Kişisel Verileri Koruma Kurulunun (“Kurul”), yurt dışında mukim veri sorumlusunun Türkiye’deki irtibat bürosu tarafından işe alım sürecinde adaylardan özel nitelikli kişisel veri talep edilmesi hakkında verdiği 24.02.2022 tarihli ve 2022/172 sayılı Kararı (“Karar”) yayımlandı.
İlgili kişinin Kişisel Verileri Koruma Kurumuna (“Kurum”) intikal eden şikâyetinde özetle;
İlgili kişi, işe kabulü yapılırken irtibat bürosunca kendisinden adli sicil kaydı, sağlık raporu, akciğer filmi raporu, kan grubu belgesi, ehliyet fotokopisi, evlilik cüzdanı fotokopisi ve aile bireylerinin nüfus cüzdanı fotokopilerinin istenildiği ve bu belgeleri teslim ettiğini belirtmiş; ancak irtibat bürosunun bahse konu özel nitelikli kişisel verilerin işlenmesi için kendisinden açık rıza almadığını ifade etmiştir.
Konuya ilişkin alınan savunmada irtibat bürosu,
- Şikâyete konu kişisel verilerin, iş akdi gereği, çalışma süresi boyunca “özlük dosyası” mahiyetinde, ilgili yasal mevzuat ile kanunlarda belirlenen meşru amaca uygun olarak muhafaza edildiğini,
- İlgili kişinin veri sorumlusu bünyesinde çalışmasının doğrudan yurt dışı merkezli yasal mevzuat hükümlerine göre belirlendiğini ve buna göre iş yeri sicil dosyasının yurt dışında cari olan mevzuat hükümlerine göre oluşturulduğunu,
- İlgili kişinin şikâyetine konu olan kişisel verilerin, ilgili kişinin yurt dışında mukim veri sorumlusunun çalışanı olması nedeniyle, iş yeri özlük dosyası kapsamında rızası ile ilgili kişiden temin edildiği, bu anlamda icazet olmaksızın söz konusu kişisel verilerin yurt dışına aktarılması gibi bir durumdan bahsedilemeyeceğini ifade etmiştir.
Konuya ilişkin yapılan incelemede Kurul:
- İşverenin yurt dışı merkezli veri sorumlusu olduğu dikkate alındığında, çalışanlar ile akdedilen iş ilişkisi sözleşmelerinin irtibat bürosuyla değil, veri sorumlusunun kendisiyle akdedilmesinin icap edeceği; iş sözleşmesi gereği, ilgili kişiye ait kişisel verilerin irtibat bürosu tarafından yurt dışında mukim veri sorumlusuna aktarılmasında herhangi bir hukuka aykırılığın bulunmayacağı zira “veri sorumlusu” sıfatının zaten yurt dışı merkezli şirkete ait olduğu,
- İlgili kişinin yurt dışı menşeli veri sorumlusu bünyesinde çalışmak üzere iş akdi yaparken, veri sorumlusunun tabi olduğu yabancı mevzuat gereği kendisinden temin edilen kişisel verilerinin yurt dışında işleneceğini düşünmemesinin mümkün olmadığı,
- Somut olayda yurt dışına veri aktarılmasının hukuka aykırı olmadığı, ilgili kişiye ait kişisel verilerin yurt dışında mukim veri sorumlusu tarafından iş ilişkisi kapsamında akdedilen sözleşme vasıtasıyla, yerleşik ülke hukuku doğrultusunda elde edildiği değerlendirmelerini yapmıştır.
Yukarıdaki nedenlerle Kurul tarafından Kişisel Verilerin Korunması Kanunu kapsamında tesis edilecek herhangi bir işlem bulunmadığına karar verilmiştir.
Kurul kararının tam metnine aşağıdaki linkten ulaşabilirsiniz.
