Sendika üyeliği, KVKK’nın 6. maddesine göre özel nitelikli kişisel veridir; bir kişinin hangi sendikaya üye olduğu bilgisi sağlık ya da din bilgisiyle aynı koruma sınıfındadır. Sendikalar bu veriyi 1 Haziran 2024’ten beri açık rıza olmadan da işleyebilir, ama yalnız belirli sınırlar içinde.
Bu sınırları bilmek, üye listesiyle çalışan herkes için gündelik bir konudur. Şube sekreterinin bilgisayarındaki Excel dosyası da, işverene giden aidat yazısı da, toplu SMS için sağlayıcıya yüklenen telefon listesi de aynı kuralın kapsamındadır.
Sendika üyeliği neden özel nitelikli veri sayılır?
Kanun koyucu bazı bilgilerin açığa çıkmasının kişiyi ayrımcılığa açık hâle getirdiğini kabul eder. Üyelik bilgisi bunların başında gelir. Bir işçinin üye olduğunu öğrenen işveren, onu işe almamayı ya da işten çıkarmayı düşünebilir.
Mevzuatın başka bir köşesi de aynı riski tanır. 6356 sayılı Kanun’un 25. maddesi sendikal nedenle ayrımcılığı ve feshi yasaklar ve sendikal tazminatın bir yıllık ücretten az olamayacağını söyler. Yani üyelik bilgisinin sızması, yalnız bir veri ihlali değil, üyenin işini kaybetmesine yol açabilecek bir olaydır. KVKK’daki sıkı rejimin gerekçesi de budur.
7499 sayılı Kanunla ne değişti?
12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun, KVKK’nın 6. maddesinin 3. fıkrasını baştan yazdı. Değişiklik 1 Haziran 2024’te yürürlüğe girdi.
Eski metin, özel nitelikli verilerin işlenmesini büyük ölçüde açık rızaya bağlıyordu. Bu dar çerçeve sendikaları sürekli rıza toplamaya zorluyordu. Üye rıza vermezse ne olacağı da belirsizdi. Yeni metin şartları çoğalttı ve açık rızayı şartlardan yalnızca biri hâline getirdi.
Doğrudan sizi ilgilendiren yeni şart şöyledir: siyasi, felsefi, dini veya sendikal amaçlarla kurulan kâr amacı gütmeyen kuruluşlar, mevcut ya da eski üyelerine, mensuplarına veya düzenli temasta oldukları kişilere yönelik veriyi işleyebilir. Diğer şartlar arasında kanunlarda açıkça öngörülmesi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve ilgili kişinin veriyi kendisinin alenileştirmesi sayılır.
Sendikal amaç şartının dört sınırı
Yeni şart geniş görünse de kendi içinde dört koşul taşır. Dördü birlikte sağlanmadıkça şarta dayanılamaz.
- İşleme, sendikanın tabi olduğu mevzuata ve amaçlarına uygun olmalıdır.
- Sendikanın faaliyet alanıyla sınırlı kalmalıdır.
- Veri üçüncü kişilere açıklanmamalıdır.
- İşlenen veri mevcut ya da eski üyelere, mensuplara veya düzenli temas edilen kişilere ait olmalıdır.
Pratikte bu, aidat takibinin, üyeye duyuru göndermenin, genel kurul listesinin, yardım fonu başvurusunun ve hukuk desteğinin bu şartla işlenebileceği anlamına gelir. Ancak üye listesini indirim kampanyası için anlaşmalı bir firmayla paylaşmak üçüncü kişiye açıklama sayılır. Faaliyet alanı da aşılmış olur. Böyle bir işlem için başka bir hukuki sebep yoksa açık rıza yeniden gündeme gelir.
İşverenle paylaşım ayrı bir durumdur. 6356’nın 18. maddesine göre aidat, sendikanın yazılı başvurusu üzerine işverence ücretten kesilir; 4688’in 25. maddesinde de kurum aidatı aylıktan keser ve listeyi sendikaya gönderir. Bu aktarım dayanağını doğrudan kanundan alır. Yine de işverene giden listede yalnız kesinti için gereken bilgi bulunmalıdır: kimlik numarası, ad soyad, sicil. Üyenin telefonu, adresi ya da hukuk dosyası bu listeye girmez.
İşyeri temsilcileri için de aynı ölçü geçerlidir. Temsilci, kendi işyerindeki üyelere ulaşmak için iletişim bilgisine ihtiyaç duyar; başka işyerlerinin listesine ya da üyelerin aidat borcuna değil. Örneğin 600 kişilik bir fabrikadaki temsilcinin yalnız o fabrikanın üyelerini görmesi, olası bir sızıntının etkisini de o 600 kişiyle sınırlar.
Açık rıza hâlâ ne zaman gerekir?
