İşyerinde Kamera, Araç Takip ve E-Posta Denetimi: Çalışanın Kişisel Verileri

İşyerinde kamera kaydı, araç takip sistemi, kurumsal e-posta denetimi ve özlük dosyası; çalışanın kişisel verilerinin en yoğun işlendiği dört alandır. Uygulamada bu dört alanın tamamı çoğu zaman tek bir belgeye bağlanmaktadır: işe girişte imzalatılan açık rıza metnine. Bu yöntem hukuken hatalıdır ve işverene beklediği korumayı sağlamaz.

Yanlışın kaynağı basittir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5 inci maddesinin birinci fıkrası kişisel verilerin açık rıza olmaksızın işlenemeyeceğini söyler. Oysa aynı maddenin ikinci fıkrası, sayılan şartlardan birinin varlığı hâlinde açık rıza aranmaksızın işlemeye izin verir. İş ilişkisinde doğru zemin ikinci fıkradır.

İşveren çalışanın kişisel verilerini açık rızaya dayanarak işleyebilir mi?

Kural olarak hayır. Açık rızanın geçerliliği özgür iradeyle açıklanmış olmasına bağlıdır; iş ilişkisindeki güç dengesizliği nedeniyle çalışanın gerçek bir seçeneğe sahip olmadığı kabul edilir. İşveren, kamera, araç takip ve benzeri uygulamalarını 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5 inci maddesindeki diğer işleme şartlarına dayandırmak zorundadır.

Kişisel Verileri Koruma Kurulu bu tespiti 2 Haziran 2026 tarihli duyurusunda açıkça yapmıştır: güç dengesizliğinin bulunduğu istihdam ilişkilerinde çalışana rıza göstermeme veya rızasını geri çekme imkânı etkin biçimde sunulmuyorsa, rızanın özgür iradeye dayandığından söz edilemez.

Sonuç şudur: tek sayfalık genel muvafakat metni, kamera kaydını da araç takibini de e-posta denetimini de hukuka uygun hâle getirmez. İki işlemin neden ayrı yürütülmesi gerektiği aydınlatma metni ile açık rızanın aynı şey olmadığını anlatan yazıda ele alınmıştır. İş ilişkisinde kullanılabilecek dayanaklar şunlardır:

• Sözleşmenin ifasıyla doğrudan ilgili olma: ücret ödemesi için banka hesap numarası.
• Hukuki yükümlülüğün yerine getirilmesi için zorunlu olma: 4857 sayılı İş Kanunu ve 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'ndan doğan kayıt, bildirim ve gözetim yükümlülükleri.
• Bir hakkın tesisi veya korunması için zorunlu olma: fesihte ispat amacıyla saklanan belgeler.
• Meşru menfaat için zorunlu olma: iş yeri güvenliği amaçlı kamera.

İşyerinde kamera hangi hukuki sebebe dayanır?

Dayanak, 6098 sayılı Türk Borçlar Kanunu'nun 417 nci maddesindeki işçinin kişiliğini koruma borcu ile 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 4 üncü maddesindeki izleme ve denetleme yükümlülüğüdür; kamera bu yükümlülüğe hizmet ettiği ölçüde meşrudur. Kişisel Verileri Koruma Kurumu'nun 8 Haziran 2026 tarihli kamuoyu duyurusunda, kameralarla verimli çalışılıp çalışılmadığını görme, disiplini artırma ve genel kontrol sağlama gibi soyut amaçların "meşru amaç" sayılamayacağı; kameraların devam durumu veya performans izlemek için kullanılmasından kaçınılması gerektiği belirtilmiştir. Kurum ayrıca ses kayıtlı kameraların gerekçesi ortaya konulmadan kullanılmamasını istemektedir.

İşyerinde kamera nerelere konulamaz?

Tuvalet, soyunma odası, duş, mescit ve dinlenme alanı gibi mahremiyet beklentisinin yüksek olduğu yerlere kamera yerleştirilemez. Kişisel Verileri Koruma Kurumu'nun 8 Haziran 2026 tarihli kamuoyu duyurusunda bu alanlar açıkça sayılmıştır. İş yerinin tamamını kapsayan geniş açılı veya yüz odaklı kayıt da yapılmamalıdır; tek bir çalışanı hedefleyen konumlandırma ölçülü sayılmaz.

