İstihdam İlişkisinde Sağlık Verilerinin İşlenmesi Hakkındaki Hukuki Denge

İSTİHDAM İLİŞKİSİNDE SAĞLIK VERİLERİNİN İŞLENMESİ HAKKINDAKİ HUKUKİ DENGE

1. GİRİŞ

Kişisel verilerin korunması hukuku, bireyin özel hayatının gizliliğini güvence altına alan en önemli hukuk alanlarından biri hâline gelmiştir. Özellikle sağlık verileri, kişinin mahremiyet alanının merkezinde yer almakta; yanlış işlenmesi hâlinde telafisi güç zararlara yol açabilmektedir. Bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), sağlık verilerini “özel nitelikli kişisel veri” olarak düzenlemiş ve en sıkı koruma rejimine tabi tutmuştur.

Buna karşılık çalışma hayatı bakımından işverenlerin, çalışanların sağlık ve güvenliğini sağlama yönünde çok ağır ve sürekli yükümlülükleri bulunmaktadır. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu (“İSGK”), işverene yalnızca pasif bir denetim sorumluluğu değil; aktif risk yönetimi, önleyici tedbir alma ve sağlık gözetimi sağlama yükümlülüğü yüklemiştir. İşverenin bu yükümlülükleri yerine getirebilmesi ise kaçınılmaz olarak çalışanların sağlık durumuna ilişkin belirli bilgilere erişimini gerektirmektedir. Bu noktada şu temel çatışma ortaya çıkmaktadır: Çalışanın sağlık verisi en yüksek mahremiyet alanına girerken, işveren bu veriye belirli ölçüde erişmeden iş sağlığı ve güvenliği yükümlülüklerini nasıl yerine getirecektir? Özellikle uygulamada, insan kaynakları biriminin çalışan sağlık verilerine erişip erişemeyeceği hususu ciddi tartışmalara konu olmaktadır.

Bu çalışma; KVKK, İSGK, İş Kanunu, OSGB uygulamaları, işveren vekilliği kavramı ve kişisel verilerin korunmasına ilişkin kurul yaklaşımı çerçevesinde, istihdam ilişkisinde sağlık verilerinin işlenmesine yönelik bütüncül bir hukuki değerlendirme ortaya koymayı amaçlamaktadır.

2. SAĞLIK VERİSİNİN HUKUKİ NİTELİĞİ VE KVKK KAPSAMINDA ÖZEL KORUMA REJİMİ

KVKK’nın 6 ncı maddesi uyarınca sağlık verileri “özel nitelikli kişisel veri” niteliğindedir. Özel nitelikli kişisel veriler, kişilerin ayrımcılığa uğramasına, dışlanmasına, istismar edilmesine veya ciddi mağduriyetler yaşamasına yol açabilecek veri türleridir. Bu nedenle kanun koyucu, bu verilerin işlenmesini sıkı şartlara bağlamıştır.

KVKK sistematiğinde sağlık verileri bakımından iki temel ilke benimsenmiştir: Kural: Sağlık verileri açık rıza olmaksızın işlenemez.

İstisna: Kanunun 6/3 maddesinde sayılan hâllerde açık rıza aranmaksızın işlenebilir. KVKK m.6/3 uyarınca sağlık verileri, aşağıdaki amaçlarla açık rıza aranmaksızın işlenebilir: • • • • •

İstihdam, İş sağlığı ve güvenliği, Sosyal güvenlik, Sosyal hizmetler, Kamu sağlığının korunması.

Bu hüküm, işveren bakımından kritik bir hukuki zemin oluşturur. Çünkü sağlık verisinin işlenmesi, istihdam ilişkisinin tamamen dışında değil, doğrudan özünde yer alan bir olgudur. İşverenin çalışana uygun işi belirleyebilmesi, riskleri yönetebilmesi ve güvenli çalışma ortamı sağlayabilmesi için sağlık durumunu tamamen bilmezden gelmesi hayatın olağan akışına da aykırıdır. Ancak bu istisna, işverene sınırsız ve kontrolsüz bir erişim yetkisi tanımaz. Aksine, bu yetki amaçla sınırlı, ölçülü ve gerekli olanla sınırlı olmak zorundadır.

3. İŞ SAĞLIĞI VE GÜVENLİĞİ HUKUKU BAKIMINDAN SAĞLIK GÖZETİMİ YÜKÜMLÜLÜĞÜ

İSGK, işverene yüklediği yükümlülükleri yalnızca kâğıt üzerinde bir zorunluluk olarak görmemiş; bu yükümlülükleri aktif bir koruma sistemi olarak kurgulamıştır. İşveren; • • • • •

Risk değerlendirmesi yapmak, Çalışanı işe uygun şekilde yerleştirmek, Çalışma koşullarını sağlık durumuna göre uyarlamak, Gerekli hallerde görev değişikliği yapmak, İş kazası ve meslek hastalıklarını önlemek

zorundadır.

Bu yükümlülüklerin yerine getirilebilmesi için, çalışanın yalnızca “işe uygundur” ibaresiyle değerlendirilmesi çoğu zaman yeterli değildir. Örneğin; solunum yolları hassas olan bir çalışanın tozlu ortamda çalıştırılması, nörolojik rahatsızlığı bulunan bir çalışanın gece vardiyasına verilmesi ya da kalp rahatsızlığı olan bir çalışanın ağır fiziksel işlerde görevlendirilmesi, işveren açısından açık bir kusur oluşturur.

