KVKK Kararı: Eski İşveren Çalışanın Adli Yazışmasını Kardeşle Paylaşamaz

Kişisel Verileri Koruma Kurulu'nun 02/09/2022 tarihli ve 2022/896 sayılı kararı, eski işverenin bir çalışanın adli yazışma bilgilerini kardeşle paylaşmasını değerlendirdi.

· 2 dk 1 KVKK Kararı: Eski İşveren Çalışanın Adli Yazışmasını Kardeşle Paylaşamaz Deprem Tehlikesi Yüksek İller Belli Oldu: Kastamonu da Listede Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 02/09/2022 tarihli ve 2022/896 sayılı kararında, veri sorumlusu sıfatını taşıyan eski bir işverenin, ilgili kişinin kişisel verilerini içeren adli yazışma bilgilerini o kişinin kardeşine paylaşmasını değerlendirdi. Karar, çalışan verilerinin işveren tarafından üçüncü kişilere aktarılmasının veri koruma mevzuatı karşısındaki konumunu bir kez daha gündeme taşıdı.

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında işverenler, çalışanlarına ait kişisel verilerin işlenmesi ve aktarılmasında veri sorumlusu sıfatıyla hareket eder. Eski işveren ile çalışan arasındaki ilişkinin sona ermesi, bu veriler üzerindeki sorumluluğu ortadan kaldırmaz; aksine veri sorumlusunun yükümlülükleri devam eder.

Karar özeti, tarafların kimliğini anonimleştirerek yayımlanmış olup paylaşımın kanalı (yazılı, sözlü veya elektronik) resmi özetin dışında bırakılmıştır.

Kararın tarafları üç aktörden oluşur: veri sorumlusu sıfatındaki eski işveren, kişisel verileri konu olan ilgili kişi (çalışan) ve verilerin aktarıldığı üçüncü kişi konumundaki kardeş. Paylaşılan veri, kişinin kişisel verilerini içeren adli yazışma bilgileridir.

KVKK Kurulu, bu paylaşımı 6698 sayılı Kanun'un kişisel verilerin işlenmesi ve aktarılmasına ilişkin ilkeleri çerçevesinde incelemiştir. Kurulun değerlendirmesinin ayrıntıları ve nihai sonucu (ihlal tespiti, uyarı veya idari para cezası) resmi karar metninde yer almakta; kaynak özetinde ceza miktarı veya tarafların kimliği gibi spesifik bilgiler bulunmamaktadır.

6698 sayılı Kanun, kişisel verilerin işlenmesini ve aktarılmasını hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla sınırlı tutar. Veri sorumlusu, verileri amacın gerektirdiği ölçüde ve ilgili kişinin temel hak ve özgürlüklerine zarar vermeyecek şekilde işlemekle yükümlüdür.

Çalışan verileri, iş ilişkisi sırasında toplanan ve işverenin meşru menfaatine dayanarak işlenen veriler olsa dahi, bu verilerin üçüncü kişilere aktarılması ayrıca bir hukuki sebebe dayanmalıdır. İlgili kişinin açık rızası veya kanunda öngörülen diğer işleme şartlarından biri bulunmaksızın aktarım, veri koruma mevzuatına aykırılık riski taşır.

Adli yazışma bilgileri, içerdikleri bilgiye göre farklı düzeylerde hassasiyet taşıyabilir. 6698 sayılı Kanun, ırk, etnik köken, siyasi düşünce, dini inanç, sağlık, cinsel hayat ve ceza mahkûmiyeti gibi verileri özel nitelikli kişisel veri kategorisinde değerlendirir.

Adli yazışmalar, bireyin hukuki durumu ve olası ceza mahkûmiyeti bilgilerini içerebileceğinden, bu tür verilerin paylaşılması veri koruma açısından daha yüksek bir özen gerektirir. Karar, bu niteliğin veri sorumlusunun yükümlülüklerini nasıl etkilediğini değerlendirmeye konu olmuştur.

KVKK Kurulu kararları, veri sorumluları için bağlayıcı nitelik taşır ve uygunsuzluk halinde idari para cezası uygulanabilir.