İŞ HUKUKUNDA KİŞİSEL VERİLERİN KORUNMASI: İŞTEN AYRILAN ÇALIŞANIN E-POSTA HESABININ YÖNETİMİ VE İŞYERİNDE KAMERA İLE GÖZETİM UYGULAMALARI - 21/07/2026
İŞ HUKUKUNDA KİŞİSEL VERİLERİN KORUNMASI: İŞTEN AYRILAN ÇALIŞANIN E-POSTA HESABININ YÖNETİMİ VE İŞYERİNDE KAMERA İLE GÖZETİM UYGULAMALARI
GİRİŞ
Kişisel verilerin korunması hakkı, özel hayata saygı gösterilmesi hakkının ayrılmaz bir unsuru olup, günümüzde dijitalleşmenin etkisiyle temel insan hakları arasında önemli bir yer edinmiştir. Çalışma yaşamında teknolojik araçların yaygınlaşması, işverenlerin çalışanlara ilişkin veri toplama ve işleme faaliyetlerini artırmış; buna bağlı olarak işverenin yönetim hakkı ile çalışanın özel hayatının gizliliği ve kişisel verilerinin korunması hakkı arasındaki hassas dengenin korunması zorunlu hale gelmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere bireylerin temel hak ve özgürlüklerini korumayı, kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemeyi ve veri işleme faaliyetlerine ilişkin usul ve esasları düzenlemeyi amaçlamaktadır. Bu kapsamda Kanun, kişisel verilerin ancak hukuka ve dürüstlük kurallarına uygun şekilde, belirli, açık ve meşru amaçlarla işlenmesini öngörmektedir. Kanunda belirtilen şartlara aykırı gerçekleştirilen veri işleme faaliyetleri ise hukuka aykırı veri işleme olarak değerlendirilmektedir.
İş ilişkisi kapsamında işveren tarafından gerçekleştirilen kişisel veri işleme faaliyetleri; iş sözleşmesinin kurulması, devamı ve sona ermesi süreçlerinin tamamında gündeme gelmektedir. Özellikle işten ayrılan çalışanın kurumsal e-posta hesabının yönetimi ile işyerinde kamera aracılığıyla gerçekleştirilen gözetim faaliyetleri, uygulamada en fazla hukuki uyuşmazlığa konu olan veri işleme faaliyetleri arasında yer almaktadır.
İŞTEN AYRILAN ÇALIŞANIN E-POSTA HESABININ YÖNETİMİ
İşveren tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları, iş sözleşmesinin sona ermesinden sonra çoğu zaman teknik nedenlerle veya kurumsal iletişimin devamlılığını sağlamak amacıyla aktif bırakılabilmektedir. Ancak bu hesapların işveren tarafından içeriklerinin incelenmesi veya geçmiş yazışmaların okunması, kişisel verilerin korunması ve haberleşmenin gizliliği bakımından önemli hukuki sorunları beraberinde getirmektedir.
Anayasa Mahkemesi'nin 12.01.2021 tarihli ve 2018/31036 başvuru numaralı kararında, işverenin kurumsal e-posta hesaplarını denetleyebilmesi için çalışanın önceden açık, anlaşılır ve kapsamlı biçimde bilgilendirilmiş olması gerektiği vurgulanmıştır. Kararda özetle;
"E-posta hesabı üzerinden yapılan iletişimin denetlenebileceğine ve iletişim araçlarının kullanım koşullarına ilişkin olarak önceden tam ve açık bir bilgilendirme yapılmadığı hallerde çalışanın kurumsal e-posta hesabı üzerinden kişisel yazışmalar yapabileceği yönünde haklı beklenti içerisinde olacağı ve bu beklentinin Anayasa ile güvence altına alınan temel hak ve özgürlükler kapsamında korunması gerektiği" ifade edilmiştir.
Bu karar, işverenin mülkiyet hakkı ve yönetim yetkisi ile çalışanın haberleşme hürriyeti ve özel hayatın gizliliği arasında kurulması gereken dengeyi ortaya koymaktadır. Başka bir ifadeyle, işverenin kurumsal sistemler üzerindeki tasarruf yetkisi, çalışanın temel haklarını ortadan kaldırmamaktadır.
