Çalışan Verileri ve İşyeri İzleme: Ölçülü Denetim İçin Uyum Rehberi

İşverenin işin yürütülmesini ve bilgi güvenliğini denetleme ihtiyacı ile çalışanın özel hayatı ve haberleşmesinin korunması hakkı birlikte değerlendirilmelidir. Bir sistemin teknik olarak kayıt üretebilmesi, bu kayıtların sınırsız toplanabileceği veya her amaçla kullanılabileceği anlamına gelmez.

Denetim amacı baştan belirlenmelidir

Kamera güvenlik için, erişim günlüğü yetkisiz işlemleri araştırmak için, kurumsal e-posta kaydı ise iş sürekliliği için tutulabilir. Her araç bakımından amaç, hukuki sebep, kapsanan çalışan grubu, veri kategorisi ve sorumlu birim yazılı hâle getirilmelidir. Belirsiz “kontrol” amacı yerine somut risk açıklanmalıdır.

Açık ve önceden bilgilendirme

Çalışan; izlemenin varlığı, kapsamı, yöntemi, saklama süresi, veriye kimlerin erişeceği ve itiraz kanalları hakkında izlemeden önce bilgilendirilmelidir. Bilgilendirme yalnız personel dosyasındaki genel bir metinde kalmamalı; kamera alanı, e-posta politikası ve cihaz kullanım kurallarıyla tutarlı olmalıdır.

Daha az müdahaleci yöntem testi

• İçeriği okumadan trafik veya güvenlik günlüğü yeterli mi?
• Sürekli izleme yerine olay bazlı inceleme yapılabilir mi?
• Ses kaydı olmadan görüntü güvenlik amacını karşılıyor mu?
• Konum takibi iş süresi ve görev alanıyla sınırlandırılabilir mi?
• İlgisiz özel veriler otomatik olarak dışarıda bırakılabilir mi?

Erişim ve delil bütünlüğü

Kayıtlara erişim görevle sınırlı olmalı; kim, ne zaman, hangi gerekçeyle görüntüledi denetlenebilir biçimde tutulmalıdır. Bir uyuşmazlıkta kullanılacak kayıt orijinal kaynağı, zaman bilgisi ve bütünlüğü korunarak saklanmalı; ilgisiz kişiler ve özel içerikler dosyadan ayrılmalıdır.

Saklama ve ayrılık sonrası işlemler

Saklama süresi her veri türü için ayrı belirlenmelidir. İş ilişkisinin sona ermesi tüm kayıtların aynı gün silinmesini gerektirmeyebilir; ancak devam eden saklama için amaç ve hukuki dayanak yeniden değerlendirilmelidir. Gereksiz erişimler kapatılmalı, yasal saklama gerekçesi olmayan kopyalar güvenli biçimde imha edilmelidir.

İşverenin denetim hakkı, çalışanın tüm iletişimini sınırsız izleme yetkisi değildir. Şeffaflık, gereklilik ve ölçülülük her somut uygulamada birlikte gösterilmelidir.

Resmî kaynaklar

• KVKK: Kurumsal e-posta izlenmesine ilişkin 2023/86 sayılı karar özeti
• KVKK: İşyerinde görüntü ve ses kaydına ilişkin 2023/2007 sayılı karar özeti