Kuruma intikal eden şikâyet dilekçesinde özetle; ilgili kişinin veri sorumlusu nezdinde üç sene çalıştığı, işten ayrılmasını müteakiben 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında veri sorumlusuna başvuru yaptığı, başvurusuna yeterli cevap verilmediği, kişisel verilerinin hukuka aykırı işlendiği, amacına aykırı kullanıldığı, üçüncü taraflara aktarıldığı ve aydınlatma metninin hukuka aykırı olduğu ifade edilerek, 6698 sayılı Kanun kapsamında gereğinin yapılması talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde şikâyet edilen veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- Veri sorumlusu nezdinde çalışanlara tanımlanan e-posta adreslerinin, işten çıkış işlemleri sırasında kapatıldığı ve 2 ay süreyle çalışanının yöneticisine yönlendirme yapıldığı, şikâyetçiye tanımlanan e-posta adresi, iş akdinin sonlanmasıyla birlikte kapatıldığından, bu adrese yapılan girişleri gösterebilecek bir log kaydının bulunmadığı, ilgili kişiye tahsis edilen kurumsal e-posta adresinin işten ayrıldığında kapatıldığı ve hesaba son giriş tarihi ile işten ayrıldığı tarihin paralellik gösterdiği,
- İş faaliyetlerinin yürütülebilmesi amacıyla yönlendirme süresi boyunca koordinatör pozisyonunda çalışan ilgili kişinin eski kurumsal e-posta hesabına gelen e-postaların yönlendirme işlemi nedeniyle ilgili kişinin yöneticisine tanımlanan e-posta adresine iletildiği, bunun üzerine iş sürekliliğini sağlamak amacıyla ve müşteriyle aradaki ilişki doğrultusunda ileti gönderen kişilere ilgili kişinin işten ayrıldığının bildirildiği,
- Kurumsal e-posta hesabına gelecek e-postaların sınırlı süreyle veri sorumlusu içinde yönlendirilmesinin veri sorumlusunun meşru menfaatine uygun olduğunun açık olduğu, ayrıca kişinin Bilgisayar Kullanım ve Bilgi Güvenliği Taahhütnamesinde yer alan “….her durumda iş mailleri üzerinden yapılan yazışmaları okumaya, basmaya, gerekirse yayınlamaya ve kamu kurumlarına sunmaya yetkili olduğunu bildiğini ve bu hususları kabul ettiğini kabul ve taahhüt eder.” ifadeleriyle de kurumsal e-posta hesabının denetlenebileceğini kabul ettiği,
- Personel Yönetim Sistemi vasıtasıyla çalışanların vardiya ve izin takibinin yapıldığı, maaş bordrolarında esas alınacak puantaj kayıtlarının elde edildiği, çalışanın sayılan işlemlere esas kayıtlarının güvenilir bir şekilde tutulması için T.C. kimlik numarası ve cep telefonu numarasının kullanılması gerektiği, 4857 sayılı İş Kanunu ve ikincil düzenlemeleri doğrultusunda tutmakla yükümlü olduğu bu kayıtların Kanun’un 5’inci maddesinin 2’nci fıkrasında yer alan “(ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” şartına dayandığı,
- Sıhhi izin talep edildiği durumda, bordrolama işlemleri esnasında iş akdinden ve yasalardan doğan yükümlülüklerin yerine getirilebilmesi amacıyla sağlık kayıtlarının Personel Yönetim Sistemi (PYS) aracılığıyla işlendiği, ilgili kişinin işten ayrılması sonrasında Personel Yönetim Sistemindeki sağlık bilgilerinin imha edildiği,
- İlgili Bakanlığın 20.03.2020 tarihli COVID-19 rehberine göre; çalışanların işe başlamasından önce ateş ölçümü yapılması gerektiği, bu gerekliliğin ateş ölçümü cihazlarıyla gerçekleştirildiği, COVID-19 döneminde, veri sorumlusunun yerleşkesindeki ateş ölçüm teknolojisinin kullanımı sırasında giriş esnasında kişilerin anlık olarak ateş durumlarının kontrol edildiği, bu süreçte herhangi bir kimlik kaydının alınmadığı, ilgili kişiye ait ateş ölçüm kayıtlarının, şikâyetçiye ait başka bir veriyle eşleştirilmediği için kişiyi belirlenebilir kılmadığı, dolayısıyla tek başında ölçüm sonucunun kişisel veri olarak değerlendirilemeyeceği, ateş ölçümü için temin edilen teknolojinin hiç çalıştırılmamış ve kapalı tutulan bir fonksiyonunun bulunduğu, bu fonksiyonun devreye alınması halinde ateş durumu yüksek olan kişinin anlık görüntüsünün kayıt altına alınarak veri sorumlusu nezdinde yetkilendirilen bir kişiye (örneği İSG Uzmanına) otomatik olarak iletilebildiği fakat bu fonksiyonun veri sorumlusu nezdinde hiçbir zaman devreye alınmadığı,