Nitekim Kişisel Verileri Koruma Kurulu uygulamaları ile Avrupa Veri Koruma Kurulu (EDPB) ve Avrupa İnsan Hakları Mahkemesi içtihatları da benzer yönde gelişmektedir. Özellikle Avrupa İnsan Hakları Mahkemesinin Bărbulescu/Romanya Kararı, işverenin elektronik iletişimi denetleme yetkisinin ancak önceden bilgilendirme, ölçülülük ve gereklilik ilkeleri çerçevesinde kullanılabileceğini kabul etmektedir
Bu nedenle iş sözleşmesi sona erdiğinde; kurumsal e-posta hesabının makul süre içerisinde kapatılması,
otomatik yönlendirme mesajı oluşturulması, gelen yeni e-postaların ilgili kurumsal hesaba yönlendirilmesi, eski e-posta içeriklerine erişimin ancak zorunlu hallerde ve hukuki gerekçelerle sınırlandırılması, kişisel verilerin korunması bakımından hukuka daha uygun uygulamalar olarak kabul edilmektedir.
KİŞİSEL VERİLERİN İŞLENME ŞARTLARI
KVKK'nın 5. maddesi uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez.
Ancak Kanun'da sınırlı olarak sayılan;
- kanunlarda açıkça öngörülmesi,
- sözleşmenin kurulması veya ifası,
- veri sorumlusunun hukuki yükümlülüğü,
- hakkın tesisi, kullanılması veya korunması,
- veri sorumlusunun meşru menfaatinin bulunması
gibi hukuki sebeplerden birinin varlığı halinde açık rıza aranmaksızın veri işlenmesi mümkündür.
Bununla birlikte, veri işleme şartlarından birinin mevcut olması tek başına yeterli değildir. Veri işleme faaliyetinin aynı zamanda KVKK'nın 4. maddesinde düzenlenen;
- hukuka ve dürüstlük kurallarına uygun olma,
- doğru ve güncel olma,
- belirli, açık ve meşru amaçlarla işlenme,
- amaçla bağlantılı, sınırlı ve ölçülü olma,
- gerekli süre kadar muhafaza edilme
ilkelerine de uygun olması gerekmektedir.
İŞÇİNİN İŞVEREN TARAFINDAN KAMERA İLE İZLENMESİ
İşverenin işyerini yönetme, organizasyonu sağlama ve çalışanları denetleme yetkisi, iş hukukunda yönetim hakkı kapsamında değerlendirilmektedir. İşçi, iş sözleşmesi gereğince işini işverenin talimatları doğrultusunda yerine getirmekle yükümlüdür. Bunun doğal sonucu olarak işveren, iş güvenliğini sağlamak, işyerini korumak ve üretim faaliyetinin sürekliliğini temin etmek amacıyla çeşitli denetim yöntemlerine başvurabilir. Bu kapsamda güvenlik kameralarının kullanılması ilke olarak hukuka uygundur.
Ancak yönetim hakkı mutlak bir hak olmayıp Anayasa'nın 20. maddesi ile güvence altına alınan özel hayatın gizliliği hakkı ve KVKK hükümleriyle sınırlandırılmıştır.
Dolayısıyla kamera sistemlerinin; iş sağlığı ve güvenliğinin sağlanması, işyerinin korunması, suçların önlenmesi, hukuki güvenliğin sağlanması gibi meşru amaçlarla kullanılması mümkündür.
Buna karşılık çalışanların performansını sürekli izlemek, davranışlarını kayıt altına almak veya psikolojik baskı oluşturacak şekilde sürekli gözetim altında tutmak amacıyla kamera kullanılması ölçülülük ilkesine aykırıdır
Yargıtay uygulamalarında da çalışanın sürekli kamera ile izlenmesi, işçinin kişilik haklarının ihlali olarak değerlendirilmekte ve haklı nedenle fesih sebebi sayılabilmektedir.
KVKK KAPSAMINDA KAMERA KAYITLARI
Kimliği belirli veya belirlenebilir kişilere ilişkin görüntü kayıtları kişisel veri niteliğindedir. Bu nedenle işyerinde kamera kullanımı da KVKK kapsamında bir veri işleme faaliyetidir.
İşveren;
- çalışanları önceden bilgilendirmeli,
- aydınlatma yükümlülüğünü yerine getirmeli,
- gerekli teknik ve idari tedbirleri almalı,
- kayıtları yalnızca belirlenen amaç doğrultusunda kullanmalı,
- gereğinden uzun süre saklamamalıdır.
