İŞYERİNDE ÇALIŞANLARIN KİŞİSEL VERİLERİNİN İŞLENMESİ, KAMERA VE E-POSTA DENETİMİ: İŞVERENİN YÖNETİM HAKKI İLE İŞÇİNİN ÖZEL HAYATININ GİZLİLİĞİ ARASINDAKİ DENGE
İŞYERİNDE ÇALIŞANLARIN KİŞİSEL VERİLERİNİN İŞLENMESİ, KAMERA VE E-POSTA DENETİMİ: İŞVERENİN YÖNETİM HAKKI İLE İŞÇİNİN ÖZEL HAYATININ GİZLİLİĞİ ARASINDAKİ DENGE
GİRİŞ
Teknolojik gelişmelerin çalışma hayatına giderek daha fazla entegre edilmesi, işverenlerin işyerindeki faaliyetleri denetleme yöntemlerini de önemli ölçüde değiştirmiştir. Geleneksel denetim mekanizmalarının yerini; güvenlik kameraları, kurumsal e-posta hesaplarının incelenmesi, internet kullanım kayıtlarının takibi, bilgisayar ve telefonların denetlenmesi gibi dijital gözetim uygulamaları almaya başlamıştır.
İşverenin iş organizasyonunu sağlama, işyerinde güvenliği temin etme, işçinin iş görme borcunu yerine getirip getirmediğini denetleme ve işletmenin ticari menfaatlerini koruma yetkisi bulunmaktadır. Bununla birlikte söz konusu yetkiler, işçinin özel hayatının gizliliği, haberleşme özgürlüğü ve kişisel verilerinin korunmasını isteme hakkını ortadan kaldırmamaktadır.
Bu noktada temel hukuki sorun, işverenin yönetim ve denetim hakkının hangi sınırlar içerisinde kullanılabileceği ve çalışanların kişisel verilerinin hangi koşullarda işlenebileceğidir.
Özellikle 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında belirlenen ilkeler, 6098 sayılı Türk Borçlar Kanunu’nun işçinin kişiliğinin korunmasına ilişkin hükümleri ve Anayasa Mahkemesinin bireysel başvuru kararları birlikte değerlendirildiğinde, işverenin denetim yetkisinin sınırsız olmadığı açıkça görülmektedir.
Nitekim Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, çalışanlara tahsis edilen kurumsal e-posta hesaplarının ve işin yürütülmesinde kullanılan diğer iletişim kanallarının denetlenmesine ilişkin önemli ölçütler ortaya koymuştur.
1. İŞVERENİN YÖNETİM VE DENETİM HAKKININ HUKUKİ DAYANAĞI
İşverenin yönetim hakkı, iş sözleşmesinin niteliğinden ve iş organizasyonunu oluşturma yetkisinden kaynaklanmaktadır. İşveren, işletmenin faaliyetlerini sürdürebilmek amacıyla işin yürütülmesine, çalışma düzenine, işyerindeki disipline ve iş sağlığı ve güvenliğine ilişkin talimatlar verebilir.
Ancak yönetim hakkı mutlak ve sınırsız bir yetki değildir. Bu hakkın kullanılması sırasında kanun hükümlerine, dürüstlük kurallarına, eşit davranma ilkesine ve işçinin kişilik haklarına riayet edilmesi gerekir.
6098 sayılı Türk Borçlar Kanunu’nun 417. maddesi uyarınca işveren, hizmet ilişkisinde işçinin kişiliğini korumak ve ona saygı göstermekle yükümlüdür. İşverenin bu yükümlülüğü, işçinin psikolojik ve fiziksel bütünlüğünün korunmasını da kapsamaktadır.
Aynı Kanun’un 419. maddesinde ise işverenin, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceği düzenlenmiştir.
Dolayısıyla işverenin işyerinde denetim yapabilmesi, çalışanlara ait her türlü kişisel veriyi sınırsız biçimde toplama, inceleme ve kullanma yetkisine sahip olduğu anlamına gelmez.
