İşe Alım Aşamasında Aday İşçi Tarafından Verilen Açık Rızanın Hukuki Geçerliliği Sorunu

Av. Arb. Hazar Can Kıpçak*

Giriş

Günümüzde hayatın her alanında sahip olduğumuz kişisel verilerin çeşitli kurum ve kuruluşlarca toplanarak işlenmesi giderek kaçınılmaz hale gelmektedir. Kişisel verilerimizin birçok farklı neden ve amaçla kontrolsüz bir şekilde işlenmesinin önüne geçilmesi ve bireylerin mahremiyetinin sağlanması amacıyla uluslararası ve ulusal regülasyonlar çıkarılmıştır. Kişisel verilerin korunması hukukunun temel noktası da verilerin işlenmesinin önüne geçilmesi değil; veri işleme faaliyetinin gelişigüzel gerçekleştirilmesinin önlenmesi, belirli normlar vasıtasıyla düzenlenmesi, verileri saklarken alınacak tedbirlerin belirlenmesi ve amaca aykırı işleme faaliyetlerinin engellenmesidir. Dolayısıyla veri koruma hukuku, işlenen verileri değil bu verilerin sahibi olan gerçek kişileri korumayı amaçlar. Ancak bazı durumlarda verileri işleyen veri sorumlusu ile ilgili kişi arasında bulunan eşitsizlik, beraberinde belirli grupların kişisel verilerinin işlenmesinde bazı sorunları ortaya çıkardığından öncelikli olarak incelemeyi gerektirir. Örneğin iş sözleşmesi kapsamında bir işverene bağımlı olarak iş görmeyi üstlenen işçilerin, işverene göre daha zayıf konumda oldukları kabul edilmekte olup temel iş hukuku mevzuatı gereğince de işverene karşı öncelikli olarak korunması gerektiği Yargıtay’ın süreklilik kazanmış içtihatlarıyla ortaya konmuştur. Özellikle işyeri uygulamalarında giderek artan gelişmeler; performans ölçümü, gözetleme teknolojileri ve mesai takibi yönetiminde işçilerin kişisel verilerinin işlenmesini kaçınılmaz kılmaktadır.

2023 yılı Mayıs ayında Seçkin Yayıncılık aracılığı ile yayımlanan “Çalışanların Kişisel Verilerinin İş İlişkisi Kapsamında Korunması” başlıklı çalışmamda özellikle iş sözleşmesine dayalı olarak çalışan işçilerin işveren ile içerisinde bulunduğu iş ilişkisi kapsamında kişisel verilerinin işlenmesine değinilmiş, işverenin özlük dosyası tutma yükümlülüğü bakımından işçinin kişisel verilerini işlemesine ek olarak işyerinde iletişimin denetlenmesi, mesai takibinde elektronik gözetleme uygulamaları ve iş sağlığı ve güvenliği mevzuatı kapsamında işlenen kişisel verilerin durumu incelenmiştir. Ayrıca aday işçilerin de işverene yaptıkları iş başvurusu aşamasında kişisel verilerinin işlendiği sabit olduğundan bu aşamada aday işçilerin kişisel verilerinin korunması da ayrı bir başlık olarak ele alınmıştır.

Nitekim, iş hayatında kişisel verilerin işlenmesinde karşılaşılan başlıca sorunlardan biri de aday işçilerin kişisel verilerinin işlenmesine yönelik olarak başvurmuş oldukları işi alamama kaygısı altında verdikleri açık rızalarının geçerliliği sorunudur.

Açık Rıza Kavramı ve Hukuki Geçerliliği

Günümüzde iş başvuruları, aday işçilerin kendilerinin hazırladığı özgeçmişlerini işverene iletmesi veya işverenin önceden hazırladığı formları iş başvurusunda bulunan adaylardan doldurmalarını istemesi şeklinde olabilmektedir. Her iki durumda da işverenler, iş başvurusunda bulunan ilgili kişi sıfatını haiz aday işçilerin kişisel verilerini işleme durumuyla karşı karşıya kalmakta olup veri sorumlusu olarak nitelendirilmektedir.

