COVID-19 PCR Test Sonucu ve Aşı Bilgisi Uygulamalarına İlişkin Kamuoyu Duyurusu (“Duyuru”) 28.09.2021 tarihinde Kişisel Verileri Koruma Kurumu’nun (“Kurum”) resmi internet sitesinde yayınlanmıştır.

İlgili Duyuruda, öncelikle İçişleri Bakanlığı’nın 20.08.2021 tarihli yazısı doğrultusunda, toplum sağlığı ve kamu düzeni gereğince COVID-19 riskinin en aza indirilmesi amacıyla konser, sinema, tiyatro ve toplu taşıma araçları gibi insanların toplu olarak bulunduğu faaliyetlere katılım gösterecek kişilere, 6 Eylül 2021 tarihi itibariyle getirilen COVID-19 aşı bilgisi ve/veya negatif sonuçlu PCR test bilgisi ibraz etme zorunluluğuna değinilmiştir. Ayrıca Duyuruda T.C. Çalışma ve Sosyal Güvenlik Bakanlığı’nın 02.09.2021 tarihli genel yazısı ışığında, 6 Eylül 2021 tarihi itibariyle işveren/işyeri tarafından COVID-19 aşısı olmayan işçilerden haftada bir kez zorunlu PCR testi yaptırılması istenebileceği ve test sonuçlarının gerekli işlemler yapılmak üzere işyerinde kayıt altında tutulacağı da vurgulanmıştır.

Bununla beraber, Duyuruda kişilerin tahlil, görüntüleme, test, rapor, aşı durumu gibi sağlık durumlarına ilişkin bilgilerinin kişisel sağlık verisi olduğu ve bu tür verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 6. maddesi uyarınca özel nitelikli kişisel veri kategorisine girdiği belirtilmiştir. Bu noktadan hareketle, bu tür verilerin Kanun’un 6. maddesinde belirlenen özel nitelikli kişisel verilerin işlenme şartlarına uygun olarak işlenmesi gerekmektedir. 

Kanunun 28/1/ç maddesi uyarıca, kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi halinde Kanun hükümleri uygulanmayacaktır. Bu doğrultuda, COVID-19 ile mücadele kapsamında PCR test sonucu ve aşı bilgisi gibi kişisel verilerin kamu sağlığı, kamu güvenliği ve kamu düzeni bakımından işlenmesinin gerekliliğine vurgu yapılarak, salgının kamu güvenliği ve kamu düzenini tehdit etmesi nedeniyle ve yayılmasını önlemek amacıyla Kanunla görev ve yetki verilen kamu kurum ve kuruluşlarınca yürütülen faaliyetler kapsamında, bu verilerin işlenmesinin ilgili düzenleme kapsamında gerçekleştirilebileceği belirtilmiştir.

Yukarıdaki açıklamalar ışığında, Kanunun 28/1/ç maddesinde düzenlenmiş olan istisnai hüküm yalnızca kamu kurum ve kuruluşları özelinde olup, Duyuruda özel hukuk tüzel kişilerince COVID-19 PCR test sonucu ve aşı bilgisinin işlenmesi durumunda bu istisnai hükmün uygulanabilirliği hakkında bir açıklık bulunmamaktadır.

Kanaatimizce, özel hukuk tüzel kişileri tarafından bu bilgilerin işlenmesi bahsedilen hüküm kapsamında değerlendirilemeyecektir. Ayrıca önemle belirtilmelidir ki, her türlü kişisel verinin işlenmesi sırasında Kanunun 4. maddesinde belirtilen genel ilkelere uyulması gerekmektedir. Bu itibarla, tam uzaktan çalışma modelinin benimsendiği bir işyerinde, çalışanların kişisel verilerinin işlenmesinin bir yandan işlenme amacıyla bağlantılı, sınırlı ve ölçülü olması gerekmektedir. Tam uzaktan çalışma modelinin niteliği de dikkate alındığında, çalışanların COVID-19 PCR test sonuçlarının ve aşı bilgilerinin işlenmesi halinde, işverence açıklanabilir ve makul bir işleme amacı bulunmadığı müddetçe, ilgili kişisel verilerin

işlenme amacının aşılacağı ve çalışanlardan Kanun kapsamında açık rıza alınsa dahi, Kanun’a aykırı bir işleme faaliyetinin söz konusu olacağı savunulabilir.

Zira, uzaktan çalışmakta olan çalışanların bu tür kişisel verilerinin işlenmesi, işyerinin çalışma faaliyetlerini ve fiziki çalışma ortamını etkilemeyecektir. Üstelik bu verilerin işlenmemesi, diğer çalışanlar veya üçüncü kişiler için sağlık riski de oluşturmayacaktır. Dolayısıyla, uzaktan çalışanların ilgili verilerinin işlenmesi durumunda Kanun hükümlerine bağlı kalınması gerekeceği unutulmamalıdır. Bu kapsamda, kişisel veri işleme amaçları bakımından gerekli olarak değerlendirilmeyen kişisel veriler işleme faaliyetine konu edilmemelidir.

Konu ile ilgili herhangi bir sorunuz olduğu takdirde lütfen bizimle info@heuvels-uras.com e-mail adresinden iletişime geçiniz.