Çalışan verileri ve KVKK
Aday ve çalışan verilerini hangi hukuki sebeple işlersiniz? Açık rıza, sağlık ve diğer özel nitelikli veriler, aydınlatma, izleme, yurt dışına aktarım, saklama ve imha süreleri, VERBİS ve veri ihlali bildirimi.
İşveren, çalışan verilerinin veri sorumlusudur. Verileri çoğunlukla açık rıza olmadan, kanuni yükümlülük, iş sözleşmesinin ifası veya meşru menfaat gibi KVKK md. 5’teki sebeplere dayanarak işler; her durumda çalışanı aydınlatmak, verileri amaçla sınırlı tutmak ve süresi dolanı imha etmek zorundadır.
Bu konudaki son değişiklikler
İşverenin rolü
İşveren, aday ve çalışan verilerinin işlenme amacını ve yöntemini belirlediği için veri sorumlusudur (6698 md. 3/1-ı). Bordro, insan kaynakları yazılımı veya arşiv hizmetini dışarıdan alıyorsanız hizmet sağlayıcı, sizin adınıza veri işleyen konumundadır (md. 3/1-ğ). Veri güvenliği tedbirlerinden onunla birlikte sorumlu olursunuz (md. 12/2).
İş hukukunda da iki temel sınır vardır:
- İşveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir (TBK md. 419).
- İşveren, işçi hakkında edindiği bilgileri dürüstlük kuralları ve hukuka uygun olarak kullanmak ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamakla yükümlüdür (4857 md. 75).
Her işlemede şu ilkelere uyulur: hukuka ve dürüstlük kurallarına uygunluk; doğruluk ve güncellik; belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü olma; gerekli süre kadar saklama (KVKK md. 4/2).
Hangi hukuki sebebe dayanırsınız?
Kural açık rızadır, ancak md. 5/2’deki şartlardan biri varsa açık rıza aranmaz. İK süreçlerinin büyük bölümü bu şartlara dayanır:
| İşleme şartı (md. 5/2) | İK’daki örnek |
|---|---|
| (a) Kanunlarda açıkça öngörülmesi | Özlük dosyası (4857 md. 75), ücret hesap pusulası (4857 md. 37) |
| (c) Sözleşmenin kurulması veya ifası | Ücretin ödenmesi için banka hesabı, iletişim bilgileri, görev ve performans kayıtları |
| (ç) Hukuki yükümlülüğün yerine getirilmesi | SGK bildirimleri, muhtasar ve prim hizmet beyannamesi, iş sağlığı ve güvenliği kayıtları |
| (e) Bir hakkın tesisi, kullanılması veya korunması | Olası bir iş davası için kayıtların zamanaşımı süresince saklanması |
| (f) Meşru menfaat (çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla) | Bilgi güvenliği için sistem kayıtları, işyeri güvenliği kamerası |
Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır (md. 3/1-a). İşe alım şartına bağlanmış ya da genel bir sözleşme maddesine gömülmüş onay bu tanımı karşılamaz.
Özel nitelikli veriler
Sağlık, sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri, din, kılık ve kıyafet ile biyometrik ve genetik veriler özel nitelikli kişisel veridir (md. 6/1). Bunların işlenmesi yasaktır; ancak md. 6/3’te sayılan hâllerden biri varsa işlenebilir.
1 Haziran 2024’ten beri İK için en önemli istisna şudur: istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması (md. 6/3-f). Değişikliğin ayrıntıları için 7499 sayılı Kanun kaydı.
