İşe Alım Öncesi Güvenlik Kontrolü: KVKK'ya Uygun Doğrulama Rehberi

İşe alım öncesi güvenlik kontrolü çoğu şirkette tek bir soruyla başlıyor: bunu isteyebilir miyiz? Yanlış soru. Doğru soru, hangi kararın hangi belgeyle verileceği ve o belgenin neyi kanıtlamadığı. Bir adayın nüfus kayıt örneği, diploması, SGK dökümü ve referansı hepsi doğru olabilir ve işe alım yine de yanlış çıkabilir. Tersine, elinizde tek bir belge olmadan da doğru karar verebilirsiniz; yeter ki hangi riski satın aldığınızı bilin.

Bu rehber o kararın iskeletini kuruyor: dört doğrulama katmanı, katman başına gerçek süre ve maliyet, KVKK'da aydınlatma ile açık rızanın neden ayrı belgeler olduğu, adli sicil kaydının kimden ve nasıl istendiği, 7315 sayılı Kanun'un özel sektörde nereye kadar uzandığı, referans görüşmesinde eski işverenin söyleyebileceği ve söyleyemeyeceği şeyler, ve bir bulgunun gerçekten bulgu olup olmadığını gösteren eşleşme matematiği.

Baştan netleştirelim: bu sayfa bir adayı araştırma izni değil. Adayın özel hayatını, sosyal medyadaki davranışını, aile yapısını, siyasi görüşünü veya sağlık geçmişini konu edinen bir kontrol hukuka uygun değil; çoğu durumda KVKK md.6 ile TCK 134 ve 136 kapsamına giriyor. Anlatılan yöntem, işin gerektirdiği kadar sormak ve her cevabı belgeye bağlamak üzerine kurulu. Az veri, savunulabilir karar demek.

Kontrol neyi kanıtlar, neyi kanıtlamaz

İşe alım komitesinin en sık hatası, bir belgenin varlığını o belgenin kanıtladığı şeyin ötesinde bir güvence saymak. Aşağıdaki tablo, standart kontrol setinin her kalemini iki taraflı yazıyor: solda belgenin gerçekten gösterdiği, sağda göstermediği.

Belge veya sorgu	Neyi kanıtlar	Neyi kanıtlamaz
Nüfus kayıt örneği	Ad, soyad, doğum yeri ve tarihi, medeni hâl, TCKN'nin kişiye ait olduğu	Kişinin herhangi bir işte çalıştığını veya çalışmadığını
Diploma ve transkript	Belirtilen programın tamamlandığını, ders ve not dökümünü	Becerinin bugün var olduğunu; belgenin sahte olmadığını (ayrıca teyit gerekir)
SGK hizmet dökümü	Hangi işverende hangi tarih aralığında bildirildiğini, prim gün sayısını	Ayrılış nedenini, performansı, o işte ne yaptığını
Adli sicil kaydı	Belgenin alındığı gün itibarıyla sicilde görünen kesinleşmiş mahkûmiyetleri	Devam eden soruşturmayı, arşiv kaydını, hükmün açıklanmasının geri bırakılmasını
Referans görüşmesi	Eski yöneticinin o kişiye dair algısını ve hatırladığı somut olayları	Nesnel performansı, ölçülmüş bir çıktıyı
Açık kaynak taraması	Kişinin kendi kamuya açık beyanlarını, mesleki profilini	Özel hayatı; işle ilgisiz hiçbir şeyi meşru kontrol konusu yapmaz
İşe giriş sağlık raporu	Kişinin yapılacak işe elverişli olup olmadığını	Tanı bilgisini; işverenin tanıya erişme hakkı yok

Tablodaki en kritik satır adli sicil. Standart belge arşive taşınmış kayıtları göstermiyor; arşiv bilgisi 5352 sayılı Adli Sicil Kanunu'nda sayılan mercilere veriliyor. Yani işverenin elindeki belge, adayın ceza geçmişinin tamamı değil, o gün görünen kısmı. Bu belgeye dayanarak temiz ya da sakıncalı gibi bir hüküm kurmak, belgenin kapsamından fazlasını iddia etmek olur.

Dört katman ve sırası

Kontrolü tek bir araştırma olarak değil, birbirini daraltan dört katman olarak kurmak gerekiyor. Sıra pazarlık konusu değil, çünkü her katman bir sonrakinin maliyetini düşürüyor: pahalı olan referans görüşmesi ve geçmiş teyidi en sona kalmalı, çünkü ilk iki katmanda elenen aday için harcanacak kırk dört dakika tamamen boşa gider.

Katman	Sorduğu soru	Kullandığı belge	Süre
1. Kimlik	İşe aldığımız kişi gerçekten söylediği kişi mi?	Nüfus kayıt örneği, başvuru formu, TCKN doğrulama	10 dk
2. Yeterlilik	İşin gerektirdiği belge gerçek mi ve kime ait?	Diploma, transkript, mesleki sertifika, sürücü belgesi	18 dk
3. Geçmiş	Beyan ettiği işlerde gerçekten çalıştı mı, ne kadar süre?	SGK hizmet dökümü, iki eski işveren teyidi	24 dk
4. Referans ve kayıt	Eski yönetici ne diyor; rolün gerektirdiği kayıt ne gösteriyor?	İki referans görüşmesi, adli sicil belgesi	50 dk

Katmanlar birbirinin alternatifi gibi görünüyor, değiller. SGK dökümü ile işveren teyidi aynı soruyu sormuyor: döküm bir tarih aralığını kanıtlıyor, teyit o aralıkta kişinin hangi görevde olduğunu. Adayın dört yıl boyunca bir şirkette görünmesi, o dört yıl boyunca iddia ettiği pozisyonda çalıştığı anlamına gelmiyor; kâğıt üzerinde görünen süre ile gerçek görev çoğu zaman farklı.

