Dijital özlük dosyası: belgeler, erişim yetkileri ve KVKK

Dijital özlük dosyası, işverenin her çalışan için tutmakla yükümlü olduğu özlük dosyasının elektronik ortamda; rol bazlı erişim, belge türüne göre saklama kuralları ve değişiklik kaydıyla birlikte tutulmasıdır. Taranmış PDF'lerin ortak bir klasöre atılması dijitalleştirme sayılmaz; asıl iş, kimin neyi görebileceğini ve bir belgenin ne zaman imha edileceğini sistemin kendisinin bilmesidir. KVKK açısından da asıl risk belgelerin kâğıtta ya da ekranda olması değil, kimin erişebildiğinin kontrol edilmemesidir.

Özlük dosyası nedir, kanun ne diyor?

4857 sayılı İş Kanunu'nun 75. maddesi işverene her işçi için bir özlük dosyası düzenleme yükümlülüğü getirir. Bu dosyada işçinin kimlik bilgilerinin yanında, İş Kanunu ve diğer mevzuat gereği düzenlenmesi gereken belge ve kayıtlar saklanır ve istendiğinde yetkili mercilere gösterilir. Aynı madde işverene, işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanma, gizli kalmasında işçinin haklı çıkarı bulunan bilgileri de açıklamama yükümlülüğü yükler.

Bu ikinci kısım, 6698 sayılı KVKK'dan çok önce yazılmış olmasına rağmen bugün dijital bir özlük sisteminin temel tasarım kuralı gibi okunabilir: veri tutulacak, ama herkes her şeyi görmeyecek.

Hangi belgeler girer?

Özlük dosyasının içeriği şirketin sektörüne, çalışanın pozisyonuna ve tabi olduğu mevzuata göre değişir. Aşağıdaki tablo tipik belge gruplarını ve her birinin hassasiyetini gösteriyor; zorunlu belge listesini kendi durumunuza göre bir İK hukuku danışmanıyla netleştirin.

"Hassasiyet" sütunundaki ayrım teknik tasarımı doğrudan belirler. Özel nitelikli veriler KVKK'nın 6. maddesinde sayılır ve sağlık bilgisi ile ceza mahkûmiyetine ilişkin veriler bunların arasındadır. Bu belgeler aynı klasörde, aynı yetkiyle durmamalıdır.

Erişim yetkisi: rol bazlı model

Dijital özlük dosyasının kâğıda göre en büyük avantajı, erişimi belge ve alan düzeyinde ayırabilmektir. Kâğıt dosyaya erişen kişi her sayfayı görür; iyi kurulmuş bir sistemde ise aynı çalışanın kaydına bakan iki kişi farklı şeyler görür.

Tipik bir rol modeli şöyle başlar:

• Çalışan: Kendi kaydını görür, iletişim ve banka bilgisi gibi belirli alanların güncellenmesini talep eder.
• Yönetici: Yalnızca kendisine bağlı çalışanların pozisyon, izin ve eğitim bilgilerini görür. Ücreti ve sağlık bilgisini görmez.
• İK uzmanı: Kendi sorumluluk alanındaki (şube, şirket, departman) çalışanların genel kaydını görür.
• Bordro uzmanı: Ücret ve bordro alanlarını görür; sağlık ve disiplin belgelerini görmez.
• İşyeri hekimi ya da sağlık yetkilisi: Sağlık belgelerini görür, diğerlerini görmez.
• Denetçi: Belirli bir süre için, salt okunur erişim alır ve bu erişim kendiliğinden sona erer.

İki ayrıntı bu modeli ayakta tutar. Birincisi, yönetici ilişkisi organizasyon şemasından gelmelidir; bir çalışan başka bir ekibe geçtiğinde eski yöneticinin erişimi aynı anda kapanmalıdır. İkincisi, izin ve vekâlet süreleri tarihli olmalıdır. Yöneticisi izindeyken onay yetkisi devredilen kişinin, izin bittiğinde bu yetkiyi kaybetmesi gerekir. Elle yönetilen yetkiler zamanla birikir ve bir gün kimin neyi neden gördüğünü kimse açıklayamaz hale gelir.

Saklama süreleri: neden rakam vermiyoruz?

Saklama süresi, dijital özlük dosyasında en çok sorulan ve en çok yanlış cevaplanan sorudur. Tek bir rakam yoktur, çünkü:

• Farklı belgeler farklı mevzuata tabidir; iş hukuku, sosyal güvenlik ve vergi mevzuatı farklı yükümlülükler getirebilir.
• İşten ayrılan bir çalışanla ileride doğabilecek uyuşmazlıklardaki zamanaşımı süreleri hesaba katılır.
• KVKK, verinin işlendiği amaç için gerekli olan süre kadar saklanmasını ister. Gerekenden uzun saklamak da bir uyum sorunudur.
• Devam eden bir dava ya da denetim, normalde imha edilecek bir belgenin bekletilmesini gerektirebilir.

Bu yüzden yazılımın görevi süreyi bilmek değil, şirketin belirlediği süreyi uygulamaktır. Bunun için her belge türüne bir saklama kuralı bağlanabilmeli, süresi dolan belgeler imha için listelenebilmeli, imha işlemi bir tutanakla kayda geçmeli ve hukuki bir sebeple bekletilen belgeler imhadan muaf tutulabilmelidir. Süreleri saklama ve imha politikanızda, İK hukuku danışmanınız ve mali müşavirinizle birlikte belirleyin.

E-imza, KEP ve belgenin hukuki değeri

Dijitalleştirmede sık karıştırılan iki şey var: bir belgenin taranmış kopyası ile elektronik olarak düzenlenmiş aslı.

