GDPR İlgili Dibaceler 1 dibace
Recital 155
Member State law or collective agreements, including ‘works agreements’, may provide for specific rules on the processing of employees' personal data in the employment context, in particular for the conditions under which personal data in the employment context may be processed on the basis of the consent of the employee, the purposes of the recruitment, the performance of the contract of employment, including discharge of obligations laid down by law or by collective agreements, management, planning and organisation of work, equality and diversity in the workplace, health and safety at work, and for the purposes of the exercise and enjoyment, on an individual or collective basis, of rights and benefits related to employment, and for the purpose of the termination of the employment relationship.
Dibace 155
Üye Devlet hukuku veya "iş akitleri" de dahil olmak üzere toplu sözleşmeler; kişisel verilerin istihdam bağlamında çalışanın rızasına dayanılarak işlenebileceği koşullara; işe alım, mevzuatla ya da toplu sözleşme yoluyla belirtilen yükümlülüklerin sona ermesi de dâhil olmak üzere iş sözleşmesinin ifası, işin yönetimi, planlanması ve düzenlenmesi, iş yerinde eşitlik ve çeşitlilik, iş sağlığı ve güvenliği amaçları; istihdam ile ilgili olarak bireysel ya da toplu şekilde haklar ve menfaatlerin öne sürülmesi ve bunlardan yararlanılması amaçları ve iş ilişkisinin sona erdirilmesi amacı doğrultusunda işlenmesine ilişkin kurallar başta olmak üzere, çalışanların kişisel verilerinin istihdam bağlamında işlenmesine ilişkin olarak spesifik kurallar öngörebilir.
İstihdam bağlamının kapsamı
Tüzüğün 88. maddesi, çalışanların kişisel verilerinin istihdam bağlamında işlenmesi için üye devletlerin daha özel kurallar kabul edebileceğini düzenler. İşe alım, iş sözleşmesinin yürütülmesi, işin yönetimi ve planlanması, iş yerinde eşitlik, iş sağlığı ve güvenliği, işveren veya müşterinin malvarlığının korunması ile iş ilişkisinin sona ermesi hükümde sayılan başlıca alanlardır.1
Bu sayım sınırlı değildir. Bir işlemenin istihdam bağlamına girmesi, veri ile mevcut, geçmiş veya kurulması düşünülen iş ilişkisi arasında yeterli bağ bulunmasına bağlıdır.2 Müşteri verilerinin sırf bir çalışan tarafından işlenmesi, müşteriyi çalışan verilerine ilişkin özel düzenlemenin kapsamına sokmaz.
Daha özel kuralların sınırı
Üye devletlerin kabul edeceği hükümler, çalışan verilerinin işlenmesine ilişkin daha özel kurallar olmalıdır.1 Yalnız Tüzüğün genel hükümlerini tekrarlayan veya çalışanların koruma düzeyini belirsiz biçimde azaltan bir düzenleme 88. maddenin verdiği yetkiye dayanamaz.
Ulusal kurallar Tüzüğün asgari koruma düzeyini ortadan kaldıramaz.2 Hukuki sebep, şeffaflık, ilgili kişi hakları ve veri güvenliği gibi genel hükümler, özel düzenleme tarafından açık ve geçerli biçimde somutlaştırılmadıkları ölçüde uygulanmaya devam eder.
Daha özel kural sayılma şartları
Üye devletlerin çalışan verileri hakkında özel kural kabul etmesi bir zorunluluk değildir. ABAD'a göre ulusal düzenleme, GDPR m.5 ve m.6'daki genel şartları tekrarlamakla veya bu hükümlere gönderme yapmakla yetinemez. Düzenleme, istihdam ilişkisine özgü kurallar ile insan onurunu, meşru menfaatleri ve temel hakları koruyan uygun ve özel tedbirler içermelidir.1
Bu şartları taşımayan hüküm GDPR m.88 uyarınca daha özel kural olarak uygulanamaz. Böyle bir hükmün GDPR m.6/3'e uygun bağımsız bir hukuki dayanak oluşturup oluşturmadığı ayrıca incelenmelidir.2 Hüküm m.6/3'teki şartları karşılıyorsa uygulanmaya devam edebilir. Aksi halde çalışan verilerinin işlenmesi Tüzüğün genel hükümlerine tabi olur.