Bir aday 110 dakika: maliyetin gerçek tabanı

Süre tahminleri genelde yarım gün sürer gibi ifadelerle geçiştiriliyor. Kalem kalem yazınca tablo şu: kimlik ve başvuru formu doğrulaması 10 dakika, eğitim belgesi kontrolü ve kurum teyidi 18 dakika, iki eski işverenin teyidi 24 dakika, iki referans görüşmesi 44 dakika, adayın getirdiği adli sicil belgesinin kontrolü 6 dakika, dosyalama ve imha takvimine işleme 8 dakika. Toplam 110 dakika, yani aday başına 1,83 saat.

Kalem	Dakika	Kim yapıyor
Kimlik, başvuru formu, TCKN doğrulama	10	İK asistanı
Diploma, transkript ve sertifika teyidi	18	İK uzmanı
SGK dökümü ve iki eski işveren teyidi	24	İK uzmanı
İki referans görüşmesi (2 x 22 dk)	44	İşe alan yönetici
Adli sicil belgesi kontrolü	6	İK uzmanı
Dosyalama, imha takvimi, kayıt	8	İK asistanı
Toplam	110	1,83 saat

Yüklü saat maliyeti 850 TL varsayımıyla bir adayın kontrolü 1.558 TL. Bu sayı yıllık hacimle çarpılınca programın büyüklüğü çıkıyor: yılda 40 işe alım yapan bir şirket 73,3 saat, yani 9,2 işgünü ve 62.333 TL harcıyor. 120 işe alımda 220 saat ve 187.000 TL, 300 işe alımda 550 saat ve 467.500 TL. Buradaki asıl mesele tutar değil, maliyetin aday sayısıyla doğrusal artması: kontrolü ağırlaştıran her yeni adım, işe alım hacmiyle birlikte büyüyen bir yük hâline geliyor ve işe alım hızını düşürüyor.

Yıllık işe alım	Saat	İşgünü	Maliyet (850 TL/saat)
40	73,3	9,2	62.333 TL
120	220,0	27,5	187.000 TL
300	550,0	68,8	467.500 TL

Yanlış işe alımın maliyeti: 256.500 TL ve 4,28 ay

Programın savunması kötü bir işe alım daha pahalıdır cümlesiyle yapılıyor, ama bu cümle sayıya çevrilmediği sürece bütçe onayı almıyor. Dördüncü ayda ayrılan bir çalışan için kalemler şöyle hesaplanıyor; aylık brüt ücret 60.000 TL alınıyor.

Kalem	Hesap	Tutar
İşe alma maliyeti	1,5 x 60.000	90.000 TL
Eğitim ve oryantasyon	40 saat x 850	34.000 TL
Düşük verimlilik	3 ay x %40 x 60.000	72.000 TL
Yönetici ve ekip zamanı	30 saat x 850	25.500 TL
Yeniden ilan ve hukuk	götürü	35.000 TL
Toplam		256.500 TL

Bu toplam aylık brüt ücretin 4,28 katı, tek aday kontrol maliyetinin 164,6 katı. İki sayıyı doğrudan bölmek yine de yanıltıcı, çünkü kontrol her uygunsuz adayı yakalamıyor. Beklenti hesabını parametreleriyle yazmak gerekiyor: uygunsuz vaka oranı %8, kontrolün bunu tespit etme oranı %30 varsayılırsa aday başına beklenen tasarruf 0,08 x 0,30 x 256.500 = 6.156 TL. Kontrolün maliyeti 1.558 TL olduğuna göre net 4.598 TL ve 3,95 kat getiri. Parametreleri değiştirin, sonuç değişir; %30 tespit oranı iyimser bir varsayım ve burada ölçülmüş bir oran gibi sunulmuyor. Hesabın değeri sonuçta değil, hangi varsayımın sonucu taşıdığının görünmesinde.

Aynı isim sorunu: ad ve doğum tarihi bir kimlik değil

Kontrolün en sık bozulan yeri burası. Bir tarama raporunda ad ve doğum tarihi eşleştiğinde rapor bunu bir kayıt olarak sunuyor; işe alım komitesi de aynı kişi olduğunu varsayıyor. Oysa Türkiye'de ad ve doğum tarihi bir kimlik değil. ADNKS 2025 verilerine göre nüfus 85.664.944; Yılmaz soyadını taşıyan 1.177.896, Mehmet adını taşıyan 1.271.896 kişi var. Nüfus ve Vatandaşlık İşleri verilerinden derlenen sayıma göre Mehmet Yılmaz 33.049 kişide, Ayşe Yılmaz 41.526 kişide bulunuyor.