Kâğıt üzerinde ıslak imzayla imzalanmış bir sözleşmeyi taramak, size bir kopya verir. Aslı hâlâ kâğıttır. Hangi belgelerin aslının saklanması gerektiği, dijitalleştirme projesinin en başında cevaplanması gereken sorudur.

5070 sayılı Elektronik İmza Kanunu'na göre güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur; kanunun resmî şekle ya da özel bir usule bağladığı işlemler bunun dışındadır. Bu, iş sözleşmesi ve ekleri gibi belgelerin baştan elektronik olarak düzenlenip imzalanabilmesinin önünü açar. Ancak çalışanın da nitelikli bir elektronik sertifikası olması gerekir ve bu her çalışan için pratik olmayabilir.

Kayıtlı elektronik posta (KEP) ise bir iletinin gönderildiğini ve teslim edildiğini ispatlanabilir biçimde kayda alan bir yöntemdir. İK tarafında, karşı tarafa ulaştığının ispatı önemli olan bildirimlerde gündeme gelir.

Hangi belge için hangi yöntemin yeterli olduğu hukuki bir değerlendirmedir. Yazılım tarafındaki iş, belgenin hangi yöntemle oluşturulduğunu (taranmış kopya, e-imzalı asıl, KEP ile gönderilmiş) belgenin kendisiyle birlikte kaydetmektir.

Değişiklik kaydı: kim, neyi, ne zaman?

Bir çalışan kaydında yapılan her değişiklik, sonradan sorulduğunda cevaplanabilmelidir. "Bu çalışanın ücreti ne zaman, kim tarafından değiştirildi?" ya da "Bu sağlık raporunu kim açtı?" sorularının cevabı bir geliştiriciye sorulmadan bulunabilmelidir.

Değişiklik kaydında tutulması gerekenler:

• Alan değişiklikleri: eski değer, yeni değer, değiştiren kişi, zaman ve varsa geçerlilik tarihi.
• Hassas belgelerin görüntülenmesi ve indirilmesi; sadece değişiklik değil, erişim de.
• Belge yükleme, silme ve imha işlemleri.
• Yetki değişiklikleri: kime hangi rol ne zaman verildi, ne zaman alındı.

Bu kaydın kendisi de korunmalıdır. Kaydı silebilen ya da değiştirebilen bir yönetici hesabı, kaydın değerini ortadan kaldırır. Değişiklik kaydını yalnızca eklenebilen, düzenlenemeyen bir yapıda tutmak ve kimlerin okuyabildiğini sınırlamak gerekir.

Geçerlilik tarihi de ayrıca önemlidir. Geçen ayın başından geçerli bir ücret ya da pozisyon değişikliği, işlem tarihi ve geçerlilik tarihi ayrı tutulmazsa kapanmış raporları ve PDKS ile bordro arasındaki aktarımı bozar.

KVKK ilkeleri özlük dosyasına nasıl uygulanır?

KVKK'nın 4. maddesindeki genel ilkeler, bir özlük sisteminde doğrudan tasarım kararlarına dönüşür:

1. Hukuka ve dürüstlük kuralına uygunluk: Her veri kategorisi için işleme amacı ve dayanağı belirlenmiş olmalı.
2. Doğru ve güncel olma: Çalışanın kendi bilgisini görebilmesi ve düzeltme talep edebilmesi bu ilkeyi destekler.
3. Belirli, açık ve meşru amaç: Özlük için toplanan veri, başka bir amaçla kullanılmadan önce değerlendirilmelidir.
4. Amaçla bağlantılı, sınırlı ve ölçülü olma: Gerekmeyen alan formda olmamalı; rol modeli de bu ilkenin uygulamasıdır.
5. Gerekli süre kadar muhafaza: Saklama kuralları ve imha listesi bu ilkenin yazılımdaki karşılığıdır.

Bunlara iki pratik nokta eklenmeli. Çalışanlara verilerinin nasıl işlendiğini anlatan bir aydınlatma metni sunulmalı ve kayda alınmalıdır. Sistemi bir bulut hizmetinde barındırıyorsanız verinin nerede tutulduğunu bilmeniz gerekir; yurt dışındaki bir sunucu, kişisel verinin yurt dışına aktarılması kurallarını gündeme getirir. Güncel rehberler ve Kurul kararları için Kişisel Verileri Koruma Kurumu sitesini takip edin. Bu yazı hukuki görüş yerine geçmez.

Nereden başlamalı?

Kâğıttan dijitale geçişi tek seferde değil, şu sırayla yapmak işinizi kolaylaştırır:

1. Belge türlerini listeleyin ve her birinin hassasiyetini, saklama kuralını ve aslının gerekip gerekmediğini danışmanınızla belirleyin.
2. Rolleri ve her rolün hangi belge türünü göreceğini yazılı hale getirin.
3. Yeni işe girenlerle başlayın; aday takip sisteminden gelen bilgiyle özlük kaydını baştan dijital açın.
4. Mevcut çalışanların dosyalarını belge türü etiketiyle tarayın; etiketsiz yüklenen belge, yetki modelinin dışında kalır.
5. Değişiklik kaydını ilk günden açın. Sonradan eklenen kayıt, geçmişi açıklayamaz.

Kurucumuz İK teknolojileri üzerinde beş yıla yakın, farklı dönemlerde Tech Lead ve CTO olarak çalıştı; özlük ve çalışan kayıtları, üzerinde çalıştığı dört ana alandan biriydi. Dijital özlük dosyasını mevcut İK yazılımınızın içinde kurmak, eksik kalan yetki ve kayıt tarafını tamamlamak ya da sıfırdan bir yapı tasarlamak istiyorsanız, İK yazılımları sayfamızda nasıl çalıştığımızı görebilir ya da iletişim sayfamızdan bir görüşme ayarlayabilirsiniz.