Birçok çalışan, iş yerindeki bilgisayarında ne yaptığının, kurumsal e-postasına neler yazıldığının, hatta konumunun takip edildiğinin farkında bile değil. Öte yandan pek çok işveren de tam olarak neyin hukuki sınırlar içinde kaldığını bilmiyor.
Bu yazıda — soyut ilkeler değil, gerçek kurul kararları ve mahkeme içtihadı üzerinden — çalışan gözetiminin Türkiye hukukundaki sınırlarını ve işverenin yükümlülüklerini ele alıyoruz.
Yasal Çerçeve: Hangi Mevzuat Devreye Giriyor?
Çalışan gözetimi konusunda tek bir kanun değil, birbirine bağlı birkaç düzenleme birlikte uygulanıyor:
6698 sayılı KVKK: Temel referans nokta bu. İşveren, çalışanın kişisel verilerini işliyorsa “veri sorumlusu” sıfatını taşıyor ve tüm KVKK yükümlülükleri devreye giriyor.
4857 sayılı İş Kanunu (md. 77): İşverene iş sağlığı ve güvenliği kapsamında denetim yetkisi tanıyor — ama bu yetki sınırsız değil.
Türkiye Cumhuriyeti Anayasası (md. 20): Özel hayatın gizliliği güvencesi, çalışma ortamında da geçerli.
AİHS Madde 8: Avrupa İnsan Hakları Sözleşmesi’nin özel hayata saygı güvencesi, Türkiye’nin de taraf olduğu bu belge kapsamında çalışma ilişkilerine uygulanıyor.
KVKK Kapsamında İzlemenin Hukuki Dayanakları
İşverenin çalışanı izleyebilmesi için KVKK’nın 5. maddesinde sayılan işleme şartlarından birinin varlığı zorunlu.
Açık Rıza: Gerçekten Geçerli mi?
En sık başvurulan dayanak “açık rıza”. İş sözleşmesi ekinde bir onay formu imzalatılıyor ve iş bitti sanılıyor.
Ama durum bu kadar basit değil. KVKK Kurulu ve uluslararası düzenleyici otoriteler, işveren-çalışan ilişkisindeki güç dengesizliği nedeniyle iş ortamında alınan rızanın “özgür irade” taşıyıp taşımadığı konusunda titizdir. İCO (İngiltere Veri Koruma Otoritesi) da bu güç dengesizliğini açıkça vurgulayarak işyerindeki rızanın kullanılabilirliğinin “önemli ölçüde sınırlı” olduğuna dikkat çekiyor.
Meşru Menfaat: Asıl Tartışma Zemini Burası
KVKK madde 5/2-f’de yer alan meşru menfaat, çalışan gözetimi söz konusu olduğunda en sık başvurulan hukuki daynak.
İşverenin ticari sırları koruma, iç denetim, suç önleme, hukuki sorumluluktan korunma gibi meşru amaçları var. Bunlar gerçek. Ancak meşru menfaat, sınırsız bir “izin belgesi” değil. Orantılılık testi uygulanıyor: amaç, müdahalenin boyutunu haklı kılıyor mu?
Somut Gözetim Türleri ve Hukuki Değerlendirme
1. E-posta İçeriklerinin İzlenmesi
KVKK Kurulu, 19 Ocak 2023 tarih ve 2023/86 sayılı kararında kurumsal e-posta izlemesini kapsamlı biçimde ele aldı. Bu davada bir çalışan, şirket içi verileri kişisel e-posta adresine ve avukatına iletti; işveren bunu iş akdini fesih gerekçesi yaptı.
Kurul değerlendirmesinde birkaç kritik noktanın altını çizdi: İzlemenin çalışana önceden açık biçimde bildirilip bildirilmediği, aydınlatma yükümlülüğünün gerçek anlamda yerine getirilip getirilmediği ve izlemenin kapsamının amacıyla orantılı olup olmadığı.
Kurul ayrıca 25 Kasım 2021 tarih ve 2021/1187 sayılı kararında, eski çalışanın e-posta hesabına aydınlatma yapılmaksızın erişilmesini inceledi ve açık bilgilendirme yapılmayan durumlarda çalışanın gizlilik beklentisinin korunmaya değer olduğunu vurguladı.
Sonuç olarak: E-posta takibi tamamen yasak değil, ama önceden açık bildirim şart, kapsam amacıyla orantılı olmalı ve genel kural olarak e-posta içeriklerine girmeden önce metaveri (gönderici, alıcı, zaman) incelenmesi değerlendirilmeli.
2. Ekran Kaydı ve Tuş Kaydı (Keystroke Monitoring)
ICO’nun Monitoring Workers rehberi, tuş kaydını ve ekran görüntüsü yakalama uygulamalarını “yüksek riskli işleme” olarak sınıflandırıyor ve öncesinde mutlaka Veri Koruma Etki Değerlendirmesi (DPIA) yapılmasını zorunlu kılıyor.
Türk hukuku açısından değerlendirildiğinde, bu ölçekte bir veri toplama için meşru amaç çok güçlü olmalı; ölçülülük ilkesi gerçekten sağlanmalı. “Performans takibi” gibi geniş, muğlak gerekçeler yeterli hukuki dayanak oluşturmuyor.
3. Konum Verisi
Şirket aracı ya da telefon üzerinden mesai saatlerinde konum takibi, meşru bir amaç ve önceden bilgilendirme koşullarında mümkün olabilir. Mesai dışında da konumu takip etmek ise çok istisnai koşullar dışında savunulamaz — bu, çalışanın gündelik yaşamına müdahaledir.