Doğum tarihi eklemek uzayı ne kadar daraltıyor? Yetmiş yıllık bir işe alım penceresinde 70 x 365,25 = 25.567 farklı doğum günü var. Bir ad-soyad kombinasyonu nüfusta f kişide görünüyorsa, aynı ad-soyad ve aynı doğum gününü taşıyan beklenen kişi sayısı f / 25.567; en az bir başka kişinin aynı kombinasyonu taşıma olasılığı 1 - e üzeri -(f / 25.567).

Ad-soyad frekansı	Beklenen eşleşme	Aynı ad ve doğum gününe sahip başka biri olma olasılığı
33.049 (Mehmet Yılmaz)	1,293	%72,5
3.000	0,117	%11,1
300	0,012	%1,2
30	0,001	%0,1

Yani en yaygın Türk ad-soyad kombinasyonunda ad ve doğum tarihi eşleşmesi, üçte ikiden yüksek bir olasılıkla başka bir insanı gösteriyor. Seyrek bir isimde bile bu oran yüzde onun altına inmiyor. Bu, tarama raporlarının değersiz olduğu anlamına gelmiyor; her bulgunun bir karar değil bir hipotez olduğu anlamına geliyor. Bulguyu karar konusu yapmadan önce ikinci bir alanla daraltmak gerekiyor: doğum yeri, baba adı veya doğrudan TCKN. Bu üçü de kişisel veri, yani daraltmayı da aynı hukuki çerçevede yapmak zorundasınız.

TCKN doğrulaması: 11 hane, iki kontrol basamağı

TCKN 11 haneli ve ilk hanesi sıfır olamıyor; son iki hane ise ilk dokuz haneden hesaplanan kontrol basamakları. Onuncu hane şöyle bulunuyor: ilk dokuz hanenin 1., 3., 5., 7. ve 9. haneleri toplanıp 7 ile çarpılıyor, 2., 4., 6. ve 8. hanelerin toplamı çıkarılıyor, kalan 10'a göre hesaplanıyor. On birinci hane, ilk on hanenin toplamının 10'a bölümünden kalan.

Numara	Tek haneler toplamı	Çift haneler toplamı	10. hane	11. hane	Sonuç
10000000146	2	0	4 (doğru)	6 (doğru)	Biçim geçerli
11111111110	5	4	1 (doğru)	0 (doğru)	Biçim geçerli
12345678901	25	20	5 olmalıydı, 0 yazılmış	5 olmalıydı, 1 yazılmış	Geçersiz
10000000147	2	0	4 (doğru)	6 olmalıydı, 7 yazılmış	Geçersiz

Tablodaki numaralar yalnızca algoritmayı göstermek için üretildi, gerçek kişilere ait değil. Bu kontrolün işe yaradığı yer, veri girişi: elle yazılan bir numaradaki tek hane hatasını her zaman, komşu iki hanenin yer değiştirmesini çoğu durumda yakalıyor. Yaramadığı yer, aidiyet: biçim olarak geçerli bir numara pekâlâ başka birine ait olabilir. Bu yüzden TCKN kontrolü, SGK bildirimine veya sicil sorgusuna girmeden önce yapılan bir kapı kontrolü; kimlik doğrulaması değil.

Rapor hatası: ölçülmüş iki oran

Tarama raporlarının doğruluğu Türkiye'de ölçülmüş değil, çünkü bu hizmeti veren kuruluşların raporları resmi kayıtla karşılaştırılmıyor. Ölçüm başka bir ülkede yapıldı ve sonuç sektör açısından rahatsız edici: Lageson ve Stewart'ın 2024'te Criminology dergisinde yayımlanan çalışmasında 101 katılımcı, kendi gerçek sicil kayıtlarıyla raporlarının karşılaştırılmasına izin verdi. Düzenlemeye tabi raporların %60,4'ünde en az bir yanlış pozitif çıktı; düzenlenmemiş veri toplayıcıların raporlarında bu oran %49,5. İki kaynak birlikte değerlendirildiğinde katılımcıların %76,2'sinde en az bir yanlış pozitif vardı. Ters yöndeki hata da yüksek: yanlış negatif oranı düzenlemeye tabi raporlarda %90, diğerlerinde %92.

Ölçüm	Düzenlemeye tabi rapor	Düzenlenmemiş toplayıcı
En az bir yanlış pozitif	%60,4	%49,5
İki kaynak birlikte, en az bir yanlış pozitif	%76,2
Yanlış negatif (gerçek kayıt raporda yok)	%90	%92

İki hata zıt yönde ve ikisi de karar vericinin aleyhine çalışıyor: yanlış pozitif iyi bir adayı eliyor, yanlış negatif kötü bir adayı geçiriyor. Aynı çalışma, itiraz mekanizmasının işe yaradığını da gösteriyor; raporda itiraz edilen kalemlerin önemli bir kısmı düzeltildi. Türkiye'de işe alım raporları için ABD'deki FCRA benzeri bir itiraz rejimi yok, yani itiraz penceresini kendiniz kurmak zorundasınız: yazılı bildirim, belge sunma hakkı, sabit bir süre ve gerekçeli nihai karar.

Bir bulgu ne kadar pahalı: 5.100 TL mi 432.000 TL mi

Aynı yüz adaylık havuzda iki farklı politika düşünün. Birincisi her bulguyu kırk beş dakikada inceleyip karar veriyor: sekiz bulgu için altı saat, saat ücreti 850 TL ile 5.100 TL. İkincisi bulgu gördüğü adayı incelemeden eliyor. Yanlış pozitif oranı %60 olduğunda, sekiz bulgunun 4,8'i haksız eleme; her haksız eleme yerine yeni bir aday bulma maliyeti 90.000 TL olduğuna göre 432.000 TL. Aradaki oran 84,7 kat.

