İyi bir karar vermek için bir uzman hakkında ne kadar bilgi gerekir? Mesleki verilerin aşamalı açıklanması modeli

GDPR, kişisel verilerin işlenme amaçlarına göre yeterli, ilgili ve gerekli olanla sınırlı olmasını ister. Bu, Madde 5(1)(c)'deki veri minimizasyonu ilkesidir. [1]

Madde 25(2) daha da ileri gider ve varsayılan olarak yalnızca her belirli amaç için gerekli kişisel verilerin işlenmesini şart koşar. Hüküm açıkça toplanan veri miktarına, işlemenin kapsamına, saklama süresine ve erişilebilirliğe atıfta bulunur. [1]

Avrupa Komisyonu aynı kuralı daha sade biçimde açıklar: bir kuruluş, belirlenmiş amacı gerçekleştirmek için yalnızca gerekli kişisel verileri toplamalı ve işlemelidir. [2]

Bu, hukukun uzman platformlarına adı veya fotoğrafı belirli bir ana kadar gizleme zorunluluğu getirdiği anlamına gelmez. Bu makaledeki model, veriyi ve erişimi sınırlama ilkesinin pratik bir yorumudur; tek bir hükümden doğan resmi bir zorunluluk değildir.

Verinin ne için kullanılacağını bilmeden "hangi veri gerekli?" sorusuna anlamlı yanıt veremezsiniz.

Şu durumlarda farklı bilgilere ihtiyaç duyarsınız:

• yüzlerce profil incelerken,
• kısa listedeki iki kişiyi karşılaştırırken,
• birini görüşmeye davet ederken,
• belirli bir mesleki yetkiyi doğrularken,
• hizmet koşullarını kararlaştırırken,
• sözleşme yaparken,
• ödeme gerçekleştirirken veya hukuki bir yükümlülüğü yerine getirirken.

Veri minimizasyonu "her zaman mümkün olan en az veriyi göster" demek değildir. Veriyi, belirli amaç için yeterli ve gerekli olanla sınırlamak demektir. [1]

Bu ayrım önemlidir.

Platform bir uzmanın tam adını saklıyor ancak profili görüntüleyen kişiye göstermiyorsa, platform bu veriyi hâlâ işlemektedir. GDPR işlemi geniş tanımlar ve toplama, saklama, erişme, kullanma ve açıklamayı da kapsar. [1]

Bilgiyi gizlemek, belirli alıcılara yönelik erişilebilirliği azaltabilir. Erişilebilirlik, Madde 25(2)'de açıkça sayılan boyutlardan biridir. Ancak bu, verinin hiç işlenmediği anlamına gelmez. [1]

İyi bir mahremiyet mimarisi üç ayrı soruya yanıt vermelidir:

• platform hangi verileri tutuyor,
• kim erişebiliyor,
• hangi amaçla ve ne zaman başka bir tarafa açıklanabiliyor.

Takma ad kullanma ile anonimleştirme aynı şey değildir.

Avrupa Veri Koruma Kurulu, takma ad kullanmanın verinin belirli bir kişiyle bağını zayıflattığını ancak bu bağı tamamen koparmadığını açıklar. Ek bilgilerle tekrar kişiye bağlanabilen takma kimlikli veriler hâlâ kişisel veridir. [4]

Bu nedenle gerçek kimliği ayrı tutulan "Uzman 184" adlı bir profil hukuken otomatik olarak anonim hâle gelmez.

Takma kimlik kullanımı bir koruma tedbiridir; veriyi GDPR kapsamı dışına çıkarma yöntemi değildir.

GDPR burada sıkça aşırı basitleştirilen önemli bir ayrım yapar.

51 numaralı gerekçe, fotoğrafların sistematik olarak özel nitelikli veri sayılmaması gerektiğini belirtir. Bir fotoğraf, kişinin tekil biçimde tanınmasını veya doğrulanmasını sağlayan özel teknik işlemlerden geçtiğinde ilgili biyometrik veri tanımına girer. [1]

Bu, sıradan bir fotoğrafın kişisel veri olamayacağı anlamına gelmez. Olabilir. Yalnızca bir fotoğrafın, bir insanı göstermesi nedeniyle otomatik olarak özel nitelikli biyometrik veri hâline gelmediği anlamına gelir.