| Veri | İşleme şartı | Dikkat |
|---|---|---|
| İşe giriş ve periyodik sağlık muayenesi | 6331 md. 15 → KVKK md. 6/3-f | Sağlık bilgileri gizli tutulur (6331 md. 15/5). İK’ya “işe uygundur” sonucu yeterlidir; muayene ayrıntıları işyeri hekimindeki kişisel sağlık dosyasında kalmalıdır. |
| İstirahat raporu | SGK bildirimleri ve ücret hesabı → md. 6/3-f | Teşhis bilgisi gerekmez; rapor tarihleri yeterlidir. |
| Engelli çalışan bilgisi | 4857 md. 30 kotası → md. 6/3-f | Yalnızca kota ve teşvik için gereken ölçüde. |
| Adli sicil kaydı | Kanunun ilgili görev için arandığı hâllerde md. 6/3-b veya f | Kanuni dayanağı olmayan pozisyonlarda rutin olarak istemek ölçülülük ilkesiyle bağdaşmaz (md. 4/2-ç). |
| Sendika üyeliği | 6356 sayılı Kanun kapsamındaki işlemler → md. 6/3-b, f | Sendika aidatı kesintisi gibi işlemlerle sınırlı tutun. |
| Parmak izi, yüz tanıma | Genellikle yalnızca açık rıza (md. 6/3-a) | Aşağıdaki nota bakın. |
Özel nitelikli verilerde ayrıca Kurul’un belirlediği yeterli önlemler alınmak zorundadır (md. 6/4; Kurul’un 31.01.2018 tarihli ve 2018/10 sayılı Kararı). Bu önlemler arasında ayrı bir veri güvenliği politikası, bu verilere erişen çalışanlara eğitim ve gizlilik taahhüdü, erişim yetkilerinin sınırlandırılması ve düzenli denetimi sayılır.
Aydınlatma yükümlülüğü
Veriler elde edilirken çalışana ve adaya şu bilgiler verilir (md. 10):
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Verilerin hangi amaçla işleneceği,
- Verilerin kimlere ve hangi amaçla aktarılabileceği,
- Veri toplamanın yöntemi ve hukuki sebebi,
- Md. 11’de sayılan haklar.
Aydınlatma, rızanın aksine onay gerektirmez; çalışanın bilgilendirildiğini ispat edebilmeniz yeterlidir. Usul ve esaslar Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de düzenlenmiştir.
- Aday: İş ilanında veya başvuru formunda aydınlatma metnine yer verin. İşe alınmayan adayların özgeçmişlerini ne kadar süre saklayacağınızı metne yazın.
- Çalışan: İşe girişte, iş sözleşmesinden ayrı bir belge olarak verin. Yeni bir işleme amacı (ör. yeni bir izleme aracı) eklendiğinde metni güncelleyip yeniden duyurun.
- Aydınlatma ile açık rıza ayrı belgeler olsun: Açık rıza gereken nadir işlemler için ayrı ve reddedilebilir bir onay alın.
İzleme ve denetim
| Araç | Ne gerekir? | Ayrıntı |
|---|---|---|
| Kurumsal e-posta ve mesajlaşma | Somut aydınlatma, kademeli denetim (önce log kaydı, içeriğe ancak istisnai hâlde), gizli izleme yok | KVKK 2026/2035 sayılı İlke Kararı |
| Uzaktan çalışanın cihazı | Veri koruma kuralları yazılı bildirilir; izleme ölçülü olmalı | Uzaktan ve hibrit çalışma |
| Kamera | Amaç (güvenlik) ve kayıt yapıldığını bildirin; soyunma odası, tuvalet gibi özel alanlarda kamera ölçülülük ilkesiyle bağdaşmaz | KVKK md. 4/2-ç, 10 |
E-posta denetiminde log kayıtlarının incelenmesi de kişisel veri işlemedir. Genel bir “e-postalar denetlenebilir” cümlesi, Kurul’a göre bilgilendirme şartını karşılamaz.
Verilerin aktarılması
Yurt içinde (SGK, vergi dairesi, OSGB, bordro firması, banka) aktarım da md. 5/2 veya 6/3’teki şartlardan birine dayanır (md. 8). Özel nitelikli veriler için yeterli önlemler ayrıca alınır.
