Kurul’un yurtdışında mukim veri sorumlusunun Türkiye’deki irtibat bürosu tarafından işe alım sürecinde adaylardan özel nitelikli kişisel veri talep edilmesi hakkındaki 24.02.2022 tarihli ve 2022/172 sayılı kararı
Karara konu olan şikayet dilekçesinde özetle;
- İlgili kişinin işe kabulü yapılırken veri sorumlusunun irtibat bürosunca kendisinden adli sicil kaydı, sağlık raporu, akciğer filmi raporu, kan grubu belgesi, ehliyet fotokopisi, evlilik cüzdanı fotokopisi ve aile bireylerinin nüfus cüzdanı fotokopilerinin istenildiği ve ilgili kişi tarafından bu belgelerin teslim edildiği;
- İrtibat bürosunun bahse konu özel nitelikli kişisel verilerin işlenmesi için ilgili kişiden açık rıza almadığı;
- Veri sorumlusunun yurtdışında mukim olması sebebiyle, ilgili kişiye ait kişisel verilerin yurtdışına da aktarılmış olabileceği;
hususlarından bahsedilmiştir. Bu sebepler doğrultusunda Kurul tarafından gereğinin yapılması talep edilmiştir.
İlgili kişinin şikayeti üzerine veri sorumlusunun Kurul’a ilettiği cevap yazısında ise;
- Şikayet edilenin, yurtdışı menşeli veri sorumlusunun Türkiye’deki irtibat bürosu olduğu, yasal kuruluş esasları gereği münferit bir tüzel kişiliği ve ticari faaliyeti haiz olmadığı;
- İlgili kişinin veri sorumlusu bünyesinde çalışmasının doğrudan yurtdışı merkezli yasal mevzuat hükümlerine göre belirlendiği ve buna göre işyeri sicil dosyasının yurtdışında cari olan mevzuat hükümlerine göre oluşturulduğu;
- İlgili kişinin şikayetine konu olan kişisel verilerin, ilgili kişinin yurtdışında mukim veri sorumlusunun çalışanı olması nedeniyle, işyeri özlük dosyası kapsamında rızası ilgili kişiden temin edildiği, bu anlamda icazet olmaksızın söz konusu kişisel verilerin yurtdışına aktarılması gibi bir durumdan bahsedilemeyeceği;
hususlarına değinilmiştir.
Konuya ilişkin yürütülen inceleme sonucunda Kurul, kararında; veri sorumlusu sıfatının irtibat bürosuna değil, bizzat yurtdışı merkezli şirkete ait olduğu, irtibat bürosu müdürünün aynı zamanda veri sorumlusunun işveren vekili olması sebebiyle, ilgili kişi tarafından irtibat bürosuna yapılan tebligatın hukuken geçerli olduğunu ifade etmiştir. Bununla birlikte, şikayete konu somut olayda yurtdışına veri aktarılmasının hukuka aykırı olmadığı, ilgili kişiye ait kişisel verilerin yurtdışında mukim veri sorumlusu tarafından iş ilişkisi kapsamında akdedilen sözleşme vasıtasıyla, yerleşik ülke hukuku doğrultusunda elde edildiği fakat bu mevzuat hükümlerine ilişkin olarak ilgili kişiye ve Kurula yeterli açıklamalarda bulunulmadığı Kurul tarafından tespit edilmiştir. Bahse konu iş akdinin ifası için ilgili kişinin kişisel verilerinin yurtdışında işlenmesinin gerekli olduğu ve bunun için de ilgili kişiden alınan açık rızanın hukuka uygun olduğunu ifade etmiştir. Dolayısıyla Kurul, veri sorumlusuna herhangi bir idari para cezası vermeyip sadece veri sorumlusunun ilgili kişilerin başvuruları konusunda dikkat ve özeni göstermesi hususunda talimatlandırılmasına karar vermiştir.
Karara bu linkten ulaşabilirsiniz.