Anonim iş başvurularına ilişkin araştırmalar, kimlik bilgisinin sınırlandırılmasının bazı koşullarda ilk elemedeki ayrımcı engelleri azaltabileceğini gösteriyor. Bununla birlikte sonuçlar bağlama bağlıdır ve anonimlik ayrımcılığı yalnızca sonraki aşamaya taşıyabilir veya istenmeyen etkiler yaratabilir. [6]

Bu nedenle şu ifade doğru değildir:

"adı ve fotoğrafı gizlemek önyargıyı ortadan kaldırır".

Kanıtlarla daha uyumlu ifade şudur:

"bazı kimlik bilgilerinin sınırlandırılması ilk aşamanın mesleki ölçütlere odaklanmasına yardımcı olabilir, ancak tek başına tarafsız veya daha iyi bir karar garanti etmez".

OECD, skills-first yaklaşımını temel değerlendirme ölçütünü kişinin gösterebildiği becerilere kaydırmak olarak tanımlar; nitelikler ve deneyim ise tamamlayıcı rol oynar. OECD ayrıca önyargıyı bilinçli biçimde azaltma ve uygun değerlendirme yöntemleri kullanma gereğini vurgular. [5]

Bu, OECD'nin uzman platformlarında belirli profil alanlarının gizlenmesini önerdiği anlamına gelmez.

Yine de temkinli bir tasarım sonucu çıkarılabilir:

ilk aşamanın amacı belirli bir işi yapabilme kapasitesini değerlendirmekse, beceri ve bu becerilerin kanıtları bazı kimlik bilgilerinden daha önemli olabilir.

Önce şunları tanımlayın:

• çözülecek problem,
• yapılacak görevler,
• vazgeçilmez beceriler,
• önemli olacak iş kanıtları,
• zaman, bütçe ve çalışma biçimi kısıtları.

Bu aşamada belirli bir uzman hakkında hiçbir veriye ihtiyacınız yoktur.

Metodolojik olarak da önemlidir: ölçütler, değerlendirilecek kişileri görmeden önce oluşturulur.

İlk profil değerlendirmesi için şu bilgiler yeterli olabilir:

• gerekli beceriler,
• hangi bağlamda kullanıldıkları,
• iş örnekleri veya sonuçları,
• gerçek katkının açıklaması,
• sorumluluk düzeyi,
• deneyimin güncelliği,
• kanıtların bir kısmını doğrulama imkânı.

Ad, fotoğraf veya ayrıntılı çalışma geçmişi belirli işi yapma kapasitesini anlamaya yardımcı olmuyorsa bu aşamada kullanılmaması düşünülebilir.

Bu bir tasarım kararıdır, evrensel bir hukuk yükümlülüğü değildir.

Sonraki katman beceriyi kanıtlamayan ancak iş birliğinin mümkün olup olmadığını değerlendirmeye yarayan bilgileri içerebilir:

• uygunluk,
• mümkün başlangıç tarihi,
• hizmet kapsamı,
• ücretlendirme biçimi ve fiyat,
• gerekiyorsa iletişim dili,
• gerçekten önemliyse saat dilimi veya çalışma yeri,
• organizasyonel kısıtlar.

Fiyat beceri kanıtı değildir, konum da kalite ölçüsü değildir. Ancak belirli bir çalışma için önemli koşullar olabilir.

Seçenekleri azalttıktan sonra tüm profili otomatik olarak açmanız gerekmez.

Önce bir sonraki karar için hangi bilginin eksik olduğunu belirleyin.

Bu bilgi şunlardan biri olabilir:

• belirli bir projenin açıklığa kavuşturulması,
• kişinin gerçek katkısının doğrulanması,
• ek bir iş örneği,
• kısa listedeki herkese sorulan aynı soruya yanıt,
• gerçekten gerekli bir mesleki yetkinin doğrulanması.

Eksik bilgi doğrudan daha düşük puana değil, belirli bir soruya yol açmalıdır.

Kimliğin açıklanacağı an her durumda aynı olmak zorunda değildir.

Örneğin taraflar:

• doğrudan görüşmeye geçmek,
• belirtilen yazarlık veya deneyimi belirli bir kaynaktan doğrulamak,
• kişiye bağlı gerekli bir yetkiyi kontrol etmek,
• resmi bir çalışma ilişkisi hazırlamak

istediklerinde kimlik gerekli hâle gelebilir.

Adın belirli sayıda aşamadan sonra açıklanmasını zorunlu kılan evrensel bir hukuk kuralı yoktur.