- İlgili kişinin kişisel verilerinin yurt dışına aktarılmadığı, Personel Yönetim Sistemi için kullanılan sunucuların yurt içinde olduğu, Personel Yönetim Sistemi sunucusuna ait dış dünya IP adresinin Türkiye sınırları içerisinde olduğunun anlaşıldığı, ayrıca Personel Yönetim Sistemini için kullanılan sunucuların lokal sunucular olduğu,
- İlgili kişinin veri sorumlusu nezdinde çalıştığı dönemde çalışanlara sunulan Çalışan Aydınlatma Metnine ve iş başvurusu formlarında yapılan aydınlatma metnine yazı ekinde yer verildiği, Kanuna uyum işlemleri kapsamında danışmanlık hizmeti alınarak aydınlatma metinlerinin ve açık rıza metinlerinin iyileştirildiği, ilgili kişinin çalıştığı dönemde kullanılan çalışan aydınlatma metnine yazı ekinde yer verildiği,
- İlgili kişinin kamu kurumuna aktarılan tüm kişisel verilerinin tarafına e-posta yoluyla gönderilmesi talebinin, imha tutanağından anlaşılacağı üzere imha edilmesi nedeniyle veri sorumlusunun veya iştiraki olduğu kamu kurumumun bu verilere erişmesinin imkânsız olması nedeniyle reddedildiği, ilgili kişinin kişisel verilerinin imha talebinin reddedilmediği ve ilgili kişiye Tebliğ’e uygun olarak sunulan cevabi yazıda da talebinin karşılandığının ifade edildiği, ayrıca yerleşkelerde fiziksel güvenlik sağlamak amacıyla güvenlik kameralarının bulunduğu ve gerekli aydınlatmaların yapıldığı, fiziksel mekân güvenliği verileri veri sorumlusu olarak meşru menfaatleri gereği işlendiğinden saklama süresi sonunda imha edildiği, ilgili kişinin eski kurumsal hesabında yer alan ad ve soyadı verisinin anonimleştirilmesi veya silinmesi talebi bakımından; kurumsal e-posta hesapları, ilgili kişinin de bilgisayar kullanım taahhütnamesi ile taahhüt ettiği üzere veri sorumlusunun iş faaliyetlerinin yürütülmesi amacıyla kullanıldığı, ayrıca taahhütname ile kabul edildiği üzere “kurum e-posta sisteminde oluşturulan gönderilen veya kabul edilen tüm e-postaların kurumun mülkiyeti sayıldığı, kurumsal e-posta yazışmaları için 10 yıllık saklama süresinin belirlendiği, bu yazışmaların belirlenen süre ile saklanmasında veri sorumlusunun meşru menfaatlerinin bulunduğu ve olası bir hukuki uyuşmazlık durumunda kurumsal e-posta hesapları üzerinde gönderilen veya alınan verilerin ispat külfeti taşıyacağı ve bu nedenle belirlenen imha süresinden önce e-posta sunucularında yer alan kayıtların imha edilmesinin meşru menfaatleri gereği mümkün olmadığı,
- İlgili kişinin veri sorumlusuna başvurusunda; hangi kişisel verilerinin işlendiği, kişisel verileri işlenmişse işlenme amacı ve bu verilerin amaca uygun kullanılıp kullanılmadığı, kişisel verilerin yurt içinde veya yurt dışında üçüncü kişilere aktarılıp aktarılmadığı, ilgili kişisel verilere veri sorumlusu nezdinde hangi birimler tarafından erişim sağlandığı ve bu erişim gerekçesi hakkında bilgi talep ettiği, bu başvuruya istinaden, veri sorumlusu tarafından ilgili kişiye cevap verilerek talebinin karşılandığı
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 22/02/2024 Tarihli ve 2024/284 Sayılı Kararı ile;
