İşveren, 65 yaş üstü veya kronik rahatsızlığı olan çalışanlarından COVID-19 salgınıyla ilgili İçişleri Bakanlığı genelgeleri kapsamında sağlık raporu talep ederken Kişisel Verilerin Korunması Kanunu (KVKK) açısından hangi temel yükümlülüğe sahiptir? Bu sağlık verilerinin işlenmesi için çalışanın açık rızası her zaman gerekli midir?

İşveren, COVID-19 salgınıyla ilgili önlemler kapsamında (örneğin İçişleri Bakanlığı'nın 65 yaş ve üstü ile kronik rahatsızlığı olanlara sokağa çıkma yasağı genelgesi gibi durumlarda) çalışanlarından sağlık raporu veya sağlık durumlarına ilişkin bilgi talep ederken, veri sorumlusu olarak KVKK'nın 10. maddesi uyarınca öncelikle çalışanına 'aydınlatma yapma yükümlülüğü' altındadır. Bu aydınlatma, verilerin hangi amaçla, ne kadar süreyle işleneceği, kimlere aktarılabileceği gibi bilgileri içermelidir. Sağlık verileri özel nitelikli kişisel veri olduğu için kural olarak işlenmesi çalışanın açık rızasına tabidir (KVKK md. 6/2). Ancak, KVKK md. 6/3'te belirtilen istisnalar (kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlar tarafından işlenme) gündeme gelebilir. Eğer bu veriler işyeri hekimi tarafından işleniyor ve güvenli bir şekilde saklanıyorsa açık rıza aranmayabilir. Ancak, veriler doğrudan işveren tarafından veya işyeri hekimi dışındaki birimlerce işlenecekse veya KVKK md. 6/3 kapsamı dışına çıkılıyorsa çalışanın açık rızasının alınması gerekir. Açık rıza alınmadan işlenen sağlık verileri KVKK'ya aykırılık teşkil edebilir. (Kaynak: vonahukuk.com/coronovirus-salgini-surecinde-isverenlerin-kvkk-kapsaminda-yukumlulukleri/, KVKK md. 6, md. 10)