Konum değerlendirilirken elverişlilik, gereklilik ve orantılılık ayrı ayrı incelenir. Giriş çıkış noktaları, depo, kasa ve riskli üretim bölgelerinde kamera orantılı görülebilir. Buna karşılık çalışanın masasına doğrultulmuş, yalnızca o kişinin ekranını gören bir kamera amaçla sınırlı olma ilkesini karşılamaz; iş yerinde dahi olsa çalışanın makul bir mahremiyet beklentisi bulunduğu kabul edilmektedir.

Kamera kaydı ne kadar süre saklanır?

Kanunda sabit bir süre yoktur; ölçüt, işleme amacı için gerekli olan en kısa süredir. Uygulamada iş yerlerinde otuz gün ile doksan gün arasında bir süre benimsenmektedir. Süre dolduğunda kayıt otomatik olarak imha edilmelidir. Bir olay yaşanmışsa yalnızca o olaya ilişkin kayıt, hukuki süreç boyunca saklanır.

İmha zamanlaması yönetmelikle düzenlenmiştir. Saklama ve imha politikası hazırlamış veri sorumlusu için periyodik imha aralığı her hâlde altı ayı geçemez; politika hazırlama yükümlülüğü bulunmayan veri sorumlusu ise silme yükümlülüğünün doğduğu tarihi takip eden üç ay içinde imhayı gerçekleştirir. Bu yükümlülüğün kaynağı Sicile kayıttır; kimlerin kaydolmak zorunda olduğu VERBİS kayıt yükümlülüğünü anlatan yazıda açıklanmıştır.

Kamerada aydınlatma yükümlülüğü nasıl yerine getirilir?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10 uncu maddesindeki yükümlülük, kamera uygulamasında iki katmanlı yerine getirilir. Birinci katman, izleme alanına girmeden önce görülebilecek uyarı levhasıdır. İkinci katman, veri sorumlusunun kimliğini, işleme amacını, aktarım alıcılarını, toplama yöntemini ve hukuki sebebini içeren tam metindir.

Tam metin iş yeri girişinde, panoda veya işe giriş evrakında erişime açık tutulur. Aydınlatma çalışan, çalışan adayı, ziyaretçi ve tedarikçi gruplarına ayrı ayrı yapılır; amaç ve hukuki sebep her grupta aynı değildir. Kayıtlar yurt dışındaki bir bulut sunucuda tutuluyorsa aktarım rejimi de değerlendirilmelidir; bu konu kişisel verilerin yurt dışına aktarılmasına ilişkin yazıda ele alınmıştır.

Araç takip sistemi mesai dışında da çalışabilir mi?

Hayır. Araç takip sistemi, işin görülmesiyle bağlantılı olduğu ölçüde meşrudur; mesai saatleri dışında ve aracın kişisel kullanımı sırasında konum verisi işlenmesi amaçla bağlantılı sayılmaz. Bu nedenle sistemin mesai dışında kapatılabilmesi veya özel kullanım moduna alınabilmesi teknik olarak sağlanmalıdır; aksi hâlde işleme ölçüsüz kalır.

Meşru sayılabilecek amaçlar sınırlıdır: filo güvenliği, sevkiyat planlaması, rota verimliliği, araç hırsızlığına karşı koruma, iş kazasında konum tespiti. Hiçbiri sürekli izlemeyi gerektirmez. En sık aykırılık, kişisel kullanıma da açık tahsis edilmiş şirket aracının akşam ve hafta sonu hareketlerinin kaydedilmesi; ikincisi konum verisinin performans değerlendirmesine girdi yapılmasıdır. Birkaç haftalık kayıt yeterliyken yıllarca geriye giden hareket geçmişi tutmak ölçülü sayılmaz.

Kurumsal e-posta ve bilgisayar denetlenebilir mi?

