleyendir. Ayrıntılar KVKK ve güvenlik sayfasında:

• Aydınlatma metni ve okuma kaydı. Çalışan aydınlatma metninizi hazır şablondan taslak olarak hazırlar, düzenler ve yayımlarsınız. Her yeni sürümde çalışanlardan "Okudum, bilgi edindim" kaydı alınır; bu bir rıza beyanı değildir. Çalışan davetinde açık rıza istenmez.
• KVKK başvuruları. Çalışan başvurusunu uygulama içinden yapar ve başvuru şirketinize iletilir. İK'nın başvuru ekranında 30 günlük son tarih görünür; yanıt yazılı verilir, ret gerekçesi zorunludur.
• Veri dışa aktarma. Çalışan kendi verilerini ZIP olarak indirebilir; İK da erişim talebini karşılamak için çalışanın verilerini indirebilir.
• Saklama ve anonimleştirme. Ayrılan çalışanların kişisel verileri, iş ilişkisinin sona ermesinden itibaren seçtiğiniz süre (5–30 yıl, varsayılan 10 yıl) dolunca otomatik anonimleştirilir; her işlem imha kaydına yazılır. Dava ya da denetim gibi durumlarda kayda yasal saklama koyabilirsiniz.
• Sağlık belgeleri. Yüklenen belgeler virüs taramasından geçer ve şifreli saklanır. Başka bir çalışanın sağlık belgesini açmak için iki adımlı doğrulama zorunludur. Ekip takviminde sağlıkla ilgili izinler meslektaşlara yalnızca "İzinli" olarak görünür; türünü İK, çalışan ve yöneticisi görür. T.C. kimlik numarası, ücret ve doğum tarihi şifrelenir.
• İhlal bildirimleri. İzin360 veri ihlali bildirimlerini uygulama içinden şirketinize iletir; teslim aldığınızı kaydeder, Kurul'a bildirim için 72 saatlik süreyi görürsünüz.

Güvenlik önlemlerinin tamamı güvenlik sayfasında yer alır.