İşyerinde Kişisel Verilerin Korunması 2026: Çalışan Verileri, Kamera ve E-Posta Denetimi, VERBİS ve İdari Para Cezaları (6698)

Özlük dosyası, bordro, kamera kaydı, giriş-çıkış verisi, kurumsal e-posta, araç takip sistemi: bir işyerinde işlenen çalışan verisi sanılandan çok daha geniştir ve hepsi 6698 sayılı Kanun kapsamındadır. İşverenin yükümlülükleri aydınlatmayla başlar, VERBİS kaydı ve veri güvenliğiyle devam eder; ihlal hâlinde idari para cezası ve tazminat gündeme gelir. Bu rehber, tabloyu mevzuat maddeleriyle anlatır. Ankara’daki dosyanız için bize 0554 648 37 15 numarasından ulaşabilirsiniz.

İşveren neden veri sorumlusudur?

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişiyi veri sorumlusu olarak tanımlar. İşveren, çalışanına ait verileri hangi amaçla ve nasıl işleyeceğine kendisi karar verdiği için veri sorumlusudur. Bordro işlemlerini bir muhasebe firmasına yaptırması ya da bulut hizmeti kullanması bu sıfatı değiştirmez; bu kuruluşlar veri işleyen konumundadır ve işverenin sorumluluğu devam eder.

Bu ayrımın pratik sonucu, sorumluluğun dışarıya devredilemeyeceğidir. Muhasebeciden ya da yazılım sağlayıcısından kaynaklanan bir ihlalde de çalışan, talebini işverene yöneltebilir; işveren ödediği tazminatı sözleşmeye dayanarak veri işleyene rücu eder. Bu nedenle veri işleyenlerle yapılan sözleşmelerde gizlilik, güvenlik tedbirleri ve ihlal bildirimi yükümlülüklerinin açıkça düzenlenmesi gerekir. Veri sorumlusu ile veri işleyen ayrımını veri sorumlusu ve veri işleyen kimdir yazımızda ele aldık.

Hangi hukuki sebeple işlenir? Açık rıza tuzağı

İşyeri uygulamalarında en sık yapılan hata, her veri işleme faaliyeti için çalışandan açık rıza alınmasıdır. Oysa Kanun’un 5. maddesi, açık rıza dışında da işleme şartları öngörür: kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması bunlar arasındadır.

Çalışan bakımından açık rızanın sorunu, iş ilişkisindeki bağımlılıktır: işini kaybetme endişesiyle verilen rıza, özgür iradeye dayanmadığı gerekçesiyle geçersiz sayılabilir. Bu nedenle bordro, SGK bildirimi, özlük dosyası gibi kanuni yükümlülüğe dayanan işlemeler için rıza aranmaz; rıza almak, işlemeyi hukuka uygun hâle getirmediği gibi rızanın geri alınması hâlinde faaliyeti dayanaksız bırakır. Doğru yaklaşım, her faaliyet için 5. maddedeki uygun şartın belirlenmesi ve yalnızca başka dayanağı bulunmayan işlemelerde açık rızaya başvurulmasıdır. İşleme şartlarını kişisel veri işleme şartları ve açık rıza yazımızda ayrıntılı anlattık.

Çalışan verilerinin haritası

Tablodaki son satır önemlidir: giriş-çıkış takibi kartlı sistemle sağlanabiliyorsa, parmak izi gibi biyometrik veri işlenmesi ölçülülük ilkesine aykırı sayılır. Kurul kararlarında bu yaklaşım istikrarlıdır. Aynı ilke kamera ve e-posta denetiminde de geçerlidir: amaca ulaşmak için en az müdahaleci yöntem seçilmelidir.

Aydınlatma yükümlülüğü (m.10)

İşveren, çalışan verilerini işlemeye başlamadan önce aydınlatma yükümlülüğünü yerine getirmek zorundadır. Aydınlatma metninde veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin 11. maddede sayılan hakları yer alır.