İnsan onuru ve özel güvenceler
Ulusal kurallar, ilgili kişinin insan onurunu, meşru menfaatlerini ve temel haklarını koruyan uygun ve özel tedbirler içermelidir. Tüzük, işlemenin şeffaflığına, şirketler topluluğu içindeki aktarımlara ve iş yerindeki izleme sistemlerine özellikle dikkat çeker.1
İş yerinde izleme, çalışanın sürekli gözetim altında tutulması nedeniyle insan onuruna ve özel hayata ağır biçimde müdahale edebilir. İzlemenin amacı, kapsamı, süresi ve sonuçları önceden belirlenmeli, çalışan anlaşılır biçimde bilgilendirilmeli ve aynı amaca daha az müdahaleci bir yöntemle ulaşılıp ulaşılamayacağı değerlendirilmelidir.2
Toplu sözleşmeler
İstihdam bağlamındaki özel kurallar yalnız kanunla değil, toplu sözleşmelerle de getirilebilir.1 Bu imkan, çalışan temsilinin ve sektörel ihtiyaçların veri koruma düzenine yansıtılmasını sağlar.
Toplu sözleşme, tarafların anlaşmasına dayanılarak Tüzüğün emredici korumasını azaltamaz. Düzenlemenin kapsamı belirli olmalı ve insan onuru, şeffaflık, aktarım ile izleme bakımından 88. maddenin ikinci fıkrasındaki güvenceleri karşılamalıdır.2
Çalışan rızasının serbestliği
İş ilişkisindeki güç dengesizliği, çalışanın rızasının serbestçe verilip verilmediği konusunda sıkı bir incelemeyi gerektirir. Bu durum çalışan rızasını her olayda geçersiz kılmaz.1 Ancak rızanın verilmemesi veya geri alınması çalışan bakımından olumsuz sonuç doğuracaksa serbestlik şartı karşılanmayabilir.
Rıza, iş sözleşmesinin yürütülmesi için gerekli olmayan bir işlemeye ayrı olarak verilmeli ve belirli olmalıdır. İşverenin çok sayıda işleme faaliyetini tek bir rıza metninde toplaması, çalışanın gerçek bir seçim yapmasını engelleyebilir.2 Rızanın geri alınması da sözleşmesel bir yaptırıma bağlanamaz.
Hukuki sebep ve zorunluluk
Bir işleme ancak sözleşmenin kurulması veya yürütülmesi için nesnel olarak gerekliyse iş sözleşmesine dayandırılabilir. İşverenin işlemeyi yararlı görmesi bu şartı karşılamaz. Hukuki yükümlülük de yükümlülüğün gerektirdiğinden daha fazla veri toplanmasına dayanak olamaz.1
Meşru menfaate dayanan işlemede işverenin amacı, işlemenin gerekliliği ve çalışanın hakları arasında denge kurulmalıdır. Güç dengesizliği ve çalışanın iş yerindeki makul beklentileri bu değerlendirmede önem taşır. Aynı amaca daha az müdahaleci bir araçla ulaşılabiliyorsa işleme gerekli kabul edilemez.2
Avrupa Komisyonuna bildirim
Üye devletler, birinci fıkra uyarınca kabul ettikleri ulusal hükümleri 25 Mayıs 2018'e kadar Avrupa Komisyonuna bildirmekle yükümlü tutulmuştur. Bu düzenlemeleri etkileyen sonraki değişiklikler de gecikmeksizin bildirilecektir.1
Bildirim, özel kuralların Tüzüğe uygunluğunu kendiliğinden sağlamaz. Ulusal düzenlemenin daha özel olma niteliği ile ikinci fıkradaki güvenceleri taşıyıp taşımadığı ayrıca denetlenmelidir.2
KVKK ile karşılaştırma
KVKK'da çalışan verilerinin işlenmesine ayrılmış genel bir hüküm bulunmaz. İş ilişkisinde kişisel veri işleme, KVKK m.4'teki ilkeler ile m.5'teki işleme şartlarına tabidir. Özel nitelikli veriler bakımından güncel KVKK m.6/3-f, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemelere ayrıca imkan verir.1
Bu hukuki sebep, çalışanların özel nitelikli verilerinin bütün istihdam amaçlarıyla işlenebileceği anlamına gelmez. İşleme hukuki yükümlülük için zorunlu olmalı ve KVKK m.6/4 uyarınca belirlenen yeterli önlemler alınmalıdır.2 GDPR m.88 doğrudan bir işleme sebebi getirmez. Hüküm, üye devletlerin kanun veya toplu sözleşmeyle çalışan verilerine ilişkin daha özel kurallar kabul edebileceği alanı düzenler.