GDPR Article 88 Employment Provisions vs KVKK Madde 6 İşyeri Yorumu

GDPR Article 88 'Processing in the context of employment' — üye devletlere 'işyeri ilişkilerinde kişisel veri işlenmesi için daha spesifik kurallar yapma' yetkisi verir. Çerçeve hükümler: (1) işe alım, (2) iş sözleşmesi yürütme, (3) iş yeri sağlık güvenliği, (4) iş sonlandırma, (5) çeşitlilik/eşitlik yükümleri. Article 29 Working Party Opinion 2/2017 (WP249) işyerinde veri işleme için 9 temel ilke ortaya koyar: orantılılık, gereklilik, şeffaflık, açık rıza sınırı, otomatik karar verme sınırı vb. EDPB 'Guidelines on processing personal data in the context of employment' (taslak 2024) WP249'u günceller. Detay: biyometrik PDKS yazımız.

KVKK Madde 6 özel nitelikli kişisel veriyi tek başına düzenler: ırk, etnik köken, siyasi görüş, felsefi inanç, din, mezhep, kılık-kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyet ve güvenlik tedbiri, biyometrik veri, genetik veri. İşleme için iki yol: (a) ilgili kişinin açık rızası, (b) kanunlarda öngörülen hallerde. Sağlık ve cinsel hayat verileri için ek olarak 'sır saklama yükümlülüğü altındaki kişiler' veya 'yetkili kurum-kuruluş' şartı vardır. KVKK Madde 6'da 'işyeri özelinde özel düzenleme' yetkisi yoktur — Madde 6 tüm sektörlere homojen uygulanır.

(1) Yasal Dayanak Çeşitliliği: GDPR Art.88'de üye devlet rıza dışında 'kolektif sözleşme' veya 'işveren meşru menfaati' dayanağına izin verir. KVKK Md.6 sadece 'kanun' ve 'açık rıza' tanır — kolektif sözleşme dayanağı yoktur. (2) Çalışan Komitesi: Almanya Betriebsrat (works council) biyometrik PDKS kurulumunda onay vermek zorundadır (BDSG §87). Türkiye'de İş Sağlığı ve Güvenliği Kurulu var ama PDKS onay yetkisi yoktur. (3) DPIA: GDPR Art.35 yüksek risk işleme için DPIA zorunlu. KVKK'da DPIA isimli zorunluluk yoktur ama 'Risk Analizi' Kurum Rehberi'nde önerilmektedir. (4) Şeffaflık: GDPR Art.13/14 detaylı 14 alan içeren aydınlatma metni ister. KVKK Md.10 daha basit 6 alan ister. (5) Otomatik Karar: GDPR Art.22 otomatik karar verme sınırı çalışan için katı; KVKK Md.11/g paralel ama Türkiye'de yargı içtihatı dar.

EDPB öncesi Article 29 Working Party'nin 2017 Opinion 2 'Data Processing at Work' belgesi PDKS senaryolarını analiz eder: (a) Konum verisi: sadece iş saatinde, sürekli takip yasak. (b) E-posta/internet izleme: orantılı, çalışan bilgili, denetlenebilir. (c) Biyometrik tanıma: 'alternatif yoksa' uygulanabilir, alternatif zorunlu sunulur. (d) Video gözetim: ortak alan kabul, özel alan (tuvalet, soyunma) yasak. (e) Ses kayıt: ancak müşteri etkileşim noktalarında ve aydınlatma sonrası. Türkiye KVKK Kurul Kararları bu yorumlara büyük ölçüde paralel; özellikle 2020/65 (araç takip) ve 2022/823 (biyometrik) kararları WP249'u Türkiye iç hukukunda yansıtır.

GDPR Art.7(4) ve Recital 43 işyerinde çalışan rızasının 'güç dengesizliği' nedeniyle 'gerçekten özgür' kabul edilemeyeceğini belirtir. Bu yüzden AB ülkelerinde işyeri biyometrik PDKS'i 'rıza' yerine 'meşru menfaat' veya 'kolektif sözleşme' dayanağına oturtulur. KVKK Madde 6'da 'açık rıza' tek bireysel dayanaktır — Kurum 2022/823 sayılı Kararında 'rıza özgür olmazsa geçersiz' diyerek AB içtihatı paralel yorum koymuştur. Pratik sonuç: PDKS biyometrik kurulumunda işveren 'rızanız özgür değildir' karşı argümanını yenebilmek için alternatif yöntem (kart, PIN, mobil) sunmak zorundadır. Bu nokta GDPR ile KVKK arasındaki tek ortak çıkış stratejisidir. Detay: PDKS donanım yöntemleri yazımız.

Almanya BDSG §26: çalışan veri işleme için kolektif sözleşme dayanağı ön planda; biyometrik PDKS works council onayı zorunlu. İspanya LO 3/2018 Article 89: çalışan video gözetim için işyeri komite bilgisi şart; geofence için sözleşmeye eklenmeli. Fransa Code du Travail L1121-1: çalışan veri işleme 'iş ilişkisinin gereği ve orantılı' olmalı; CNIL'e bildirim. Türkiye için GDPR Art.88 paralel düzenleme yoktur. Bu eksiklik Türk işverenlere her durumda 'rıza + alternatif' yolundan ilerleme zorunluluğu yaratır — AB üye devletlerinden daha karmaşık değil aksine daha basit ama tek çıkışlı bir model.

PDKSjet hem KVKK hem GDPR uyumlu mimari sunar — Türkiye'de KVKK Md.6 + alternatif yöntem, AB iştirakları için ülke özelinde Art.88 düzenlemesine uyum: (a) çoklu yasal dayanak konfigürasyonu (rıza, sözleşme, meşru menfaat, kanuni yükümlülük) per ülke, (b) çok dilli aydınlatma metni (TR-EN-DE-FR-ES), (c) works council / iş komite onay workflow'u (DE/AT için), (d) DPIA otomatik şablon (GDPR Art.35), (e) çalışan haklarına erişim self-service portalı (silme, taşınabilirlik, itiraz). Çok uluslu KOBİ ve büyük işletmeler tek lisansla Türkiye + AB iştiraklerinde uyumlu çalıştırır. Detay: hibrit çalışma PDKS yazımız.