Denetlenebilir; ancak koşulları vardır. Anayasa Mahkemesi, işverenin meşru bir gerekçesinin bulunmasını, çalışanın denetimin yapılabileceği, kapsamı ve sonuçları konusunda önceden açıkça bilgilendirilmiş olmasını, incelemenin somut iddiayla sınırlı kalmasını ve elde edilen verinin amaç dışında kullanılmamasını aramaktadır. Önceden bilgilendirme yoksa denetim hukuka aykırıdır.

Bilgilendirmenin içeriği de önemlidir. Çalışana yalnızca "e-postalar denetlenebilir" demek yeterli görülmemekte; denetimin dayanağı, amacı, kapsamı, hangi hâllerde yapılacağı ve sonuçları önceden bildirilmelidir. Bu bildirim iş sözleşmesine eklenen bir madde veya bilişim kaynakları kullanım politikası ile yapılabilir.

İçeriğe erişim, üstveriye erişimden daha ağır bir müdahaledir; kimin kime ne zaman yazdığını gösteren kayıtlarla sonuca ulaşılabiliyorsa yazışmanın metnine girilmemelidir. Ulaşılan yazışmayı üçüncü kişilerle paylaşmak ayrı bir aykırılıktır. Fesihte izlenecek süreç için işe iade davasındaki bir aylık arabuluculuk ve iki haftalık dava süresini anlatan yazı incelenebilir.

Özlük dosyasında hangi belgeler tutulabilir?

Özlük dosyasının dayanağı 4857 sayılı İş Kanunu'nun 75 inci maddesidir:

İşveren çalıştırdığı her işçi için bir özlük dosyası düzenler. İşveren bu dosyada, işçinin kimlik bilgilerinin yanında, bu Kanun ve diğer kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunları istendiği zaman yetkili memur ve mercilere göstermek zorundadır.

Madde, dosyanın kapsamını "düzenlemek zorunda olunan belge ve kayıtlar" ile sınırlamıştır. İkinci fıkra ise işverene, edindiği bilgileri hukuka uygun kullanma ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamama borcu yükler.

Bu sınır, dosyaya konulabilecekleri belirler: kimlik bilgisi, iş sözleşmesi, işe giriş bildirgesi, ücret bordroları, yıllık izin defteri, fazla çalışma onayı, iş sağlığı ve güvenliği eğitim kayıtları, zimmet tutanakları, ihtar ve savunma yazıları, fesih bildirimi. Buna karşılık kan grubu, aile bireylerinin sağlık bilgisi, sendika üyeliği, siyasi görüş ile din ve mezhep bilgisi hukuki dayanağı gösterilmeden dosyaya konulamaz. Fazla çalışma kayıtlarının ispat değeri konusunda fazla mesai alacağında ispat kurallarını anlatan yazı yol göstericidir.

Sağlık verisi ve adli sicil kaydı nasıl işlenir?

Sağlık verisi özel nitelikli kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6 ncı maddesindeki dar rejime tabidir; 2 Mart 2024 tarihli ve 7499 sayılı Kanun'la değiştirilen madde, bu verilerin yalnızca sayılan hâllerde işlenmesine izin verir. İş ilişkisinde kullanılacak dayanak açık rıza değil, istihdam ile iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olma hâlidir.

6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 15 inci maddesi işe giriş muayenesini ve periyodik sağlık gözetimini zorunlu tutar; aynı maddenin beşinci fıkrası şu hükmü içerir:

Sağlık muayenesi yaptırılan çalışanın özel hayatı ve itibarının korunması açısından sağlık bilgileri gizli tutulur.

Uygulamadaki karşılığı nettir: raporun teşhis içeren ayrıntısı insan kaynakları biriminde değil, işyeri hekimi nezdinde tutulur. İşverene ulaşan bilgi, çalışanın işe uygunluğu ve varsa çalışma kısıtı düzeyinde kalmalıdır.

Adli sicil kaydı da ceza mahkûmiyetine ilişkin olduğu için özel nitelikli veridir. 5352 sayılı Adlî Sicil Kanunu'nun 7 nci maddesine göre bu bilgiler, kullanılış amacı belirtilmek suretiyle ilgili kişiye veya vekiline ve kamu kurum ve kuruluşlarına verilebilir. Özel bir işveren kaydı doğrudan sorgulayamaz; adaydan belge istemesi ancak mevzuatın o iş için sicil şartı araması hâlinde gündeme gelir. Referans sorgusu da gözden kaçan bir aktarımdır: işveren adayın eski işverenini aradığında adayın verisini üçüncü kişiye aktarmış olur; aday bu konuda önceden aydınlatılmalıdır.

