KVKK Serisi 4/5:Çalışan Verileri: Parmak İzi, Kamera ve E-Posta

Tekstil fabrikaları çok sayıda çalışanı olan işletmelerdir; dolayısıyla KVKK bakımından en yoğun veri akışı çalışan verilerinde yaşanır. İşe girişten çıkışa, özlük dosyası, sağlık raporu, mesai takibi ve kamera kayıtları farklı hukuki değerlendirmeler gerektirir.

Bu yazıda çalışan verilerinin işlenmesine ilişkin temel kuralları, Kişisel Verileri Koruma Kurulu’nun 2026 tarihli biyometrik veri ilke kararını, kamera ile izlemeyi ve kurumsal e-posta denetiminde Anayasa Mahkemesi’nin belirlediği ölçütleri ele alıyoruz.

İşveren; kimlik, iletişim, banka, eğitim, sağlık, SGK, bordro ve mesai kayıtları gibi verileri iş mevzuatının gereği olarak tutmak zorundadır. Bu veriler çoğunlukla ‘kanunda açıkça öngörülme’, ‘sözleşmenin ifası’ ve ‘hukuki yükümlülük’ şartlarına dayanarak işlenebilir; açık rızaya gerek yoktur.

• Çalışana, işe girişte çalışan aydınlatma metni verilmeli ve verildiği belgelenmelidir.

• Özlük dosyasına yalnızca amaçla bağlantılı bilgiler girmeli; ‘her ihtimale karşı’ belge toplanmamalıdır.

• Dosyaya erişim yetkisi İK ve yetkili yöneticilerle sınırlandırılmalı, erişimler kayıt altına alınmalıdır.

• Saklama süreleri İş Kanunu, SGK ve vergi mevzuatındaki süreler esas alınarak belirlenmeli; süre dolunca veriler imha edilmelidir.

• İş başvurusunda toplanan özgeçmişlerin saklama süresi belirlenmeli, işe alınmayan adayların verileri uygun sürede silinmelidir.

Sağlık raporları, işe giriş ve periyodik muayene sonuçları, engellilik durumu ve sendika üyeliği özel nitelikli verilerdir ve daha sıkı korunur.

2024 değişikliği sonrasında, istihdam ve iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, özel nitelikli verilerin işlenmesi için ayrı bir şart olarak sayılmıştır. İşe giriş muayeneleri ve periyodik sağlık kontrolleri bu şarta dayanabilir; ancak veri erişimi sınırlı ve amaca uygun olmalıdır.

Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı, 02.06.2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanmıştır. Karar, mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina gibi biyometrik verilerin işlenmesini düzenler.

Kamera ile İzleme

İşyerinde güvenlik amacıyla kamera kullanımı, kural olarak meşru menfaat veya hukuki yükümlülük gibi şartlara dayanabilir; ancak ölçülülük ilkesine uygun olmalıdır.

• Kameralar belirli bir amaca (güvenlik, hırsızlık önleme) hizmet etmeli; performans veya özel hayat izlemeye dönüşmemelidir.

• Tuvalet, soyunma ve dinlenme odaları gibi mahremiyet alanlarında kamera kullanılmamalıdır.

• Görünür uyarı levhaları ve çalışanlara yönelik aydınlatma yapılmalıdır.

• Kayıtlara erişim yetkili kişilerle sınırlandırılmalı, saklama süresi amaçla orantılı ve makul tutulmalıdır.

• Ses kaydı gibi daha müdahaleci yöntemler, ancak çok istisnai ve güçlü bir gerekçeyle gündeme gelebilir.

Kurumsal E-Posta, Telefon ve Mesajlaşma Denetimi

Anayasa Mahkemesi’nin Fırat Gerçek kararında (B. No: 2019/25604, 21.01.2021), işverenin çalışana tahsis ettiği kurumsal iletişim araçlarını denetleme yetkisinin sınırları belirlenmiştir. Buna göre denetimin hukuka uygun olabilmesi için meşru bir gerekçe bulunmalı, çalışan önceden şeffaf biçimde bilgilendirilmeli ve inceleme ölçülü olmalıdır. İletişim akışının incelenmesi ile içeriğinin incelenmesi arasında ayrım yapılmalı; içerik incelemesi daha ciddi gerekçelere dayanmalıdır.

Çalışan verilerine ilişkin uyum, yalnızca idari para cezası riskini değil, iş hukuku sonuçlarını da etkiler. Hukuka aykırı yollarla elde edilen veya aydınlatma yapılmadan işlenen verilerin, fesih gerekçesini ispat için kullanılması halinde delilin geçerliliği ve feshin haklılığı tartışma konusu olabilir.

• Çalışan aydınlatma metni, iş sözleşmesinden ayrı ve işe girişte verilmelidir.

• Biyometrik, kamera ve e-posta denetimi uygulamaları yazılı politikalara bağlanmalıdır.

• Çalışanın erişim, düzeltme ve silme talepleri için başvuru prosedürü işletilmelidir.

• Yönetici ve İK personeline KVKK eğitimi verilmeli, gizlilik taahhüdü alınmalıdır.

• Çalışan verilerinin yurt dışına (örneğin yabancı ortak veya grup şirketi) aktarımı bir sonraki yazıdaki kurallara tabidir.