4. Güvenlik Kamerası
KVKK Kurulu bu konuyu çok sayıda kararında ele aldı. Temel ilkeler şunlar: Kameralar yalnızca belirli, açık ve meşru bir amaca hizmet etmeli; kamera sayısı ve açıları bu amacın gerektirdiği minimumlarda kalmalı; tuvaletler, soyunma odaları ve özel dinlenme alanları kapsam dışında; kayıtlar gereğinden uzun süre saklanmamalı ve çalışanlar bu uygulama hakkında önceden bilgilendirilmeli.
5. Biyometrik Veri ve Yüz Tanıma
KVKK Kurulu, 4 Ağustos 2022 tarih ve 2022/797 sayılı kararında işyerinde yüz tanıma sistemini inceledi. Biyometrik veri, KVKK madde 6 kapsamında “özel nitelikli kişisel veri” — işleme koşulları çok daha sınırlı.
Nisan 2026 tarihli ve 2026/921 sayılı ilke kararında Kurul, mesai takibi amacıyla biyometrik veri işlemenin kural olarak sorunlu olduğunu; açık rıza bulunsa dahi ölçülülük kriterinin sağlanamayabileceğini ve şifreli kart, PIN, RFID kart gibi daha az müdahaleci yöntemlerin tercih edilmesi gerektiğini açıkça ifade etti.
Uluslararası Mahkeme Kararlarının Türk Hukukuna Etkisi
AİHM — Bărbulescu v. Romanya (2017)
Avrupa İnsan Hakları Mahkemesi Büyük Dairesi, 5 Eylül 2017 tarihli bu kararında, işverenin çalışanın mesajlaşma hesabını izlemesini AİHS madde 8 kapsamında değerlendirdi ve şu kriterleri belirledi: çalışana önceden açık bildirim yapılmalı; izlemenin kapsamı ve müdahalenin derecesi belirlenmeli; daha az müdahaleci bir yöntemle aynı amaca ulaşılabilir miydi değerlendirilmeli; izlemenin sonuçlarına ilişkin sınırlar belirlenmeli.
Bu kriter seti Türk hukukunda da uygulanıyor. Hem Anayasa Mahkemesi kararları hem de KVKK Kurul kararları Bărbulescu testine doğrudan atıf yapıyor.
AİHM — Lopez Ribalda v. İspanya (2019)
Bu davada işveren, somut hırsızlık şüphesi üzerine sınırlı bir süre için gizli kamera kurdu. AİHM Büyük Dairesi, bu koşullarda gizli gözetimi meşru buldu — ama bu bir istisna. Genel kural şeffaflık.
Yapay Zeka ile Çalışan Gözetimi: Yeni Bir Boyut
KVKK’nın 24 Kasım 2025 tarihinde yayımladığı “15 Soruda Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi” ile Şubat 2026 tarihli “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” duyurusu bu konuya açıklık getiriyor.
Çalışanların yapay zeka araçlarını şirket bilgisi dışında kullanması “gölge yapay zeka” (Shadow AI) riski doğuruyor. Ama asıl mesele şu: İşveren, çalışan davranışlarını, iletişim kalıplarını veya performansını yapay zeka ile analiz ediyorsa, bu faaliyet KVKK kapsamında ayrı bir değerlendirme gerektiriyor. Aydınlatma metinlerinin güncellenmesi, DPIA yapılması ve veri işleme envanterinin bu faaliyeti kapsaması şart.
İşveren İçin Pratik Yükümlülükler
Çalışan izleme yapan veya yapmayı planlayan bir işveren için temel adımlar şunlar:
Politika belgesi hazırlayın. Hangi verilerin, hangi amaçla, hangi yöntemle toplandığı ve ne kadar süre saklandığı yazılı ve erişilebilir olmalı.
Aydınlatma yapın — gerçek anlamda. Küçük punto, çok sayfalı belgelerin içine gömülmüş bir cümle yetmiyor. Çalışanın anlayabileceği, hangi verinin neden işlendiğini açıklayan ayrı bir bildirim gerekiyor.
Ölçülülük ilkesini uygulayın. Her veri toplama aracı için “bu gerçekten amacımıza ulaşmak için minimum düzeyde müdahale mi?” sorusunu sorun.
Yüksek riskli işlemelerde DPIA yapın. Tuş kaydı, biyometrik veri, yapay zeka analizi gibi yüksek riskli süreçler için Veri Koruma Etki Değerlendirmesi zorunlu.
VERBİS kaydınızı güncel tutun. Çalışan verisi işleme faaliyetleri veri envanterinde yer almalı.
Çalışan Olarak Haklarınız
KVKK madde 11 çalışanlara somut haklar tanıyor:
Hakkınızda işlenen verileri öğrenme, yanlış verilerin düzeltilmesini isteme, belirli koşullarda silinmesini talep etme, işlemenin sınırlandırılmasını isteme ve veri koruma ihlaline ilişkin KVKK’ya şikâyette bulunma hakları bunların başında geliyor. Bu haklardan yararlanmak için işvereninize yazılı başvuru yapabilirsiniz; yanıt süresi 30 gündür.
Sonuç
İşveren çalışanı izleyebilir — ama bu yetki keyfi, sınırsız ve bildirimsiz değil. Her izleme aracı için meşru bir amaç, önceden açık bildirim ve amaca orantılı bir kapsam zorunlu.
Hem işverenler hem çalışanlar açısından temel mesaj aynı: bu alan artık yalnızca iş hukukunun değil, veri koruma hukukunun da içinde. KVKK, AİHM içtihadı ve uluslararası rehberler bir arada değerlendirildiğinde çerçeve oldukça belirgin — bilmemek bir savunma gerekçesi değil.