Aydınlatma, açık rızadan ayrı bir yükümlülüktür ve rıza alınmadığı hâllerde de zorunludur. Uygulamada sık yapılan hata, aydınlatma metni ile rıza beyanının tek bir belgede ve tek imzayla birleştirilmesidir; bu, rızanın açık ve ayrı olması gerekliliğine aykırıdır. Doğru uygulama, aydınlatma metninin ayrı bir belge olarak verilmesi ve tebliğ edildiğinin belgelenmesidir. İşe alım sürecinde aday çalışanlar bakımından da aydınlatma yapılmalı, işe alınmayan adayların verileri belirlenen süre sonunda imha edilmelidir. Aydınlatma metninin nasıl hazırlanacağını aydınlatma yükümlülüğü ve aydınlatma metni yazımızda ele aldık.

VERBİS kaydı (m.16)

Kanun’un 16. maddesi, kişisel veri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını zorunlu kılar. Kurul, işlenen verinin niteliği, sayısı, faaliyetin kanundan kaynaklanması ya da üçüncü kişilere aktarılma durumu gibi ölçütlerle bazı veri sorumluları için istisna öngörebilir; yıllık çalışan sayısı ve mali bilanço büyüklüğü eşiklerinin altında kalan ve ana faaliyeti özel nitelikli veri işleme olmayan kuruluşlar bu kapsamda değerlendirilir.

Kayıt, veri kategorileri, işleme amaçları, aktarım yapılan taraflar, saklama süreleri ve alınan güvenlik tedbirlerinin bildirilmesini içerir. VERBİS kaydı bir formalite değildir: bildirilen bilgilerle fiilî uygulamanın örtüşmesi gerekir, aksi hâlde denetimde aykırılık tespit edilir. Kayıt yükümlülüğüne aykırılık, Kanun’un 18. maddesi uyarınca idari para cezasına tabidir. Kayıtla birlikte kişisel veri işleme envanteri hazırlanması da beklenir; envanter, hangi verinin hangi amaçla, hangi dayanakla işlendiğini ve ne kadar saklanacağını gösteren temel belgedir.

İşe alım süreci ve aday verileri

Veri işleme, iş sözleşmesi kurulmadan çok önce başlar. Özgeçmiş toplanması, referans araştırması, mülakat notları ve değerlendirme testleri birer veri işleme faaliyetidir ve aday bakımından da aydınlatma yükümlülüğü doğar. İşe alınmayan adayların verilerinin süresiz saklanması hukuka aykırıdır; makul bir süre belirlenmeli ve süre dolduğunda imha edilmelidir. Adayın verilerinin ileriki pozisyonlar için havuzda tutulması isteniyorsa bu, ayrı bir amaç oluşturur ve ayrıca dayanağının belirlenmesi gerekir.

Referans araştırması özel bir dikkat gerektirir: adayın önceki işvereniyle iletişime geçilmesi, adayın bilgisi dışında yapıldığında hem aydınlatma yükümlülüğünün ihlali hem de hukuka aykırı işleme oluşturabilir. Aynı şekilde adayın sosyal medya hesaplarının incelenmesi, iş ile ilgisi kurulamayan verilerin işlenmesi sonucunu doğurduğunda ölçülülüğe aykırı sayılır. Sağlık durumu, sabıka kaydı ve benzeri bilgiler ise ancak işin niteliğinin zorunlu kıldığı ve mevzuatın izin verdiği hâllerde istenebilir; genel bir uygulama olarak her adaydan talep edilmesi aykırılık oluşturur. İşe alım aşamasında toplanan verilerin, işe giren adaylar bakımından özlük dosyasına aktarılması hâlinde saklama süresi yeniden belirlenmelidir.

