Çalışanların sağlık verisi, iş hukuku yükümlülüğü için rızasız işlenebilir

Ne değişti?

7499 sayılı Kanun’un 33–36. maddeleri 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu değiştirdi. Bu hükümler 1 Haziran 2024’te yürürlüğe girdi (7499 md. 40).

Özel nitelikli veriler (md. 6): Sağlık verisi ile diğer özel nitelikli veriler arasındaki ayrım kaldırıldı. Artık bütün özel nitelikli veriler için ortak bir işleme şartları listesi var. İşvereni en çok ilgilendiren şart (f) bendidir:

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

Listede ayrıca açık rıza, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve ilgili kişinin alenileştirmesi gibi şartlar da yer alıyor.

Yurt dışına aktarım (md. 9): Aktarım; yeterlilik kararı, Kurul’un ilan ettiği standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları ya da Kurul izniyle taahhütname gibi uygun güvencelere bağlandı. Bunlar yoksa yalnızca arızi aktarım hâlleri kullanılabiliyor. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmeli. Eski birinci fıkra 1 Eylül 2024’e kadar yeni hâliyle birlikte uygulandı (KVKK geç. md. 3).

İK açısından anlamı

Değişiklikten önce sağlık verisi açık rıza olmadan yalnızca sağlık hizmeti amaçlarıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca işlenebiliyordu; iş hukuku yükümlülükleri ayrı bir şart olarak sayılmamıştı. Artık İSG ve sosyal güvenlik mevzuatından doğan bir yükümlülüğü yerine getirmek için zorunlu olan işleme, (f) bendine dayanabilir. Zorunluluk şartı dar yorumlanmalı: yükümlülükle bağlantısı olmayan sağlık verisi işlemeleri için başka bir şart gerekir.

Yurt dışındaki grup şirketlerine ya da hizmet sağlayıcılara çalışan verisi aktaran işverenler, aktarımı yeni 9. maddedeki güvencelerden birine dayandırmalı ve standart sözleşmeyi süresinde bildirmelidir.