Çalışan Verileri, Kamera ile İzleme ve Kurumsal E-posta Denetimi

1. Konunun Genel Çerçevesi

İş ilişkisi, işverenin çalışanlara ait çok sayıda kişisel veriyi işlemesini zorunlu kılmaktadır. Kimlik ve iletişim bilgileri, bordro verileri, performans değerlendirmeleri, sağlık raporları, giriş-çıkış kayıtları, kamera görüntüleri ve kurumsal e-posta yazışmaları bunlardan yalnızca bir kısmıdır. İşveren, bir yandan işletmenin güvenliğini ve iş disiplinini sağlamak, diğer yandan çalışanın özel hayatına ve haberleşme özgürlüğüne saygı göstermek durumundadır.

Bu dengenin kurulmasında belirleyici olan; işlemenin hukuki bir sebebe dayanması, amaçla bağlantılı ve ölçülü olması ve çalışanların önceden açık ve anlaşılır biçimde bilgilendirilmesidir.

2. Hukuki Dayanak

• Anayasa m.20 (özel hayatın gizliliği) ve Anayasa m.22 (haberleşme hürriyeti)
• KVKK m.4 (genel ilkeler), KVKK m.5 (kişisel verilerin işlenme şartları), KVKK m.6 (özel nitelikli kişisel veriler), KVKK m.10 (aydınlatma yükümlülüğü), KVKK m.12 (veri güvenliği)
• 4857 s. İK m.75 (işçi özlük dosyası ve işverenin sır saklama yükümlülüğü)
• TBK m.419 (işçinin kişisel verilerinin kullanılması) ve TBK m.417 (işçinin kişiliğinin korunması)
• TCK m.132 (haberleşmenin gizliliğini ihlal), TCK m.134 (özel hayatın gizliliğini ihlal), TCK m.135 (kişisel verilerin kaydedilmesi)

3. Kanundaki Düzenleme

Hukuki Sebep Seçimi

Çalışan verilerinin büyük bölümü, açık rızaya gerek olmaksızın KVKK m.5 kapsamındaki diğer şartlara dayanılarak işlenebilmektedir. İş sözleşmesinin kurulması ve ifası, işverenin hukuki yükümlülüğünü yerine getirmesi (bordro, SGK bildirimleri, iş sağlığı ve güvenliği) ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla işverenin meşru menfaati bu şartların başında gelmektedir. İş ilişkisindeki güç dengesizliği nedeniyle, açık rızanın serbest iradeye dayandığının ispatı güçleşebilmektedir. Bu sebeple açık rıza, başka bir şartın bulunmadığı durumlar için saklı tutulmalıdır.

Sağlık Verileri

Sağlık raporları ve işyeri hekimi kayıtları özel nitelikli kişisel veridir. 7499 sayılı Kanun ile değişen KVKK m.6, açık rıza dışında bazı işleme şartları öngörmektedir. Bunlar arasında iş, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olan işlemeler de bulunmaktadır. Özel nitelikli verilerde Kurul'un belirlediği ek güvenlik önlemlerinin alınması gerekmektedir.

Kamera ile İzleme

Kamera ile izleme; işyeri güvenliği, hırsızlığın önlenmesi veya iş sağlığı ve güvenliği gibi meşru amaçlarla yapılabilmektedir. Ancak tuvalet, soyunma odası, duş ve dinlenme alanları gibi mahremiyet beklentisinin yüksek olduğu yerlerde izleme yapılması ölçülülük ilkesiyle bağdaşmamaktadır. Ses kaydı alınması, görüntü kaydına göre çok daha ağır bir müdahale niteliği taşımaktadır ve ancak istisnai durumlarda değerlendirilebilmektedir.

Kurumsal E-posta ve Bilgisayar Denetimi

Kurumsal e-posta hesabı ve işverene ait cihazlar iş amacıyla tahsis edilmektedir. İşveren, önceden duyurduğu ve çalışanın bilgisine sunduğu bir kullanım politikası çerçevesinde bu araçları denetleyebilmektedir. Denetimin kapsamı; amaçla sınırlı, kademeli ve kişisel yazışmaların içeriğine mümkün olduğunca girmeyecek biçimde kurgulanmalıdır. Kişisel e-posta hesaplarına, sosyal medya hesaplarına veya şifrelerine erişim sağlanması hukuka aykırılık oluşturabilmektedir.

