Taşeron Personel Verisi: Asıl İşveren ile Alt İşveren Arasında Paylaşım

Aynı Fabrikada İki İşveren

Bir fabrikada temizlik, yemek, güvenlik, bakım veya belirli üretim işleri çoğu zaman alt işverenler tarafından yürütülür. Alt işveren çalışanları her gün aynı turnikeden geçer, aynı kameralara görünür, aynı İSG eğitimlerine katılır. Asıl işveren ise hem yasal sorumluluğu nedeniyle bu çalışanlara ait belgeleri kontrol etmek hem de kendi verisi olmayan bir veriyi ölçülü kullanmak zorundadır. Taşeron personeli KVKK dengesi bu iki ihtiyacın arasında kurulur.

Bu rehberde asıl işverenin hangi veriyi görebileceğini, İSG ve SGK kaynaklı kontrol yükümlülüklerini, giriş sistemleri ve ortak kayıtları, sözleşmeye yazılması gereken maddeleri ve iş bitiminde verinin durumunu adım adım ele alıyor, sonda bir paylaşım tablosu sunuyoruz.

Asıl İşveren Hangi Veriyi Görebilir?

4857 sayılı İş Kanunu'nun 2. maddesi, bir işverenden işyerindeki yardımcı işlerde veya asıl işin uzmanlık gerektiren bir bölümünde iş alan ve işçilerini yalnızca o işyerinde çalıştıran işveren ile iş aldığı işveren arasındaki ilişkiyi asıl işveren-alt işveren ilişkisi olarak tanımlar. Aynı madde, asıl işverenin alt işverenin işçilerine karşı o işyeriyle ilgili olarak Kanun'dan, iş sözleşmesinden veya toplu iş sözleşmesinden doğan yükümlülüklerden alt işverenle birlikte sorumlu olduğunu düzenler.

Bu birlikte sorumluluk, asıl işverene bazı verileri görme ihtiyacı doğurur; ancak alt işveren çalışanlarının tüm özlük dosyasına erişim hakkı vermez. Alt işveren, kendi çalışanlarının verileri bakımından veri sorumlusudur. Asıl işveren ise kendi yasal yükümlülüklerini yerine getirmek ve işyeri güvenliğini sağlamak amacıyla aldığı veriler bakımından çoğu durumda ayrı bir veri sorumlusu olarak değerlendirilir. Tarafların rolünü doğru nitelendirmenin yöntemini veri sorumlusu veri işleyen farkı yazımızda anlattık.

KVKK'nın 5. maddesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olan işlemlerde açık rıza aranmayacağını düzenler. Bu şart, asıl işverenin kontrol yükümlülüğünün kapsamıyla sınırlıdır. Kontrol için bordronun ücret satırı yeterliyse aile durumu, icra kesintileri veya sağlık raporu ayrıntıları paylaşılmamalıdır.

İSG ve SGK Kontrol Yükümlülükleri

Asıl işverenin alt işveren çalışanlarına ait verileri görmesini gerektiren başlıca yasal yükümlülükler şunlardır:

Sağlık bilgisi ayrı bir özen ister. 6331 sayılı Kanun'un 15. maddesi, sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması için sağlık bilgilerinin gizli tutulmasını düzenler; sağlık verisi ayrıca KVKK'nın 6. maddesi uyarınca özel nitelikli veridir. Asıl işverenin tehlikeli bir işe başlatılacak çalışan için bilmesi gereken, çoğu durumda çalışanın o işe uygun olup olmadığıdır; muayene bulguları ve tanılar alt işverenin işyeri hekiminde kalmalıdır.

Veri Paylaşımını Gerektiren Yasal Yükümlülükler

Giriş Sistemleri ve Ortak Kayıtlar

Turnike kartları, ziyaretçi kayıtları, güvenlik kameraları, yemekhane ve servis listeleri çoğunlukla asıl işverenin sistemlerinde tutulur ve alt işveren çalışanlarını da kapsar. Bu kayıtlar işyeri güvenliği ve tesis yönetimi amacıyla asıl işverenin kendi faaliyetidir; bu nedenle alt işveren çalışanları da bu işlemler hakkında asıl işveren tarafından bilgilendirilmelidir. Uygulamada en pratik yol, alt işverenin işe başlatma sürecinde asıl işverenin aydınlatma metnini de çalışana iletmesidir.

Ortak kayıtlarda iki soru önemlidir. Birincisi, alt işveren bu kayıtlara hangi ölçüde erişecek? Örneğin puantaj için yalnızca kendi çalışanlarının giriş-çıkış saatlerini görmesi yeterlidir; tüm tesisin kamera kayıtlarına erişim gerekmez. İkincisi, kayıtlar ne amaçla kullanılacak? Güvenlik için tutulan turnike verisinin alt işveren çalışanlarının performans değerlendirmesinde kullanılması, amaç sınırlamasını aşar.