- İlgili kişinin söz konusu e-posta hesabının kapatıldığı tarihi içeren işlem kayıtlarının veri sorumlusu tarafından Kurulun bilgisine sunulduğu, “Erişim ve Yetki Prosedürü” belgesi aracılığıyla e-posta hesabının Aktif Dizin (Active Directory- AD) ile eşlenik olarak çalıştığının ve ilgili kişinin AD kullanıcı hesabına en son girişin, ilgili kişinin iş akdi sona ermeden önce olduğunun tespit edildiği, bu doğrultuda, ilgili kişinin çalıştığı dönemde kullandığı e-posta hesabına, veri sorumlusu arasındaki iş ilişkinin sona ermesinin ardından giriş yapılarak e-posta verilerine erişim sağlanmadığının anlaşıldığı, söz konusu AD hesabı pasife alınmadan önce iki ay süreyle yeni çalışana yönlendirildiği, bu sebeple pasife alınma tarihinin işten çıkış tarihinin iki ay sonrasına tekabül ettiği, Veri sorumlusuna ait “Erişim ve Yetki Prosedürü” belgesinde ayrılan personel hesaplarının ivedi bir şekilde kapatıldığı, ayrılan personelin yönetici pozisyonu olması halinde hesabın yeni yöneticiye iki ay süreyle yönlendirileceği hususunun belgelendiği,
- İlgili kişinin ateş ölçüm kamerası aracılığıyla ölçüm yapıldığı ve ateşi yüksek olan kişilerin fotoğrafının yetkili personele e-posta gönderilmesi yoluyla veri sorumlusu tarafından ilgili kişinin sağlık verisinin ve genel nitelikteki fotoğraf verisinin işlendiği hususunu ispat edecek herhangi delil sunmadığı, söz konusu fiilin gerçekleştiğine dair dosya kapsamında somut bir delil bulunmadığından bu konuda yapılacak herhangi bir işlem bulunmadığı,
- Kanun’un 3’üncü maddesinin birinci fıkrasının (e) bendinde “kişisel verilerin işlenmesi”nin, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem olarak tanımlandığı dikkate alındığında, ateş ölçümünün herhangi bir veri kayıt sisteminin parçası olarak işlenmediği, yalnızca ilgili Bakanlık tarafından getirilen düzenleme çerçevesinde işletmeye girişte kontrol amaçlı olarak ateş ölçümünün gerçekleştirildiği değerlendirildiğinden, Kanun kapsamında bir kişisel veri işleme faaliyetinden bahsedilemeyeceği, şikâyet konusu bakımından Kanun kapsamında gerçekleştirilen bir kişisel veri işleme faaliyetinden söz edilemediğinden, herhangi bir işlem yapılmasına gerek bulunmadığı,
- İlgili kişiye ilişkin kişisel verilerin PYS sisteminde muhafaza edilmesinin “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” işleme şartına dayandığı, iş uyuşmazlığına konu olabilecek delilleri, veri sorumlusu işverenin ispat hakkı kapsamında muhafaza etmesinin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi”ne aykırılık oluşturmadığı,
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu kapsamında işverenin de yükümlülüklerinin bulunması nedeniyle veri sorumlusu tarafından ilgili kişinin sağlık verisini içeren istirahat raporlarının Personel Yönetim Sistemi aracılığıyla elde edilmesinin Kanun’un 6’ncı maddesinin üçüncü fıkrasına uygun olduğu,
- İlgili kişinin çalıştığı dönemde veri sorumlusundan sıhhi izin talep etmek amacıyla istirahat raporlarını PYS’ye yüklediği, anılan etki alanı bakımından yer sağlayıcının ise kamu kurumu olduğu ve ilgili sunucuların yurt içinde olduğu, ilgili kişinin istirahat raporlarının işlenmesinde iştiraki olunan kamu kurumuna ait PYS’nin kullanıldığı, söz konusu alt yapı kullanımının veri sorumlusu ile kamu kurumu arasındaki iş birliği protokolü kapsamında gerçekleştiği, kamu kurumunun “kişisel verilerin toplanması ve toplama yöntemi, toplanacak kişisel veri türleri, toplanan verilerin hangi amaçlarla kullanılacağı, hangi bireylerin kişisel verilerinin toplanacağı, toplanan verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa kiminle paylaşılacağı, verilerin ne kadar süreyle saklanacağı” hususlarında karar verici konumda olmaması sebebiyle veri sorumlusu konumunda olmadığı, teknik hizmet sağlayıcı konumunda olduğu dikkate alınarak veri işleyen sıfatını haiz olduğu,