Parmak izi ve yüz tanıma ile mesai takibi mümkün müdür?

Hayır. Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararına göre, yalnızca mesai takibi amacıyla parmak izi, yüz tanıma, iris veya retina taraması yoluyla biyometrik veri işlenmesi hukuka aykırıdır. Çalışanın açık rızası bulunsa dahi bu sonuç değişmez.

İlke kararı 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır. Gerekçe iki ayaklıdır. Birincisi, takibin biyometrik veriyle yapılmasını öngören açık bir kanun hükmü yoktur; bu nedenle "kanunlarda açıkça öngörülme" şartına dayanılamaz. İkincisi, daha az müdahaleci yöntemler varken bu işleme, geçerli açık rıza bulunsa bile ölçülülük kriterini karşılamaz. Kurul alternatifleri de saymıştır:

• Şifreli kart veya PIN tabanlı sistemler
• Geleneksel imza ve kâğıt bazlı devam çizelgeleri
• RFID veya NFC kimlik kartları
• Denetçi gözetiminde elle giriş

27 Ağustos 2026 tarihli duyuruda, parmak izinin matematiksel bir koda çevrilerek saklanmasının verinin biyometrik niteliğini ortadan kaldırmadığı belirtilmiştir. Yüksek güvenlik riski taşıyan tesislerde kritik alanlara erişim kontrolü amacıyla yapılan işleme ise mesai takibi amacını aştığı için ilke kararı kapsamı dışındadır.

İşten ayrılan çalışanın verileri ne kadar saklanır?

Tek bir süre yoktur; her veri türü kendi gerekçesine bağlıdır. Kıdem ve ihbar tazminatı ile yıllık izin ücreti alacaklarında zamanaşımı beş yıl olduğundan, ispat amaçlı belgeler bu süre boyunca tutulabilir. 5510 sayılı Kanun uyarınca işyeri kayıtlarında süre on yıldır. Kamera kaydı bu sürelere dâhil değildir.

4857 sayılı İş Kanunu'nun Ek 3 üncü maddesi; yıllık izin ücreti, kıdem tazminatı, bildirim şartına uyulmadan fesihten doğan tazminat, kötüniyet tazminatı ve eşit davranma ilkesine aykırı fesihten doğan tazminat için zamanaşımını beş yıl olarak belirlemiştir. Ücret alacaklarında da süre beş yıldır. İki kavramın karıştırılmaması için zamanaşımı ile hak düşürücü süre arasındaki farkı anlatan yazı okunabilir.

5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 86 ncı maddesi ise işyeri defter, kayıt ve belgelerinin ilgili olduğu yılı takip eden yıl başından başlamak üzere on yıl saklanmasını zorunlu tutar. Bu süre prim ve hizmet belgeleri içindir; kamera görüntüsünü, konum verisini veya e-posta arşivini kapsamaz. Kart fotoğrafı, sistem kullanıcı hesabı ve konum geçmişi gibi veriler ayrılışın ardından ilk periyodik imhada silinir.

Çalışan hangi yollara başvurabilir?

Çalışanın ilk muhatabı işverendir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 13 üncü maddesi uyarınca talep veri sorumlusuna iletilir ve en geç otuz gün içinde ücretsiz sonuçlandırılır. Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse; ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir. Sıra atlanamaz: 14 üncü maddeye göre başvuru yolu tüketilmeden şikâyet yoluna gidilemez. Çalışan bu yolla hangi verilerinin işlendiğini, kamera kayıtlarının saklama süresini ve verilerin aktarıldığı üçüncü kişileri öğrenebilir. Başvuru usulü veri sorumlusuna başvuru ile Kurul'a şikâyet sürecini anlatan yazıda, ihlal hâlindeki bildirim yükümlülüğü ise veri ihlalinde 72 saatlik bildirim süresini anlatan yazıda açıklanmıştır.