Dolayısıyla işveren, çalışanın tanısını bilmek zorunda değildir; ancak işi yapıp yapamayacağına, hangi işlerde kısıtlı çalışacağına ve hangi risklere maruz bırakılmaması gerektiğine ilişkin bilgileri bilmek zorundadır. Aksi hâlde İSG yükümlülüklerinin yerine getirildiğinden söz edilemez.

4. OSGB UYGULAMASI, İŞYERİ HEKİMİ VE VERİ SORUMLULUĞU – VERİ İŞLEYEN İLİŞKİSİ

Uygulamada işyeri hekimi hizmetleri büyük ölçüde Ortak Sağlık ve Güvenlik Birimleri (OSGB) aracılığıyla yürütülmektedir. Bu durumda hukuki yapı şu şekilde şekillenmektedir: Veri sorumlusu: İşveren Veri işleyen: OSGB ve işyeri hekimi İşyeri hekimi, tıbbi değerlendirme, muayene, tetkik, teşhis ve klinik kayıt işlemlerini yürütür. Bu çerçevede elde edilen: • • • •

Tanı bilgileri, Laboratuvar sonuçları, Film ve görüntüler, Tıbbi geçmiş kayıtları

mesleki sır saklama yükümlülüğü kapsamında hekimin uhdesinde kalmalıdır. Hekim bu bilgileri işverene doğrudan açıklayamaz.

Ancak işverenin kanuni yükümlülüklerini yerine getirebilmesi için hekim tarafından elde edilen bilgilerin tamamı değil, yalnızca işe uyarlama ve kısıtlama boyutunu ilgilendiren sonuçları işverene iletilmelidir. Bu aktarım yapılmadan iş güvenliği sisteminin sağlıklı işlemesi beklenemez.

5. İNSAN KAYNAKLARI BİRİMİNİN HUKUKİ STATÜSÜ: İŞVEREN VEKİLLİĞİ

4857 sayılı İş Kanunu’nun 2 nci maddesi, işveren adına hareket eden kişilerin işveren vekili sayılacağını düzenlemiştir. Yargıtay içtihatlarında da insan kaynakları yöneticileri; • • • •

İşe alım, Görev yeri belirleme, Vardiya düzenleme, İş akdi feshi

gibi alanlarda işveren adına karar verdikleri için açık biçimde işveren vekili olarak kabul edilmektedir. Bu statü, insan kaynakları biriminin kişisel verilerin işlenmesi bakımından da veri sorumlusunun temsilcisi olarak hareket ettiğini göstermektedir. Başka bir ifadeyle insan kaynaklarının ölçülü biçimde sağlık verisine erişimi, “üçüncü kişi erişimi” değil, bizzat işverenin işlemi niteliğindedir.

6. VERİ MİNİMİZASYONU, AMAÇLA SINIRLILIK VE ÖLÇÜLÜLÜK İLKELERİ

KVKK’nın 4 üncü maddesinde yer alan temel ilkelerden üçü bu tartışmanın merkezinde yer alır: • Hukuka ve dürüstlük kurallarına uygunluk • Amaçla sınırlılık • Ölçülülük Bu ilkeler uyarınca sağlık verisinin işlenmesi şu dengeyi zorunlu kılar: • Tıbbi tanı ve teşhis bilgileri işverence bilinmemelidir. • Ancak çalışanın hangi işlerde çalışamayacağı, hangi ortamlardan uzak tutulacağı ve hangi koşullarda çalıştırılabileceği işveren tarafından bilinmelidir. • Gereksiz ayrıntı, teşhis, ICD kodu, film görüntüsü gibi veriler insan kaynakları dosyasında yer almamalıdır.

Bu yaklaşım hem mahremiyeti koruyan hem de iş sağlığı ve güvenliği sistemini işleten tek dengeli modeldir.

7. “SADECE UYGUNLUK SONUCU PAYLAŞILSIN” YAKLAŞIMININ YETERSİZLİĞİ

Uygulamada bazı görüşler, işverenin yalnızca “işe uygundur/uygun değildir” sonucunu bilmesi gerektiğini savunmaktadır. Bu yaklaşım teoride güçlü bir veri koruma sistemi gibi görünse de pratikte ciddi sakıncalar doğurur.

Bu modelde işveren; • Risk gruplarını tespit edemez, • Görev uyarlamasını sağlıklı yapamaz,

• Vardiya planlamasını doğru şekilde kuramaz, • İş kazaları ve meslek hastalıklarında ağır kusurla karşı karşıya kalır. KVKK’nın amacı işverenin yükümlülüklerini imkânsız kılmak değil, denge sağlamaktır. Mutlak gizlilik yaklaşımı bu dengeyi bozar.

8. SONUÇ

İstihdam ilişkisinde sağlık verilerinin işlenmesi bakımından hukuken doğru ve uygulanabilir model; • Tanı, teşhis ve tıbbi ayrıntıların işyeri hekiminde kalması, • İşverenin ve insan kaynaklarının ise yalnızca işe uyarlama ve kısıtlama bilgilerine erişebilmesi, • Bu erişimin KVKK m.6/3 ve İSGK hükümleri çerçevesinde ölçülü biçimde gerçekleştirilmesi şeklinde kurulmalıdır.

İnsan kaynaklarının işveren vekili sıfatıyla bu sınırlı bilgilere erişmesi KVKK’ya aykırılık teşkil etmez. Aksine bu erişim, iş sağlığı ve güvenliği yükümlülüklerinin yerine getirilebilmesi için zorunludur. Sonuç olarak istihdam ilişkisinde sağlık verilerinin işlenmesinde esas olan mutlak gizlilik değil, ölçülü gizlilik ve işlevsel hukuki dengedir.

BARIŞ ERDEM DANIŞMANLIK İŞ HUKUKU EKİBİ