İşverenin denetim faaliyetinin hukuka uygun kabul edilebilmesi için;
* Denetimin meşru bir amaca dayanması,
* İşçinin önceden ve yeterli şekilde bilgilendirilmesi,
* Kullanılan yöntemin ulaşılmak istenen amaç bakımından gerekli olması,
* Daha az müdahaleci yöntemlerle aynı amaca ulaşılmasının mümkün olup olmadığının değerlendirilmesi,
* İşçinin özel hayatına yapılan müdahalenin ölçülü olması,
gerekmektedir.
Bu nedenle işverenin yönetim hakkı ile işçinin temel hak ve özgürlükleri arasında adil bir denge kurulmalıdır.
2. İŞYERİNDE KİŞİSEL VERİLERİN İŞLENMESİ VE KVKK KAPSAMINDA İŞVERENİN YÜKÜMLÜLÜKLERİ
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerinin korunmasını amaçlamaktadır.
Kanun kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmıştır.
Bu kapsamda çalışanların fotoğrafları, kamera görüntüleri, ses kayıtları, kurumsal e-posta yazışmaları, internet kullanım kayıtları, konum bilgileri ve bilgisayar kullanım verileri kişisel veri niteliği taşıyabilmektedir.
İşverenin çalışanlara ilişkin bu verileri elde etmesi, kaydetmesi, incelemesi, saklaması veya üçüncü kişilere aktarması kişisel verilerin işlenmesi kapsamında değerlendirilir.
2.1. Kişisel verilerin işlenmesinde temel ilkeler
KVKK’nın 4. maddesinde kişisel verilerin işlenmesine ilişkin temel ilkeler düzenlenmiştir.
Buna göre kişisel verilerin;
* Hukuka ve dürüstlük kurallarına uygun olması,
* Doğru ve gerektiğinde güncel olması,
* Belirli, açık ve meşru amaçlarla işlenmesi,
* İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması,
* İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi,
zorunludur.
Özellikle ölçülülük ilkesi, işyerinde gerçekleştirilen dijital gözetim faaliyetleri bakımından büyük önem taşımaktadır.
Örneğin işverenin işyerinin güvenliğini sağlamak amacıyla giriş ve çıkış noktalarına kamera yerleştirmesi belirli koşullar altında hukuka uygun kabul edilebilir. Ancak aynı gerekçeyle işçinin bütün çalışma süresinin sürekli olarak ve yakın çekim yöntemiyle izlenmesi, amacın gerektirdiği sınırların aşılması sonucunu doğurabilir.
Dolayısıyla veri işleme faaliyetinin yalnızca meşru bir amaca dayanması yeterli değildir. Kullanılan yöntemin de gerekli ve orantılı olması gerekir.
2.2. Kişisel verilerin işlenmesinin hukuki sebepleri
KVKK’nın 5. maddesi uyarınca kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Bununla birlikte maddede belirtilen hukuki işleme şartlarından birinin mevcut olması hâlinde açık rıza aranmaksızın veri işlenmesi mümkündür.
Bunlar arasında;
* Kanunlarda açıkça öngörülmesi,
* Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla veri işlemenin gerekli olması,
* Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunluluk bulunması,
* Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
* İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması,
yer almaktadır.
İşverenin çalışanları denetlemesi bakımından özellikle meşru menfaat hukuki sebebi önem taşımaktadır. Ancak işverenin meşru menfaatinin bulunması, çalışanın temel hak ve özgürlüklerinin göz ardı edilebileceği anlamına gelmez.
Her somut olayda işverenin menfaati ile çalışanın hakları karşılaştırılmalı ve veri işleme faaliyetinin gerekli olup olmadığı değerlendirilmelidir.
2.3. Aydınlatma yükümlülüğü
KVKK’nın 10. maddesi uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişileri bilgilendirmekle yükümlüdür.