Kişisel verilerin korunması bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 5. maddesi 2. fıkrasında belirtilen uygunluk halleri dışında açık rıza bulunmaksızın kişisel verilerin işlenmesi mümkün değildir. Aynı şekilde Kanun, ilgili kişinin açık rızası olmadan özel nitelikli kişisel verilerinin de işlenmesini yasaklamakta, ancak sağlık ve cinsel hayat dışındaki kişisel verilerin Kanun’da yer alan şartlar dahilinde açık rıza olmadan da işlenebileceğini düzenlemektedir.

Açık rıza kavramı ise Kanun’da “belirli bir konuya ilişkin bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır. Bu tanımdan hareketle açık rızanın üç temel unsuru bulunmaktadır. Bunlar; rızanın (i) belirli bir konuya ilişkin olması, (ii) bilgilendirmeye dayalı olması ve (iii) özgür iradeyle verilmiş olmasıdır. Belirli bir konuya ilişkin olma kavramı, ilgili kişinin hangi konuya dair açık rıza verdiğini bilmesini gerektirir. Açık rızanın bu unsuru aynı zamanda veri işleme faaliyetinin belirli bir amaçla sınırlı olmasını da sağlamaktadır. Bu kapsamda Kişisel Verileri Koruma Kurulu’nun 27/02/2020 tarihli ve 2020/173 sayılı kararında da yer aldığı üzere “battaniye rıza” olarak tanımlanan, belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki açık rızaların geçersiz olduğu kabul edilmektedir. Diğer unsur olan bilgilendirmeye dayalı olma hali ise veri sorumlusunun hangi kişisel veriyi hangi konularda işleyeceği ve rıza verilmesinin sonuçları bakımından ilgili kişiyi aydınlatmasını gerektirmektedir. Nitekim ilgili kişi, ancak anlaşılır bir şekilde bilgilendirilmesi neticesinde özgür iradesiyle kişisel verilerinin işlenmesine ilişkin rıza verebilecek veya rıza vermekten kaçınabilecektir.

Son olarak ilgili kişinin kişisel verilerinin işlenmesine yönelik rızasının özgür iradeyle verilmiş olması açık rızanın geçerliliği için önem taşır. Bu iradenin veri sorumlusu tarafından aldatma (hile) veya korkutma gibi hallerle sakatlanması halinde açık rızanın geçerli olduğundan söz edilemez. Bu unsur aynı zamanda veri sorumlusunun, ilgili kişiye rıza göstermeme imkanını da tanımasını gerektirmektedir. 6698 sayılı Kanun’un da etkilendiği ve gerekçe metninde atıfta bulunduğu 95/46/EC sayılı Direktif’in 29. maddesi kapsamında oluşturulan ve veri koruma ile mahremiyet konularında faaliyetler yürüten çalışma grubunun (Art. 29 Working Party) hazırladığı “wp259rev.01” numaralı Yönerge’de örnek olarak; işyerinde çekilecek bir reklam filmi nedeniyle işçilerden açık rıza talep edilmesi ve rıza vermek istemeyen işçiler için görüntülerde yer almayacak bir ortamda çalışmalarına devam etme imkânı verilmesi halinde işverenin açık rıza isteği bakımından herhangi bir baskı veya yönlendirmesi söz konusu olmadığından işçiler tarafından böyle bir ortamda verilecek açık rızaların geçerli olacağının altı çizilmektedir.

İşe Alım Aşamasında İşçi Adayının Özgür İradesi

Her ne kadar işe alım aşamasında aday işçi ile işveren arasında henüz iş sözleşmesi akdedilmemiş olsa da işverenin bu aşamada dahi aday işçilerin kişisel verileri bakımından veri sorumlusu olduğu sabittir. Bu nedenle işverenin Kanun’da yer alan aydınlatma yükümlülüğünü yerine getirmesi gerekmekle birlikte aday işçiye ait işleyeceği kişisel veriler bakımından açık rıza alması kuraldır. Kişisel verilerin açık rıza alınmadan işlenebileceği haller Kanun’un 5. maddesi 2. fıkrasında sayılmıştır. Kişisel Verileri Koruma Kurumu’nun yayımladığı rehberler doğrultusunda işbu maddede sayılan hallerin bulunması halinde ek olarak açık rıza alınmaması gerektiği de belirtilmektedir. Örneğin, aday işçinin işe kabulü halinde taraflar arasında iş sözleşmesinin kurulması neticesinde işverenin sözleşmeden doğan yükümlülüğü olan ücret ödeme borcunu ifa edebilmesi için gerekli olan banka hesap numarası gibi kişisel verilerin işlenmesi bakımından açık rızanın aranmasına gerek yoktur. Aynı şekilde aday işçinin işe kabulü halinde işverenin kanunlardan doğan özlük dosyası tutma yükümlülüğünü yerine getirmesi durumunda işleyeceği kişisel veriler için de açık rıza aranmayacaktır.

