DATA PROTECTION AND STRATEGIC MANAGEMENT IN HUMAN RESOURCES: A COMPARATIVE APPROACH TO KVKK AND GDPR

Öz

This study examines the effects of the Turkish Personal Data Protection Law (KVKK) and the European Union’s General Data Protection Regulation (GDPR) on human resource management (HRM) processes from a comparative perspective. The literature review reveals that research on GDPR is extensive and largely Europe-centered, whereas the implications of KVKK for HR processes in the Turkish context have received more limited attention. To address this gap, the study focuses on two main questions: (1) Which principles and practices should HR departments consider in protecting employee data? (2) How do the differences between KVKK and GDPR shape HR processes? The study is theoretically grounded in Institutional Theory and the Resource-Based View (RBV). The findings indicate that both regulations introduce common principles such as lawfulness, transparency, and data minimization, although they differ in terms of regulatory and implementation approaches. While GDPR provides more detailed regulations regarding the protection of employee data, KVKK also adopts similar fundamental principles, with the decisions and guidelines of the Personal Data Protection Authority playing an important guiding role in practice. The main implementation challenges faced by HR professionals include lack of legal knowledge, deficiencies in technical infrastructure, and limited organizational awareness. The study demonstrates that data protection should be considered not only as a legal compliance process, but also as a critical issue in terms of organizational trust, ethical governance, and strategic resource management, thereby contributing both to the academic literature and to practical policy recommendations.

Anahtar Kelimeler

• GDPR
• KVKK
• Human Resources Management

İNSAN KAYNAKLARINDA VERİ KORUMA VE STRATEJİK YÖNETİM: KVKK–GDPR KARŞILAŞTIRMALI BİR YAKLAŞIM

Öz

Bu çalışma, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (GDPR) insan kaynakları yönetimi (İK) süreçleri üzerindeki etkilerini karşılaştırmalı bir perspektifle incelemektedir. Literatür incelemesi, GDPR’a ilişkin araştırmaların Avrupa merkezli ve yoğun olduğunu; buna karşılık Türkiye bağlamında KVKK’nın İK süreçlerindeki yansımalarının daha sınırlı ölçüde ele alındığını ortaya koymaktadır. Bu boşluğu gidermek amacıyla araştırma, iki temel soruya odaklanmaktadır: (1) İnsan kaynakları departmanları, çalışan verilerinin korunmasında hangi ilkelere ve uygulamalara dikkat etmelidir? (2) KVKK ve GDPR arasındaki farklılıklar, İK süreçlerini nasıl şekillendirmektedir? Çalışma, kuramsal temelini Kurumsal Teori ve Kaynaklara Dayalı Görüş (RBV) yaklaşımlarına dayandırmaktadır. Bulgular, her iki düzenlemenin hukuka uygunluk, şeffaflık ve veri minimizasyonu gibi ortak ilkeler getirdiğini; ancak düzenleme ve uygulama yöntemleri açısından bazı farklılıklar içerdiğini göstermektedir. GDPR, çalışan verilerinin korunmasına ilişkin daha ayrıntılı düzenlemeler sunarken, KVKK da benzer temel ilkeleri benimsemekte ve uygulamada Kurul kararları ile rehberler önemli bir yönlendirici rol üstlenmektedir. İK profesyonelleri açısından öne çıkan uygulama zorlukları; hukuki bilgi eksikliği, teknik altyapı yetersizlikleri ve kurumsal farkındalık sorunlarıdır. Çalışma, veri korumanın yalnızca yasal bir uyum süreci değil, aynı zamanda örgütsel güven, etik yönetişim ve stratejik kaynak yönetimi açısından kritik bir unsur olduğunu ortaya koymakta hem akademik literatüre katkı hem de uygulamaya yönelik politika önerileri sunmaktadır.

Anahtar Kelimeler

• GDPR
• KVKK
• İnsan Kaynakları Yönetimi

Destekleyen Kurum

yoktur.

