Global bir kimya grubunun Türkiye'deki tesisi, iş kazası ve sağlık gözetimi verisini yurt dışındaki merkeze raporladığında KVKK açısından yurt dışına veri aktarımı yapmış olur. Kaza ve sağlık bilgisi çoğu zaman özel nitelikli kişisel veridir. Aktarım için önce bir işleme şartı, sonra Kanun'un 9. maddesindeki bir mekanizma gerekir. Merkezin kimlik gerektirmeyen ihtiyaçları için anonim ve toplulaştırılmış raporlama en güvenli yoldur.
Merkeze Giden Rapor da Bir Veri Aktarımıdır
Uluslararası kimya gruplarında iş sağlığı ve güvenliği (İSG) performansı genellikle merkezden izlenir. Türkiye'deki tesis; kaza bildirimlerini, ramak kala olayları, sağlık gözetimi sonuçlarını ve kayıp gün sayılarını grubun yurt dışında barındırılan raporlama sistemine girer. Bu akış, tesis yönetimi için sıradan bir iç raporlama gibi görünür. Kimya sektörü KVKK uyumunda ise çoğu zaman gözden kaçan bir yurt dışına veri aktarımıdır.
Bu yazıda merkeze hangi verilerin gittiğini, sağlık ve kaza verisinin neden özel bir koruma gerektirdiğini, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 2024'te yenilenen 9. maddesine göre hangi aktarım mekanizmasının seçilebileceğini ve raporlamayı anonim hâle getirerek riskin nasıl azaltılabileceğini ele alıyoruz.
Grup Raporlamasında Hangi Veriler Gidiyor?
Merkezin İSG ekibi, grubun genel kaza sıklığını ve ciddiyetini ölçmek ister. Bu amaçla Türkiye'deki tesisten talep edilen bilgiler, çoğu zaman gerekenden daha ayrıntılıdır. Tipik bir grup raporlama sisteminde şu veri kategorileri yer alır:
Bu listenin son kalemi kişisel veri içermeyecek şekilde hazırlanabilir. İlk dört kalem ise doğrudan bir çalışanla ilişkilendirilebilir. Küçük bir tesiste ad yazılmasa bile vardiya, görev ve tarih bilgisi kazalıyı tanımaya yeter. Bu nedenle “isim göndermiyoruz” demek, verinin kişisel veri olmaktan çıktığı anlamına gelmez.
Merkeze Raporlanan Tipik Veri Kategorileri
Kaza ve olay kaydı: Olayın tarihi, yeri, vardiyası, kazalının adı, sicil numarası, görevi ve olay anlatımı.
Yaralanma bilgisi: Yaralanan vücut bölgesi, tanı, hastane sevki, istirahat ve iş göremezlik süresi.
Maruziyet ve sağlık gözetimi: Ortam ölçümü sonuçları, biyolojik izlem değerleri ve işe uygunluk değerlendirmeleri.
Kök neden analizi: Tanık ifadeleri, olay yeri fotoğrafları, kamera görüntüsünden alınmış kareler ve sorumlu amirin değerlendirmesi.
Performans göstergeleri: Kayıp günlü kaza sıklığı, toplam çalışma saati ve departman bazında olay sayıları.
Sağlık ve Kaza Verisinin Özel Niteliği
KVKK'nın 6. maddesi sağlık verisini özel nitelikli kişisel veriler arasında sayar. Bir kaza kaydındaki tanı, yaralanma türü, istirahat raporu ya da biyolojik izlem sonucu bu kapsamdadır. Özel nitelikli verinin işlenmesi kural olarak yasaktır; ancak Kanun'un 6. maddesinin üçüncü fıkrasında sayılan hâllerde mümkündür.
