İşverenin Özlük Dosyası Hazırlama Yükümlülüğü :İş Hukuku ve Kişisel Verilerin Korunması Kapsamında Dikkat Edilmesi Gerekenler

İşveren, çalıştırdığı her işçi için bir özlük dosyası düzenlemekle yükümlüdür. Bu yükümlülük yalnızca idari bir formalite değildir. İş uyuşmazlıklarında ispat aracı, denetimlerde ibrazı zorunlu bir belge ve KVKK bakımından titizlikle yönetilmesi gereken bir kişisel veri işleme faaliyetidir. Bu yazıda işverenin özlük dosyası hazırlama yükümlülüğü, dosyada bulunması gereken belgeler ve hem 4857 sayılı İş Kanunu hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında dikkat edilmesi gereken hususlar bir arada ele alınmaktadır.

Özlük Dosyası Nedir?

Özlük dosyası, işverenin her bir çalışanı için tuttuğu; çalışanın kimlik bilgileri ile iş ilişkisinin kurulmasına, yürütülmesine ve sona ermesine ilişkin belge ve kayıtların toplandığı dosyadır. Yasal dayanağını 4857 sayılı İş Kanunu'nun 75. maddesi oluşturur.

İş Kanunu m. 75 uyarınca işveren:

•     Çalıştırdığı her işçi için bir özlük dosyası düzenler.

•     Bu dosyada işçinin kimlik bilgilerinin yanı sıra İş Kanunu ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kaydı saklar.

•     Bu belge ve kayıtları istendiğinde yetkili memur ve mercilere (örneğin iş müfettişlerine) gösterir.

Aynı madde işverene ayrıca; işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanma ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamama yükümlülüğü getirir. Bu hüküm, İş Kanunu'nun KVKK yürürlüğe girmeden önce dahi işverene yüklediği bir veri koruma yükümlülüğü niteliğindedir.

Özlük Dosyası Tutmak Zorunlu mu? İşverenin Yükümlülükleri

Özlük dosyası tutmak işveren için kanuni bir zorunluluktur ve işçi sayısına bakılmaksızın tek işçi çalıştıran işveren dahi bu yükümlülük altındadır. İşverenin başlıca yükümlülükleri şunlardır:

•     Her çalışan için ayrı bir dosya oluşturmak ve bilgileri güncel tutmak.

•     İş mevzuatı gereği düzenlenmesi zorunlu belgeleri (bordro, SGK işe giriş bildirgesi vb.) eksiksiz dosyalamak.

•     Denetimlerde belgeleri ibraz etmek.

•     Dosyadaki kişisel verileri gizlilik ve güvenlik içinde muhafaza etmek.

Özlük Dosyasında Bulunması Gereken Belgeler

İş Kanunu m. 75 dosyada yer alacak belgeleri tek tek saymaz; "İş Kanunu ve diğer kanunlar uyarınca düzenlenmesi zorunlu her türlü belge" ifadesiyle çerçeve çizer. Uygulamada bir özlük dosyasında bulunması gereken belgeler genellikle aşağıdaki gibidir (belgeler işin niteliğine göre değişebilir):

İşe Giriş Aşaması

•     Yazılı iş sözleşmesi (belirli/belirsiz süreli, tam/kısmi zamanlı).

•     Kimlik bilgileri ve adres bilgisi.

•     SGK işe giriş bildirgesi.

•     Öğrenim durumunu gösteren belgeler (işin gerektirdiği ölçüde).

•     İşe giriş / işe uygunluk raporu (6331 sayılı İş Sağlığı ve Güvenliği Kanunu kapsamında Personel Kişisel Sağlık Dosyası içerisinde).

•     İşin gerektirdiği mesleki yeterlilik/sertifika, sürücü belgesi vb. belgeler.

•     İş sağlığı ve güvenliği eğitimi ve işe başlama İSG kayıtları.

•     KVKK aydınlatma metninin tebliğ edildiğine dair kayıt (ve yalnızca gerçekten gerekiyorsa açık rıza belgesi).

