İşveren, iş ilişkisinin kurulması, yürütülmesi ve sona ermesi sırasında zorunlu olarak kişisel veri işler. Kimlik ve iletişim bilgileri, ücret, çalışma süreleri, sağlık raporları, özlük dosyası, kurumsal e-posta, giriş-çıkış kayıtları ve, kullanılıyorsa, kamera veya konum verileri bu kapsamdadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu, işvereni bu işlemler yönünden veri sorumlusu sıfatıyla bağlar. İş mevzuatındaki kayıt tutma ödevleri, Kanun’daki ilke, hukuki sebep, aydınlatma ve güvenlik kurallarını ortadan kaldırmaz.
Bu yazı, işyerinde çalışan verilerinin hangi hukuki sebeplerle işlenebileceğini, aydınlatmanın yerini, e-posta, kamera ve benzeri izleme araçlarındaki ölçülülük şartını ve özel nitelikli verilerdeki daha sıkı çerçeveyi genel olarak açıklar. Somut uygulamanın hukuka uygunluğu, işlenen verinin niteliği, izlemenin amacı ve alternatif araçların varlığı incelenerek belirlenir. Aşağıdaki bilgiler genel niteliktedir.
Kalemci Hukuk Bürosu, İzmir’de kişisel verilerin korunması ve, olayın niteliğine göre, bilişim hukuku alanındaki işleri yürütmektedir.
Hukuki sebep ve ilkeler
KVKK’nın 4 üncü maddesi, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, doğru ve güncel, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlenmesini; gerekli süre kadar saklanmasını ister. İşyerinde “ileride lazım olur” gerekçesiyle geniş bir veri havuzu tutmak, bu ilkelerle bağdaşmaz.
5 inci madde, kural olarak açık rızayı; bentlerde sayılan hâllerde ise rıza aranmaksızın işlemeyi mümkün kılar. İş ilişkisinde sık başvurulan sebepler şunlardır: iş sözleşmesinin kurulması veya ifası için gerekli işleme (m.5/2-c), işverenin hukuki yükümlülüğünü yerine getirmesinin zorunlu olması (m.5/2-ç) ve, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, işverenin meşru menfaati (m.5/2-f). 4857 sayılı İş Kanunu’nun 75 inci maddesindeki özlük dosyası, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu ile 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu’ndaki bildirim ve kayıt ödevleri, hukuki yükümlülük sebebine örnek gösterilebilir. Meşru menfaat ise, örneğin işyeri güvenliği veya malvarlığının korunması gibi amaçlarda gündeme gelebilir; ancak amaç, aracın ağırlığını haklı kılmalıdır.
Açık rıza, Kanun’un 3 üncü maddesinde, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. İş ilişkisinde rızanın özgürlüğü, özellikle işe girişin veya ücretin rızaya bağlandığı hâllerde tartışmalıdır. Elde 5 inci maddedeki başka bir sebep varken işlemenin yalnızca rızaya dayandırılması, rızanın geri alınması hâlinde işleme faaliyetinin hukuki dayanağını da zayıflatır. Rıza, aydınlatmanın yerine geçmez; 10 uncu maddedeki aydınlatma, rıza isteneceği durumlarda da önceden yapılmalıdır.
Özel nitelikli veriler ve 7499 sayılı Kanun sonrası çerçeve
Sağlık verileri, biyometrik veriler, sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler, 6 ncı maddenin birinci fıkrası uyarınca özel nitelikli kişisel veridir. Bu verilerin işlenmesi kural olarak yasaktır; ancak 6 ncı maddenin üçüncü fıkrasındaki hâllerden biri varsa ve Kurulca belirlenen yeterli önlemler alınmışsa işlenebilir.
7499 sayılı Kanun ile yenilenen 6 ncı maddenin üçüncü fıkrasının (f) bendi, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olmayı, özel nitelikli veriler yönünden ayrı bir işleme sebebi olarak tanır. Bu bent, her sağlık verisinin serbestçe işlenebileceği anlamına gelmez. Ölçü, ilgili yükümlülüğün yerine getirilmesi için “zorunlu olma”dır. İşyeri hekiminin mevzuattan kaynaklanan muayene ve kayıt ödevi bu çerçevede değerlendirilebilir.
Mesai veya çalışan devam takibi amacıyla parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik verilerin işlenmesi, Kurul’un 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile ayrıca ele alınmıştır. Karara ilişkin Kurum duyurusuna göre, işverenin çalışma sürelerini takip ve belgeleme yükümlülüğü bulunmakla birlikte, bu takibin biyometrik sistemlerle yapılmasını öngören açık bir kanun hükmü yoktur; bu nedenle işlemenin 6 ncı maddenin üçüncü fıkrasının (b) bendi anlamında “kanunlarda açıkça öngörülme”ye dayandırılması kabul edilmez. Uygulamada sıkça başvurulan açık rıza ise, iş ilişkisindeki güç dengesizliği nedeniyle özgür iradeye dayanmayabilir ve rızanın geri alınabilir olması sistemin sürekliliğiyle bağdaşmaz. Kurul, geçerli bir açık rıza bulunsa dahi, alternatif ve daha az müdahaleci yöntemler dururken mesai takibi için biyometrik veri işlenmesinin 4 üncü maddedeki ölçülülük ilkesini sağlamayacağını değerlendirmiştir. Duyuruda alternatif olarak şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi yollar gösterilmiştir. Bu hususlara uyulmaması, 12 nci madde kapsamındaki tedbir yükümlülüğü ve 18 inci madde kapsamındaki yaptırımlar yönünden değerlendirilir.