4. Uygulamada Süreç

1. Envanter çıkarılması: İşe alımdan ayrılışa kadar tüm çalışan veri süreçleri listelenmekte ve her biri için hukuki sebep belirlenmektedir.
2. Çalışan aydınlatma metni: KVKK m.10 kapsamında; veri sorumlusunun kimliği, işleme amaçları, aktarım yapılan alıcılar, toplama yöntemi, hukuki sebep ve ilgili kişi hakları çalışana bildirilmektedir. İmza ile teslim, ispat bakımından önem taşımaktadır.
3. Kamera politikası: Kameraların konumu, kayıt süresi, görüntülere erişim yetkisi olan kişiler ve saklama süresi yazılı hâle getirilmektedir. Kamera bulunan alanlara bilgilendirme yazıları asılmaktadır.
4. Bilgi güvenliği ve e-posta politikası: Kurumsal araçların kişisel kullanım sınırları, denetimin hangi hâllerde ve kim tarafından yapılacağı açıkça belirtilmektedir.
5. Erişim yetkilendirmesi: Özlük dosyasına, sağlık verilerine ve kamera kayıtlarına erişim, görev gereği ihtiyaç duyan sınırlı sayıda kişiye tanınmaktadır.
6. Saklama ve imha: Çalışan ayrıldıktan sonra hangi verilerin ne süreyle saklanacağı, iş ve sosyal güvenlik mevzuatındaki yükümlülükler ile zamanaşımı süreleri dikkate alınarak belirlenmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

Çalışan, kişisel verilerine ilişkin taleplerini önce işverene KVKK m.13 kapsamında iletmekte; cevap alamaması veya cevabı yetersiz bulması hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilmektedir. Kurul'un verdiği idari para cezalarına karşı idare mahkemesinde dava açılabilmektedir.

Hukuka aykırı izleme nedeniyle tazminat talepleri ve iş sözleşmesinin feshinden doğan uyuşmazlıklar iş mahkemesinde görülmektedir. İş mahkemesinde dava açılmadan önce, 7036 s. Kanun m.3 uyarınca kural olarak arabulucuya başvurulması dava şartıdır. İş davalarında yetkili mahkeme, davalının yerleşim yeri veya işin yapıldığı yer mahkemesidir. Suç şüphesi bulunan durumlarda Cumhuriyet başsavcılığına şikâyette bulunulabilmekte; kovuşturma aşamasında kural olarak asliye ceza mahkemesi görevli olmaktadır.

6. Süreler ve Dikkat Edilecek Hususlar

• Çalışanın veri sorumlusuna yaptığı başvuru, KVKK m.13 uyarınca en geç 30 gün içinde cevaplanmalıdır.
• Kamera kayıtlarının saklama süresi, amaca uygun ve sınırlı tutulmalıdır. Süresiz saklama ölçülülük ilkesine aykırılık oluşturabilmektedir.
• Hukuka aykırı yollarla elde edilen kayıtların, iş davasında veya ceza yargılamasında delil olarak değerlendirilip değerlendirilemeyeceği tartışma konusu olabilmektedir.
• Çalışanlara ait verilerin yurt dışındaki bir grup şirketine veya bulut hizmet sağlayıcısına aktarılması, KVKK m.9 şartlarına tabidir.
• İşveren, işçinin kişisel verilerini ancak işe yatkınlığıyla ilgili veya iş sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilmektedir (TBK m.419).
• Fesih bildiriminde kamera görüntüsüne veya e-posta incelemesine dayanılacaksa, bu kayıtların elde ediliş biçimi önceden hukuki açıdan değerlendirilmelidir.

7. Sonuç

Çalışan verilerinin işlenmesi, iş hukuku ile kişisel verilerin korunması hukukunun kesiştiği hassas bir alandır. Yazılı politikalar, şeffaf aydınlatma ve ölçülü denetim, hem işletmenin güvenlik ihtiyacını hem de çalışanın temel haklarını birlikte gözetmeyi mümkün kılmaktadır. İzleme uygulamalarının kapsamı, işyerinin niteliğine ve risk durumuna göre farklılık göstermektedir.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu