Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Çalışan kişisel verilerinin GDPR kapsamında hukuka uygun şekilde nasıl işleneceği — hukuka uygunluk gerekçeleri, saklama, haklar, güvenlik ve uluslararası aktarımlar.
İK verisi yüksek riskli veridir
İK fonksiyonları, herhangi bir kuruluşta en hassas kişisel verilerden bazılarını işler: iletişim bilgileri, maaş, banka bilgileri, performans kayıtları, sağlık bilgileri ve bazen adlî sicil kontrolleri. Genel Veri Koruma Tüzüğü (GDPR) ve ulusal uygulamaları — İrlanda Veri Koruma Yasası 2018 ve UK GDPR / Data Protection Act 2018 — kapsamında bu veriler hukuka uygun, adil ve şeffaf biçimde işlenmelidir.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Hukuka uygun bir dayanak seçmek
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Özel nitelikli veriler — hastalık izni veya iş sağlığı amaçları için kullanılan sağlık bilgileri dâhil — Article 9 kapsamında ek bir koşul gerektirir; bu koşul çoğu zaman istihdam, sosyal güvenlik ve sosyal koruma hukuku ile ilgilidir. Her bir İK işleme türünü dayanağı ve koşulu ile eşleştirin ve gerekçeyi kayda geçirin.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Saklama, veri minimizasyonu ve güvenlik
Verileri gerektiğinden uzun süre tutmayın. Hem yasal gereklilikleri (bordro ve vergi kayıtları, çalışma süresi kayıtları, iş sağlığı ve güvenliği belgeleri) hem de gerçek iş ihtiyacını yansıtan bir saklama takvimi oluşturun ve bu sürelerin ötesindekileri silin ya da anonimleştirin. Yalnızca gerçekten kullandığınız bilgileri toplayın — veri minimizasyonu bir ilkedir, lüks değil.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Uluslararası aktarımlar ve tedarikçiler
İK yazılımınız veya bordro sağlayıcınız verileri Avrupa Ekonomik Alanı dışında saklıyorsa, yeterli bir aktarım mekanizması — uygunluk kararı, standart sözleşme maddeleri veya eşdeğer güvenceler — sağladığınızdan emin olmalısınız. Brexit'ten bu yana AB ile Birleşik Krallık arasındaki aktarımlar Birleşik Krallık'ın uygunluk statüsü kapsamında yer alır; ancak bu durum incelemeye tâbi olduğundan izlenmelidir.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