İşveren tarafından çalışanlara yapılacak aydınlatmada;
* Veri sorumlusunun kimliği,
* Kişisel verilerin hangi amaçla işleneceği,
* Verilerin kimlere ve hangi amaçla aktarılabileceği,
* Veri toplamanın yöntemi ve hukuki sebebi,
* Çalışanların KVKK’nın 11. maddesi kapsamında sahip olduğu haklar,
açık ve anlaşılır şekilde belirtilmelidir.
İşverenin yalnızca iş sözleşmesine genel bir kişisel veri maddesi eklemesi veya çalışanlardan standart bir imza alması, her durumda aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmez.
Özellikle kamera kayıtları ve kurumsal iletişim araçlarının denetlenmesi gibi müdahale düzeyi yüksek uygulamalarda, denetimin kapsamı ve yöntemi hakkında somut bilgilendirme yapılması gerekir.
3. İŞYERİNDE GÜVENLİK KAMERASI KULLANILMASI VE HUKUKİ SINIRLAR
İşyerlerinde güvenlik kameralarının kullanılması, işverenin işyerinin güvenliğini sağlama ve işletme faaliyetlerini koruma yükümlülüğü kapsamında gündeme gelebilmektedir.
Özellikle üretim alanları, depolar, giriş ve çıkış noktaları, kasa bölümleri ve güvenlik riski bulunan alanlarda kamera kullanılması belirli koşullar altında hukuka uygun kabul edilebilir.
Ancak kamera sistemlerinin kullanılması, çalışanların sürekli gözetim altında tutulmasına yönelik sınırsız bir yetki sağlamaz.
Kişisel Verileri Koruma Kurumunun işyerlerinde güvenlik kamerası kullanımına ilişkin kamuoyu duyurusunda da kamera sistemlerinin belirli, açık ve meşru amaçlarla kullanılması gerektiği vurgulanmıştır.
Bu çerçevede işverenin kamera sistemi kurmadan önce izlemenin amacını belirlemesi, kamera konumlarını bu amaçla sınırlaması ve daha az müdahaleci yöntemlerin yeterli olup olmayacağını değerlendirmesi gerekir.
3.1. Kameraların yerleştirilebileceği alanlar
İşyerinin giriş ve çıkışları, depo alanları, malzeme muhafaza bölümleri ve güvenlik riski bulunan noktalar, somut koşullara bağlı olarak kamera sistemlerinin kullanılabileceği alanlar arasında değerlendirilebilir.
Bununla birlikte kameranın yerleştirildiği alan kadar görüş açısı, kayıt süresi ve izleme yoğunluğu da önem taşımaktadır.
Kamera sisteminin işyerinin bütün alanlarını kapsayacak biçimde kurulması veya çalışanların sürekli olarak yüz odaklı şekilde takip edilmesi, ölçülülük ilkesi bakımından hukuki sorun doğurabilir.
3.2. Özel alanlarda kamera kullanılması
Tuvaletler, soyunma odaları, mescitler ve çalışanların dinlenme amacıyla kullandıkları özel alanlara kamera yerleştirilmesi, çalışanların mahremiyet beklentisine ağır müdahale oluşturur.
Kişisel Verileri Koruma Kurumunun konuya ilişkin açıklamasında da bu alanlarda kamera sistemi kullanılmaması gerektiği özellikle belirtilmiştir.
İşverenin güvenlik gerekçesiyle hareket etmesi, çalışanların mahremiyet alanlarını ortadan kaldıran uygulamaları hukuka uygun hâle getirmez.
3.3. Ses kaydı alınması
Görüntü kaydının yanında ses kaydı alınması, çalışanların özel hayatına ve haberleşme özgürlüğüne daha yoğun müdahale oluşturabilecek niteliktedir.
Bu nedenle ses kayıt özelliği bulunan kamera sistemlerinin kullanılması ayrıca değerlendirilmelidir.