7499 sayılı Kanunla 2024'te yapılan değişiklikten sonra bu hâllerden biri, istihdam ve iş sağlığı ve güvenliği alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için işlemenin zorunlu olmasıdır. Türkiye'deki işverenin kaza kaydını tutması ve Sosyal Güvenlik Kurumu'na bildirmesi bu kapsamda değerlendirilebilir. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 14. maddesi işverene bütün iş kazalarının kaydını tutma ve iş kazasını kazadan sonraki üç iş günü içinde Sosyal Güvenlik Kurumu'na bildirme yükümlülüğü getirir.
Sorun, aynı verinin yurt dışındaki merkeze gönderilmesinde ortaya çıkar. Türk hukukundaki yükümlülük, verinin Türkiye'deki işverence işlenmesini zorunlu kılar; merkeze gönderilmesini zorunlu kılmaz. Grup politikası ya da merkezin kurumsal raporlama beklentisi, tek başına bir “kanuni yükümlülük” değildir. Bu nedenle merkeze aktarım için ayrı bir hukuki değerlendirme gerekir. Ayrıca 6331 sayılı Kanun'un 15. maddesi, sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması için sağlık bilgilerinin gizli tutulmasını öngörür.
Özel nitelikli verinin işlendiği her süreçte, KVKK md. 6/4 uyarınca Kurul'un belirlediği yeterli önlemlerin de alınması gerekir. Kişisel Verileri Koruma Kurulu'nun 31.01.2018 tarihli ve 2018/10 sayılı kararı bu önlemleri sıralar; çalışanlara düzenli eğitim, gizlilik taahhüdü, yetki matrisi ve aktarımda şifreleme bunlar arasındadır. Sağlık verisinin sektörel risklerini sağlık verilerinde KVKK riski yazımızda daha geniş ele aldık.
Aktarım Mekanizması Seçimi
KVKK'nın 9. maddesi, yurt dışına aktarımı iki aşamalı bir teste bağlar. Önce 5. ve 6. maddedeki işleme şartlarından birinin bulunması gerekir. Ardından aktarımın yapılacağı ülke için bir yeterlilik kararı ya da Kanun'da sayılan uygun güvencelerden biri aranır. Bunlar da yoksa, yalnızca arızi aktarımlar için dar istisnalara başvurulabilir.
Grup içi raporlama düzenli ve süreklidir. Bu nedenle arızi aktarım istisnaları, özellikle çalışanın açık rızası, bu akış için uygun bir dayanak değildir. İşçi–işveren ilişkisinde rızanın özgürce verildiği de ayrıca tartışmalıdır. Standart sözleşme ile bağlayıcı şirket kuralları arasındaki seçimi iştirakten merkeze grup içi veri aktarımı yazımızda ayrıntılı karşılaştırdık; Kurum'un uygulama rehberine ilişkin değerlendirmemiz ise yurt dışına veri aktarımı rehberi yazısında yer alıyor.
Grup İçi İSG Raporlamasında Aktarım Seçenekleri
| Mekanizma | Nasıl işler? | Grup İSG raporlaması için not |
|---|---|---|
| Yeterlilik kararı | Kurul, ülke veya sektör için karar verir ve Resmî Gazete'de yayımlar (md. 9/1-2). | Merkezin bulunduğu ülke için yürürlükte bir karar olup olmadığı kontrol edilmelidir. |
| Bağlayıcı şirket kuralları | Ortak ekonomik faaliyette bulunan şirketler grubunun uyduğu kurallar; Kurul onayı gerekir (md. 9/4-b). | Çok ülkeli gruplar için kalıcı çözümdür; hazırlığı ve onay süreci uzundur. |
| Standart sözleşme | Kurul'un ilan ettiği metin değiştirilmeden imzalanır; imzadan itibaren beş iş günü içinde Kurum'a bildirilir (md. 9/5). | En hızlı yoldur; özel nitelikli veri için ek önlemlerin sözleşmede tanımlanması gerekir. |
| Taahhütname | Yeterli korumayı sağlayan yazılı taahhüt; aktarım için Kurul izni gerekir (md. 9/4-ç). | İzin süreci beklenmeden aktarım başlatılamaz. |
| Arızi aktarım | Düzenli olmayan, tek veya birkaç seferlik aktarımlar için sayılı hâller (md. 9/6). | Her ay yapılan raporlama arızi sayılmaz; sürekli akış için dayanak olamaz. |
Anonim ve Toplulaştırılmış Raporlama
Aktarım mekanizması kurmanın en etkili alternatifi, merkezin gerçekten neye ihtiyaç duyduğunu sormaktır. Grup İSG ekibinin büyük çoğunluğu kişiyi değil eğilimi izler: Hangi tesiste, hangi tür olay, hangi sıklıkla yaşanıyor? Bu soruların yanıtı kimlik gerektirmez.