- Veri sorumlusu tarafından istirahat raporlarının PYS sistemi aracılığıyla elde edilmesi amacı ile aktarım amacının aynı olduğu göz önünde bulundurularak kişisel veri aktarımının Kanun’un 6’ncı maddesinin üçüncü fıkrası uyarınca gerçekleşmesi nedeniyle Kanun’un 8’inci maddesine aykırılık oluşmadığı,
- Kişisel veri güvenliğine ilişkin tedbirler kapsamında kişisel veri içeren sistemlere erişimin de sınırlı olması gerektiği, bu kapsamda çalışanlara, yapmakta oldukları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisinin tanınması gerektiği, PYS üzerindeki istirahat raporlarına genel müdür pozisyonunda çalışan kişilerin de erişebildiği, genel müdürün görevi nedeniyle çalışanların sağlık bilgisine erişmesinin gerekli olmadığı dikkate alındığında, sağlık verilerine ilişkin erişim yetkisinin yalnızca ilgililerinde bulunmasına yönelik olarak düzenlenmesi gerektiği hususunda veri sorumlusuna hatırlatmada bulunulmasının uygun olduğu,
- Veri sorumlusunun Kurumumuza ilettiği tutanak metninden; ilgili kişinin PYS’de kayıtlı istirahat raporlarının, rapor ve sunumlarda yer alan kişisel verilerinin imhasını gerçekleştirdiğinin görüldüğü, Veri sorumlusunun ilgili kişinin talebi üzerine, sağlık bilgileri, sunum ve raporlarda yer alan kişisel verilerin de imhasını 30 gün içerisinde gerçekleştirdiği anlaşıldığından, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 12’nci maddesinin birinci fıkrasının (a) bendi uyarınca süreye riayet edilmesi nedeniyle imha talebinin yerine getirilmesi bakımından Kanun ve ilgili Yönetmelik’e aykırılık oluşmadığı,
- İlgili kişinin söz konusu e-posta hesabında yer alan kişisel verilerin ve e-posta içerikleri bakımından; 4857 sayılı İş Kanunu’nda belirtilmeyen 6098 sayılı Türk Borçlar Kanunu (TBK) veya 4721 sayılı Türk Medeni Kanunu kapsamındaki maddi ve manevi tazminatların zaman aşımı süresinin TBK çerçevesinde on yıl olarak belirlendiği, bu doğrultuda veri sorumlusunun herhangi bir uyuşmazlık halinde savunma hakkını kullanmak amacıyla e-posta içeriklerini herkesin erişimine kapalı bir şekilde muhafaza etmesinde “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” işleme şartının bulunduğu, veri sorumlusunun halihazırda işleme sebebinin bulunması sebebiyle ilgili kişinin e-posta içeriklerinin imha edilmesi talebinin reddedilmesinde Kanun’un 7’nci maddesi ve Kanun’un 11’inci maddesine aykırılık oluşmadığı,
- Veri sorumlusunun muhafaza ettiği e-posta içeriklerine yönelik aydınlatma metninde bilgi vermediği, bununla birlikte taahhütname metninde içeriğin denetleneceğine dair ifadelere yer verdiği, ancak taahhütname metninin Kanun’un 10’uncu maddesi uyarınca bir metin olmadığı, öte yandan ilgili kişiye işe girişte imzalatılan aydınlatma metninde içeriğin denetlenmesi kapsamında bilgiye yer verilmediğinden, yapılan aydınlatmanın Kanun’un 10’uncu maddesine göre eksik yapıldığı, Kanun’un 10’uncu maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5’inci maddesine göre; veri sorumlusunun aydınlatma metnini, işlenen tüm kişisel veri kategorilerini, işleme amaçlarını ve hukuki sebebini içerecek biçimde anlaşılır, açık ve sade bir dil kullanılarak güncellenmesi gerektiği,
- Veri sorumlusu tarafından turnike geçiş sistemi kullanılması, yemekhane hizmeti verilmesi, çalışan izin talebinin yönetimi amacıyla bir yazılım kullanıldığı ve bu yazılım nedeniyle iştiraki olduğu kamu kurumuna ilgili kişiye ait kişisel verilerin aktarıldığı; bununla birlikte PYS adlı sistem aracılığıyla ilgili kişinin adının, soyadının, T.C. kimlik numarası, cep telefonu numarası, kurumsal e-posta adresi, işe başlama tarihi, mesai saati, yıllık izin hakkı, dahili numarası, kart bilgileri, turnike giriş ve çıkışları, izin işlemleri, yemekhane işlemleri, kapı geçiş işlemlerine ilişkin bilgilerin kaydedildiğinin beyan edildiği, ilgili kişiye ait PYS’de kaydedilmiş kullanıcı hesabının iş akdinin bitimiyle pasife alındığı, bu sebeple ilgili kişinin kişisel verilerine erişim talebinin reddedildiğinin anlaşıldığı,
