Tüm dünyada etkisini göstermekte olan COVID19 virüs salgınının yayılmasının önlenmesi amacıyla alınan tedbirler doğrultusunda işverenler başta olmak üzere birçok veri sorumlusu, 6698 sayılı Kişisel Verileri Koruma Kanunu’nda (‘’Kanun’’) nitelendirilmiş olan özel nitelikli ve diğer birçok kişisel veri işlemektedir. Buna göre Kişisel Verileri Koruma Kurumu (“Kurum”) bu süreçte aşağıdaki noktalara dikkat çekmiştir.
Salgının Önlenmesi Amacıyla İşçilerden Elde Edilecek Veriler
Salgının yayılmasının önlenmesi amacıyla alınacak tedbirler doğrultusunda elde edilecek özel ve/veya diğer nitelikli kişisel veriler, gerçekleştirilmek istenen amaçla uygun olmalıdır ve amacın gerçekleştirilmesi doğrultusunda olabildiğince az veri elde edilmeye çalışılmalıdır. Somut bir örnek verilecek olursa,
“İşçinin yurtdışına ne zaman çıktığı, yakın zamanda COVID-19 kapsamında belirtiler gösterip göstermediği ya da virüse karşı risk grubunda olabilecek şekilde kronik bir rahatsızlığı olup olmadığı soruları alınacak tedbirler kapsamında sorulabilecek ölçülü sorulardır.”
Salgının önlenmesi ve etkilenecek kişilerin azaltılması amacıyla söz konusu sürecin bir sağlık çalışanı/iş yeri hekimi tarafından yürütülmesi gerekmektedir.
Virüsten Etkilenmiş/ Etkilenme İhtimali Olan İşçinin Diğer İşçilere Duyurulması
İşveren, ilgili mevzuatlardan kaynaklı olarak iş yerinde işçilerinin sağlığını korumakla yükümlüdür. Bu kapsamda işçinin verilerinin diğer işçilerle paylaşılması kapsamında somut bir örnek verilecek olursa,
‘’COVID-19 tespit edilen veya şüphesi bulunan çalışanın direkt olarak adının ifşa edilmesindense, iş yerinde birinin virüsten etkilendiği yeterli olacaksa sadece bu kadar bilgi paylaşılmalıdır. Kişinin iletişime geçmiş olabileceği diğer kişilerin belirlenmesi adına çalıştığı departmanın ya da bulunduğu yerin/katın paylaşılması salgının yayılmasının önlenmesi açısından da ölçülü bir paylaşım olacaktır. Sonuç olarak buradaki amaç kimin virüsten etkilendiği değil, virüsten etkilenen biri olduğunun tespiti sonucunda kamu sağlığının korunmasıdır.’’
Virüsten Etkilenmiş/ Etkilenme İhtimali Olan İşçinin Verilerinin İlgili Kamu Kurum veya Kuruluşlarla Paylaşılması
Kamu sağlığının korunması adına gerek Sağlık Bakanlığı gerekse de diğer ilgili kurum ve kuruluşlar tarafından verilen talimatlar doğrultusunda hareket ederken Kanun’un 6. maddesinde sayılan istisnalardan biri olan ‘’…sağlık ve cinsel hayata ilişkin kişisel verilerin ise ancak kamu sağlığının korunması…’’ amacı doğrultusunda özel nitelikli kişisel verilerin işlenmesi için açık rıza alınması gerekmemektedir. Hatırlatmakta fayda görmekteyiz ki her ne kadar açık rıza alınması gerekmese de veri sorumlusu işveren tarafından işçinin veri işleme sürecine ilişkin olarak aydınlatılması gerekmektedir.
Bir Tedbir Olarak Evden Çalışma Durumu
Evden çalışma durumunda önemli olan, veri sorumlusu işveren tarafından veri güvenliğinin sağlanmasıdır. Somut bir örnekle açıklanacak olursa,
“Kanun kapsamında bir tedbir olarak USB girişlerinin kapatılmasıyla birlikte işverenler tarafından şirket bünyesinde ortak bir sistem oluşturulup işçilerin iş faaliyetlerine ilişkin bilgi veya belgelere buradan erişmesine imkân sağlanmış olabilir. Bu halde evden çalışmayla birlikte ilgili alanın kullanım yoğunluğuna bağlı olarak oluşabilecek veri sızıntısının ve manipülasyonun önlenmesi amacıyla gerekli güvenlik önlemleri alınmalıdır.’’
Kişisel Verileri Koruma Kurumu’nun Bakış Açısı
Kurum tarafından yukarıda sayılı noktalar açıklığa kavuşturulmuş ve içinde bulunduğumuz durumun ‘’kamu sağlığı, kamu güvenliği’’ kapsamında olduğu, bu sebeple Kanun’un Uygulanmayacağı İstisnai Haller başlıklı 28. maddesinin 1. fıkrasının Ç bendi kapsamında olduğu belirtilmiştir.
Özetle, Kurum’a göre Sağlık Bakanlığı ve diğer ilgili kurum ve kuruluşlar tarafından alınan tedbirler kamu sağlığı ve kamu güvenliğinin korunması açısından Kanun’un uygulanmayacağı istisnai hallerdendir.