Çalışma ve Sosyal Güvenlik Bakanlığı’nın 2 Eylül 2021 tarihli “İşyerinde Covid-19 Tedbirleri” konulu yazısının yayınlanmasının ardından, işverenlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında veri sorumlusu sıfatıyla nasıl hareket etmeleri gerektiği konusunda soru işaretleri doğmuştu, bu doğrultuda Kişisel Verileri Koruma Kurumu tarafından 28 Eylül 2021 tarihli “Covid-19 PCR Test Sonucu ve Aşı Bilgisi Uygulamalarına İlişkin Kamuoyu Duyurusu” yayınlayarak bazı hususları açıklığa kavuşturdu.

COVID-19 pandemisi veya Koronavirüs pandemisi olarak bilinen ve tüm dünyayı etkisi altına alan virüs salgını Aralık 20219’dan itibaren özellikle işverenlerin gündeminden düşmeyen konuların başında gelmektedir. Pandemi sürecinde geliştirilen aşılar ve yapılan PCR testleri ile yine işverenlerin özellikle iş yeri sağlığı ve güvenliği konusunda nasıl tedbirler alması gerektiği konusunda soru işaretleri doğurmuştu. Bu doğrultuda Türkiye’de sırasıyla Çalışma ve Sosyal Güvenlik Bakanlığı’nın (“Bakanlık”) 81 il Valiliğine 2 Eylül 2021 tarihli “İşyerinde Covid-19 Tedbirleri” konulu genel yazısı ve akabinde Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 28 Eylül 2021 tarihli “Covid-19 PCR Test Sonucu ve Aşı Bilgisi Uygulamalarına İlişkin Kamuoyu Duyurusu” yayınlanarak bazı hususlar açıklığa kavuştu.

KVKK çerçevesinde nasıl bir yol izlenmesi gerektiğinde ilişkin olarak Kurum’dan görüş talep edilmesi üzerine Kurum ilgili kamuoyu duyurusunu yayınlamayı uygun görmüştür.

İlgili duyuruda öncelikle Bakanlık’ın yayınlamış olduğu genel yazıya değinilerek ilgili kişilerin tahlil, görüntüleme, test, rapor, aşı durumu gibi sağlık durumlarına ilişkin bilgilerin KVKK’nın 6. maddesi uyarınca özel nitelikli kişisel veri olarak sayılan sağlık verisi olduğu ve bu sebeple, söz konusu bilgilerin KVKK’nın 6. maddesinde yer verilen işleme şartlarına uygun olarak işlenmesi gerektiği belirtilmiştir.

Öte yandan salgın hastalık gibi kamu güvenliği ve kamu düzenini tehdit eden durumlarda, bu tehdidi ortadan kaldırabilmek amacıyla salgın hastalığın bulaşıcılığının önüne geçilebilmesini teminen, kanunla yetki verilmiş kamu kurum ve kuruluşlarınca yürütülen faaliyetler kapsamında kişisel verilerin işlenmesinin bir istisna hükmü olan KVKK’nın madde 28/ (ç) kapsamında değerlendirilmesi gerektiği belirtilmiştir.

Buna göre, Covid-19’un sebebiyet verdiği salgın hastalığın kamu güvenliği ve kamu düzenini tehdit etmesi sebebiyle hastalığın yayılımını engellemek amacıyla Covid-19 aşı bilgisi ve/veya negatif sonuçlu PCR test bilgisinin anılan madde hükmü kapsamına giren kamu kurum ve kuruluşlarınca yürütülen önleyici ve koruyucu faaliyetler kapsamında işlenmesinin önünde bir engel bulunmadığı, dolayısıyla söz konusu kişisel veri işleme faaliyetlerinin KVKK madde 28/(ç) uyarınca gerçekleştirilebileceği, bununla birlikte, Covid-19 salgını kapsamında yürütülen kamu güvenliğini ve kamu düzenini koruma amacına yönelik faaliyetler dışında kalan ya da bu amacı aşan nitelikteki kişisel veri işleme faaliyetlerinin KVKK kapsamında yer alacağı değerlendirilmiştir.

Sonuç olarak, kamu kurum ve kuruluşlarınca yürütülen önleyici ve koruyucu faaliyetler kapsamında salgın hastalığın kamu güvenliği ve kamu düzenini tehdit etmesi sebebiyle hastalığın yayılımını engellemek amacıyla Covid-19 aşı bilgisi ve/veya negatif sonuçlu PCR test bilgisinin işlenmesinin önünde bir engel bulunmadığı ancak kamu güvenliğini ve kamu düzenini koruma amacına yönelik faaliyetler dışında kalan ya da bu amacı aşan nitelikteki kişisel veri işleme faaliyetlerinin KVKK’nın 6. maddesine uygun olarak yapılması gerektiği anlaşılmaktadır.