Açık rıza tamamen ortadan kalkmadı. Hukuki sebebi bulunmayan her işleme için hâlâ tek yoldur. Sendikaların en sık karşılaştığı örnekler, etkinlik fotoğraflarının sosyal medyada yayımlanması, toplantıların görüntülü kaydedilmesi ve üye bilgisinin sendika dışındaki bir kuruluşa aktarılmasıdır.
Rıza alırken üç kurala uyun. Belirli bir konuya ilişkin olsun, bilgilendirmeye dayansın, özgür iradeyle verilsin. “Her türlü işleme rıza gösteriyorum” gibi genel bir kutucuk bu koşulları karşılamaz. Rızanın geri alınabildiğini de unutmamak gerekir; üye fotoğraf iznini geri çektiğinde bunun hangi tarihten itibaren geçerli olduğunu kayıtta görebilmelisiniz.
Rızanın varlığını ispat etmek de veri sorumlusuna düşer. Hangi metne, hangi sürümüne, hangi tarihte ve hangi kanaldan onay verildiği saklanmazsa, üç yıl sonra gelen bir şikâyette elinizde gösterecek bir şey kalmaz.
Aydınlatma, VERBİS ve saklama süresi
Hangi hukuki sebebe dayanırsanız dayanın, aydınlatma yükümlülüğü kalkmaz. KVKK’nın 10. maddesi veri sorumlusunun kimliğini, işleme amacını, aktarılacak kişileri, toplama yöntemini, hukuki sebebi ve 11. maddedeki hakları bildirmeyi ister. Üyenin başvurusunu ise en geç 30 gün içinde ve kural olarak ücretsiz cevaplamanız gerekir.
VERBİS tarafında sendikalar lehine bir istisna vardır. Kurul’un 2018/32 sayılı kararıyla, mevzuata ve amaçlarına uygun, faaliyet alanıyla sınırlı biçimde yalnız kendi çalışanları, üyeleri, mensupları ve bağışçılarının verisini işleyen sendikalar kayıt yükümlülüğünden istisnadır. Kurul’un 2021/571 sayılı kararı ise iktisadi işletmesi olan sendikaların, işletme adına ayrıca değerlendirme yapması gerektiğini belirtir.
Saklama süresi de unutulan bir başlıktır. Üyeliği sona eren kişinin verisi sonsuza kadar tutulamaz. Silme, yok etme ve anonimleştirme yönetmeliği periyodik imhanın 6 aydan uzun aralıklarla yapılamayacağını ve imha kayıtlarının en az 3 yıl saklanacağını öngörür.
Teknik tedbirler: kim neyi görmeli?
KVKK’nın 12. maddesi veri güvenliği için uygun teknik ve idari tedbiri şart koşar. Bir sendikada bunun en somut karşılığı erişim sınırıdır. Şube sekreteri yalnız kendi şubesini görmeli, T.C. kimlik numarası ekranlarda maskeli durmalı, toplu dışa aktarma kayıt altına alınmalıdır.
İhlal olursa süre kısadır. Kurul’un 2019/10 sayılı kararına göre ihlal öğrenildikten sonra en geç 72 saat içinde Kurul’a, makul en kısa sürede de ilgili kişilere bildirim yapılır. Yurt dışında barınan bir e-posta ya da bulut hizmeti kullanıyorsanız, 9. maddedeki yurt dışı aktarım kurallarını da ayrıca değerlendirmeniz gerekir. Örneğin 20.000 üyeli bir sendikanın listesi yanlışlıkla bir WhatsApp grubuna düştüğünde, 72 saatin ilk saatleri kimin neyi gördüğünü anlamaya harcanır; denetim kaydı yoksa bu soru cevapsız kalır.
Sendika Yazılımı bu tedbirlerin teknik tarafını varsayılan olarak getirir: sunucu ve yedekler Türkiye’dedir, yurt dışına aktarım yapılmaz, T.C. kimlik numarası dahil 55 kişisel veri alanı şifreli saklanır ve her okuma ile dışa aktarma silinemeyen bir denetim izine yazılır. Ayrıntıları güvenlik ve KVKK sayfasında, şube ve rol bazlı görünürlüğü Ayarlar modülünde bulabilirsiniz. Üyeler aydınlatma metinlerini görüp rıza verebilir, geri alabilir ve 11. madde taleplerini üye uygulaması üzerinden iletebilir. Yapay zekâ yardımcıları ise kişisel veriyi modele göndermeden önce maskeler; ilkeleri yapay zekâ yardımcıları sayfasında yazılı.
Not: Bu yazı genel bilgilendirme amaçlıdır; mevzuat değişebilir. Sendikanıza özgü durumlarda tüzüğünüzü ve hukuk danışmanınızı esas alın.
- KVKK
- Veri Güvenliği
- Üyelik