Yalnızca işyerinin güvenliğini sağlama veya çalışanların performansını izleme amacıyla genel ve sürekli ses kaydı alınması, ölçülülük ilkesi bakımından ciddi hukuki sorunlara yol açabilir.
İşverenin ses kaydına başvurabilmesi için somut, meşru ve hukuken geçerli bir gerekliliğin ortaya konulması gerekir.
4. KURUMSAL E-POSTA HESAPLARININ VE DİJİTAL İLETİŞİM KANALLARININ DENETLENMESİ
Çalışanlara işin yürütülmesi amacıyla tahsis edilen kurumsal e-posta hesapları, bilgisayarlar ve diğer iletişim araçları işverenin denetim yetkisi kapsamında değerlendirilebilmektedir.
Bununla birlikte kurumsal iletişim araçlarının işverene ait olması, bu araçlar üzerinden gerçekleştirilen bütün yazışmaların sınırsız biçimde incelenebileceği anlamına gelmez.
Çünkü kurumsal e-posta hesapları dahi çalışanın kişisel verilerini, iletişim faaliyetlerini ve özel hayatına ilişkin bilgileri içerebilir.
Bu nedenle işverenin kurumsal e-posta hesaplarını incelemesi sırasında hem KVKK hükümlerine hem de Anayasa ile güvence altına alınan temel haklara uygun hareket etmesi gerekir.
4.1. KVKK Kurulunun 2026/2035 sayılı İlke Kararı
Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, işverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesaplarını ve işin yürütülmesinde kullanılan diğer iletişim kanallarını denetlemelerine ilişkin önemli düzenleyici ölçütler ortaya koymaktadır.
Kararda, çalışanlara tahsis edilen kurumsal e-posta hesaplarının yalnızca bir iletişim aracı olmadığı; çalışanın mesleki ve kimi durumlarda kişisel ilişki ağına, çalışma düzenine ve yazışma içeriklerine ilişkin çeşitli kişisel verileri barındırdığı belirtilmiştir.
Kurul, işverenin yönetim hakkı ile çalışanın özel hayatın gizliliği, kişisel verilerin korunmasını isteme hakkı ve haberleşme özgürlüğü arasında adil bir denge kurulması gerektiğini vurgulamıştır.
Kararda özellikle şu hususlar öne çıkmaktadır:
Önceden bilgilendirme: İşveren, çalışanları kurumsal iletişim araçlarının hangi amaçlarla, hangi yöntemlerle ve hangi kapsamda denetleneceği konusunda önceden bilgilendirmelidir.
İş amaçlı ve özel amaçlı kullanım ayrımı: Kurumsal iletişim araçlarının iş amaçlı veya özel amaçlı kullanımına ilişkin kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalıdır.
Teknik erişim ile hukuki erişimin ayrılması: İşverenin teknik olarak bir e-posta hesabına veya cihaza erişebilmesi, o hesaptaki bütün yazışmaları hukuken inceleyebileceği anlamına gelmez.
Ölçülülük: Denetim faaliyetleri, ulaşılmak istenen meşru amaçla bağlantılı ve sınırlı olmalıdır.
Kademeli denetim: Daha az müdahaleci bir yöntemle amaca ulaşılabiliyorsa daha ağır denetim yöntemlerine başvurulmamalıdır.
İçerik incelemesinin sınırlandırılması: Kurumsal e-posta ve diğer iletişim araçlarının içerikleri, kural olarak somut bir şüphe veya belirli bir olayla bağlantılı meşru amaç bulunması hâlinde ve denetimin amacıyla sınırlı şekilde incelenmelidir. Genel, belirsiz ve sürekli içerik incelemelerinden kaçınılmalıdır.
Veri güvenliği: Elde edilen verilere yalnızca yetkilendirilmiş kişilerin erişmesi sağlanmalı, erişim kayıtları tutulmalı ve gerekli teknik ve idari tedbirler alınmalıdır.
