Çalışan İzleme ve KVKK: Hukuki Sınırlar ve Uyum Rehberi

Çalışan İzleme ve KVKK: Hukuki Çerçeve

Günümüzde teknolojinin hızlı gelişimiyle birlikte, işletmeler çalışanlarını izlemek için çeşitli araçlar ve sistemler kullanmaktadırlar. Ancak bu uygulamalar, Kişisel Verilerin Korunması Kanunu (KVKK) tarafından belirli sınırlamalar ve kurallarla düzenlenmiştir. İş güvenliği, verimlilik artırma veya iş akışı optimizasyonu gibi meşru amaçlarla gerçekleştirilen çalışan izleme faaliyetleri, çalışanların temel hak ve özgürlüklerine saygı göstererek yapılmalıdır.

Çalışan izleme uygulamaları hakkında yanlış bilgiler veya çok gevşek uygulamalar, şirketleri ciddi hukuki riskler altına sokabilir. Veri Koruma Kurulu tarafından verilen kararlar incelendiğinde, birçok işletmenin bu konuda eksik bilgilere sahip olduğu görülmektedir. Bu rehberde, çalışan izleme faaliyetlerinde KVKK uyumluluğunun nasıl sağlanacağını detaylı şekilde ele alacağız.

Çalışan İzleme Nedir ve Hangi Formatlarda Yapılır?

Çalışan İzleme Uygulamalarının Türleri

Çalışan izleme, işletmelerin çalışanların iş performansını, üretkenliğini ve uyumluluğunu takip etmesi demektir. Bu izleme faaliyetleri çeşitli biçimlerde gerçekleştirilebilir:

• Bilgisayar ve İnternet Kullanımı Takibi: Çalışanların bilgisayarlarında hangi uygulamaları, web sitelerini ziyaret ettiklerinin kaydedilmesi
• E-posta Takibi: Gönderilen ve alınan e-postaların içeriklerinin izlenmesi
• Konum Takibi: Özellikle saha çalışanlarının GPS veya mobil cihazları aracılığıyla konum bilgilerinin takip edilmesi
• Kamera ve Video Gözetim: Çalışma alanlarında kamera sistemleriyle görüntü kaydedilmesi
• Zaman Takibi Sistemleri: Çalışanların işe giriş-çıkış saatlerinin, ot saatlerinin ve benzeri bilgilerinin kaydedilmesi
• Biyometrik Sistemler: Parmak izi, yüz tanıma gibi biyometrik verilerin kullanılması
• Çalışan Aktivite Monitörü: Klavye ve fare hareketlerinin, açık olan dosyaların takip edilmesi

Meşru İzleme Amaçları

KVKK'nın 5. maddesi uyarınca, kişisel verilerin işlenmesi ancak kanunda belirtilen amaç ve esaslar çerçevesinde mümkündür. Çalışan izlemesinin meşru amaçları şunlardır:

• İşyeri güvenliği ve kişi güvenliğinin sağlanması
• Mülkiyet hakkının korunması
• Verimlilik ölçümü ve iş akışı optimizasyonu
• İş sağlığı ve güvenliği düzenlemelerine uyum
• Mesleki disiplin ve iş düzeni
• Yasal yükümlülüklerin yerine getirilmesi
• Sahtekarlık ve hukuksuz faaliyetlerin tespiti

KVKK Uyarınca Çalışan İzlemede Yasal Çerçeve

KVKK'nın İlgili Maddeleri

KVKK'nın 6. maddesi kişisel verilerin işlenebilmesi için hukuki ve meşru bir dayanağın olması gerektiğini belirtir. Çalışan izleme söz konusu olduğunda, bu hukuki dayanak genellikle iş sözleşmesi veya işletmenin meşru menfaatidir. Ancak her durumda, izleme yapılmadan önce çalışanın bilgilendirilmesi ve mümkün olduğunca rızasının alınması gerekmektedir.

