Personel Takip Sistemi Yasal mı? KVKK Kapsamında Çalışan İzleme

Kısa cevap: evet, yasaldır — ama koşulludur. Türkiye’de işverenin çalışanını iş yerinde ve iş amaçlı araçlarda izlemesini yasaklayan bir hüküm yoktur. Ancak çalışanın bilgisayarında toplanan her veri kişisel veridir (KVKK m.3/1-d) ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’na tabidir.

Yasal olan ile olmayanı ayıran şey, sistemin kendisi değil nasıl kurulduğudur. Aynı yazılım, bir şirkette tamamen hukuka uygun, diğerinde ihlal doğurabilir.

Hangi mevzuat uygulanır?

Çalışan izlemesi tek bir kanunun konusu değil; en az dört ayrı katman aynı anda işler.

TBK m.419 çoğu zaman atlanır ve KVKK’dan daha dar bir sınır çizer: işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. KVKK’daki meşru menfaat dengesini geçen bir işleme, bu hüküm karşısında yine de dar kalabilir.

Üç koşul

Bir personel takip sisteminin hukuka uygun olması için üç şartın aynı anda sağlanması gerekir. Biri eksikse diğer ikisi kurtarmaz.

1. Hukuki sebep (KVKK m.5)

Her veri işleme faaliyetinin kanunda sayılan bir sebebe dayanması gerekir. İş yeri izlemesinde pratikte şu sebepler tartışılır:

• Meşru menfaat — m.5/2-f. En yaygın dayanak. Hüküm, “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla” ifadesiyle bir denge testini zorunlu kılar. İşverenin iş sürekliliği, veri güvenliği ve kaynak kullanımını denetleme menfaati ile çalışanın hakları tartılır ve bu tartım belgelenir.
• Sözleşmenin ifası — m.5/2-c. Mesai takibi, puantaj ve ücret hesabı gibi doğrudan iş sözleşmesinin kurulması veya ifasıyla ilgili işlemler için.
• Hukuki yükümlülük — m.5/2-ç. Mevzuatın kayıt tutmayı zorunlu kıldığı hâller.
• Açık rıza — m.5/1. Teoride mümkün, pratikte zayıf. Aşağıda açıklıyoruz.

Verimlilik ölçümünün tamamını tek bir sebebe bağlamak zorunda değilsiniz; farklı veri kategorileri farklı sebeplere dayanabilir. Ancak her kategori için hangi sebebe dayandığınızı yazmış olmanız gerekir (m.4/2-a, hukuka ve dürüstlük kurallarına uygunluk).

2. Aydınlatma yükümlülüğü (KVKK m.10)

Çalışan, veri işlemeye başlanmadan önce şunları bilmelidir: veri sorumlusunun kimliği, verinin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ve m.11’deki haklarını nasıl kullanacağı.

Bu, iş sözleşmesine eklenen tek bir cümle ile karşılanmaz. Ayrı bir aydınlatma metni, tebliğ kaydı ve erişilebilir bir kişisel veri işleme politikası gerekir. Aydınlatma yükümlülüğü açık rızadan bağımsızdır: meşru menfaate dayansanız bile aydınlatma zorunludur.

3. Ölçülülük (KVKK m.4/2-ç)

Veri, işlendiği amaçla “bağlantılı, sınırlı ve ölçülü” olmalıdır. Buradaki kritik soru şudur: aynı amaca daha az veriyle ulaşılabilir miydi? Cevap evetse, fazla veri hukuka aykırıdır.

Örneğin çalışanın hangi uygulamada ne kadar süre geçirdiğini ölçmek için saniyede bir ekran görüntüsü almak gerekmez. Uygulama adı ve süre yeterlidir.

Buna m.4/2-d de eşlik eder: veri, mevzuatta öngörülen veya amaç için gerekli olan süre kadar saklanır. Süresiz saklama başlı başına ihlaldir; m.7 uyarınca süre dolduğunda silme, yok etme veya anonim hale getirme yükümlülüğü doğar.