- Söz konusu PYS hesabının pasife alınmasının ilgili Yönetmelik kapsamında kişisel verilerin silinmesi anlamını taşımadığı, bu nedenle, veri sorumlusu tarafından söz konusu kişisel verilerin muhafaza edildiği, söz konusu kişisel verilerin muhafaza edilmesinin de Kanun’un 3’üncü maddesi uyarınca kişisel verilerin işlenmesi anlamına geldiği, bu bakımdan, ilgili kişinin kişisel verilerine erişim talebinin karşılanmasının gerekli olduğu, bununla birlikte, bu kayıtlar içerisinde veri sorumlusuna ait ticari sır niteliğinde bilgi yer alması veya üçüncü kişiye ait kişisel veri içermesi halinde söz konusu kayıtların içerisinde ilgili verilerin anonimleştirilmesi yoluna gidilmesi gerektiği,
- Veri sorumlusu tarafından ilgili kişiye verilen cevabi yazıda; hangi kişisel verilerin işlendiğine ilişkin genel tabirlerin kullanıldığı, veri sorumlusunun iştiraki olduğu kamu kurumuna kişisel verilerin aktarılması hususunda muğlak ifadelerin yer aldığı, kişisel veri işleme amaçlarına dair genel tabirlerin kullanıldığı, veri sorumlusu tarafından işlenmeye devam edilen kişisel veriler hakkında eksik bilgiye yer verildiği ve çelişkili ifadelerin kullanıldığı, ateş ölçüm kameraları hakkında verilen bilgi kapsamında muğlak ifadelere yer verildiği, hesap pasife alınma işleminin silme anlamına gelecek şekilde kullanıldığı, kişisel verilerin muhafazasının kişisel veri işleme faaliyeti olarak değerlendirilmemesi nedeniyle ilgili kişiye karşı çelişkili olabilecek ifadelerin kullanıldığı tespit edilmiş olup ilgili kişilerin Kanun’un 11’inci maddesi kapsamındaki bilgi taleplerine yönelik olarak veri sorumlusunun hangi kişisel verileri işlendiğine ayrıntılı bir şekilde yer vermesi, genel tabirlerden kaçınması, muğlak ifadeler yerine açık, net ve sade bir dili tercih etmesi, Kanun ve Yönetmelik kapsamındaki kavramlar hakkında yanıltıcı bilgi vermemesi suretiyle Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 6’ncı maddesi uyarınca, ilgili kişilerin başvurularını hukuka ve dürüstlük kuralına uygun olarak yanıtlaması hususunun veri sorumlusuna hatırlatılması gerektiği
değerlendirmelerinden hareketle;
- Kanun’un 11’inci maddesinin birinci fıkrasının (b) uyarınca ilgili kişinin kişisel verilerine erişim talebinin karşılanması ve bu hususta Kurula bilgi vermesi konusunda veri sorumlusunun talimatlandırılmasına,
- Veri sorumlusunun aydınlatma metnini, Kanun’un 10’uncu maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5’inci maddesine uygun olarak düzenlenmesi ve bu hususta Kurula bilgi vermesi konusunda talimatlandırılmasına,
- İlgili kişiler tarafından Kanun kapsamında yapılacak başvuruların Kanun’un 13’üncü maddesi hükmü ile veri sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 6’ncı maddesi hükmü uyarınca etkin, hukuka ve dürüstlük kuralına uygun şekilde, gerekçe belirterek ve süresi içinde sonuçlandırılması gerektiği hususunun veri sorumlusuna hatırlatılmasına,
- Sağlık verilerine ilişkin erişim yetkisinin yalnızca ilgililerinde bulunmasına yönelik olarak düzenlenmesi gerektiği hususunda veri sorumlusuna hatırlatmada bulunulmasına,
- Veri sorumlusunun e-posta kullanıcı hesabı yönetimi konusunda prosedür oluşturduğu, ilgili kişinin Aktif Dizin kullanıcı hesabına ilişkin kayıttan söz konusu prosedüre aykırılık oluşmadığı anlaşıldığından, ilgili kişi ile veri sorumlusu arasındaki iş akdinin sonlanmasının ardından ilgili kişinin e-posta hesabına erişmek suretiyle kişisel veri işlemenin gerçekleşmediği tespit edildiğinden, bu hususta veri sorumlusu hakkında Kanun kapsamında yapılacak bir işlem olmadığına,