İş ilişkisinin sona ermesi: İş sözleşmesinin sona ermesi, çalışana tahsis edilen kurumsal e-posta hesabındaki verilerin süresiz olarak saklanabileceği veya işlenebileceği anlamına gelmez.
Bu karar, işverenlerin kurumsal iletişim araçlarını denetlerken yalnızca işletme menfaatlerini değil, çalışanların temel haklarını da dikkate almaları gerektiğini açık biçimde ortaya koymaktadır.
4.2. Çalışanın kişisel e-posta ve mesajlaşma hesaplarının denetlenmesi
Kurumsal e-posta hesapları ile çalışanın kişisel e-posta hesabı, sosyal medya hesabı veya özel mesajlaşma uygulamaları birbirinden ayrılmalıdır.
İşverenin işyerinde kullanılan bilgisayar veya internet ağı üzerinde teknik erişim imkânına sahip olması, çalışanın kişisel iletişim içeriklerine erişme hakkı bulunduğu anlamına gelmez.
Bu nedenle işveren, işin yürütülmesi amacıyla tahsis edilen araçları denetleme yetkisini kullanırken çalışanın kişisel iletişim alanına müdahale etmemelidir.
Özellikle kişisel mesajlaşmaların, özel yazışmaların veya sosyal medya hesaplarının çalışanın bilgisi ve hukuka uygun bir dayanak olmaksızın incelenmesi, kişisel verilerin korunmasını isteme hakkı ve haberleşme özgürlüğü bakımından ihlal oluşturabilir.
5. ANAYASA MAHKEMESİ KARARLARI IŞIĞINDA ÇALIŞANIN HABERLEŞME ÖZGÜRLÜĞÜ
İşyerinde dijital denetim faaliyetlerinin hukuki sınırları belirlenirken Anayasa Mahkemesinin bireysel başvuru kararları önemli bir yere sahiptir.
Anayasa’nın 20. maddesi özel hayatın gizliliğini ve kişisel verilerin korunmasını isteme hakkını, 22. maddesi ise haberleşme özgürlüğünü güvence altına almaktadır.
Bu güvenceler, iş ilişkisi içerisinde bulunulması nedeniyle ortadan kalkmamaktadır.
Bunun yanında denetim faaliyetinin hukuka uygunluğunun değerlendirilmesinde;
* Çalışanın denetim konusunda önceden bilgilendirilip bilgilendirilmediği,
* Denetimin kapsamı ve yoğunluğu,
* İletişim trafiği ile yazışma içeriklerinin incelenmesi arasındaki fark,
* İşverenin denetim için meşru gerekçelerinin bulunup bulunmadığı,
* Daha az müdahaleci yöntemlerin mümkün olup olmadığı,
* Denetim sonucunda elde edilen verilerin hangi amaçla kullanıldığı,
gibi ölçütlerin dikkate alınması gerektiği ortaya konulmuştur.
6. İŞVERENİN KİŞİSEL VERİLERİN GÜVENLİĞİNİ SAĞLAMA YÜKÜMLÜLÜĞÜ
KVKK’nın 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Bu yükümlülük, işverenin çalışanlara ilişkin verileri toplamasıyla sona ermemektedir.
İşveren, elde edilen verilerin saklanması, erişilmesi, kullanılması ve imha edilmesi süreçlerinin tamamında veri güvenliğini sağlamak zorundadır.
Bu kapsamda;
* Kamera kayıtlarına erişebilecek kişilerin sınırlandırılması,
* Kurumsal e-posta hesaplarına erişim yetkilerinin belirlenmesi,
* Yetkisiz erişimlerin önlenmesi,
* Verilerin güvenli ortamlarda muhafaza edilmesi,
* Saklama ve imha sürelerinin belirlenmesi,
* Erişim işlemlerinin kayıt altına alınması,
gerekmektedir.