AİHM ne diyor: Bărbulescu kriterleri

Avrupa İnsan Hakları Mahkemesi Büyük Daire’nin Bărbulescu v. Romanya kararı (5 Eylül 2017, başvuru no. 61496/08) çalışan izlemesinde ulusal makamların değerlendirmesi gereken kriterleri sıraladı. Bu kriterler pratikte bir denge testi şablonu olarak kullanılabilir:

1. Çalışan, izleme ihtimalinden ve uygulanan tedbirin niteliğinden önceden haberdar edildi mi?
2. İzlemenin kapsamı ve mahremiyete müdahale derecesi nedir? (İletişimin akışı mı yoksa içeriği mi izleniyor, süreyle sınırlı mı, veriye kaç kişi erişiyor?)
3. İşveren izlemeyi ve kapsamını haklı kılan meşru gerekçeler sundu mu? (İçeriğin izlenmesi daha ağır gerekçe gerektirir.)
4. Daha az müdahaleci bir yöntemle aynı sonuca ulaşılabilir miydi?
5. İzlemenin çalışan üzerindeki sonuçları ne oldu, sonuçlar nasıl kullanıldı?
6. Çalışana yeterli güvenceler sağlandı mı?

Dördüncü kriter, KVKK m.4/2-ç’deki ölçülülük ilkesiyle birebir örtüşür — ve uygulamada en çok bu maddeden kaybedilir.

Açık rıza neden çözüm değil?

Sezgiye aykırı ama önemli: iş yerinde alınan açık rıza çoğu zaman geçersizdir.

KVKK m.3/1-a açık rızayı “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. İş ilişkisinde çalışan, rıza vermemenin işini riske atacağını düşünebileceği bir bağımlılık ilişkisi içindedir. Kişisel Verileri Koruma Kurulu bu nedenle iş yerinde alınan rızaların özgür iradeye dayandığını çoğu kez kabul etmemektedir.

Sonuç: rızaya dayanan bir sistem, çalışan m.11 kapsamında rızasını geri çektiğinde çökmekle kalmaz, en baştan geçersiz sayılabilir. Doğru dayanak genellikle belgelenmiş bir meşru menfaat testidir.

Otomatik karar ve verimlilik puanı

Az bilinen ama doğrudan ilgili bir hak: KVKK m.11/1-g, ilgili kişiye “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkı verir.

Bu, verimlilik puanı üreten her sistemi ilgilendirir. Puan bir girdi olabilir; ancak performans değerlendirmesi, prim veya fesih kararı münhasıran otomatik analize dayandırılamaz. Uygulamada gereken üç şey:

• Kararda insan değerlendirmesi bulunması ve bunun kayıtlı olması
• Puanın nasıl hesaplandığının çalışana açıklanabilir olması
• Çalışanın itiraz edebileceği bir sürecin tanımlanmış olması

Kesin olarak yapılamayacaklar

Aşağıdakiler ölçülülük tartışmasına bile girmez; doğrudan ihlaldir.

• Tuş vuruşu içeriğini kaydetmek. Yazılan metnin kendisini kaydetmek haberleşmenin gizliliğini ihlal eder (TCK m.132); ayrıca kişisel verilerin hukuka aykırı kaydedilmesi bakımından TCK m.135 gündeme gelir. Şifreler ve özel mesajlar da bu kapsamdadır.
• Özel iletişime erişmek. Çalışanın kişisel e-postası, mesajlaşma uygulaması veya sosyal medya yazışmaları, iş bilgisayarında açılmış olsalar bile Anayasa m.22 ve TCK m.132 koruması altındadır.
• Mesai dışını izlemek. Çalışma saatleri dışında veya çalışanın kendi cihazında yapılan izleme iş amacıyla açıklanamaz ve TBK m.419’un “zorunlu olduğu ölçüde” sınırını aşar.
• Aydınlatma yapmadan izlemek. Sistemin varlığından habersiz bir çalışanı izlemek, toplanan veri ne kadar sınırlı olursa olsun m.10 ihlalidir.
• Özel nitelikli veri toplamak. Sağlık, din, sendika üyeliği gibi KVKK m.6 kapsamındaki verilerin izleme yoluyla dolaylı olarak toplanması ayrı ve daha ağır bir ihlal doğurur.
• Veriyi üçüncü kişilerle paylaşmak. Hukuka aykırı aktarım TCK m.136 kapsamına girer; ayrıca 4857 sayılı İş Kanunu m.75, işverene çalışan hakkında edindiği bilgileri hukuka uygun kullanma ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamama yükümlülüğü getirir.

Gizli mod hukuka aykırı mı?

Sık sorulan ve sık yanlış cevaplanan bir soru. Belirleyici olan, yazılımın ekranda görünüp görünmediği değil, çalışanın izlendiğinden haberdar olup olmadığıdır — Bărbulescu kriterlerinin de ilki budur.