KVKK'nın 11. maddesi ise veri işleyen kişi ve veri sorumlusu ilişkisini tanımlamaktadır. İşletme, çalışan izleme için üçüncü taraf yazılım veya hizmet sağlayıcılarını kullanıyorsa, bu sağlayıcılarla veri işleme sözleşmesi imzalanmalıdır. Sözleşme, veri güvenliğine ilişkin tüm şartları içermelidir.

Açıklık ve Şeffaflık Prensibi

KVKK'nın önemli ilkelerinden biri açıklık ve şeffaflık prensibidır. Bu prensip uyarınca, işletmenin çalışanlarına şu bilgileri vermesi zorunludur:

• Hangi verilerin toplandığı
• Verilerin ne amaçla kullanılacağı
• Verilerin kimlerle paylaşılacağı
• Verilerin ne kadar süre saklı tutulacağı
• Çalışanların sahip olduğu haklarla ilgili bilgiler (erişim, düzeltme, silme vb.)
• İzleme sisteminin teknik özellikleri

Bu bilgilendirme, çalışanın işe başlama anında yapılmalıdır. Mevcut çalışanlara yeni bir izleme sistemi uygulanacaksa, sistemi kullanmaya başlamadan önce yeterli bilgilendirilme yapılmalıdır.

Veri Koruma Kurulu'nun Çalışan İzlemesine İlişkin Kararları

Önemli Kurul Kararlarından Örnekler

Türkiye Veri Koruma Kurulu, çalışan izlemesine ilişkin çok sayıda karar vermiştir. Bu kararlar, pratik uygulamalar hakkında önemli rehberlik sağlamaktadır.

Karar Örneği 1 - Kamera Gözetimi: Kurul, işyerinin giriş-çıkış kapılarına, ortak alanlara ve depoyu kameralarla izlemenin meşru olduğunu; ancak tuvalet, duş ve benzeri özel kullanım alanlarına kamera yerleştirmenin kesinlikle yasak olduğunu açıklamıştır. İşyerinin özel alanlarında bile kamera kullanımında çalışanların özel hayatlarına saygı gösterilmelidir.

Karar Örneği 2 - E-posta Takibi: Kurul, şirketin e-posta sisteminin sadece iş amaçlı kullanım için olduğu durumlarda, e-posta içeriklerinin izlenebileceğini belirtmiştir. Ancak bu durumda da çalışanlara başta bu kural bildirilmelidir. Kişisel e-postaların izlenmesi, çalışanın özel hayatına müdahale teşkil eder.

Karar Örneği 3 - Konum Takibi: Kurul, saha çalışanlarının konum bilgilerinin takip edilebileceğini; ancak çalışan işteki görevini tamamladıktan sonra, eve gittikten sonra konum takibinin yapılmaması gerektiğini vurgulamıştır. İşyeri dışında konum takibi yapılması, özel hayata müdahale olarak değerlendirilir.

Çalışan İzlemede KVKK Uyumluluğunun Sağlanması

Gerekli Adımlar ve Uygulamalar

Çalışan izleme sistemlerinin KVKK uyumlu olmasını sağlamak için işletmelerin atması gereken adımlar şunlardır:

1. Etki Değerlendirmesi Raporu (EDVR) Hazırlanması

Özellikle biyometrik veriler, konum verisi veya video gözetim söz konusu olduğunda, Etki Değerlendirmesi Raporu (EDVR) hazırlanması gerekmektedir. EDVR, kişilerin temel hak ve özgürlüklerine ne kadar etki yapacağını analiz eder. Rapor, izleme sisteminin başlatılmasından önce tamamlanmalıdır.

2. Aydınlatma Metni ve Gizlilik Politikası

İşletmenin, çalışanlar için ayrıntılı bir aydınlatma metni hazırlaması zorunludur. Bu metin, çalışanların hangi verilerinin toplandığını, neden toplandığını ve nasıl kullanılacağını açıkça belirtmelidir. Gizlilik politikası, işletmenin resmi web sitesinde ve çalışanlar tarafından kolayca erişilebilecek bir yerde yayınlanmalıdır.