Özellikle iş sözleşmesi sona eren çalışanlara ait verilerin süresiz biçimde saklanması veya erişime açık tutulması hukuka aykırılık oluşturabilir.
Verilerin muhafaza edilmesi için geçerli bir hukuki sebep bulunmadığında, ilgili mevzuat hükümleri çerçevesinde silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir.
7. HUKUKA AYKIRI DENETİMİN İŞ SÖZLEŞMESİNİN FESHİNE ETKİSİ
İşverenin çalışanı denetlemek amacıyla elde ettiği verileri iş sözleşmesinin feshi sürecinde kullanması, uygulamada önemli uyuşmazlıklara neden olmaktadır.
Örneğin işverenin çalışanının kurumsal e-posta yazışmalarını incelemesi sonucunda elde ettiği bilgileri fesih gerekçesi olarak ileri sürmesi mümkündür. Ancak burada öncelikle söz konusu verilerin hukuka uygun şekilde elde edilip edilmediği değerlendirilmelidir.
Hukuka aykırı biçimde elde edilen kişisel verilerin fesih gerekçesi yapılması, fesih işleminin hukuki geçerliliği bakımından tartışma yaratabilir.
Bu noktada iki hususun birbirinden ayrılması gerekir:
Birincisi, kişisel verilerin elde edilmesi ve işlenmesi sürecinin KVKK hükümlerine uygun olup olmadığıdır.
İkincisi ise iş sözleşmesinin feshinin 4857 sayılı İş Kanunu hükümleri kapsamında geçerli veya haklı bir nedene dayanıp dayanmadığıdır.
Bu iki değerlendirme birbiriyle bağlantılı olmakla birlikte aynı hukuki inceleme değildir.
Özellikle iş güvencesi hükümlerinin uygulandığı hâllerde işveren, fesih bildiriminde fesih nedenini açık ve kesin biçimde belirtmeli; ileri sürdüğü nedenin geçerli olduğunu ispatlamalıdır.
Hukuka aykırı bir denetim sonucunda elde edilen verilerin fesihte kullanılması hâlinde, delilin elde ediliş biçimi, işverenin denetim gerekçesi ve somut olayın özellikleri ayrıca değerlendirilmelidir.
Dolayısıyla her hukuka aykırı veri işleme faaliyeti kendiliğinden feshi geçersiz kılmaz. Ancak bu durum, işverenin veri işleme ihlalinden bağımsız olarak fesih işleminin de hukuki denetime tabi tutulmasına engel değildir.
8. ÇALIŞANIN HUKUKİ HAKLARI VE BAŞVURU YOLLARI
İşveren tarafından kişisel verilerinin hukuka aykırı şekilde işlendiğini düşünen çalışanların başvurabileceği çeşitli hukuki yollar bulunmaktadır.
8.1. Veri sorumlusuna başvuru
KVKK’nın 11. maddesi kapsamında çalışanlar, veri sorumlusu olan işverene başvurarak;
* Kişisel verilerinin işlenip işlenmediğini öğrenme,
* İşlenmişse buna ilişkin bilgi talep etme,
* İşleme amacını ve verilerin amaca uygun kullanılıp kullanılmadığını öğrenme,
* Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
* Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme,
* Kanunda öngörülen şartların gerçekleşmesi hâlinde verilerin silinmesini veya yok edilmesini isteme,
* İşlemenin hukuka aykırı olması nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme,
haklarına sahiptir.
İlgili kişinin veri sorumlusuna yaptığı başvuru, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır.
8.2. Kişisel Verileri Koruma Kurumuna şikâyet
Veri sorumlusuna yapılan başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde çalışan, KVKK’nın 14. maddesi kapsamında Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.
Şikâyet yoluna başvurulabilmesi için öncelikle veri sorumlusuna başvuru yapılması gerekir.