• Aydınlatma yapılmış, politika duyurulmuş, çalışan izlendiğini ve neyin izlendiğini biliyorsa — uygulamanın simgesinin görünmemesi tek başına ihlal yaratmaz.
• Aydınlatma yapılmamışsa — uygulama ekranda görünüyor olsa bile ihlal vardır.

Yani gizli modu hukuka uygun kılan şey teknik bir ayar değil, arkasındaki belgelerdir.

Uygulamada kontrol listesi

Sistemi kurmadan önce şunların hazır olması gerekir:

• Çalışan aydınlatma metni (m.10) ve tebliğ kaydı
• Kişisel veri işleme envanteri ve saklama süreleri (m.4/2-d, m.7)
• Meşru menfaat dayanağı kullanılıyorsa denge testi belgesi (m.5/2-f)
• VERBİS kaydı (m.16), yükümlü kapsamındaysanız
• Teknik ve idari tedbirler (m.12): erişim yetkilendirmesi, şifreleme, erişim logu
• Saklama süresi dolan verinin silinmesi/yok edilmesi (m.7)
• m.11 başvurularını 30 gün içinde karşılayacak süreç (m.13)
• Verimlilik puanı kullanılıyorsa insan değerlendirmesi ve itiraz süreci (m.11/1-g)

Bunların eksikliği yalnızca özel hukuk riski değildir; KVKK m.18 aydınlatma, veri güvenliği ve VERBİS yükümlülüklerinin ihlali için idari para cezası öngörür.

Berqun bu çerçeveye nasıl oturuyor?

Berqun varsayılan olarak uygulama adı, web sitesi alan adı, pencere başlığı, kullanım başlangıç ve bitiş zamanı toplar. Bunlar verimlilik ölçümü için gereken asgari veridir — Bărbulescu kriterlerindeki ayrımla, iletişimin içeriği değil akışı düzeyinde kalır.

Daha hassas iki özellik varsayılan olarak kapalıdır ve yalnızca müşteri kurum kendi sorumluluğunda açtığında çalışır:

• Ekran görüntüsü — çözünürlüğü kurum belirler, açılması bir tercihtir.
• Tuş vuruşu istatistiği — yalnızca yoğunluk verisi üretilir. Ne yazıldığı, form içerikleri, şifreler ve mesajlar hiçbir koşulda kaydedilmez.

İzleme çalışma takvimiyle sınırlandırılabilir, böylece mesai dışı veri hiç toplanmaz. Veriler AES-256 ile şifrelenir ve erişim yetkilendirmeye tabidir (m.12 kapsamındaki teknik tedbirler).

Aydınlatma metni, envanter ve denge testi veri sorumlusu olarak sizin yükümlülüğünüzdür; Berqun bunları sizin adınıza yerine getirmez, yalnızca ölçülülüğü sağlayacak teknik ayarları sunar.

Atıf yapılan mevzuat

• 2709 sayılı Türkiye Cumhuriyeti Anayasası — m.20 (özel hayatın gizliliği ve kişisel verilerin korunması), m.21 (konut dokunulmazlığı), m.22 (haberleşme hürriyeti)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu — m.3 (tanımlar), m.4 (genel ilkeler), m.5 (işleme şartları), m.6 (özel nitelikli veriler), m.7 (silme), m.10 (aydınlatma), m.11 (ilgili kişinin hakları), m.12 (veri güvenliği), m.13 (başvuru), m.16 (VERBİS), m.18 (kabahatler)
• 6098 sayılı Türk Borçlar Kanunu — m.419 (işçinin kişisel verilerinin kullanılması)
• 4857 sayılı İş Kanunu — m.75 (işçi özlük dosyası)
• 5237 sayılı Türk Ceza Kanunu — m.132 (haberleşmenin gizliliğini ihlal), m.135 (kişisel verilerin kaydedilmesi), m.136 (verileri hukuka aykırı olarak verme veya ele geçirme), m.137 (nitelikli hâller), m.138 (verileri yok etmeme)
• AİHM — Bărbulescu v. Romanya, Büyük Daire, 5 Eylül 2017, no. 61496/08

Bu sayfa genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Kendi veri işleme envanteriniz, denge testiniz ve aydınlatma metniniz için hukuk danışmanınıza başvurun.