Usulsüz elde edilen kayıt iş davasında delil olur mu?

Olmaz. 6100 sayılı Hukuk Muhakemeleri Kanunu'nun 189 uncu maddesinin ikinci fıkrası uyarınca hukuka aykırı olarak elde edilmiş deliller, mahkeme tarafından bir vakıanın ispatında dikkate alınamaz. Soyunma odasına konulmuş kameranın görüntüsü veya önceden bilgilendirme yapılmadan incelenen e-posta, fesih sebebi olarak ileri sürülse bile değerlendirme dışı kalabilir.

İşveren açısından sonuç ağırdır: hukuka aykırı elde edilmiş bir kayda dayanan fesih hem ispatsız kalır hem de ayrı bir veri ihlali oluşturur. Kişisel Verileri Koruma Kurulu, kamera görüntülerinin işe iade davasına sunulmasına ilişkin şikâyetlerde kaydın hangi amaçla ve hangi alandan alındığına bakmaktadır. Çalışanın işvereni gizlice kayda alması da her durumda korunmaz. Uyuşmazlığın usule uygun ilerlemesi için iş davalarında zorunlu arabuluculuğu anlatan yazı gözden geçirilmelidir.

İdari para cezası riski ne kadardır?

Yaptırım 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18 inci maddesindedir; tutarlar her yıl yeniden değerleme oranında artırılır ve 2026 için bu oran yüzde 25,49 olmuştur. Kurumun yayımladığı 2026 tutarları şunlardır:

• Aydınlatma yükümlülüğünü yerine getirmeme: 85.437 TL ile 1.709.200 TL arasında
• Veri güvenliğine ilişkin yükümlülükleri yerine getirmeme: 256.357 TL ile 17.092.242 TL arasında
• Kurul kararlarını yerine getirmeme: 427.263 TL ile 17.092.242 TL arasında
• Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık: 341.809 TL ile 17.092.242 TL arasında

İş yeri kamerasındaki aykırılıklar çoğunlukla iki kalemden birine girer: aydınlatma yapılmamışsa (a) bendi, kayıtların gereğinden uzun tutulması veya yetkisiz erişime açık bırakılması hâlinde (b) bendi. Kurul kararlarına karşı idare mahkemelerinde dava açılabilir.

Sık yapılan hatalar

• İşe girişte tek bir açık rıza metni imzalatıp kamera, araç takibi ve e-posta denetimini bu metne dayandırmak; iş ilişkisinde açık rıza kural olarak geçerli bir dayanak değildir.
• Tuvalet, soyunma odası, mescit veya dinlenme alanına kamera koymak; ses kayıtlı kamera kullanıp gerekçesini yazmamak.
• Kamera kaydını sınırsız tutmak ya da otomatik imhayı hiç kurmamak.
• Şirket aracının takip sistemini mesai dışında açık bırakmak, konum verisini performans değerlendirmesinde kullanmak.
• Çalışanı önceden bilgilendirmeden kurumsal e-posta içeriğine girip bunu fesih gerekçesi yapmak.
• Sağlık raporunun teşhis ayrıntısını insan kaynakları dosyasında saklamak.
• Parmak izi veya yüz tanıma cihazıyla mesai takibi yapmayı sürdürmek.
• İşten ayrılanın verilerini süresiz saklamak ya da zamanaşımı dolmadan ispat belgelerini imha etmek.
• Çalışanın veri talebini otuz gün içinde cevaplamamak.

Bu dört uygulamanın tamamı aynı soruya bağlanır: bu veri hangi hukuki sebeple işleniyor. İşveren tarafında yapılacak ilk somut iş, her veri işleme faaliyetinin karşısına 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5 inci maddesinin ikinci fıkrasındaki bentlerden hangisine dayandığını yazmak ve karşısı boş kalan faaliyeti durdurmaktır. Çalışan tarafında ilk iş, işverene yazılı başvuru yaparak hangi verilerinin hangi amaçla işlendiğini ve kamera kayıtlarının saklama süresini sormak; otuz günlük cevap süresini bu başvurunun tarihinden itibaren saymaktır.