Yararlı ölçüt, o bilgi olmadan makul biçimde gerçekleştirilemeyecek belirli bir amacın ortaya çıkmasıdır.

Taraflar gerçekten birlikte çalışmaya başladığında gerekli bilgi kapsamı artabilir.

İlişkinin türüne, yargı alanına ve tarafların yükümlülüklerine göre veriler şu amaçlarla gerekli olabilir:

• sözleşme kurmak veya uygulamak,
• operasyonel iletişim,
• faturalama ve ödeme,
• vergi veya muhasebe yükümlülükleri,
• kanunen gerekli veya hizmetin niteliğiyle haklı görülen doğrulamalar.

Her proje aynı veri setini gerektirmez. Düzenlemeye tabi sektörler veya özel hukuki yükümlülükler çok daha fazlasını gerektirebilir.

Bu makale belirli bir ilişkinin hukuki analizinin yerini tutmaz.

Veri minimizasyonu veri toplandığında bitmez.

GDPR Madde 25(2), varsayılan veri korumasını işlemenin kapsamı, saklama süresi ve erişilebilirlikle de ilişkilendirir. [1]

Bir aşama sona erdiğinde yeniden sorun:

• bu bilgi hâlâ gerekli mi,
• kim erişmeye devam etmeli,
• saklama için hukuki bir neden var mı,
• görünürlük azaltılabilir mi,
• ne zaman silinmeli veya yeniden gözden geçirilmeli.

Bir bilginin dün gerekli olması, süresiz olarak erişilebilir kalması gerektiği anlamına gelmez.

Yeni bir bilgi açıklamadan önce beş soruluk basit bir test kullanın:

1. Bu bilginin tam amacı nedir?
2. Karar bu bilgi olmadan makul biçimde verilebilir mi?
3. Daha az ayrıntılı bir sürüm yeterli olur mu?
4. Bunu gerçekten kim görmeli?
5. Ne kadar süre erişilebilir kalmalı?

Örnek: yalnızca belirli saatlerde çalışmanın mümkün olup olmadığını bilmeniz gerekiyorsa uzmanın açık ev adresi genellikle bu soruyu doğrudan yanıtlamaz. Saat dilimi veya belirtilen çalışma saatleri yeterli olabilir.

Bu bir hukuk testi değildir. Bilgi ile amaç arasındaki orantıyı kontrol etmeye yarayan pratik bir araçtır.

Mahremiyet, eksik bilgiyi varsayımlarla değiştirerek karar kalitesini düşürmemelidir.

Değerlendirme için belirli bir mesleki bilgiye ihtiyacınız varsa üç makul seçeneğiniz vardır:

• uygun aşamada istemek,
• aynı soruyu yanıtlayan alternatif kanıt kullanmak,
• henüz karar için yeterli dayanak olmadığını kabul etmek.

Şu çıkarım doğru değildir:

"bu bilgiyi göremiyorum, o hâlde sonuç kötü olmalı".

Eksik veri ile olumsuz kanıt farklı şeylerdir.

Her iç sistem kullanıcısı baştan itibaren tüm verileri görebiliyorsa aşamalı açıklamanın değeri sınırlıdır.

GDPR Madde 25(2), erişilebilirliği varsayılan veri korumasının açık boyutlarından biri olarak sayar. [1] Avrupa Veri Koruma Kurulu'nun tasarım yoluyla ve varsayılan veri koruması rehberi bu ilkelerin uygun teknik ve organizasyonel tedbirlerle uygulanmasını açıklar. [3]

Pratikte ayırın:

• platformun hesabı işletmek için ihtiyaç duyduğu veriler,
• herkese açık görünen veriler,
• yalnızca seçilen tarafa görünen veriler,
• çalışan veya yöneticilerin yalnızca belirli bir amaçla eriştiği veriler.

Arayüz mahremiyeti, buna karşılık gelen veri erişim kontrolü olmadan eksiktir.

Bir kuruluşun web sitesinin erişilebilirliğini değerlendirecek bir uzman aradığını varsayalım.

Birinci aşama
Beceriler, benzer denetim deneyimi, örnek raporlar, sorumluluk kapsamı ve gerekli standartlara hâkimiyet karşılaştırılır. Bu soruların her biri için ad ve fotoğraf gerekli değildir.

İkinci aşama
Gerekli dönemde uygunluk, fiyat, iletişim dili ve istenen çalışma modeline uygunluk kontrol edilir.