Anonim hâle getirme, kişisel verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Gerçekten anonim olan veri KVKK kapsamından çıkar ve aktarım kuralları uygulanmaz. Ancak sicil numarasını kaldırıp yerine bir kod koymak anonimleştirme değildir; kod tesiste çözülebiliyorsa veri kişisel veri olmaya devam eder.
Kimya tesislerinde uygulanabilecek pratik teknikler şunlardır:
Ciddi bir kazada merkezin kök neden incelemesine katılması gerekiyorsa, kimlikli veri yalnızca o olayla sınırlı ve gerekli ölçüde paylaşılmalıdır. Bu durumda bile aktarımın bir mekanizmaya dayanması gerekir.
Anonim Raporlama Teknikleri
Toplulaştırma: Kazaları kişi bazında değil, ay ve tesis bazında sayı olarak raporlayın.
Genelleştirme: Tam tarih yerine ay, ayrıntılı görev yerine görev grubu, kesin tanı yerine yaralanma kategorisi kullanın.
Küçük grup kuralı: Bir hücrede çok az kişi kalıyorsa (ör. tek kişilik bakım ekibi) o hücreyi bir üst kategoriyle birleştirin.
Serbest metin denetimi: Olay anlatımı ve kök neden alanlarındaki isimleri, telefonları ve fotoğrafları göndermeden önce temizleyin.
Merkezle Yapılacak Sözleşme
Türkiye'deki şirket, çalışanlarının verisi bakımından veri sorumlusudur. Merkez, raporları kendi amaçları için kullanıyorsa genellikle ayrı bir veri sorumlusu; yalnızca Türk şirketi adına sistemi işletiyorsa veri işleyen konumundadır. Bu ayrım, hangi standart sözleşme türünün imzalanacağını ve sorumluluğun nasıl paylaşılacağını belirler. Rol tespitinin mantığını veri sorumlusu ile veri işleyen farkı yazımızda anlattık.
Hangi mekanizma seçilirse seçilsin, sözleşme ilişkisinde şu konuların karşılığı bulunmalıdır: Aktarılan veri kategorilerinin ve aktarım amacının sınırlı biçimde tanımlanması; Özel nitelikli veriler için şifreleme, erişim kısıtı ve kayıt tutma gibi ek önlemler; Merkezde veriye erişebilecek rollerin listesi ve üçüncü ülkelere sonraki aktarım yasağı veya koşulları; Saklama süresi ve süre sonunda silme ya da anonimleştirme yükümlülüğü; Veri ihlalinde merkezin Türk şirketine gecikmeksizin haber vermesi; Türk şirketinin Kurul'a 72 saat içindeki bildirim yükümlülüğünü yerine getirebilmesi; Çalışanların KVKK'nın 11. maddesindeki haklarını kullanabilmesi için başvuruların yönlendirilmesi.
Standart sözleşme kullanılıyorsa metin değiştirilemez; şirkete özel düzenlemeler ek ve açıklama bölümlerinde yapılır. İmzanın tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirim yapılmalıdır.
Altı Adımda Uygulama
Akışı haritalayın: Merkeze hangi sistemle, hangi alanlarla ve hangi sıklıkla veri gittiğini İSG, İK ve bilgi teknolojileri ekipleriyle birlikte çıkarın.
