İşveren çalışan verilerini işlerken nelere dikkat etmeli? (KVKK)

Bir şirket, çalışanı işe aldığı gün onun hakkında bilgi toplamaya başlar: kimlik ve adres bilgisi, banka hesabı, sağlık raporu, giriş çıkış saatleri, kurumsal e-posta yazışmaları. Bunların hepsi kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Kısa cevap şu: işveren bu verileri işleyebilir. Ama her işlem için kanunda sayılan bir dayanak, belirli bir amaç ve o amaçla ölçülü bir kapsam gerekir. Çalışan da hangi verisinin neden işlendiğini önceden bilmelidir.

Çalışan verisi işlenirken hangi kurallar geçerli?

Kanunun dilinde işveren "veri sorumlusu", yani verinin hangi amaçla ve nasıl işleneceğine karar veren kişidir. Çalışan ise "ilgili kişi", yani verisi işlenen kişidir. Verinin elde edilmesinden saklanmasına, aktarılmasına kadar hemen her işlem "işleme" sayılır.

KVKK m. 4'e göre veri hukuka ve dürüstlük kurallarına uygun işlenir, doğru ve gerektiğinde güncel tutulur. Belirli, açık ve meşru bir amaç için toplanır; bu amaçla sınırlı ve ölçülü olur; gerekli süre kadar saklanır. Türk Borçlar Kanunu m. 419 da iş ilişkisine özgü bir sınır koyar: işveren işçinin verisini ancak işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir.

Her işlem için çalışandan açık rıza almak gerekir mi?

Hayır. Açık rıza, kanundaki tanımıyla belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. KVKK m. 5 rızayı kural olarak sayar, ama rıza aranmayan hâlleri de sıralar: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi, kullanılması veya korunması. Çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla işverenin meşru menfaati de bir dayanaktır.

Bordro, maaş ödemesi, sigorta bildirimi gibi işlerde dayanak çoğu zaman rıza değil, iş sözleşmesinin ifası ya da işverenin kanuni yükümlülüğüdür. Uygulamada en sık gördüğüm durum, işe girişte imzalatılan genel bir rıza metninin bütün işlemleri kapsadığının sanılmasıdır. Kişisel Verileri Koruma Kurulu da kurumsal e-posta denetimine ilişkin ilke kararında, iş ilişkisindeki güç dengesizliği nedeniyle açık rızanın kural olarak öncelikli dayanak sayılmayacağını belirtir.

Sağlık raporu, parmak izi gibi hassas veriler nasıl işlenir?

Kanun bazı verileri "özel nitelikli kişisel veri" olarak ayırır; ortaya çıkması kişi için daha ağır sonuç doğurabilecek veriler. Sağlık, sendika üyeliği, ceza mahkûmiyeti ve biyometrik veri (parmak izi, avuç içi gibi bedene ait ölçülebilir özellikler) bu listededir.

Bu verilerin işlenmesi kural olarak yasaktır. KVKK m. 6, 2024 değişikliğiyle yeniden yazıldı; yeni metin 1 Haziran 2024'ten beri yürürlüktedir ve internette dolaşan pek çok metin hâlâ eski kuralı anlatıyor. Güncel istisnalar arasında açık rıza, kanunlarda açıkça öngörülmesi ve istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanlarındaki hukuki yükümlülükler için zorunlu olması vardır. Her durumda Kurulun belirlediği yeterli önlemlerin alınması ayrıca şarttır.

Parmak iziyle mesai takibi sık sorulan bir konudur. Kurulun ilke kararı ve Kurumun duyurusuna göre yalnızca mesai takibi amacıyla biyometrik veri işlenmesi ölçülü değildir; çalışanın açık rızası olsa bile sonuç değişmez. Verinin koda çevrilerek saklanması da niteliğini değiştirmez. Yüksek güvenlik riski taşıyan kritik alanlara giriş kontrolü ise ayrıca, somut duruma göre değerlendirilir.

Çalışana ne anlatılmalı, çalışan neler isteyebilir?

Buna "aydınlatma yükümlülüğü" denir: işverenin, verisini topladığı çalışanı bilgilendirme borcu. KVKK m. 10'a göre veri elde edilirken veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile çalışanın hakları bildirilir.

Aydınlatma, rızaya dayanılsın ya da dayanılmasın her işlemede yapılır. Rızaya dayanılan bir işlem varsa aydınlatma ile rıza ayrı ayrı alınır; ikisini tek imzada birleştirmek bu kurala uymaz. Aydınlatma çalışanın talebini beklemez ve yapıldığını ispat yükü işverendedir. Dil sade olmalı, genel ve muğlak ifadeyle geçiştirilmemelidir. Amaç değişirse çalışan, yeni amaçla işlemeden önce yeniden bilgilendirilir.