Parmak izi veya yüz tanımalı turnikeler kullanılıyorsa Kişisel Verileri Koruma Kurulu'nun mesai takibi amacıyla biyometrik veri işlenmesine ilişkin 2026/921 sayılı ilke kararı dikkate alınmalıdır; konunun genel çerçevesini biyometrik veri ile mesai takibi yazımızda, sensör ve cihaz verisinin çalışanla ilişkilendirilmesini ise imalat sanayi KVKK yazımızda ele aldık.

Sözleşmeye Eklenmesi Gereken Maddeler

Alt işverenlik sözleşmelerinin çoğu iş tanımı, bedel ve İSG hükümlerini ayrıntılı düzenler; kişisel veri paylaşımı ise genellikle tek bir genel gizlilik maddesine sıkıştırılır. Aşağıdaki maddeler sözleşmeye veya ekine eklenebilir:

Rol tanımı: Tarafların hangi veri işleme faaliyetlerinde ayrı veri sorumlusu, hangilerinde veri işleyen olduğunun belirtilmesi.

Paylaşım listesi: Asıl işverene aktarılacak veri kategorilerinin, amacın ve sıklığın ekteki paylaşım tablosuyla sınırlandırılması.

Aktarım kanalı: Bordro, sigorta ve sağlık uygunluk bilgilerinin açık e-posta yerine erişimi kısıtlı bir kanal üzerinden paylaşılması.

Aydınlatma sorumluluğu: Alt işverenin çalışanlarını asıl işverenin veri işleme faaliyetleri hakkında da bilgilendirmesi ve bunu belgelemesi.

Güvenlik tedbirleri: Her iki tarafın KVKK'nın 12. maddesi kapsamındaki teknik ve idari tedbirleri ve ihlal halinde birbirini gecikmeksizin bilgilendirmesi.

Başvuru iş birliği: Bir çalışanın ilgili kişi başvurusunun diğer tarafı ilgilendirmesi halinde yanıtın otuz günlük süre içinde verilebilmesi için iş birliği.

Sözleşme sonu: Sözleşme sona erdiğinde erişimlerin kapatılması, saklanacak verilerin ve sürelerinin belirlenmesi, diğer verilerin silinmesi.

İş Bitiminde Veri

Alt işverenlik sözleşmesi sona erdiğinde veya bir alt işveren çalışanı işten ayrıldığında asıl işverenin elindeki veriler de gözden geçirilmelidir. Giriş kartları ve sistem hesapları aynı gün kapatılmalı, ortak klasörlerdeki erişimler sonlandırılmalıdır.

Saklama süresi verinin amacına göre belirlenir. Ücret ve izin kontrolüne ilişkin belgeler, asıl işverenin birlikte sorumluluğu devam ettiği ve olası taleplere karşı ispat için gerektiği sürece saklanabilir. İSG eğitim kayıtları ve iş kazası kayıtları ilgili İSG mevzuatının öngördüğü sürelere tabidir. Amacı sona eren diğer veriler ise KVKK'nın 7. maddesi uyarınca silinmeli, yok edilmeli veya anonim hale getirilmelidir. Saklama ve imha politikası bulunan veri sorumluları için periyodik imha aralığı, Silme Yönetmeliği uyarınca altı ayı geçemez.

Süreler belirlenirken zamanaşımı ve ispat yükü gibi hukuki değerlendirmeler gerekir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Taşeron Personel Verisi Paylaşım Tablosu

Aşağıdaki tablo, sözleşme ekine dönüştürülebilecek bir başlangıç önerisidir. Satırlar işin niteliğine ve işyerinin tehlike sınıfına göre uyarlanmalıdır.

Veri Kategorisine Göre Paylaşım

Tablo kvkkrehberi.com tarafından hazırlanmış bir çalışma aracıdır; somut olay özelinde hukuki değerlendirme alınmalıdır.

Sonuç ve Sonraki Adım

Taşeron personeli KVKK uyumu, asıl işverenin yasal kontrol yükümlülüklerini yerine getirmesini engellemez; bu yükümlülüklerin gerektirdiği veriyle sınırlı kalmasını sağlar. İş Kanunu, SGK ve İSG mevzuatı hangi kontrollerin yapılacağını belirler; KVKK ise bu kontroller için ne kadar verinin, hangi kanaldan ve ne kadar süreyle paylaşılacağını sınırlar.

İlk adım olarak mevcut alt işverenlik sözleşmelerinizi paylaşım tablosuyla karşılaştırın ve sağlık muayenesi ayrıntıları gibi tabloda yer almaması gereken verilerin elinizde olup olmadığını kontrol edin. Üretim sektörüne özgü diğer başlıklar için üretim ve imalat sektörü KVKK sayfamızı inceleyebilirsiniz.

Sık Sorulan Sorular