Kurum’un 27 Ağustos 2026 tarihli duyurusu, anılan İlke Kararı’nın çalışan devam (mesai) takibi amacıyla biyometrik veri işlenmesine ilişkin olduğunu; mesai takibi dışında kalan biyometrik işleme faaliyetlerinin bu İlke Kararı kapsamında değerlendirilmeyeceğini belirtir. Bu ikinci grupta hukuka uygunluk, işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak ayrıca incelenir. Duyuruda, bazı tesis ve faaliyet alanlarında biyometrik sistemlerin yalnızca mesai takibine değil, kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü gibi güvenlik süreçlerine hizmet edebileceği; bu hâlde işlemenin gerekli kritik alanlar ve kişilerle sınırlı, alternatif yöntemlerin yetersiz ve somut güvenlik ihtiyacıyla ölçülü olması gerektiği ifade edilmiştir.
Sağlık verilerinin insan kaynakları biriminde, işyeri hekimliği kayıtlarından bağımsız ve geniş erişimle tutulması, hem 6 ncı maddedeki yeterli önlem rejimini hem de 12 nci maddedeki güvenlik ödevini zorlar. Erişim yetkisi, şifreleme, ayrı saklama ve saklama süresi, bu noktada somut tedbir olarak öne çıkar.
Aydınlatma, saklama ve ilgili kişinin hakları
10 uncu madde, kişisel verilerin elde edilmesi sırasında ilgili kişinin aydınlatılmasını ister. Çalışan yönünden bu aydınlatma, işe girişte verilen genel bir metinle sınırlı kalmamalı; sonradan devreye giren kamera, kurumsal mesajlaşma, konum takibi veya arka plan sorgusu gibi yeni işleme faaliyetlerini de kapsamalıdır. Aydınlatmada en azından veri sorumlusunun kimliği, amaç, aktarım alıcıları, toplama yöntemi ile hukuki sebep ve 11 inci maddedeki haklar yer alır.
Saklama süreleri, iş ve sosyal güvenlik mevzuatındaki asgari süreler ile 4 üncü maddedeki “gerekli süre” ilkesi birlikte okunarak belirlenir. İş ilişkisinin sona ermesi, bütün verilerin derhâl silineceği anlamına gelmez; dava zamanaşımı ve kanuni saklama ödevleri devam edebilir. Tersine, amaç ortadan kalktıktan ve kanuni süre dolduktan sonra özlük ve izleme verilerinin süresiz tutulması, 7 nci maddedeki silme, yok etme veya anonim hâle getirme yükümlülüğünü gündeme getirir.
Çalışan, 11 inci madde uyarınca verilerinin işlenip işlenmediğini öğrenme, düzeltme, 7 nci madde çerçevesinde silme veya yok etmeyi isteme, münhasıran otomatik analiz sonucu aleyhine doğan sonuca itiraz etme ve kanuna aykırı işlemeden doğan zararın giderilmesini talep etme haklarına sahiptir. Başvuru, 13 üncü madde uyarınca veri sorumlusuna yöneltilir; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Bu yol tüketilmeden Kurula şikâyet, 14 üncü madde uyarınca kural olarak dinlenmez.
E-posta, kamera ve diğer izleme araçları
Kurumsal e-posta, iş araçları ve internet erişiminin işveren tarafından incelenmesi, özel hayatın gizliliği ile işverenin yönetim ve denetim yetkisinin kesiştiği alandır. Avrupa İnsan Hakları Mahkemesi’nin Bărbulescu/Romanya kararında (Büyük Daire, 5 Eylül 2017) ortaya konan ölçütler, bu dengede sıkça esas alınır: çalışanın önceden bilgilendirilmiş olması, izlemenin meşru bir amaca dayanması, daha hafif bir aracın yeterli olup olmadığı, izlemenin kapsamı ve sonuçları ile çalışan yönünden güvencelerin varlığı. Gizli ve sınırsız bir tarama, bu ölçülerle bağdaşmaz. Kurumsal hesabın “şirkete aittir” kaydı, özel hayatın bütünüyle ortadan kalktığı anlamına gelmez; özellikle özel yazışmaların veya şifreli kişisel hesapların iş cihazı üzerinden kullanılması hâlinde sınır daha da titiz çizilir.
İşyeri kameraları da aynı ölçülülük rejimine tabidir. Giriş, kasa, üretim alanı gibi, güvenlik veya üretim güvenliği amacının somutlaştığı yerlerde, önceden aydınlatma ve sınırlı saklama süresi ile görüntü alınması değerlendirilebilir. Soyunma odası, tuvalet ve benzeri mahrem alanların izlenmesi, kural olarak bu dengeyi bozar. Sürekli ses kaydı, görüntü izlemeye göre daha ağır bir müdahaledir ve ayrı, somut bir gerekçe olmadan meşrulaştırılması zordur. Araç takip (GPS) sistemleri, işin niteliği ve çalışma saatleriyle sınırlı tutulmaz, mesai dışı hareketleri de sürekli izlerse, meşru menfaat ve ölçülülük tartışması büyür.