İşverenin, işe uygunluğunu değerlendirebilmek için aday işçiye ait bazı kişisel verileri elde etmesinde meşru menfaati olduğu, dolayısıyla Kanun’un 5. maddesi 2. fıkrası f bendi uyarınca açık rıza aramadan veri işleyebileceği kabul edilebilir olsa da işverenin meşru menfaati dar kapsamlı yorumlanmalıdır. Bu bağlamda aday işçinin kişisel verilerinin işlenmesi sırasında amaç, işçinin işe yatkınlığının tespiti ile sınırlı kalacak şekilde olmalı ve aday işçinin özel hayatının gizliliği gibi temel hak ve özgürlüklerinin ihlaline sebebiyet verilmemelidir. Aday işçinin işe yatkınlığını ölçme veya işin yürütülmesi ile ilgili özelliklerini belirleme amacı gütmeyen, dolayısıyla işverenin meşru menfaatini taşımayan ve aday işçinin özel hayatına ilişkin kişisel verilerinin açık rıza olmaksızın işlenmesi mümkün değildir.

Aday işçinin özel nitelikli kişisel verileri bakımından ise işverenin meşru menfaati veya hukuki yükümlülüklerini yerine getirmesi söz konusu olsa dahi açık rıza alınması zorunludur. Örneğin, işverenin, işin niteliğiyle bağlantısı bulunmak kaydıyla aday işçinin adli sicil kaydını talep etmesinde meşru menfaatinin bulunduğu kabul edilebilir. Keza bazı sektörel düzenlemelerde ve özellikli durumlarda aday işçinin istihdam edilebilmesi için adli cezasının bulunmaması şartı yer almaktadır. Bu durumda işverenin, kanundan doğan yükümlülüğünü yerine getirmek amacıyla aday işçinin adli sicil kaydını talep etmesi durumu da gündeme gelecektir. Ancak her iki halde de aday işçinin ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri özel nitelikli kişisel veri olduğundan açık rıza olmaksızın işlenmesi mümkün değildir.

Yukarıda belirttiğimiz gibi aday işçinin açık rızasının arandığı hallerde ise bu açık rızanın özgür irade ile verilmesi önem taşımaktadır. Nitekim Kurum’un yayımladığı rehberlerde tarafların eşit durumda olmadığı, bir tarafın diğer tarafa bağımlı olarak belirli bir ücret karşılığı iş görmeyi üstlendiği ve dolayısıyla taraflardan birinin diğeri üzerinde etkili olduğu iş ilişkisi kapsamında işçiye açık rıza göstermeme imkanının etkin bir şekilde sunulmaması veya işçinin açık rıza göstermemesi halinde olası bir olumsuzluk doğması halinde işçinin vereceği açık rızanın özgür iradeye dayalı olma unsurunu içermediği kabul edilmektedir. Kaldı ki Kurul, 20.05.2020 tarihli ve 2020/404 sayılı kararında çalışanlardan şeklen açık rıza alındığı halde bu açık rızanın verilmesi için çalışanlara baskı yapıldığı, açık rıza vermeyen çalışanların isim listesinin diğer çalışanlarla paylaşılarak rıza göstermelerinin sağlanmaya çalışıldığı, rıza göstermeyen çalışanların özlük dosyalarının tamamlanmadığının bildirildiği, dolayısıyla işçiler tarafından verilen açık rızanın özgür iradeyle verildiği noktasında şüphe bulunması ve rıza göstermeme imkanının etkin bir şekilde sağlanmadığı gerekçesiyle sanki hiç açık rıza alınmamış gibi değerlendirme yapmış ve veri sorumlusu işveren hakkında toplamda 250.000,00 TL idari para cezasına hükmetmiştir.