Politika	Hesap	Maliyet
Her bulguyu incele (45 dk)	8 x 45 dk = 6 saat x 850 TL	5.100 TL
Bulgu görünce ele (yanlış pozitif %60)	4,8 aday x 90.000 TL	432.000 TL
Oran		84,7 kat

Bu hesabın pratik sonucu tek bir cümle: hiçbir bulgu, insan incelemesi olmadan ret gerekçesi olamaz. İnceleme ucuz, otomatik eleme pahalı. Aynı mantık ters yönde de geçerli; inceleme bir bulguyu temize çıkarmak için değil, gerçek olup olmadığını anlamak için yapılıyor. Bu ayrımı yazılı hâle getirmeyen şirketlerde inceleme, kararı gerekçelendiren bir formaliteye dönüşüyor.

Aydınlatma ile açık rıza aynı kutu değil

İşe alım süreçlerinde en yaygın hukuki hata tek bir cümle: başvuru formunun altına konan kişisel verilerimin işlenmesine rıza veriyorum kutusu. Bu cümle iki yükümlülüğü tek belgeye sıkıştırıyor ve ikisini birden bozuyor. Aydınlatma yükümlülüğü KVKK md.10'da ayrı duruyor: veri sorumlusu, verilerin hangi amaçla işlendiğini, hangi hukuki sebebe dayandığını, kimlere aktarıldığını, saklama süresini ve ilgili kişinin haklarını bildirmek zorunda. Bu bildirim rıza verilse de verilmese de yapılmak zorunda; rızanın yerine geçmiyor.

Aydınlatma Tebliği md.5/1-f bunu açıkça söylüyor: aydınlatma metni ile açık rıza beyanı ayrı belgelerde düzenlenir. Kurul'un 2018/90 sayılı ilke kararı da tek kutucukla iki yükümlülüğün karşılanmasını aykırı buldu. Yani başvuru formundaki tek satır hem aydınlatmayı eksik bırakıyor hem rızayı tartışmalı hâle getiriyor; sonradan rızanın geçerli olduğunu savunmak zorlaşıyor, çünkü kişi neye rıza verdiğini bilmeden imzalamış oluyor.

Belge	Ne zaman	İçinde ne var	İmza
Aydınlatma metni	Başvuru öncesinde, ilan veya başvuru ekranında	Amaç, veri kategorileri, hukuki sebep, aktarılan taraflar, saklama süresi, md.11 hakları	Gerekmez; erişilebilir olması yeterli
Açık rıza beyanı	Yalnızca rıza gereken işlemeler için (adli sicil gibi)	Hangi veri, hangi amaç, geri alma hakkı, rızanın sonuçları	Ayrı kutu, ayrı imza
Veri işleyen sözleşmesi	Tedarikçi devreye girmeden önce	Talimat sınırı, güvenlik tedbirleri, alt işleyen, iade ve imha	Yetkili imza
İmha politikası	Program kurulurken	Saklama süreleri, imha periyodu, yöntem, sorumlu	Yetkili imza

Hangi veri hangi hukuki sebebe dayanır

Hukuki sebep, sonradan uydurulan bir gerekçe değil; veriyi toplamaya karar verdiğiniz anda seçilen dayanak. Aynı veri farklı aşamalarda farklı sebebe dayanabiliyor ve bu ayrımı yapmayan şirketler tek bir sebeple her şeyi toplamaya çalışıyor.

Veri	Hukuki sebep	Sınır
Başvuru formu, CV, iletişim bilgisi	md.5/2-f meşru menfaat	İşle ilgisiz alan toplanmaz: fotoğraf, medeni hâl, hobiler, aile bilgisi
Diploma ve transkript	md.5/2-c sözleşmenin kurulması	Teyit edilmeyen beyan, doğrulanmış bilgi sayılmaz
SGK hizmet dökümü	Adayın beyanını doğrulamak için md.5/2-f; işe girişte bildirim için md.5/2-ç	Dökümdeki tüm işverenler değil, beyan edilenler kontrol edilir
Adli sicil kaydı	md.6 özel nitelikli; açık rıza veya kanunda öngörülme	Rol gerekçelendirilmeden istenemez; belgeyi adayın kendisi getirir
İşe giriş sağlık raporu	md.6/3 sağlık verisi; sır saklama yükümlülüğü olan kişi işler	Elverişlilik sonucu; tanı ve tahlil sonucu işverene verilmez
Referans görüşmesi notu	md.5/2-f	Adaya soracağınız soruları önceden yazılı bildirin; notları saklayın

Tabloda dikkat çeken satır adli sicil. Belgeyi işveren sicil müdürlüğünden alamıyor; 5352 sayılı Kanun bu bilgiyi kişinin kendisine ve kanunda sayılan mercilere veriyor. Dolayısıyla pratik akış şu: aday belgeyi e-Devlet üzerinden kendisi alıp getiriyor, işveren belgenin kopyasını değil, kontrol edildiğine dair kaydı saklıyor. Belgenin kopyasını saklamak, gerekmeyen bir özel nitelikli veri yığını oluşturuyor ve bir sızıntıda doğrudan md.6 ihlali hâline geliyor.