3. İş Sözleşmesine İzleme Hükümleri Eklenmesi

Yeni çalışanlar işe alınırken, iş sözleşmesine veya ek belgelere çalışan izlemesine ilişkin maddelerin eklenmesi gerekmektedir. Sözleşme, izleme türü, amaçları ve sınırları açıkça belirtmelidir.

4. Veri İşleme Sözleşmeleri

İzleme yazılımı veya hizmeti dış taraflardan sağlanıyorsa, veri işleme sözleşmesi imzalanmalıdır. Sözleşme, Kurul tarafından belirtilen standart şartları içermelidir ve veri güvenliği önlemlerini detaylı şekilde açıklamalıdır.

5. Veri Güvenliği Önlemleri

Toplanan çalışan verileri, en yüksek güvenlik standartlarıyla korunmalıdır. Veriler şifreli bir şekilde saklanmalı, yetkilendirilmiş personele sınırlı erişim sağlanmalı ve verilere erişim kayıtları tutulmalıdır.

Çalışan İzlemede Yasaklı Uygulamalar

KVKK Tarafından Yasaklanan veya Sınırlandırılan Faaliyetler

Çalışan izlemesinin sınırlarını belirlemek kadar, yasaklı uygulamaları bilmek de önemlidir. Aşağıdaki faaliyetler KVKK tarafından yasaklanmış veya ciddi sınırlamalarla yapılabilir:

Hassas Kişisel Verilerin İşlenmesi

KVKK'nın 6. maddesi uyarınca, sağlık verisi, ırk, etnik köken, siyasi görüş, dini inançlar gibi hassas kişisel veriler özel izin olmadan işlenemez. Çalışan izleme amacıyla bu tür veriler toplanması, işletmeye ciddi yaptırımlar getirebilir.

Tuvalet, Duş, Giyinme Alanlarında Kamera Kullanımı

Hangi koşulda olursa olsun, çalışanların özel hayat alanlarına kamera yerleştirilmesi yasaktır. Bu tür uygulamalar, TCK'nın ilgili maddelerine göre ceza kanunlarıyla da suç teşkil edebilir.

Telefonlarında Kurulu Kişisel Uygulamaların İzlenmesi

Çalışanların kişisel mobil telefonlarına kurulu uygulamaları (WhatsApp, Instagram vb.) izlemek, özel hayata müdahale sayılır ve yasaktır. Ancak şirketin sağladığı cihazlarda iş amaçlı uygulamaların izlenmesi, belirli şartlarla yapılabilir.

Ev Ortamındaki İzleme

Evden çalışan personel söz konusu olduğunda bile, evdeki çalışanların izlenmesi, özel hayat hakkını ihlal eder. Yalnızca iş saatleri boyunca ve masaüstü veya dizüstü bilgisayar üzerinde sınırlı izleme yapılabilir.

Çalışan İzlemede En İyi Uygulamalar

Uyumlu ve Etkin İzleme Stratejisi

Proportionality (Orantılılık) Prensibi: Yapılacak izleme, belirlenen amaçla orantılı olmalıdır. Örneğin, depo güvenliği için tüm çalışanların internet kullanımını kontrol etmek orantısızdır. İzleme aracı, belirlenen amaçı sağlamak için gerekli olan minimum seviyede veriye erişim sağlamalıdır.

Bildirim ve Rıza: Mümkün olduğunca çalışanların rızasını almak, KVKK uyumluluğunu güçlendirir. Çalışanlara izleme hakkında önceden bilgi verilmesi, sistem kullanılmaya başlanmadan önce yazılı onay alınması, işletmenin hukuki konumunu iyileştirir.

Veri Minimizasyonu: Yalnızca gerekli olan verilerin toplanmasıdır. Örneğin, zaman takibi için adı soyadı ve giriş-çıkış saati yeterli iken, biyometrik veriler genellikle orantısız olur.