Kurulun incelemesi sonucunda veri işleme faaliyetinin hukuka aykırı olduğunun tespit edilmesi hâlinde, ilgili mevzuat kapsamında gerekli idari işlemler tesis edilebilir.
8.3. Maddi ve manevi tazminat talebi
KVKK’nın 14. maddesinin üçüncü fıkrası uyarınca kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.
Bu kapsamda hukuka aykırı veri işleme faaliyeti nedeniyle zarara uğrayan çalışan, somut olayın koşullarına göre maddi ve manevi tazminat talebinde bulunabilir.
Ayrıca Türk Borçlar Kanunu’nun 417. maddesi kapsamında işverenin işçinin kişiliğini koruma borcuna aykırı davranması da hukuki sorumluluk doğurabilir.
Uyuşmazlığın niteliğine göre iş mahkemesinde veya görevli ve yetkili diğer mahkemelerde hukuki yollara başvurulması gündeme gelebilir.
9. İŞVERENLER BAKIMINDAN UYGULAMADA DİKKAT EDİLMESİ GEREKEN HUSUSLAR
İşverenlerin kişisel verilerin korunması mevzuatına uygun hareket edebilmesi için işyerindeki denetim sistemlerini hukuki açıdan gözden geçirmesi gerekmektedir.
Bu kapsamda öncelikle kamera sistemlerinin ve dijital iletişim araçlarının hangi amaçlarla denetlendiği açıkça belirlenmelidir.
Çalışanlara tahsis edilen bilgisayar, telefon ve kurumsal e-posta hesaplarının kullanım koşulları yazılı ve anlaşılır şekilde düzenlenmelidir.
Denetimin kapsamı, yöntemi, süresi ve hukuki sebebi çalışanlara önceden bildirilmelidir.
Bunun yanında işverenler, mümkün olduğu ölçüde daha az müdahaleci denetim yöntemlerini tercih etmeli ve elde edilen verilerin yalnızca belirlenen amaçlar doğrultusunda kullanılmasını sağlamalıdır.
Özellikle kurumsal e-posta içeriklerinin incelenmesinde genel ve sürekli denetim yerine somut olayla bağlantılı, sınırlı ve kademeli bir inceleme yöntemi benimsenmelidir.
İşverenlerin ayrıca kişisel verilerin saklanma ve imha sürelerini belirlemesi, verilere erişebilecek kişileri sınırlandırması ve veri güvenliği bakımından gerekli idari ve teknik tedbirleri alması gerekir.
SONUÇ
İşyerinde teknolojik denetim yöntemlerinin yaygınlaşması, işverenin yönetim hakkı ile çalışanın kişilik hakları arasındaki ilişkinin yeniden değerlendirilmesini zorunlu kılmıştır.
İşverenin işyerinde güvenliği sağlama, işletme faaliyetlerini koruma ve işin yürütülmesini denetleme yetkisi bulunmakla birlikte bu yetki, çalışanların özel hayatının gizliliğini, haberleşme özgürlüğünü ve kişisel verilerinin korunmasını isteme hakkını ortadan kaldırmamaktadır.
6698 sayılı Kişisel Verilerin Korunması Kanunu, 6098 sayılı Türk Borçlar Kanunu ve Anayasa hükümleri birlikte değerlendirildiğinde, işverenin denetim faaliyetlerinin belirli, açık ve meşru amaçlara dayanması; gerekli, sınırlı ve ölçülü olması gerektiği anlaşılmaktadır.
Sonuç olarak işyerinde denetim yetkisi ile çalışanın temel hak ve özgürlükleri birbirine alternatif haklar olarak değil, birlikte korunması gereken hukuki değerler olarak ele alınmalıdır. İşverenin yönetim hakkını hukuka uygun biçimde kullanabilmesi, ancak çalışanların kişilik haklarına saygı gösterilmesi ve kişisel verilerin korunmasına ilişkin yükümlülüklerin eksiksiz yerine getirilmesiyle mümkündür.