COVID-19 KORONAVİRÜS SALGINININ KİŞİSEL VERİLERİN KORUNMASI BAĞLAMINDA

İŞÇİ-İŞVEREN İLİŞKİSİNE DAİR BİR DEĞERLENDİRME

GİRİŞ

Çin’in Wuhan şehrinde başlayıp çok kısa bir sürede tüm dünyaya yayılan ve Dünya Sağlık Örgütü tarafından da pandemi olarak kabul edilen  Tüm dünyayı ve ülkemizi etkisi altına alan COVID-19 virüsüne karşı gerek kamu kurum ve kuruluşları gerek farklı sektörlerde faaliyet gösteren veri sorumluları tarafından çeşitli önlemler alınmaktadır.

Koronavirüs salgınını kapsamında birtakım önlemlerin alınması, kişisel verilerin korunması hukukunda da önemli bir rol oynamaktadır. Zira, kişilerin sağlık bilgileri ile kişisel veriler hukuku birbiri ile yakın temas içerisindedir.

Kişilerin sağlık verilerinin kişisel veri kapsamında olduğu kaçınılmaz bir durumdur. Kaldı ki 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 6.maddesinin başlığı özel nitelikli hassas verileri olup; ”Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özelnitelikli kişisel veridir’‘ şeklinde düzenlemek yapılmıştır. Burada dikkate alınması gereken husus sağlık verilerinin özel nitelikli kişisel veriler kapsamında olmasıdır. 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca; kişilerin sağlığı ile ilgili olarak sağlık durumu, vucüt bilgileri ve hastalığa ilişkin bilgileri de özel nitelikli kişisel veriler kapsamında değerlendirilmektedir. Yine aynı maddenin ikinci fıkrası uyarınca bu nitelikte ki kişisel verilerin ilgilinin açık rızası olmadan işlenmesinin yasak olduğu hükme bağlanmıştır. Ancak, aynı maddenin devamı olan üçüncü fıkrasında sağlık verileri açısından bir istisna getirmektedir. Şöyle ki; ”Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir” ilgili madde dikkate alındığında burada öncelikli tartışılması gereken hususun ”sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum veya kuruluşlar”ın neler olduğunun belirlenmesidir. Buna ilişkin olarak açık bir düzenleme bulunmamakla birlikte kanaatimizce; sır saklama yükümlülüğü altında bulunan kişiler, hekimler, sağlık personelleri ve işyeri açısından iş yeri hekimleri ve orada çalışan sağlık personelleridir.

COVID-19 KAPSAMINDA İŞÇİ-İŞVEREN İLİŞKİSİ

İşverenlerin, çalışanların nüfus bilgilerini, ikamet kayıtlarını, sabıka kaydını, sağlık bilgilerini ve benzeri kişisel verilerini özlük dosyasında saklamak üzere muhafaza ettiği nazara alındığında, bu kanun gereğince, ilgili kayıtların gizliliğinden sorumlu olacağı açıktır. 6698 sayılı Kanunda kişisel verilerin işlenmesinde sayılan genel (temel) ilkeler hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmedir. İşlenmesini gerektiren sebeplerin ortadan kalkması halinde ise söz konusu kişisel veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. Söz konusu ilkeler, COVID-19 ile mücadele kapsamında tüm kişisel veri işleme faaliyetlerinin özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak gerçekleştirilmelidir. İşverenin çalışanlarına ilişkin sağlık verilerini işleyebilmesi için kanunda sayılan iki seçimlik şartlardan birisini sağlaması gerekmektedir. İşverenin; işleme amacını; sağlık verilerinin kimlere ne amaç ile aktarılacağı, ne kadar süre ile saklanacağı ve hangi yollarla aktaracağı hususunda aydınlatma yükümlülüğüne uyarak açık rızasını alması ya da sağlık verilerini sır saklama yükümlülüğü altında bulunan kişiler kanalıyla işlemesi gerekmektedir. Bir başka ifadeyle, işverenin aydınlatma yükümlülüğüne uyması ve işçinin açık rızasını alması ya da sır saklama yükümlülüğü bulunan kişiler tarafından sağlık verilerini işlemesi gerekmektedir. Her iki durumda da işverenin KVKK’da yer alan ilkelere ve ilgili mevzuatlara uyması gerekmektedir. Buna ilişkin olarak  Kişisel Verileri Koruma Kurulu’nun 31/01/2018 tarihli ve 2018/10 sayılı Kararı ile “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” belirlenmiştir. Bu itibarla veri sorumlusunun gerekli önlemleri alması ve işleme amacının ortadan kalkması ile birlikte mevzuata uygun bir şekilde işlenen verilerin imha edilmelidir.