İzleme Politikasının Yazılı Hale Getirilmesi

Her işletmenin, çalışan izlemesine ilişkin yazılı bir politikası olmalıdır. Bu politika:

• İzlemenin hangi durumlarda yapılacağını belirtmelidir
• Çalışanların haklarını tanımlamalıdır
• İzleme verilerine kimin erişebileceğini açıklamalıdır
• Verilerin saklı tutulma süresini belirtmelidir
• Şikayet mekanizmasını tanımlamalıdır

Politika hazırlanırken, KVKK hukuk danışmanlarından destek alınması önerilir.

Düzenli Denetim ve Güncellemeler

Çalışan izleme sistemleri, periyodik olarak denetlenmelidir. Sistem tarafından toplanan veriler gereksiz hale gelmiş midir? İzleme uygulaması, orijinal amaçla hâlâ uyumlu mudur? Bu sorular düzenli olarak sorulmalı ve sistem gerekirse güncellenmelidir.

İşletmelerin Sıkça Yaptığı Hatalar

KVKK Uyumluluğunda Yaygın Problemler

Hata 1 - Bilgilendirme Eksikliği: Çalışanları önceden haberdar etmeden aniden izleme sistemi kurmak, KVKK'nın en sık ihlali sayılmaktadır. Birçok işletme, çalışanların haklarını korumaksızın izleme başlatıyor ve sonrasında Kurul'un raporlarıyla karşılaşıyor.

Hata 2 - Aşırı İzleme: Bazı işletmeler, izin verilen sınırı aşarak gereğinden fazla veri toplamaktadırlar. Örneğin, sadece zaman kontrolü için konum verisi toplanması veya sadece internet güvenliği için tüm e-postalar okunması, aşırı izlemeye örnektir.

Hata 3 - Veri Güvenliği Eksikliği: Çalışan verileri, yetersiz güvenlik önlemleriyle saklanmaktadır. Bu, veri ihlali riskini artırır ve KVKK ihlali çerçevesinde cezaya yol açabilir.

Hata 4 - Veri İşleme Sözleşmeleri Olmaması: Dış yazılım sağlayıcılarla çalışılıyorsa ancak sözleşme imzalanmamışsa, işletme tamamen sorumlu tutulabilir.

Hata 5 - Veri Saklama Süresini Aşma: Çalışan verilerinin gerekli olmadığı halde uzun süre saklanması, KVKK ihlalidir. Veriler, belirlenen amaç ortadan kalktıktan sonra silinmelidir.

Sektörlere Göre İzleme Uygulamaları

Perakende Sektörü

Perakende işletmelerde kamera gözetimi yaygındır. Ancak camla bölümlü depo ve satış alanlarına kamera konabilirken, personel odası, tuvalet vb. alanlara konulamaz. Kasa bölgesinde kamera konması meşruyken, bunu çalışanlarla paylaşmak KVKK uyumluluğunun bir göstergesidir.

Lojistik ve Kargo Sektörü

Konum takibi, lojistik sektöründe sıkça kullanılır. Saha çalışanlarının iş saatleri içinde konum verileri alınabilir ancak iş saatleri dışında takip yapılmamalıdır. Ayrıca, çalışanlara konum takibinin gerçekleştirildiği ve konum verilerinin nasıl saklandığı açıkça bildirilmelidir.

Bilgisayar ve Yazılım Sektörü

Yazılım geliştirme şirketlerinde, çalışanların bilgisayar kullanımını takip etme eğilimi yüksektir. Ancak şirket bilgisayarında yapılan iş ile ilgili görev ve projeler takip edilebilse de, kişisel e-postalar, sosyal medya hesapları veya kişisel e-kitap okuması takip edilemez.

Tele-Çalışma ve Ofis Ortamları

Pandemi sonrası evden çalışma yaygınlaşmıştır. İşletmeler, evde çalışan personeli izleme konusunda çok dikkatli olmalıdır. Sadece iş saatleri boyunca ve masaüstü bilgisayara sınırlı izleme yapılabilir. Kamera veya mikrofon takibi ise özel hayata müdahale teşkil eder.