Kaynakça

1. Article 29 Data Protection Working Party. (2017). Opinion 2/2017 on data processing at work (s. 3-24) Erişim: 15 Ekim 2025, https://ec.europa.eu/newsroom/article29/items/610169
2. Barney, J. (1991). Firm resources and sustained competitive advantage. Journal of Management, 17(1), 99–120. https://doi.org/10.1177/01492063910170010
3. Baysal, U. (2021). İş hukukunda kişisel verilerin işlenmesi. Kişisel Verileri Koruma Kurumu.
4. Bygrave, L. A. (2014). Data privacy law: An international perspective. Oxford University Press.
5. Geden, A. M. ve Bensghir, T. K. (2018). Reflections from GDPR to Turkish Data Protection Act in the Context of Privacy Principles. 5th International Management Information Systems Conference, 24-26 Ekim 2018, Ankara.118-122.
6. Bodie, M. T. (2022). The law of employee data: Privacy, property, governance. Indiana Law Journal, 97(3), 707–765.
7. Bondarouk, T. ve Brewster, C. (2016). Conceptualising the future of HRM and technology research. The International Journal of Human Resource Management, 27(21), 2652–2671. https://doi.org/10.1080/09585192.2016.1232296
8. Çekin, M. S. (2020). Avrupa birliği hukukuyla mukayeseli olarak 6698 sayıilı kişisel verilerin korunması kanunu. On İki Levha Yayınları.