Özellikle tuvaletler, soyunma odaları, duşlar, emzirme odaları, mescitler ve dinlenme alanları gibi mahremiyet beklentisinin yüksek olduğu alanlarda kamera kullanılması hukuka aykırı kabul edilmektedir.
Nitekim Kişisel Verileri Koruma Kurulunun 04.08.2022 tarihli ve 2022/797 sayılı kararında; kamera sistemlerinin yerleşimi, görüş açısı, kayıt süresi, erişim yetkileri ve veri işleme amacının birlikte değerlendirilmesi gerektiği belirtilmiş; mahrem alanlarda gerçekleştirilen görüntü kayıtlarının çalışanların temel hak ve özgürlüklerini ihlal edebileceği ifade edilmiştir.
Bu karar, ölçülülük ilkesinin yalnızca veri işleme sebebi bakımından değil, veri toplama yöntemleri bakımından da uygulanması gerektiğini açıkça ortaya koymaktadır.
VERİ GÜVENLİĞİ YÜKÜMLÜLÜĞÜ
KVKK'nın 12. maddesi uyarınca veri sorumlusu;
- kişisel verilerin hukuka aykırı işlenmesini önlemek,
- kişisel verilere hukuka aykırı erişimi engellemek,
- kişisel verilerin güvenli biçimde muhafazasını sağlamak
amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.
Veri güvenliğine ilişkin yükümlülükler, yalnızca iş ilişkisi devam ettiği sürece değil, iş sözleşmesinin sona ermesinden sonra da devam etmektedir.
SONUÇ
İş ilişkisinin kurulması, sürdürülmesi ve sona ermesi süreçlerinde işveren tarafından gerçekleştirilen kişisel veri işleme faaliyetleri, hem iş hukuku hem de kişisel verilerin korunması hukuku bakımından birlikte değerlendirilmesi gereken çok boyutlu bir hukuki alan oluşturmaktadır. İşverenin yönetim hakkı ile çalışanın özel hayatın gizliliği, haberleşme hürriyeti ve kişisel verilerinin korunması hakkı arasında adil ve ölçülü bir dengenin kurulması, hukuka uygun veri işleme faaliyetinin temel şartıdır.
Bu kapsamda işten ayrılan çalışanın kurumsal e-posta hesabının süresiz biçimde aktif tutulması ve içeriklerinin hukuki dayanak olmaksızın incelenmesi, Anayasa Mahkemesi içtihatları ile KVKK hükümleri çerçevesinde temel hak ihlali oluşturabilecek niteliktedir. Benzer şekilde işyerinde güvenlik kameralarının çalışanların performansını sürekli denetlemek amacıyla kullanılması da ölçülülük ve amaçla bağlılık ilkeleriyle bağdaşmamaktadır.
Dolayısıyla işverenlerin veri işleme faaliyetlerini yalnızca Kanun'da öngörülen hukuki sebeplere dayanarak yürütmeleri yeterli olmayıp, aynı zamanda şeffaflık, gereklilik, ölçülülük, veri minimizasyonu ve hesap verebilirlik ilkelerine uygun hareket etmeleri gerekmektedir. Çalışanların önceden açık şekilde bilgilendirilmesi, aydınlatma yükümlülüğünün eksiksiz yerine getirilmesi, teknik ve idari güvenlik tedbirlerinin uygulanması ve veri işleme süreçlerinin düzenli olarak gözden geçirilmesi, hukuki uyuşmazlıkların önlenmesi bakımından büyük önem taşımaktadır.
Sonuç olarak, teknolojik denetim araçlarının çalışma hayatında giderek yaygınlaştığı günümüzde, işverenlerin yönetim hakkını kullanırken çalışanların temel hak ve özgürlüklerine saygı göstermesi, hem Anayasa'nın 20. maddesi hem de 6698 sayılı Kanun'un temel ilkeleri bakımından hukuki bir zorunluluktur. Bu yaklaşım, yalnızca veri koruma hukukunun değil, aynı zamanda dürüstlük kuralı, işçinin kişiliğinin korunması ilkesi ve insan onuruna yakışır çalışma koşullarının sağlanmasının da doğal bir sonucudur.