# MADDE 419
İşçi Kişisel Verileri Kullanım Sınırları

🔍 Bu Madde Ne Anlama Geliyor?

6098 Sayılı Türk Borçlar Kanunu’nun 419. maddesi, işverenin işçiye ait kişisel verileri hangi kapsamda işleyebileceğini ve kullanabileceğini net bir çerçeveye oturtur. Maddenin temel mesajı şudur: İşveren, işçinin kişisel verilerine sınırsız biçimde erişemez ve bu verileri dilediği gibi kullanamaz. Veri kullanımının iki meşru dayanağı vardır. Birincisi, verinin işçinin işe yatkınlığını değerlendirmekle ilgili olması; ikincisi ise hizmet sözleşmesinin ifası için verinin kullanılmasının zorunlu olmasıdır. Bu iki şarttan birinin bulunmadığı her türlü kullanım, kanuna aykırıdır. Ayrıca madde, "özel kanun hükümleri saklıdır" diyerek 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) gibi daha özel ve koruyucu düzenlemelerin uygulanmasına engel olmadığını açıkça belirtir. İş dünyasının bilmesi gereken temel nokta: İşçinin açık rızası olmadan veya sözleşmenin ifası için zorunluluk bulunmadan; özel hayat, sağlık, sendikal üyelik gibi hassas verilerin işlenmesi mümkün değildir. Bu madde, işverenin veri işleme faaliyetini "ölçülülük ilkesi"yle sınırlar; yani amaç ile araç arasında makul bir denge kurulmalıdır.

💡 Ticari Hayatta ve Sicil İşlemlerinde Uygulaması

Bir şirket sahibinin, çalışan performansını değerlendirmek için işçinin sosyal medya hesaplarını izlemesi veya bir işe alım sürecinde adayın sağlık geçmişini istemesi, bu maddeye aykırılık oluşturur. İşveren, işçinin işe yatkınlığını ölçmek için yalnızca mesleki referansları, eğitim bilgileri ve iş deneyimini sorgulayabilir. Hizmet sözleşmesinin ifası için zorunlu olan veriler ise örneğin maaş ödemesi için banka hesap numarası, SGK bildirimi için kimlik bilgisiyle sınırlıdır. Bugün birçok işletme, insan kaynakları modüllerine geçerken işçilerden gereksiz düzeyde kişisel veri toplayabilmektedir. İşte bu noktada dijital dönüşüm süreçlerinde SicilAI gibi platformlar üzerinden tutulan elektronik personel dosyalarının, yalnızca hukuki zorunluluğu olan verileri içermesine dikkat edilmelidir. Aksi hâlde sicil, özlük ve muhasebe kayıtlarında işlenen fazla veri, işletme için ciddi bir idari para cezası ve tazminat riski doğurur. Aynı şekilde iş sözleşmesinde "çalışan, tüm kişisel verilerini işverenin kullanımına sunar" gibi genel ve sınırsız maddeler koymak da 419. maddeye aykırıdır ve geçersiz sayılır.

⚠️ Dikkat Edilmesi Gereken Riskler

• KVKK ile uyumsuzluk: Sadece TBK 419’a uygun veri işlemek yetmez; 6698 sayılı KVKK'nın aydınlatma, açık rıza, VERBİS kaydı gibi prosedürel yükümlülükleri de yerine getirilmelidir.
• Gereksiz veri toplama: İşe alım sürecinde adaydan istenen sağlık raporu, genetik bilgi, ailevi durum gibi veriler "işe yatkınlık" kavramının kapsamı dışında kalır ve ayrımcılık iddiasıyla dava konusu olabilir.
• İşten çıkarma gerekçesi olarak kullanım: İşçinin iş dışındaki özel hayatına ilişkin elde edilen verilerle (örneğin sosyal medya paylaşımları) iş akdinin feshedilmesi, haksız fesih sayılabilir ve işe iade davasıyla sonuçlanabilir.
• Sözleşmeye konulan geniş hükümler: Hizmet sözleşmesine "işveren her türlü veriyi işleyebilir" şeklinde genel ibareler koymak, maddenin emredici yapısı nedeniyle geçersizdir ve işçiye tazminat hakkı doğurur.
• Veri güvenliği ihmali: Toplanan verilerin şifrelenmemesi, yetkisiz kişilerin erişimine açık ortamda saklanması, işverenin hem cezai hem de hukuki sorumluluğunu artırır.