Hal böyleyken bir iş sözleşmesi ile iş ilişkisi kapsamında dahi güçsüz konumda olan işçinin açık rızasının geçerliliği sorunu karşısında aday işçilerin işe kabul edilmeme kaygısı altında verdikleri açık rızalarının geçerliliği de dikkatle değerlendirilmelidir. Keza Kurul, ilgili kişinin şikâyeti üzerine verdiği 16/12/2021 tarihli ve 2021/1258 sayılı kararında iş sözleşmesine bir madde eklenerek açık rıza alınması halinde işçinin iş sözleşmesini imzalamasıyla birlikte açık rıza vermiş olduğunun da kabul edilmesinin hukuka aykırı olacağını değerlendirmiştir. Bu durumda işe kabul edilen aday işçinin iş akdini imzalamadan işe başlaması mümkün olamayacağından rıza göstermeme imkanının açık ve etkin bir şekilde sağlandığı söylenemez. Dolayısıyla işveren tarafından alınan bu açık rıza beyanına dayalı olarak gerçekleştirilen veri işleme faaliyeti hukuka aykırı olacaktır.

Aday işçinin, işverenin talebi olmaksızın kendisinin özgeçmiş göndermesi halinde ise bu özgeçmişte yer alan kişisel veriler bakımından ilgili kişi olan aday işçi tarafından alenileştirme söz konusu olduğundan işverenin açık rıza şartına dayalı olarak veri işlemesine gerek kalmayacaktır. Fakat bu noktada Kurul kararlarında da belirtildiği üzere aday işçinin özgeçmiş gönderme yoluyla alenileştirdiği kişisel verilerinin işlenmesindeki amaç işe alım değerlendirmeleri ile kısıtlı olmalı ve ilgili kişi tarafından alenileştirilen bu kişisel veriler alenileştirme amacı dışında kullanılmamalıdır.

Sonuç

Taraflar arasında henüz bir iş sözleşmesinin bulunmadığı iş başvurusu aşamasında aday işçilerin kişisel verilerinin işveren tarafından “culpa in contrahendo” sorumluluğu kapsamında korunması gerekmektedir. Bu bağlamda işveren, henüz ortada bir iş ilişkisi bulunmasa da aday işçilerin kişisel verileri bakımından veri sorumlusudur. Nitekim işveren aday işçilerin işe uygunluğunu ve işin yürütülmesi ile ilgili özelliklerini belirlemek için çeşitli kişisel verilere ihtiyaç duymakta ve bu verileri işlemektedir. 6698 sayılı Kanun’un ruhunda veri işleme faaliyetleri istisna, veri işlememe ise esas olarak kabul edilmektedir. Bu nedenle aday işçilerin kişisel verilerinin işlenmesi sadece işe yatkınlığın belirlenmesi amacıyla sınırlı olmalı, bu amaç dışındaki veri işleme faaliyetlerinden kaçınılmalıdır. Ayrıca işveren, aday işçilerin kişisel verileri bakımından Kanun’un 5. maddesi 2. fıkrasında belirtilen uygunluk halleri bulunması halinde açık rıza almadan işleme faaliyetini gerçekleştirmelidir. Nitekim Kurul, mezkûr Kanun hükmünde yer alan açık rıza aranmaksızın veri işleme şartlarının bulunması halinde ayrıca açık rıza alınmasını ilgili kişinin yanıltılması ve yönlendirilmesi olarak kabul etmektedir. Ancak bu uygunluk halleri dışında kalan durumlarda aday işçinin açık rıza beyanına dayalı olarak veri işleme faaliyeti söz konusu olduğunda aday işçiye rıza göstermeme imkanının etkin bir şekilde sağlanması gerekir. Aday işçinin işe kabul edilmeme endişesi altında vereceği açık rızanın geçerli kabul edilmesi mümkün olmadığından, aday işçinin rıza göstermemesi halinde muhtemel bir olumsuz durum ile karşılaşacağı düşüncesi doğuracak uygulamalardan kaçınılmalıdır.

Anahtar kelimeler: İşçi, kişisel veri, açık rıza, aday işçi, işe alım

* Kıpçak & Kıpçak Avukatlık Ofisi