KVKK Uyumluluğu Sağlanmadığında Doğabilecek Cezalar

İdari Cezalar

Veri Koruma Kurulu, KVKK ihlali yapan işletmelere idari cezalar uygulayabilmektedir. Ceza miktarı ihlal türüne ve ciddiyetine göre değişir:

• Hafif ihlaller için: 5.000 TL ile 50.000 TL arasında ceza
• Orta düzey ihlaller için: 50.000 TL ile 500.000 TL arasında ceza
• Ağır ihlaller için: 500.000 TL ile 5.000.000 TL arasında ceza

Hassas verilerin işlenmesi veya veri güvenliği ihlalleri gibi ciddi durumlarda, cezalar en yüksek tutarla uygulanmaktadır.

Medeni Hukuk Davaları ve Tazminat

Çalışanlar, KVKK ihlali sonucu uğradıkları zararlar için tazminat davası açabilirler. Bu tazminatlar, manevi tazminat veya maddi tazminat şeklinde olabilir.

Ceza Kanunuyla Suç Teşkili

Özel hayata müdahale veya yasadışı kayıt gibi ciddi KVKK ihlalleri, TCK'nın ilgili maddelerine göre ceza kanunuyla da suç oluşturabilir. Bu durumda idari cezanın yanı sıra cezai soruşturma açılabilir.

BumerangData Platformu ile KVKK Uyumluluğu

Çalışan İzlemesinde BumerangData Çözümleri

BumerangData, işletmelerin çalışan izleme faaliyetlerini KVKK uyumlu hale getirmelerine yardımcı olmak için tasarlanmış kapsamlı bir SaaS platformudur. Platform, aşağıdaki önemli işlevleri sunmaktadır:

• Otomatik Aydınlatma Metni Oluşturma: İşletmenin özel durumuna uygun aydınlatma metinleri otomatik olarak hazırlanır
• Etki Değerlendirmesi Raporu (EDVR) Hazırlanması: Çalışan izleme sistemlerine ilişkin EDVR otomatik olarak oluşturulur
• Veri İşleme Sözleşme Şablonları: Dış sağlayıcılarla yapılacak sözleşmeler için standart şablonlar sunulur
• İzleme Politikası Hazırlanması: İşletmeye özel izleme politikaları oluşturulur
• Uyum Kontrol Listeleri: Düzenli denetim ve uyum kontrolleri için detaylı listeler sağlanır
• KVKK Danışman Desteği: Platform, KVKK hukuk danışmanlarından anında destek alınmasını mümkün kılar

BumerangData kullanarak, işletmeler çalışan izlemesini KVKK uyumlu şekilde gerçekleştirebilir, yasal riskleri minimize edebilir ve verilerine KVKK tarafından gerekli kılan tüm korumaları sağlayabilirler.

Sonuç ve Önemli Hatırlatmalar

Çalışan izleme, işletmeler için gerekli bir araç olabileceği gibi, KVKK ile uyumlu hale getirilmediğinde ciddi hukuki sonuçlar doğurabilir. Anahtar başarı faktörleri şunlardır:

• Çalışanları önceden bilgilendirmek ve mümkün olduğunca rıza almak
• İzleme türü ve amaçlarını yazılı politikada açıkça belirtmek
• Toplanan verileri en yüksek güvenlik standartlarıyla korumak
• Düzenli olarak izleme sistemini denetlemek ve gerekirse güncellemek
• KVKK ihlali taşıyabilecek uygulamalardan kaçınmak

KVKK uyumluluğu, tek bir adımla sağlanmamaktadır. Kurumsal bir yaklaşım, sürekli eğitim ve güncelleme, hukuki danışmanlık ve teknolojik araçlar kullanılarak ancak tam uyumluluk sağlanabilir. BumerangData gibi platformlar, işletmelerin bu karmaşık süreci daha kolay ve etkili yönetmelerini sağlamaktadır.