Yurt dışına aktarım ve bulut hizmetleri

Bordro, insan kaynakları ve iletişim yazılımlarının önemli bölümü sunucuları yurt dışında bulunan hizmetlerdir; bu, çalışan verilerinin yurt dışına aktarılması anlamına gelir. Kanun, yurt dışına aktarımı özel şartlara bağlar: aktarımın yapılacağı ülkenin yeterli korumaya sahip olması, yeterli koruma bulunmuyorsa tarafların yeterli korumayı yazılı olarak taahhüt etmesi ve gerekli hâllerde Kurul izni aranır. Mevzuattaki güncel düzenlemeler, standart sözleşme, bağlayıcı şirket kuralları ve taahhütname gibi araçları da öngörür.

Uygulamada işverenlerin en sık gözden kaçırdığı nokta, kullandıkları yazılımın veri saklama yerinin bilinmemesidir. Bu nedenle uyum çalışmasının bir parçası olarak, kullanılan tüm hizmet sağlayıcıların sunucu konumları ve aktarım mekanizmaları listelenmelidir. Ayrıca aydınlatma metninde yurt dışına aktarım yapılıp yapılmadığının açıkça belirtilmesi gerekir; belirtilmemesi, aydınlatma yükümlülüğünün eksik yerine getirilmesi sayılır. Hizmet sağlayıcıyla yapılan sözleşmede, veri işleyen sıfatının, güvenlik tedbirlerinin, alt işleyen kullanımının ve ihlal bildirimi yükümlülüğünün düzenlenmesi de zorunludur; bu düzenleme yapılmadan yürütülen aktarımlar denetimde aykırılık olarak tespit edilir.

Veri güvenliği ve saklama-imha (m.12)

Kanun’un 12. maddesi veri sorumlusuna üç yükümlülük yükler: kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak. İşyerinde bu, yetkilendirme matrisi, şifreleme, log kaydı, fiziksel dosya güvenliği ve personel eğitimi gibi somut tedbirlere karşılık gelir.

İkinci ayak saklama ve imhadır: veriler, işlenme amacının gerektirdiği süre ve mevzuatta öngörülen saklama süreleriyle sınırlı olarak tutulur; süre dolduğunda silinir, yok edilir ya da anonim hâle getirilir. İş sözleşmesi sona eren çalışanın verileri kendiliğinden silinmez; zamanaşımı süreleri ve mevzuattaki saklama yükümlülükleri dikkate alınarak bir saklama ve imha politikası hazırlanması gerekir. Periyodik imha, bu politikada belirlenen aralıklarla yapılır ve kayıt altına alınır.

İdari para cezaları ve denetim süreci (m.18)

Kanun’un 18. maddesi, yükümlülüklere aykırılık hâlinde uygulanacak idari para cezalarını bentler hâlinde düzenler: aydınlatma yükümlülüğünü yerine getirmemek, veri güvenliğine ilişkin yükümlülükleri yerine getirmemek, Kurul kararlarını yerine getirmemek ve Sicile kayıt ve bildirim yükümlülüğüne aykırı davranmak ayrı ayrı cezaya bağlanmıştır. Tutarlar her yıl yeniden değerleme oranında güncellenir ve bentler arasında belirgin fark bulunur; veri güvenliği ve Kurul kararına uymama bakımından öngörülen cezalar daha yüksektir.

Denetim iki yoldan başlar: ilgili kişinin şikâyeti üzerine ya da Kurulun resen incelemesiyle. Şikâyet üzerine başlatılan incelemede Kurul, veri sorumlusundan bilgi ve belge ister; istenen bilgilerin süresinde ve eksiksiz verilmesi zorunludur. Bu aşamada sunulacak belgeler, uyum çalışmasının önceden yapılıp yapılmadığını gösterir: envanter, aydınlatma metinleri, saklama ve imha politikası, yetkilendirme kayıtları ve eğitim belgeleri. Uyum belgeleri hazır olan işletmelerde ceza, çoğu zaman alt sınırdan ya da hiç uygulanmaz; hiçbir belgesi bulunmayan işletmelerde ise aykırılık kolayca tespit edilir. Kurulun verdiği idari para cezasına karşı süresi içinde idari yargıda iptal davası açılabilir; dava süreci tahsili kendiliğinden durdurmadığından yürütmenin durdurulması talep edilmelidir.