Ölçüsüzlüğün ölçülmüş hâli: Kurul'un 2022/172 kararı

Kurul'un 24.02.2022 tarihli 2022/172 sayılı kararı, işe alım kontrolünün nerede sapıttığını tek bir dosyada gösteriyor. Yurt dışında mukim bir şirketin Türkiye'deki irtibat bürosu, işe alım sürecinde adaylardan adli sicil kaydı, sağlık raporu, akciğer filmi raporu, kan grubu belgesi, ehliyet fotokopisi, evlilik cüzdanı fotokopisi ve aile bireylerinin nüfus cüzdanı fotokopilerini istemiş. Kurul bu talebin ölçülülük ilkesine ve KVKK md.4'e aykırı olduğunu değerlendirdi.

Belge	İşe alım için gerekli mi	Gerekçe
Adli sicil kaydı	Role bağlı	md.6 kapsamında; açık rıza ve yazılı rol gerekçesi olmadan istenemez
İşe giriş sağlık raporu	Evet	6331 kapsamında elverişlilik; tanı bilgisi işverene verilmez
Akciğer filmi, kan grubu	Hayır	Elverişlilik raporunun kapsamına girmiyor; rutin talep ölçüsüz
Ehliyet fotokopisi	Yalnızca araç kullanacaksa	Görev gereği değilse işle ilgisiz
Evlilik cüzdanı	Hayır	Medeni hâl işe alım kararının konusu değil; ayrımcılık riski
Aile bireylerinin nüfus kaydı	Hiç	Üçüncü kişilerin verisi; işverenin meşru menfaati yok
Fotoğraf ve doğum yeri beyanı	Hayır	Görsel ve hemşehrilik temelli eleme riski; ölçüsüz

Kararın özeti şu: bir belgeyi istemek için onun işe alım kararıyla ilgili olması yetmiyor, o bilgiye gerçekten ihtiyaç duyulması gerekiyor. Aile bireylerinin nüfus kaydı bu testin en açık örneği; hiçbir pozisyonda işe alım kararına hizmet etmiyor.

Cezanın büyüklüğü: 17 milyon TL'ye kadar

KVKK md.18 idari para cezaları her yıl yeniden değerleme oranında artırılıyor. 2026 için yayımlanan tutarlar aydınlatma yükümlülüğünü ihlalde 85.437 TL ile 1.709.200 TL arasında, veri güvenliğine ilişkin yükümlülüklerin ihlalinde 256.357 TL ile 17.092.242 TL arasında, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğünün ihlalinde 341.809 TL ile 17.092.242 TL arasında. Kurul'un 20.05.2020 tarihli 2020/404 sayılı kararında ise çalışanların kişisel verilerinin aydınlatma yapılmadan işlenmesi ve özel nitelikli verilerin açık rıza olmadan işlenmesi nedeniyle o günkü tutarlarla 50.000 TL ve 200.000 TL ceza uygulandı.

İhlal	2026 alt sınır	2026 üst sınır
Aydınlatma yükümlülüğü (md.18/1-a)	85.437 TL	1.709.200 TL
Veri güvenliği yükümlülükleri (md.18/1-b)	256.357 TL	17.092.242 TL
Sicile kayıt ve bildirim (md.18/1-ç)	341.809 TL	17.092.242 TL

Bu tabloyu program maliyetiyle yan yana koymak, bütçe konuşmasını bitiriyor: yılda 40 işe alım yapan bir şirketin kontrol programı 62.333 TL, veri güvenliği ihlalinin üst sınırı 17 milyon TL. Ama cezayı tek gerekçe yapmak yanlış olur; asıl risk ceza değil, sızıntı. İşe alım dosyasında nüfus kaydı, sağlık raporu ve adli sicil belgesi bir arada duruyorsa, o dosyanın sızması tek bir olayda hem md.6 hem md.12 ihlali üretiyor ve Kurul'a bildirim yükümlülüğünü tetikliyor.

7315: güvenlik soruşturması bir şirketin kendi işi değil

7315 sayılı Güvenlik Soruşturması ve Arşiv Araştırması Kanunu, adı sık karıştırılan bir ayrımı düzenliyor. Arşiv araştırması, kamu görevine atanacaklar için yapılıyor; güvenlik soruşturması ise kanunda sayılan görevler için, milli güvenlik açısından stratejik önemi haiz birim, proje, tesis ve hizmetlerde istihdam edilenleri de kapsayacak şekilde. Bu süreci yürüten makam ilgili kamu kurumu; bir özel şirket kendi başına güvenlik soruşturması yapamıyor.

Pratik sonucu şu: bir özel şirketin ilanında güvenlik soruşturması yapılacaktır yazıyorsa, ya kanunda sayılan kapsamda bir görev vardır ve süreç yetkili makamca yürütülüyordur, ya da şirket aslında açık kaynak taraması yapıyordur ve bunu yanlış adlandırıyordur. İkinci durumda yapılan işlem KVKK kapsamındadır ve aydınlatma ile hukuki sebep gerektirir. Savunma sanayii gibi alanlarda personel güvenliği gerçek bir gereklilik; ama bu gereklilik, işverene kendi başına araştırma yetkisi vermiyor.