Uzaktan çalışmada ev ortamından bağlanan cihazların, kişisel dosyaların ve ev ahalisine ait verilerin işverenin izleme yazılımına düşmesi, amaçla bağlantılı ve sınırlı işleme ilkesini özellikle zorlar. Bu tür yazılımların kapsamı, aydınlatma metninde ve iç yönergede açıkça sınırlandırılmalıdır.
İzleme verilerinin disiplin veya fesih sürecinde kullanılması, hem iş hukuku hem KVKK yönünden, verinin hukuka uygun işlenmiş ve ilgili amaçla sınırlı kalmış olmasını gerektirir. Hukuka aykırı elde edilen kaydın iş yargılamasındaki değeri, elde ediliş biçimine göre tartışmalı hâle gelir.
Güvenlik, aktarım ve yaptırım
12 nci madde, hukuka aykırı işlemeyi ve erişimi önlemek ile verilerin muhafazası için uygun teknik ve idari tedbirleri zorunlu kılar. Özlük ve sağlık verilerine geniş iç erişim, paylaşılmış parolalar, kişisel e-posta hesaplarına özlük dosyası gönderilmesi veya yurt dışındaki bir insan kaynakları yazılımına 9 uncu maddedeki güvenceler kurulmadan aktarım, bu ödevin tipik zayıf noktalarıdır. 7499 sayılı Kanun ile yenilenen yurt dışı aktarım rejiminde standart sözleşme kullanılıyorsa, imzadan itibaren beş iş günü içinde Kuruma bildirim yapılır.
18 inci madde, aydınlatma, veri güvenliği, Kurul kararlarına uyma ve —yükümlülük varsa— Sicile kayıt aykırılıkları için idari para cezası öngörür. Kanun metnindeki tutarlar her yıl yeniden değerleme ile güncellenir. Kurum’un 31 Aralık 2025’te yayımladığı 2017–2026 tablosuna göre, 2026 yılı için örneğin veri güvenliği aykırılığında aralık 256.357–17.092.242 Türk lirası, aydınlatma aykırılığında 85.437–1.709.200 Türk lirasıdır. Aynı fiil, niteliğine göre, Türk Ceza Kanunu’nun kişisel veriler ve haberleşmenin gizliliğine ilişkin hükümleri bakımından da değerlendirilebilir. İdari ve cezai süreçler birbirinin yerine geçmez.
VERBİS kaydı, eşikleri aşan işverenler için ayrıca gündemdedir. Kayıt istisnası, işyerindeki aydınlatma, güvenlik ve izleme kurallarını durdurmaz.
Sıkça sorulan sorular
İş sözleşmesinde “tüm verilerimin işlenmesine rıza gösterdim” kaydı yeterli midir? Hayır. Açık rıza belirli bir konuya ilişkin, aydınlatmaya dayalı ve özgür olmalıdır. Ayrıca birçok işleme faaliyeti, rıza yerine 5 veya 6 ncı maddedeki diğer hukuki sebeplere dayanır. Genel ve peşin bir rıza cümlesi, bu şartları kendiliğinden karşılamaz.
Kurumsal e-posta her zaman incelenebilir mi? İnceleme, önceden aydınlatma, meşru ve belirli bir amaç, ölçülülük ve daha hafif araçların yetersizliği gibi şartlarla birlikte değerlendirilir. Gizli ve sınırsız tarama, bu çerçeveyle bağdaşmaz.
Parmak izi ile mesai takibi yapılabilir mi? Kurul’un 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, mesai (devam) takibi amacıyla parmak izi, yüz tanıma ve benzeri biyometrik verilerin işlenmesinin, açık rıza bulunsa dahi 4 üncü maddedeki ölçülülük ilkesini sağlamayacağını değerlendirmiş; alternatif yöntemlerin kullanılmasını istemiştir. Mesai takibi dışındaki (örneğin kritik alan güvenliği) kullanımlar, aynı İlke Kararı’nın kapsamı dışında olup somut olaya göre ayrıca değerlendirilir.
Kamera kaydı ne kadar süre saklanır? Kanun tek bir süre yazmaz. Amaç gerçekleştikten ve varsa mevzuattaki saklama ödevi sona erdikten sonra 7 nci madde devreye girer. Güvenlik kamerası kayıtlarının yıllarca tutulması, 4 üncü maddedeki süre ilkesiyle bağdaşmayabilir.
Çalışan verileri için KVKK başvurusu nasıl yapılır? Önce 13 üncü madde uyarınca veri sorumlusuna başvurulur. Başvuru en geç otuz gün içinde sonuçlandırılır. Red, yetersiz cevap veya süresinde cevap verilmemesi hâlinde, 14 üncü maddedeki süreler içinde Kurula şikâyet yolu açılır.