Üçüncü aşama
Kısa listedekilerden yöntem açıklaması ve seçili deneyim unsurlarının doğrulanması istenir.

Dördüncü aşama
Doğrudan görüşme veya resmi çalışma öncesinde taraflar kimlik, iletişim ve ilişkinin resmileştirilmesi için gerekli bilgileri açıklar.

Bu sıra her durumda en iyisidir demek değildir. Yalnızca farklı kararların farklı bilgi katmanlarına ihtiyaç duyabileceğini gösterir.

1. Veriyi müşteriden gizlersiniz ancak içeride herkes erişmeye devam eder.

2. Platform profili kolayca belirli bir kişiye bağlayabildiği hâlde profile anonim dersiniz.

3. Güvenli veya hukuka uygun bir karar için gerçekten gerekli bilgiyi gizlersiniz.

4. Kimlik açıklamasını belirli bir süreç ihtiyacına yanıt yerine ödül gibi görürsünüz.

5. Adı gizlemenin önyargıyı otomatik olarak ortadan kaldırdığını varsayarsınız.

6. Belirlenmiş amaç olmadan "belki lazım olur" diye veri toplarsınız.

7. Beceri değerlendirme verileri ile sözleşme veya ödeme için gereken verileri ayırmazsınız.

8. Aşama bittikten sonra verinin hâlâ erişilebilir olması gerekip gerekmediğini yeniden değerlendirmezsiniz.

1. Her bilginin tam amacı nedir?
2. Amaç bu bilgi olmadan gerçekleştirilebilir mi?
3. Daha az ayrıntılı bir sürüm yeterli mi?
4. Veri beceri değerlendirmesi için mi, yoksa yalnızca sonraki çalışma için mi gerekli?
5. Mevcut aşamada kim görmeli?
6. Profil gerçekten anonim mi, yoksa yalnızca takma kimlikli mi?
7. Eksik bilgi olumsuz sonuçtan doğru biçimde ayrılıyor mu?
8. Tüm uzmanlar karşılaştırılabilir ölçütlerle mi değerlendiriliyor?
9. Kimliği açıklamak için belirli bir süreç nedeni var mı?
10. Daha sonraki aşamada sözleşme, vergi, güvenlik veya hukuk nedeniyle yeni veri gerekiyor mu?
11. İç erişim gerçekten ihtiyacı olan kişilerle mi sınırlı?
12. Verinin ne zaman artık gerekmeyeceği veya ihtiyacın ne zaman yeniden değerlendirileceği açık mı?

Veri minimizasyonu bilgi olmadan karar vermek değildir.

Soruları ayırmaktır:

şimdi neyi bilmem gerekiyor?
neyi daha sonra doğrulayabilirim?
bunu kim görmeli?
bu bilgi ne kadar süre gerekli?

Pratik bir uzman seçimi sırası şöyle olabilir:

problem -> beceriler -> kanıtlar -> çalışma koşulları -> eksik bilgi -> kimlik -> resmileştirme için gerekli veriler -> erişim ve saklamanın yeniden değerlendirilmesi.

Her durum tam olarak bu sırayı gerektirmez.

Daha basit ilke şudur:

veriyi, sistem toplayabildiği veya gösterebildiği için değil, açıkça tanımlanmış bir amaç için gerekli olduğu için açıklayın ve işleyin.

[1] Regulation (EU) 2016/679 - GDPR, özellikle Madde 4, 5 ve 25 ile Gerekçe 39 ve 51, EUR-Lex
Kaynağı aç

[2] European Commission - What data can we process and under which conditions?
Kaynağı aç

[3] European Data Protection Board - Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, 20 Ekim 2020 tarihli nihai sürüm
Kaynağı aç

[4] European Data Protection Board - Anonymisation / pseudonymisation
Kaynağı aç

[5] OECD - A Skills-First Labour Market, Promoting skills-first hiring and talent management, 2026
Kaynağı aç

[6] IZA World of Labour - Anonymous job applications and hiring discrimination
Kaynağı aç

Metodoloji notu: kaynaklar veri koruma hukuku, mahremiyet tasarımı, iş gücü piyasası ve anonim işe alım araştırmaları gibi farklı alanları kapsar. Bu makale işe alım araştırmalarının sonuçlarının her uzman ilişkisine doğrudan uygulanabileceğini iddia etmez. Mesleki verilerin aşamalı açıklanması modeli pratik bir sentezdir; yukarıdaki kurumlardan herhangi birinin resmi standardı değildir.