Referans görüşmesi: eski işveren ne söyleyebilir

Referans görüşmesi kontrolün en az standardı olan parçası ve en çok hukuki risk taşıyanı. Eski işverenin elinde aday hakkında kişisel veri var ve bu veriyi üçüncü bir şirkete aktarıyor. İşçinin sadakat borcu TBK md.419'da düzenleniyor; eski işverenin açıklama hakkı da aynı ölçülülük sınırına tabi. Doğru ve işle ilgili bilgi aktarılabilir; belgesiz sıfat, üçüncü kişilerin verisi ve özel nitelikli bilgi aktarılamaz. Aksi hâlde hem KVKK md.6 ve md.12 hem TCK 134 ve 136 gündeme gelebiliyor.

Soru	Uygun mu	Neden
Hangi tarihler arasında, hangi pozisyonda çalıştı?	Uygun	Kayıtlı ve işle ilgili
Ayrılış nedeni neydi?	Uygun	İK kaydında varsa aktarılabilir
Performansına dair somut bir örnek verir misiniz?	Uygun	Belgelenebilir olay, en güvenilir referans bilgisi
Disiplin cezası aldı mı?	Uygun	Varsa kayıt; yoksa söylenmemesi gerekir
Sağlık veya aile durumu nasıldı?	Uygun değil	md.6 ve TCK 134; işle ilgisiz
Sizce bu kişi güvenilir mi?	Sınırda	Belgesiz sıfat; kayda geçen görüş ileride sorun olur

Bu görüşmeyi yirmi iki dakikada bitirmenin yolu, soruları önceden yazmak. Adaya hangi referansları arayacağınızı ve ne soracağınızı yazılı bildirmek hem KVKK hem iş hukuku tarafını sağlamlaştırıyor; görüşme notunu tarih, saat, görüşülen kişi ve sorularla birlikte saklamak, ileride bir itiraz geldiğinde kararın dayanağını gösteren tek belge oluyor. Sözlü referansı telefonda bırakmak, üç ay sonra hatırlanmayan bir cümleye dayanan bir işe alım kararı bırakıyor.

Olumsuz bulgu: dört hücreli karar matrisi

Bir bulgu geldiğinde karar iki soruya indirgeniyor: bulgu doğrulandı mı, ve doğrulandıysa işle ilgili mi? Bu iki sorunun dört kombinasyonu, dört farklı sonuç üretiyor ve çoğu şirket bu ayrımı yapmadığı için ya gereğinden ağır ya gereğinden hafif davranıyor.

Bulgu doğrulandı mı	İşle ilgili mi	Karar	Yapılması gereken
Evet	Evet	Ret gerekçesi olabilir	Rol gerekçesini yaz, adaya yazılı bildir, itiraz süresi tanı
Evet	Hayır	Ret gerekçesi olamaz	Dosyadan çıkar; KVKK md.4 ve İş Kanunu md.5 riski
Hayır	Evet	Dosya kapanır	Adaya düzeltme bilgisi ver, kaydı güncelle, tedarikçiye bildir
Hayır	Hayır	İşleme alınmaz	Hiç kaydetme; kaydettiysen imha et

Matrisin en çok atlanan hücresi ikincisi. Doğrulanmış ama işle ilgisiz bir bulgu, örneğin on yıl önce işle ilgisiz bir suçtan verilmiş ve infaz edilmiş bir ceza, ret gerekçesi yapıldığında ayrımcılık ve ölçüsüzlük tartışması doğuyor. Cezanın varlığı tek başına bir sonuç değil; hangi göreve, hangi riskle ilgili olduğu yazılmadıkça karar savunulamıyor.

Sahtecilik ayrı bir başlık. İş Kanunu md.25/II-a, iş sözleşmesi kurulurken sözleşmenin esaslı noktalarında gerçeğe aykırı bilgi verilmesini haklı fesih nedeni sayıyor; md.26 bu hakkın altı işgünü içinde kullanılmasını ve her hâlde bir yıl geçmesiyle düşmesini düzenliyor. Buradaki ölçü esaslı nokta: bir sertifikanın tarihinin bir ay yanlış yazılması ile olmayan bir diplomayı beyan etmek aynı şey değil. İkincisi sahtecilik, birincisi düzeltilebilir hata. Ayrımı yapmadan en ağır yaptırımı uygulamak, işe iade davasında işvereni zor durumda bırakıyor.

Saklama ve imha: 14,69 GB yerine 1,95 MB

İşe alım dosyalarının çoğu, tek bir başvuruyu belgelemek için gerekenin kat kat fazlasını saklıyor. Yılda 5.000 başvuru alan bir şirkette aday başına 14 belge ve belge başına ortalama 220 KB düşünülürse tam dosya arşivi 14,69 GB. Buna karşılık gerçekten gerekli olan karar kaydı, aday başına tek satır ve 0,4 KB: 5.000 başvuru için 1,95 MB. Fark 7.700 kat.