Veri ihlali: bildirim ve sonuçları

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmek zorundadır. Kurul, bildirim için belirli bir süre öngörmüştür; sürenin aşılması ayrı bir aykırılık oluşturur. Bildirimde ihlalin ne zaman gerçekleştiği, hangi veri kategorilerini ve kaç kişiyi etkilediği, olası sonuçları ve alınan tedbirler yer alır.

İhlalin sonuçları üç katmanlıdır. Birincisi idari para cezasıdır. İkincisi, zarar gören çalışanın maddi ve manevi tazminat talebidir; kişilik haklarının ihlali hâlinde manevi tazminat gündeme gelir. Üçüncüsü cezai boyuttur: kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, yayılması ya da yok edilmemesi Türk Ceza Kanunu’nda suç olarak düzenlenmiştir. Bildirim yükümlülüğünün ayrıntısını KVKK veri ihlali bildirim yükümlülüğü yazımızda ele aldık.

Hukuka aykırı delil: veri ihlali iş davasında ne sonuç doğurur?

Çalışan verilerinin işlenmesindeki aykırılıklar yalnızca idari yaptırım doğurmaz; işveren tarafından açılan ya da işverene karşı açılan iş davalarında delil değerlendirmesini de etkiler. İşveren, çalışanın iş sözleşmesini feshederken kamera kaydına, e-posta içeriğine ya da konum verisine dayanıyorsa, bu verilerin hukuka uygun biçimde elde edilip edilmediği tartışılır. Hukuka aykırı yolla elde edilen delillerin hükme esas alınamayacağı kuralı, iş yargılamasında da geçerlidir; bu, feshin geçersizliği ve işe iade sonucunu doğurabilir.

Uygulamada belirleyici olan üç unsur vardır. Birincisi önceden bildirimdir: çalışanın hangi araçlarla ve hangi kapsamda izlendiğini önceden bilmesi gerekir; gizli izleme kural olarak hukuka aykırıdır. İkincisi ölçülülüktür: amaca ulaşmak için gerekli olandan fazla veri toplanması, delilin değerini zayıflatır. Üçüncüsü amaca bağlılıktır: güvenlik amacıyla kurulan kameranın performans denetimi için kullanılması, amaç dışı işleme oluşturur. Bu üç unsurun sağlandığı hâllerde elde edilen kayıtlar delil olarak değerlendirilebilir. Çalışan tarafından ileri sürülecek savunmanın ilk adımı, delilin elde ediliş biçimini ve dayanağını sorgulamaktır; aynı anda Kurula şikâyet yolu da açıktır ve iki süreç paralel yürütülebilir.

Çalışanın hakları ve başvuru yolu (m.11, m.13-15)

Çalışan, verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltilmesini ve silinmesini isteme ve zararın giderilmesini talep etme haklarına sahiptir. Kurula başvurudan önce veri sorumlusuna başvuru zorunludur; bu adım atlanırsa şikâyet reddedilir. Başvuru ve şikâyet dilekçesinin düzenini KVKK başvuru ve Kurula şikâyet dilekçesi örneği yazımızda gösterdik.

Çalışanın veri sorumlusuna başvuru dilekçesi örneği

Sık sorulan sorular

İşveren çalışan verisi için veri sorumlusu mudur?

Evet. İşleme amaç ve vasıtalarını belirlediği için veri sorumlusudur; muhasebe veya yazılım firması kullanması bu sıfatı değiştirmez.

Her işleme için çalışandan rıza almalı mıyım?

Hayır. Kanuni yükümlülük ve sözleşmenin ifası gibi şartlar varsa rıza aranmaz; gereksiz rıza almak faaliyeti dayanaksız bırakır.