Alanları ayıklayın: Her alan için “merkez bu bilgiyi kimlikli görmek zorunda mı?” sorusunu sorun; gerekmeyenleri toplulaştırın veya kaldırın.
Hukuki dayanağı yazın: Kalan kimlikli aktarım için md. 5 veya md. 6 şartını ve md. 9 mekanizmasını belgeleyin.
Sözleşmeyi kurun: Standart sözleşmeyi imzalayıp beş iş günü içinde bildirin ya da bağlayıcı şirket kuralları başvurusunu planlayın.
Aydınlatmayı güncelleyin: Çalışan aydınlatma metninde yurt dışındaki grup şirketine aktarımı, amacını ve dayanağını açıkça belirtin.
Yıllık gözden geçirin: Raporlama şablonu değiştiğinde veya yeni bir sistem devreye alındığında akışı yeniden değerlendirin.
Sonuç ve Sonraki Adım
Kimya sektörü KVKK uyumunda grup merkezine yapılan İSG raporlaması, yurt dışına aktarım kurallarının en sık atlandığı alanlardan biridir. Kaza ve sağlık bilgisi özel nitelikli olduğu için hem işleme şartı hem aktarım mekanizması hem de yeterli önlemler birlikte sağlanmalıdır.
En sağlam yaklaşım, merkezin ihtiyacını sorgulayıp raporlamayı mümkün olduğunca anonim ve toplulaştırılmış hâle getirmek, kimlikli kalması gereken akışı ise standart sözleşme veya bağlayıcı şirket kurallarıyla düzenlemektir. Somut olay özelinde hukuki değerlendirme alınmalıdır. Uyum sürecinin genel çerçevesi için KVKK danışmanlığı sayfamıza bakabilirsiniz.
Sık Sorulan Sorular
Evet. Verinin yurt dışındaki bir sunucuda tutulması ya da oradan erişilebilir olması aktarım değerlendirmesini gerektirir. Merkezin veriyi kendi amacıyla kullanmaması, onun veri işleyen olarak nitelendirilmesine yol açabilir; ancak aktarım kurallarını ortadan kaldırmaz.
Düzenli raporlama için genellikle yeterli bir çözüm değildir. Açık rıza md. 9/6 kapsamında yalnızca arızi aktarımlarda ve muhtemel riskler hakkında bilgilendirme yapılarak kullanılabilir. İşveren ile çalışan arasındaki ilişkide rızanın özgür iradeye dayandığını göstermek de zordur.
Merkeze gönderilmeden önce yüzler ve kimlik kartı gibi tanımlayıcı unsurlar bulanıklaştırılmalıdır. Kök neden analizi için ekipman ve ortam görüntüsü çoğu zaman yeterlidir.
VERBİS kaydına tabi şirketler, KVKK md. 16/3 uyarınca kişisel verilerin aktarılabileceği alıcı gruplarını ve yabancı ülkelere aktarımı öngörülen kişisel verileri sicilde beyan eder; bu bilgilerdeki değişiklikler de bildirilir. Grup merkezine yapılan İSG raporlaması da bu beyanda yer almalıdır.
Kimya tesisleri için KVKK yaklaşımı
İSG raporlaması, maruziyet kayıtları ve acil durum planları gibi kimya sektörüne özgü veri akışlarında uyum çerçevesini inceleyin.
Sektör çözümlerini inceleyinKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (md. 6, 9) — Mevzuat Bilgi Sistemi
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — Resmî Gazete (2024-07-10)
- 6331 sayılı İş Sağlığı ve Güvenliği Kanunu (md. 14, 15) — Mevzuat Bilgi Sistemi
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler (Kurul Kararı 2018/10) — Kişisel Verileri Koruma Kurumu (2018-01-31)
- Kişisel Verilerin Yurt Dışına Aktarılması Rehberi — Kişisel Verileri Koruma Kurumu