Yeni tip Koronavirüs COVID-19 kapsamında işyerlerinin de belli tedbirleri alması gerekmektedir. Bu bağlamda işverenlerin, çalışan personellerinden sağlık verilerine ilişkin bilgiler alması gerekmektedir. Salgının ehemmiyeti de dikkate alındığında bunu istemesi gerekir. Ancak işverenin bilgi alabilmesi için öncelikle personeller aydınlatılmalı ve açık rızası alınmalıdır. Açık rızanın alınmaması ve gerekli aydınlatmanın yapılmaması halinde herhangi bir sağlık verisi işlenemez; işlenmesi halinde veri sorumlusunun sorumluluğu doğacaktır. Açık rıza dışındaki şartlar dâhilinde ise, sağlık verilerinin iş yeri hekimleri tarafından işlenmesi söz konusu olacaktır. Ayrıca yöneltilen sorular doğrudan COVID-19’un etkileri ile bağlantılı olmalıdır. Bu noktada vurgulamak istiyoruz ki sorulacak sorular ve istenecek veriler doğrudan çalışanların özel nitelikli hassas verisi olan sağlık durumu ile ilgili olmayabilir ve bu doğrultuda açık rızanın alınması gerekmeyebilir. Ancak salgının yayılmasının veya kişinin enfekte olmasının seyahatler ile de doğrudan bağlantısı olduğu için örneğin personelin son seyahat etmiş olduğu ülke veya ne zaman ziyaret ettiği hususları da çalışan tarafından netleştirilmek istenebilir. Bu soruların cevapları özel nitelikli hassas veriler kapsamında değildir. Dolayısıyla işlenirken özel nitelikli hassas verilerin işlenmesi gibi bir yol izlenmesine gerek yoktur ve fakat bu durumlarda da 6698 sayılı KVKK’nın 5.maddesinde belirtilen işleme şartlarına uyulmalıdır. Kişilerin kısa bir süre önce virüsten etkilenen bir bölgeye seyahat etmiş olmaları ve/veya hastalığa dair belirtiler göstermelerine dayanarak uygun önlemler almalarının istenmesi durumunda, belirli tavsiyelerin personel ve ziyaretçilerin dikkatine sunulmasında kişisel verilerin korunması mevzuatı açısından bir sakınca bulunmamaktadır.

Belirtmek gerekir ki, bu istisnai zamanlarda dahi veri sorumluları ve veri işleyenlerin, ilgili kişilerin kişisel verilerinin güvenliğini sağlamaları gerekmektedir. Bu nedenle kişisel verilerin hukuka uygun olarak işlenmesi ve bu konuda alınan herhangi bir önlemin hukukun genel ilkelerine uygun olması, bu çerçevede kişilerin temel hak ve özgürlükleri açısından geri döndürülemez zararların ortaya çıkmaması önemlidir. Bu minvalde özellikle COVID-19 virüsüne karşı alınan önlemler kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri gerekli, amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Bu konuda alınan kararlar, Sağlık Bakanlığı başta olmak üzere halk sağlığı kuruluşlarının veya diğer ilgili kurum ve kuruluşların rehberliği ve/veya talimatları çerçevesinde olmalıdır.

İşveren çalışanlarından birisinde Koronavirüs çıkması halinde sorumluluk kapsamında personelini bilgilendirilmedir ve fakat bu bilgilendirmeyi yaparken Koronavirüs hastası personelinin kişisel verisini diğerler personelleri ile paylaşmamalıdır. Koruyucu tedbirlerin alınması açısından virüsün bulaştığı çalışanın/çalışanların isminin açıklanmasının zorunlu olduğu hallerde ilgili çalışanların bu hususta önceden bilgilendirilmesinde fayda görülmektedir. İşverenin, çalışanlarının sağlık ve güvenliğini sağlama ve aynı zamanda özen yükümlülüğünü yerine getirme sorumlulukları bulunmaktadır. Örneğin; işveren çalışan personellerinin görebileceği yerlere veya çalışanlarına SMS yolu ile; ”Şirketimizde çalışmakta olan personellerimizden birisine yapılan COVID-19 testinin pozitif çıktığını üzülerek bildirmekteyiz. Personelimizin şirketimizde bulunduğu tarihlerde dikkate alınarak, kendisi ile temasta bulunan kişileri tespit ederek kendilerini bilgilendireceğimizi ve durumu takip edeceğimizi bildiriyoruz’‘ şeklinde bir açıklama yapabilirler.

Son olarak, kişisel verilerin korunması mevzuatı, evden çalışmanın önünde bir engel değildir. Salgın sırasında personel evden çalışabilir ve kendi cihazlarını veya iletişim ekipmanlarını kullanabilir. İşveren kişisel verilerin güvenliğini sağlamaya yönelik gerekli idari ve teknik tedbirlerin alınması ve çalışanları bilgilendirmesi gerekmektedir. Ancak alınan bu tedbirler veri sorumlusunun yükümlüğünün ortadan kaldırmamaktadır.