Böyle bir model kurmak KVKK açısından kendi başına yasak değil, ama tasarımına çok dikkat etmek gerekiyor. Çünkü kişi bazında risk puanı üretmek, çalışanı etkileyebilecek bir profilleme faaliyeti; hem hukuki hem etik açıdan ciddi sorumluluk getiriyor.
Değerlendirmeniz gereken başlıklar:
- Amaç ve ölçülülük: KVKK m.4, verilerin belirli, açık ve meşru amaçlar için, amaçla bağlantılı, sınırlı ve ölçülü işlenmesini istiyor. Amacınızı yazılı olarak tanımlayın: "ayrılma nedenlerini anlamak ve önleyici aksiyonlar geliştirmek" gibi. Her veri kalemi için bu amaçla bağlantısını gerekçelendirin.
- Hukuki sebep: Çalışan verilerinin bu amaçla işlenmesinde hangi işleme şartına (m.5) dayandığınızı veri koruma ekibinizle netleştirin. Meşru menfaat şartına dayanacaksanız, çalışanın temel hak ve özgürlüklerine zarar vermediğini gösteren bir denge değerlendirmesi yapın. İşveren ilişkisinde açık rızaya dayanmak sorunlu olabilir.
- Aydınlatma: Çalışanlara bu tür bir analiz yapıldığını aydınlatma metninde (m.10) açıklayın.
- Özel nitelikli veriler: Sağlık raporu, sendika üyeliği gibi m.6 kapsamındaki verileri modele dahil etmeyin. Listelediğiniz verilerden izin kullanımında, raporlu izin gibi sağlık içeren bir alt kırılım varsa onu ayırın.
- Dolaylı ayrımcılık: Yaş, cinsiyet ya da bunlarla güçlü ilişkili değişkenler modelin kararlarını ayrımcı hale getirebilir. Bu değişkenleri kullanmasanız bile sonuçları gruplar bazında test edin.
Paylaşım konusunda en kritik önerim şu: yöneticilere kişi bazında "riskli çalışan listesi" vermeyin. Bu liste, yöneticinin çalışana farklı davranmasına, hatta kendi kendini gerçekleştiren bir kehanete yol açabilir. Daha güvenli yaklaşımlar:
- Sonuçları birim veya grup düzeyinde, risk faktörleri olarak paylaşmak: "Bu birimde son 18 ayda zam almamış ve yönetici değiştirmiş çalışanlarda ayrılma eğilimi yüksek."
- Kişi bazlı skorları yalnızca sınırlı sayıda İK iş ortağının görmesi ve bunun destekleyici aksiyonlara (kariyer görüşmesi, ücret kontrolü) dönüşmesi.
- Modelin otomatik bir karar mekanizması olmaması; her zaman insan değerlendirmesi.
Teknik tarafta erişim yetkilerini, saklama süresini ve veri güvenliği tedbirlerini (m.12) belgeleyin. Başlamadan önce kısa bir etki değerlendirmesi yapmak, sonradan çıkabilecek sorunları büyük ölçüde azaltıyor.
Somut durumunuz için bir iş hukuku uzmanına danışmanızı öneririm.