İş İlişkisi Devam Ederken

•     Aylık ücret bordroları ve ücret ödeme belgeleri.

•     Yıllık ücretli izin kayıtları (izin defteri/formları).

•     Fazla çalışma onayları.

•     Periyodik sağlık raporları ve İSG eğitim tekrar kayıtları.(Personel Kişisel Sağlık Dosyası içerisinde)

•     Performans değerlendirmeleri.

•     Disiplin sürecine ilişkin belgeler: savunma talepleri, savunmalar, tutanaklar, ihtar/uyarılar.

•     Görev/unvan/ücret değişikliği ve nakil belgeleri.

İş İlişkisinin Sona Ermesinde

•     Fesih bildirimi / istifa dilekçesi ve fesih gerekçesine ilişkin belgeler.

•     İhbar ve varsa kıdem tazminatı hesap ve ödeme belgeleri.

•     SGK işten ayrılış bildirgesi.

•     Çalışma belgesi (İş Kanunu m. 28 uyarınca işçiye verilir; bir örneği dosyada tutulur).

Not: Sağlık raporu gibi sağlık verisi içeren belgelerin özlük dosyasında mı yoksa ayrı bir "kişisel sağlık dosyasında" mı tutulacağı, KVKK açısından ayrıca değerlendirilmelidir (aşağıya bakınız).

Özlük Dosyası ve KVKK: İşveren "Veri Sorumlusu"dur

Özlük dosyası yoğun biçimde kişisel veri içerir. Bu nedenle işveren, dosyayı tutarken KVKK kapsamında veri sorumlusu sıfatını taşır ve bazı yükümlülükler altına girer.

Aydınlatma Yükümlülüğü (KVKK m. 10)

İşveren, verileri elde ederken çalışanı; veri sorumlusunun kimliği, işleme amaçları, aktarım yapılacak taraflar ve amaçları, veri toplamanın yöntemi ile hukuki sebebi ve KVKK m. 11'deki hakları konusunda bilgilendirmek zorundadır. Bu bilgilendirme, iş sözleşmesinin içine bir madde olarak yerleştirilerek geçerli biçimde yapılamaz, ayrı bir çalışan aydınlatma metni ile yerine getirilmelidir. Kurul uygulamasına göre aydınlatma metni ile açık rıza metni ayrı ayrı düzenlenmelidir.

Hukuki Sebep (KVKK m. 5)

Özlük dosyası kapsamındaki kişisel veri işleme çoğunlukla açık rızaya değil, KVKK m. 5/2'deki sebeplere dayanır: kanunlarda açıkça öngörülme (İş Kanunu m. 75, SGK mevzuatı) ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olma; ayrıca iş sözleşmesinin kurulması/ifasıyla doğrudan ilgili olma ve meşru menfaat sebepleri gündeme gelir.

Açık Rıza Tuzağı (İş İlişkisindeki Güç Dengesizliği)

İş ilişkisinde çalışanın "hayır" deme imkanı fiilen sınırlı olduğundan, açık rızanın özgür iradeye dayandığından söz edilemez. Rıza vermeyen çalışanın işe alınmaması, dosyasının "eksik" sayılması veya baskı görmesi hâlinde alınan rıza geçersizdir. Ayrıca çalışanın eş ve çocuğuna ait verilerin işlenmesi için verdiği rıza da geçerli değildir. Bu nedenle, işlemenin gerçekten açık rıza gerektirdiği istisnai haller dışında rızaya dayanmaktan kaçınılmalıdır.