Çalışanın rızası geçerli sayılır mı?

İş ilişkisindeki bağımlılık nedeniyle rızanın özgür iradeye dayanmadığı tartışılır; bu nedenle mümkün olduğunca diğer işleme şartlarına dayanılmalıdır.

Sağlık raporlarını nasıl işlemeliyim?

Sağlık verisi özel nitelikli veridir; m.6 şartlarına göre ve kural olarak işyeri hekimi eliyle, ek güvenlik tedbirleriyle işlenir.

İşyerine kamera koyabilir miyim?

Meşru menfaate dayanarak konulabilir; ancak soyunma odası ve dinlenme alanı gibi mahremiyet alanlarına konulamaz ve önceden bildirim yapılmalıdır.

Çalışanın kurumsal e-postasını denetleyebilir miyim?

Önceden bildirim yapılması, amacın meşru olması ve ölçülülük şartlarıyla sınırlı biçimde mümkündür; içeriğe sınırsız erişim orantısızdır.

Parmak izi ile giriş sistemi kurabilir miyim?

Biyometrik veri özel nitelikli veridir; kartlı sistem gibi daha az müdahaleci bir yöntem yeterliyse ölçülülüğe aykırı sayılır.

VERBİS’e kimler kaydolmak zorunda?

Kural olarak tüm veri sorumluları; Kurulun belirlediği eşik ve ölçütlere göre bazı kuruluşlar istisna kapsamındadır.

VERBİS kaydı yapmazsam ne olur?

Kanun’un 18. maddesi uyarınca idari para cezası uygulanır.

İşten ayrılan çalışanın verileri silinir mi?

Kendiliğinden silinmez; mevzuattaki saklama süreleri ve zamanaşımı dikkate alınarak saklanır, süre dolunca imha edilir.

Veri ihlalinde ne yapılmalı?

En kısa sürede Kurula ve ilgili kişiye bildirim yapılmalı; ihlalin kapsamı, etkilenen kişi sayısı ve alınan tedbirler belirtilmelidir.

Çalışan doğrudan Kurula şikâyet edebilir mi?

Hayır. Önce veri sorumlusuna başvuru zorunludur; bu adım atlanırsa şikâyet reddedilir.

KVKK cezasına itiraz edebilir miyim?

Evet. Kurulun idari para cezasına karşı süresi içinde idari yargıda iptal davası açılabilir; tahsil durmadığından yürütmenin durdurulması talep edilmelidir.

Kamera kaydı işten çıkarmada delil olur mu?

Önceden bildirim, ölçülülük ve amaca bağlılık sağlanmışsa değerlendirilebilir; gizli izlemeyle elde edilen kayıtlar hukuka aykırı delil sayılabilir.

İşe alınmayan adayların özgeçmişlerini saklayabilir miyim?

Süresiz saklanamaz; makul bir süre belirlenip imha edilmelidir. Havuzda tutmak ayrı bir amaçtır ve ayrıca dayanağı belirlenmelidir.

Sunucusu yurt dışında olan yazılım kullanmak aktarım sayılır mı?

Evet. Yurt dışına aktarım için mevzuattaki şartların sağlanması ve aydınlatma metninde bu durumun belirtilmesi gerekir.

Veri ihlalinden tazminat istenebilir mi?

Evet. İdari yaptırımdan bağımsız olarak maddi ve manevi tazminat talep edilebilir; kişilik hakkı ihlalinde manevi tazminat gündeme gelir.

Bu yazı genel bilgilendirme amaçlıdır; 6698 sayılı Kişisel Verilerin Korunması Kanunu m.5, 6, 10, 11, 12, 13, 16 ve 18 ile ilgili yönetmelik ve Kurul kararlarına dayanır. Eşikler ve süreler değişebilir; somut dosyanız için Hukukçular Evi Ankara ile 0554 648 37 15 numaralı telefondan iletişime geçin.