Çalışan, verisinin işlenip işlenmediğini öğrenebilir; bilgi, düzeltme, şartları varsa silme ve zararın giderilmesini isteyebilir. Başvuru işverene yazılı olarak ya da Kurulun belirlediği yöntemle yapılır ve en geç otuz gün içinde, kural olarak bir bedel istenmeden sonuçlandırılır. Sonuçtan memnun kalmayan çalışan, cevabı öğrendiği tarihten itibaren otuz gün, her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Genel hükümlere göre tazminat hakkı ayrıca saklıdır.

Kurumsal e-posta hesabı denetlenebilir mi?

Denetlenebilir, ama sınırsız değil. Kurulun ilke kararına göre kurumsal e-posta ve işte kullanılan iletişim kanallarının denetimi bir kişisel veri işleme faaliyetidir ve KVKK'nın bütün kurallarına tabidir:

• "Kurumsal e-posta denetlenebilir" diye genel bir cümle yetmez. Aydınlatma, denetimin amacını, kapsamını, yöntemini, erişim koşullarını ve saklama süresini somut olarak göstermelidir.
• Önce daha az müdahaleci yöntemler tercih edilir.
• Yazışma içeriğinin incelenmesi kural olarak somut bir şüpheye ya da belirli bir olaya bağlıdır; genel ve sürekli tarama yapılmaz.
• Hesaba teknik olarak erişebilmek, hukuken erişme yetkisi vermez. Erişim yetkili az sayıda kişiyle sınırlı ve kayıtlı olur.
• İşten ayrılan çalışanın hesabı ayrıca değerlendirilir; süresiz erişim olmaz.

Veriler nasıl korunur, ne zaman silinir, VERBİS kaydı kime zorunlu?

İş Kanunu m. 75'e göre işveren her işçi için özlük dosyası düzenler, edindiği bilgileri dürüstlük kurallarına ve hukuka uygun kullanır, gizli kalmasında işçinin haklı çıkarı olan bilgiyi açıklamaz. KVKK m. 12 ise teknik ve idari güvenlik tedbiri alma borcu yükler. Bordroyu dışarıdaki bir hizmet sağlayıcıya yaptıran işveren, onun aldığı tedbirlerden de birlikte sorumludur. Veriler hukuka aykırı biçimde başkalarının eline geçerse işveren durumu en kısa sürede ilgili çalışana ve Kurula bildirir.

İşlenmesini gerektiren sebep ortadan kalkan veri, kendiliğinden ya da çalışanın talebiyle silinir, yok edilir veya anonim hâle getirilir. Veri Sorumluları Siciline kayıtlı işveren ayrıca bir saklama ve imha politikası hazırlar.

Bu sicilin uygulamadaki adı VERBİS'tir. Kanuna göre kural, veri işlemeye başlamadan önce kayıttır; Kurul istisna getirebilir. Kurulun güncel kararına göre ana faaliyet konusu özel nitelikli veri işleme olmayan işverenlerden yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olanlar kayıttan muaftır; ana faaliyeti özel nitelikli veri işleme olanlarda bu eşikler 10 çalışan ve 10 milyon Türk lirasıdır. Bilanço esasına göre defter tutmayanlarda yalnız çalışan sayısına bakılır. Bu eşikleri Kurul belirler ve değiştirebilir; Kurumun güncel duyurusundan teyit edilmelidir. Muafiyet yalnız kaydı kaldırır; aydınlatma ve veri güvenliği borcu sürer.

Kısaca

• Her işlem için kanundaki bir dayanak, belirli bir amaç ve ölçülü bir kapsam gerekir; bordro ve sigorta işlemlerinin dayanağı çoğu zaman rıza değildir.
• Sağlık verisinde güncel KVKK m. 6 uygulanır; yalnızca mesai takibi için parmak izi, rıza olsa bile ölçülü sayılmaz.
• Aydınlatma her işlemede, rızadan ayrı ve somut yapılır; e-posta denetimi de önceden somut biçimde anlatılır.
• VERBİS muafiyeti yalnız kaydı kaldırır.

Somut bir iş yerinde hangi verinin hangi dayanakla işlendiği, o iş yerinin süreçleri ve belgeleri üzerinden değerlendirilir.

Yazı 9 Ekim 2026 tarihinde yürürlükte olan mevzuata göre hazırlanmıştır. Türkiye Barolar Birliği Reklam Yasağı Yönetmeliği çerçevesinde, yalnızca bilgilendirme amacıyla yayımlanır. Bu metin genel bilgilendirme amaçlı bir değerlendirme olup, somut olaya ilişkin hukuki danışmanlık niteliği taşımaz.