Özel Nitelikli Veriler ve Sağlık Verileri (KVKK m. 6)

Sağlık raporları, engellilik durumu ve adli sicil kaydı gibi belgeler özel nitelikli kişisel veri içerir ve KVKK m. 6 kapsamında ek korumaya tabidir. 7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikle, özel nitelikli verilerin işlenme şartları genişletilmiştir. Artık "istihdam, iş sağlığı ve güvenliği, sosyal güvenlik ve sosyal hizmetler alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması" başlı başına bir işleme sebebidir. Böylece işyeri hekimliği ve İSG kapsamındaki sağlık verileri, yalnızca açık rızaya bağlı kalınmaksızın bu kapsamda işlenebilir. Bununla birlikte sağlık verilerinin, sır saklama yükümlülüğü altındaki işyeri hekimince ayrı bir kişisel sağlık dosyasında ve erişim yetkisi kısıtlanarak tutulması; adli sicil kaydının ise yalnızca işin hukuken gerektirdiği pozisyonlarda ve ölçülü biçimde istenmesi tavsiye edilir.

Biyometrik Veri / Parmak İzi (PDKS)

Giriş-çıkış takibinde parmak izi gibi biyometrik veri kullanımı, özel nitelikli veri işleme niteliğindedir ve Kurul uygulamasında çoğunlukla ölçülülük ilkesine aykırı bulunmaktadır. Aynı amaca kart veya şifre gibi daha az müdahaleci yöntemlerle ulaşılabiliyorsa biyometrik yönteme başvurulmaması gerekir.

Özlük Dosyasında Saklama Süreleri ve İmha

Kişisel veriler, işlenme amacı ortadan kalktığında ve saklamayı gerektiren yasal sebepler sona erdiğinde silinmeli, yok edilmeli veya anonim hâle getirilmelidir (KVKK m. 4 ve m. 7). Özlük dosyası bakımından saklama süreleri, belgeye ilişkin yasal saklama ve zamanaşımı sürelerine göre belirlenir:

•     5510 sayılı Kanun m. 86: işyeri kayıt ve belgeleri, ilgili olduğu yılı izleyen yıl başından itibaren 10 yıl saklanır.

•     İş alacaklarında zamanaşımı: iş sözleşmesinden doğan bazı alacaklarda (kıdem/ihbar tazminatı, yıllık izin ücreti vb.) zamanaşımı genellikle 5 yıl; kimi taleplerde 10 yıla kadar uzayabilir. İspat açısından, uygulanabilir en uzun zamanaşımı süresi dolana kadar saklama tercih edilir.

İşyerinin VERBİS'e kayıt yükümlülüğü varsa, bir Kişisel Veri Saklama ve İmha Politikası hazırlanması ve periyodik imha süreçlerinin işletilmesi gerekir. Saklama süreleri belge türüne göre değiştiğinden, sürelerin güncel mevzuat üzerinden teyit edilmesini öneririm.

Özlük Dosyası Tutulmamasının Yaptırımları

Özlük dosyası yükümlülüğünün ihlali iki ayrı hukuki rejimde yaptırıma bağlanmıştır:

•     İş Kanunu m. 104: İş Kanunu m. 75'teki işçi özlük dosyasını düzenlemeyen işveren veya işveren vekiline idari para cezası uygulanır. Ceza miktarı her yıl yeniden değerleme oranında güncellendiğinden, güncel tutarın teyit edilmesi gerekir.

•     KVKK m. 18: aydınlatma yükümlülüğünün ihlali, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi ve Kurul kararlarına uymama ayrı ayrı idari para cezalarına tabidir (tutarlar her yıl güncellenir).

•     İspat yükü ve iş davaları: dosyanın eksikliği yalnızca cezaya değil, iş yargılamasında ispat zafiyetine de yol açar. Bordro, izin kaydı ve fesih belgeleri gibi belgeleri ibraz edemeyen işveren, işçilik alacağı davalarında aleyhine sonuçla karşılaşabilir; zira bu belgeleri düzenlemek ve saklamak işverenin yükümlülüğündedir.

Yasal Uyarı

Bu bilgi genel bilgilendirme amaçlıdır, hukuki tavsiye yerine geçmez. Kanun maddeleri ve karar numaraları için mevzuat.gov.tr ve emsal.yargitay.gov.tr üzerinden teyit ediniz.