Belge	Ne kadar saklanır	Gerekçe
Başvuru formu ve CV (reddedilen aday)	Politikada belirlenen süre; yaygın uygulama 6 ay	Meşru menfaat sona erer; daha uzun saklama rıza gerektirir
Değerlendirme notları	CV ile aynı süre	Kararın dayanağı, aynı amaçla sınırlı
Adli sicil belgesi kopyası	Saklanmaz	Yalnızca kontrol edildiğine dair kayıt tutulur; kopya md.6 riski
İşe giriş sağlık raporu	Özlük dosyasında, iş ilişkisi boyunca	4857 md.75 personel özlük dosyası
Referans görüşmesi notu	İş ilişkisi ve sonrasında 5 yıl	7036 md.15 beş yıllık zamanaşımı
İşe alım kararı kaydı	5 yıl	Aynı zamanaşımı; itiraz ve dava savunması

Saklama süresini kanun tek tek söylemiyor; KVKK md.4 ve md.7 amacın gerektirdiği kadar işleme ve sürenin sonunda silme, yok etme veya anonimleştirme yükümlülüğü getiriyor. Bu yüzden süreleri politikada kendiniz belirleyip yazılı hâle getirmek zorundasınız. Belirlenmemiş süre, pratikte süresiz saklama demek ve bir sızıntıda savunma imkânı bırakmıyor.

Süre: sıralı 10,5 gün, paralel 4 gün

Kontrolün işe alım hızını neden düşürdüğü genelde yanlış anlatılıyor: adımlar uzun olduğu için değil, birbirini beklediği için. Beş adımın yarım gün cinsinden süresi kimlik 1, yeterlilik 4, geçmiş 6, referans 8, sicil 2. Sırayla yapıldığında 21 yarım gün, yani 10,5 gün. Aynı adımlar teklif sonrası paralel başlatıldığında kritik yol en uzun adım kadar: 8 yarım gün, 4 gün. Aradaki 6,5 gün tamamen organizasyon kaybı.

Adım	Sıralı (yarım gün)	Paralel (yarım gün)
Kimlik ve form doğrulama	1	1
Yeterlilik teyidi	4	4
Geçmiş teyidi	6	6
Referans görüşmeleri	8	8
Adli sicil belgesi	2	2
Toplam	21 (10,5 gün)	8 (4 gün)

Paralel çalıştırmak hukuki çerçeveyi değiştirmiyor, sadece sırayı değiştiriyor; aynı belgeler, aynı aydınlatma, aynı sınırlar. Burada tek dikkat noktası, referans görüşmesini teklif öncesine almamak. Teklif öncesi referans aramak, adayın mevcut işvereninin haberdar olması riskini doğuruyor ve adayın rızası olmadan mevcut işverenle temas, iş ilişkisini bozan bir müdahale hâline geliyor.

Beş metrik: programın çalıştığını ne gösterir

İşe alım kontrolü çoğu şirkette ölçülmüyor, çünkü ölçülecek şeyin "kaç kötü aday yakalandı" olduğu sanılıyor. O sayı nadiren birden büyük olur ve tek başına hiçbir şey anlatmaz. Ölçülmesi gereken beş şey var.

Metrik	Nasıl hesaplanır	Neyi gösterir
Bulgu oranı	Bulgu sayısı / taranan aday sayısı	Raporun ne kadar gürültülü olduğunu
Yanlış pozitif oranı	İnceleme sonunda düşen bulgu / tüm bulgular	Eşleşme kalitesini ve iş yükünü
Tamamlama süresi	Teklif ile başlangıç arası gün	Aday kaybının en olası nedenini
İtiraz sayısı ve sonucu	İtiraz / bulgu; kabul edilen itiraz / itiraz	Karar kalitesini ve adil süreç iddiasını
İmha uyumu	Süresinde imha edilen dosya / imha edilmesi gereken dosya	Saklama politikasının gerçekten uygulanıp uygulanmadığını

Bu beş metrik tutulmaya başlandığında ilk ayın sonunda genelde iki şey ortaya çıkıyor: bulgu oranı beklenenden yüksek ve bulguların çoğu incelemede düşüyor. Bu, kontrolün değersiz olduğunu değil, daraltma kuralının (isim + doğum tarihi) çok gevşek olduğunu gösteriyor. Yanlış pozitif oranı yüksekken daha fazla kontrol eklemek, daha çok gürültü eklemek demek.

Tedarikçiyle çalışacaksanız on iki soru

Kontrolü dışarıdan bir tedarikçiyle yürütmek meşru bir tercih; ama bu, sorumluluğu devretmiyor. KVKK md.8 kapsamında veri işleyen sıfatıyla hareket eden tedarikçiyle yazılı sözleşme, md.9 kapsamında yurt dışına aktarım varsa ayrı bir dayanak gerekiyor. Sözleşmeyi imzalamadan önce şu on iki soruyu yazılı olarak sorun: hangi kaynaklardan veri topluyor; eşleşme kuralı hangi alanlara dayanıyor; eşleşme skoru nasıl hesaplanıyor; yanlış pozitif oranını nasıl ölçüyor; itiraz süreci kaç gün ve kim karar veriyor; adaya hangi bilgiyi veriyor; veriyi nerede saklıyor; yurt dışına aktarım var mı ve hangi dayanakla; alt işleyen listesi nedir; sızıntı bildirimini kaç saatte yapıyor; sözleşme bitiminde veriyi nasıl iade edip imha ediyor; denetim hakkı tanıyor mu. Bu soruların yazılı cevabı olmayan tedarikçiyle çalışmak, kontrolü değil riski dışarıdan almak oluyor. Tedarikçi tarafını daha geniş kurmak isteyenler için tedarik zinciri risk rehberi aynı soru setini farklı bir çerçevede açıyor.