9. Çelik, G. G. (2025). İşverenin İşçinin Kişisel Verilerini Koruma Yükümlülüğü. Konya Barosu Dergisi, (1), 31-54.
10. Çelik, N., Caniklioğlu, N. ve Canbolat, T. (2020). İş hukuku dersleri. İstanbul: Beta Yayınları.
11. Deniz, Ö. M. (2021). İşçilerin özel nitelikli kişisel verilerinin korunması ve bundan doğan sorumluluk. Türkiye Adalet Akademisi Dergisi, 12(45), 355–378.
12. Dessler, G. (2020). Human resource management. Pearson Education.
13. DiMaggio, P. J. ve Powell, W. W. (1983). The iron cage revisited: Institutional isomorphism and collective rationality in organizational fields. American Sociological Review, 48(2), 147–160. https://doi.org/10.2307/2095101
14. European Court of Human Rights. (2017). Bărbulescu v. Romania. Strasbourg: European Court of Human Rights.
15. European Union. (2016). Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (s. 1-88) Erişim: 15 Ağustos 2025, https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
16. Gatewood, R., Feild, H. ve Barrick, M. (2010). Human resource selection. Cengage Learning.
17. Greenwood, R., Oliver, C., Lawrence, T. B. ve Meyer, R. E. (2017). The SAGE handbook of organizational institutionalism. SAGE.
18. Gürpınar, D. (2017). Kişisel verilerin korunamamasından doğan hukuki sorumluluk. Dokuz Eylül Üniversitesi Hukuk Fakültesi Dergisi, 19 (3), 679–694. https://search.trdizin.gov.tr/tr/yayin/detay/265922/kisisel-verilerin-korunamamasindan-dogan-hukuki-sorumluluk
19. İnciroğlu, E. K. ve Öğe, E. (2019). İnsan kaynakları ve bilgi işlem departmanlarının işletmelerde kişisel verilerin korunmasındaki rolü: Farklı sektörlerden örnek olay çalışmaları Uluslararası Sosyal Araştırmalar Dergisi, 65(12), 1433-1454
20. Jabrayilova, Z. (2015). Problems of Protectıon of Personal Data in Human Resource Management Systems. Problems of information society, 6(2), 22-28. https://doi.org/10.25045/jpis.v06.i2.03
21. Kaya, T. (2022). İş Görüşmeleri Sürecinde Aday İşçinin Kişisel Verilerinin Korunması. Kişisel Verileri Koruma Dergisi, 4(2), 34-47.
22. Kişisel Verilerin Korunması Kanunu [KVKK], Kanun No. 6698. (2016). Resmî Gazete, 29677, 7 Nisan 2016.
23. Kuner, C., Bygrave, L. A., Docksey, C. ve Drechsler, L. (Ed.). (2020). The EU General Data Protection Regulation (GDPR): A commentary. Oxford University Press.
24. Küzeci, E. (2010). Kişisel verilerin korunması (Yayımlanmamış doktora tezi). Ankara Üniversitesi.
25. Manav, A. E. (2015). İş ilişkisinde işçinin kişisel verilerinin korunması. Ankara Hacı Bayram Veli Üniversitesi Hukuk Fakültesi Dergisi, 19(2), 95-136.
26. Mathis, R. L., Jackson, J. H., Valentine, S. ve Meglich, P. (2016). Human resource management. Cengage Learning.
27. Martin, K., Borah, A. ve Palmatier, R. W. (2017). Data privacy: Effects on customer and firm performance. Journal of Marketing, 81(1), 36–58. https://doi.org/10.1509/jm.15.0497
28. Meyer, J. W. ve Rowan, B. (1977). Institutionalized organizations: Formal structure as myth and ceremony. American Journal of Sociology, 83(2), 340–363. https://doi.org/10.1086/226550
29. Ogriseg, C. (2017). GDPR and personal data protection in the employment context. Labour & Law Issues, 3(2), 1-24. https://doi.org/10.6092/issn.2421-2695/7573
30. Özdemir, H. (2009). Elektronik haberleşme alanında kişisel verilerin özel hukuk hükümlerine göre korunması. Seçkin Yayınları.
31. Scott, W. R. (2014). Institutions and organizations: Ideas, interests, and identities. SAGE.
32. Suchman, M. C. (1995). Managing legitimacy: Strategic and institutional approaches. Academy of Management Review, 20(3), 571–610. https://doi.org/10.5465/amr.1995.9508080331
33. Tataru, A. ve Tataru, A. (2020). Human resources and personal data protection: An indissoluble relationship. Journal of Public Administration, Finance and Law, 18, 303-311. https://doi.org/10.2139/ssrn.5316854
34. Tikkinen-Piri, C., Rohunen, A. ve Markkula, J. (2018). EU General Data Protection Regulation: Changes and implications for personal data collecting companies. Computer Law & Security Review, 34(1), 134-153. https://doi.org/10.1016/j.clsr.2017.05.015
35. Toros, F. (2025). Kişisel veri yönetimi politikalarının İnsan Kaynakları departmanı üzerindeki etkileri: Nitel bir analiz. Sosyal Mucit Academic Review, 6(1), 76–97. https://doi.org/10.54733/smar.1540596
36. Uncular, S. (2020). Teknolojinin Etkisiyle Dönüşen İş İlişkisinde Giriş Kontrol Sistemleri, Yer Belirleme Sistemleri ve Sosyal Medya Vasıtasıyla İzleme. Çalışma ve Toplum, 3(66), 1673-1700.
37. Uncular, S. (2012). İş ilişkisinde işçinin kişisel verilerinin korunması (Yayınlanmamış Yüksek lisans tezi). Galatasaray Üniversitesi.
38. Üstün, Y. ve Günal, A. (2020). İş İlişkilerinde Bazı Yaygın Uygulamaların Kişisel Verilerin Korunması Kanunu Kapsamında Değerlendirilmesi. Kişisel Verileri Koruma Dergisi, 2(2), 62-73.
39. Vargas, I., Budz, S. ve Onete, B. (2021). The relationship between human resources activities and the General Data Protection Regulation. Proceedings of the International Conference on Business Excellence, 15(1), 552–559.
40. Voigt, P. ve Von dem Bussche, A. (2017). The EU General Data Protection Regulation (GDPR): A practical guide. Cham: Springer International Publishing.
41. Zhang, B., Li, Z., Xie, K., Li, T. ve Huang, B. (2025). Research on data security and privacy protection in corporate human resource management in the digital era. Journal of Frontier in Economic and Management Research, 1(1), 402–410.