- Veri sorumlusu tarafından ateş ölçüm kamerası aracılığıyla ölçüm yapıldığı ve ateşi yüksek olan kişilerin fotoğrafının yetkili personele e-posta gönderilmesi yoluyla ilgili kişinin sağlık verisinin ve genel nitelikteki fotoğraf verisinin işlenmesi fiilinin gerçekleştiğine dair dosya kapsamında somut bir delil bulunmadığından, bu hususta Kanun kapsamında yapılacak bir işlem olmadığına,
- Veri sorumlusunun bina girişinde yapılan anlık ateş ölçümünün yalnızca veri sorumlusuna yüklenen hukuki yükümlülük kapsamında yapılması ve ilgili kişiye ait başkaca bir veriyle eşleştirilmemesi nedeniyle anlık ateş ölçüm verisinin ilgili kişiyi belirlenebilir kılmayacağından tek başına kişisel veri olarak kabul edilemeyeceği dikkate alındığında, bu hususta Kanun kapsamında yapılacak bir işlem olmadığına,
- İlgili kişiye ilişkin kişisel verilerin veri sorumlusunun Personel Yönetim Sisteminde (PYS) muhafaza edilmesinin “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” işleme şartına dayandığı ve iş uyuşmazlığına konu olabilecek delilleri, veri sorumlusu işverenin ispat hakkı kapsamında muhafaza etmesinin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi”ne aykırılık oluşturmadığı dikkate alındığında, bu hususta veri sorumlusu hakkında herhangi bir idari işlem uygulanmasına yer olmadığına,
- İlgili kişinin istirahat raporlarının Personel Yönetim Sistemi aracılığıyla işlenmesinde veri sorumlusunun iştiraki olduğu kamu kurumunun veri işleyen konumunda olduğuna,
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu kapsamında işverenin de yükümlülüklerinin bulunması nedeniyle veri sorumlusu tarafından ilgili kişinin sağlık verisini içeren istirahat raporlarının Personel Yönetim Sistemi aracılığıyla elde edilmesinin Kanun’un 6’ncı maddesinin üçüncü fıkrasına uygun olduğu değerlendirildiğinden, bu hususta veri sorumlusu hakkında Kanun kapsamında yapılacak bir işlem olmadığına,
- Veri sorumlusu tarafından istirahat raporlarının Personel Yönetim Sistemi aracılığıyla elde edilmesi ile veri işleyen konumunda olan iştiraki olunan kamu kurumuna aktarılmasındaki kişisel veri işleme amacının aynı olması nedeniyle gerçekleşen aktarımda Kanun’un 6’ncı maddesinin üçüncü fıkrasında yer alan işleme şartının bulunduğu, bu nedenle Kanun’un 8’inci maddesine aykırılık oluşmadığı değerlendirildiğinden, bu hususta veri sorumlusu hakkında Kanun kapsamında yapılacak bir işlem olmadığına,
- İlgili kişinin talebi üzerine, veri sorumlusu tarafından sağlık bilgileri, sunum ve raporlarda yer alan kişisel verilerinin imhasının 30 gün içerisinde gerçekleştirildiği, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 12’nci maddesinin birinci fıkrasının (a) bendi uyarınca süreye riayet edilmesi nedeniyle ilgili kişinin imha talebinin yerine getirilmesi bakımından Kanun ve ilgili Yönetmelik’e aykırılık oluşmadığından, bu hususta veri sorumlusu hakkında Kanun kapsamında yapılacak bir işlem olmadığına,
- 4857 sayılı İş Kanunu’nda belirtilmeyen 6098 sayılı Türk Borçlar Kanunu (TBK) veya 4721 sayılı Türk Medeni Kanunu kapsamındaki maddi ve manevi tazminatların zaman aşımı süresinin TBK çerçevesinde on yıl olarak belirlendiği, bu doğrultuda veri sorumlusunun herhangi bir uyuşmazlık halinde savunma hakkını kullanmak amacıyla e-posta içeriklerini herkesin erişimine kapalı bir şekilde muhafaza etmesinde “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” işleme şartının bulunduğu dikkate alındığında, ilgili kişiye ilişkin e-posta içeriklerinin imha edilmesine yer olmadığına
karar verilmiştir.