Altı hata ve düzeltmeleri

Hata	Neden sorun	Düzeltme
Başvuru formunda tek kutucukla aydınlatma ve rıza	Aydınlatma Tebliği md.5/1-f ve Kurul 2018/90 kararına aykırı	İki ayrı belge, rıza yalnızca gereken işlemeler için
İlan aşamasında TCKN istemek	Henüz sözleşme yokken gereksiz veri; md.4 ölçülülük	TCKN teklif aşamasında, SGK bildirimi gerekçesiyle
Adli sicil belgesinin kopyasını arşivlemek	Özel nitelikli veri yığını; sızıntıda md.6 ihlali	Yalnızca kontrol tarihi ve sonucu kaydedilir
Bulguyu otomatik ret gerekçesi yapmak	Yanlış pozitif oranı %60 civarında; 84,7 kat maliyet	Kırk beş dakikalık insan incelemesi ve itiraz penceresi
Referans görüşmesinde özel hayata girmek	KVKK md.6, TCK 134; karar da belgesiz kalıyor	Yazılı altı soru listesi, kayıtlı not
Açık kaynağı sınırsız taramak	İşle ilgisiz veri toplama; ayrımcılık riski	İşle ilgili, kayda geçen, adaya bildirilen sınırlı tarama

Açık kaynak taraması kendi başına hukuka aykırı değil; sınırı belirsiz bırakıldığında aykırı hâle geliyor. Kamuya açık bir mesleki profil, kişinin kendi beyanı olduğu için en savunulabilir kaynak. Buna karşılık özel hesaplar, kapalı gruplar, aile bireylerinin profilleri ve siyasi paylaşımlar işe alım kararına girmiyor. Sınırı netleştirmek için OSINT ve yasal sınırlar yazısındaki çerçeve doğrudan kullanılabilir. Sahte ilan ve sahte işe alım uzmanı hesapları da aynı başlığın diğer yüzü: adayın değil, işverenin kimliğinin taklit edildiği durumlar sahte iş ilanı güvenliği yazısında ayrıntılı.

Otuz günlük uygulama takvimi: 52 saat

Bu rehberdeki her şeyi aynı hafta kurmaya çalışmak, süreci yarım bırakmanın en yaygın yolu. Dört haftalık bir takvim, hem hukuki belgeleri hem operasyonu sıraya koyuyor.

Hafta	Yapılan iş	Saat
1	Aydınlatma metni, rıza beyanı, rol bazlı gerekçe tablosu, saklama politikası	12
2	Akış ve formlar, kayıt şablonları, üç pilot adayla uçtan uca deneme	14
3	İlk on aday, karar matrisi, itiraz penceresinin yazılı hâle getirilmesi	18
4	Beş metriğin ilk ölçümü, imha takvimi, tedarikçi sözleşmesinin gözden geçirilmesi	8
Toplam		52

Üçüncü haftadaki on aday, programın maliyetini de doğruluyor: on aday x 110 dakika = 18,3 saat, tabloda 18 saat olarak yuvarlanmış. Yani takvimin en yoğun haftası, süreç çalışmaya başladığında ortaya çıkacak gerçek yükün kendisi.

Kontrol işe alımla bitmiyor

En pahalı hata, işe alım kontrolünü bir kerelik kapı olarak kurmak. İşe alımdan sonraki ilk yıl içinde ortaya çıkan olayların önemli bir kısmı, işe alım dosyasında değil erişim yetkilerinde, hesap devirlerinde ve ayrılan çalışanların hesaplarında çıkıyor. Ayrılan bir çalışanın e-posta hesabının açık kalması, işe alım kontrolünün yakalayamayacağı bir açık; bu başlık ele geçirilmiş kurumsal e-posta hesabı yazısında ele alınıyor.

Aynı şekilde, işe alım sonrası iç tehdit şüphesi doğduğunda yapılacak iş bir "araştırma" değil, hukuki sınırları baştan çizilmiş bir inceleme. Hangi kayıtların tutulduğu, kimin erişebildiği ve delilin nasıl korunduğu, sonradan kurulamayacak şeyler. Bu çerçeve kurumsal casusluk ve iç tehdit soruşturması yazısında adli bilişim tarafıyla birlikte anlatılıyor.

Teknik tarafı sağlamlaştırmadan işe alım kontrolünü büyütmek, kapıyı kilitleyip pencereyi açık bırakmaya benziyor. Hangi tedbirin hangi riski karşıladığını gösteren KVKK teknik tedbirler ve kanıt rehberi bu boşluğu kapatıyor; bir sızıntı şüphesinde ilk saatlerde ne yapılacağı ise olay müdahale planı yazısında adım adım yazılı.

Son olarak: kontrolün en zayıf halkası her zaman insan. Aynı şirkette oltalama testine takılan bir ekip, en titiz işe alım kontrolünden geçmiş olsa da veriyi dışarı çıkarabiliyor. Oltalama farkındalığı programı işe alım kontrolünün tamamlayıcısı, alternatifi değil. Bu rehberdeki her adımı tek bir ilkeye indirgemek gerekirse: işin gerektirdiği kadar soru sor, her cevabı belgeye bağla, bulguyu karar yapmadan önce doğrula ve sakladığın her belge için bir imha tarihi yaz.