Yurt dışına aktarım (yurt dışındaki grup şirketine raporlama, sunucusu yurt dışında olan İK yazılımı) için md. 5–6’daki şartlardan biri ve ek olarak şunlardan biri gerekir (md. 9):
- Aktarılacak ülke hakkında Kurul’un yeterlilik kararı,
- Uygun güvence: Kurul’un ilan ettiği standart sözleşme, onaylı bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname,
- Bunlar da yoksa yalnızca arızi (tekrarlanmayan) aktarımda md. 9/6’daki hâller (ör. çalışanın riskler hakkında bilgilendirilerek açık rıza vermesi).
Saklama ve imha
İşlenme sebebi ortadan kalkan veriler resen veya çalışanın talebiyle silinir, yok edilir ya da anonim hâle getirilir (md. 7). Saklama süresini belirlerken kanunlardaki saklama yükümlülüklerine ve olası davalardaki zamanaşımına bakılır:
| Kayıt | Süre | Dayanak |
|---|---|---|
| SGK’ya ilişkin işyeri defter, kayıt ve belgeleri | İlgili olduğu yılı takip eden yıl başından itibaren 10 yıl | 5510 md. 86 |
| Kişisel sağlık dosyası | İşten ayrılma tarihinden itibaren en az 15 yıl | İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği md. 7 |
| Ücret, kıdem, ihbar ve yıllık izin ücreti alacağı | 5 yıllık zamanaşımı | 4857 md. 32, ek md. 3 |
| Diğer alacaklar (genel kural) | 10 yıllık zamanaşımı | TBK md. 146 |
Zamanaşımı süreleri bir saklama yükümlülüğü değildir. Ancak bu süreler boyunca savunma için gerekli kayıtları saklamak md. 5/2-e’ye dayanabilir. Saklayacağınız veriyi davada gerçekten gerekebilecek kayıtlarla sınırlayın.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e göre:
- VERBİS’e kayıt yükümlüsü olan işverenler, kişisel veri işleme envanterine uygun bir saklama ve imha politikası hazırlar (md. 5). Politikada periyodik imha aralığı belirlenir; bu aralık 6 ayı geçemez (md. 11/2).
- Politika hazırlama yükümlülüğü olmayan işverenler, imha yükümlülüğü doğduktan sonra 3 ay içinde imha eder (md. 11/3).
- Yapılan bütün imha işlemleri kayıt altına alınır ve kayıtlar en az 3 yıl saklanır (md. 7/3).
Çalışanın başvurusu
Çalışan veya eski çalışan; verilerinin işlenip işlenmediğini öğrenme, bilgi isteme, düzeltme, silme ve zararın giderilmesini isteme haklarına sahiptir (md. 11). Başvuru yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle yapılır. İşveren talebi en geç 30 gün içinde ücretsiz olarak sonuçlandırır (md. 13). Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse çalışan Kurul’a şikâyette bulunabilir (md. 14).
Başvuruyu yalnızca İK’nın değil, başvurunun gelebileceği tüm kanalların (genel e-posta, KEP, şube) tanıyıp ilgili birime yönlendirmesini sağlayın.
Veri ihlali
Çalışan verileri kanuni olmayan yollarla başkalarınca ele geçirilirse (ör. bordro dosyasının yanlış kişiye gönderilmesi, İK sisteminin ele geçirilmesi), durum en kısa sürede Kurul’a ve ilgili çalışanlara bildirilir (md. 12/5). Kurul bu süreyi, ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlamıştır (24.01.2019 tarihli ve 2019/10 sayılı Karar). Bildirim Kurum’un veri ihlali bildirim formuyla yapılır.
VERBİS kaydı
Kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolur (md. 16/2). Kurul’un 04.09.2025 tarihli ve 2025/1572 sayılı Kararıyla şu veri sorumluları kayıttan istisnadır:
- Ana faaliyeti özel nitelikli veri işleme olmayanlar: Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olanlar,
- Ana faaliyeti özel nitelikli veri işleme olanlar: Yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olanlar.
Kurul’un 25.12.2025 tarihli ve 2025/2393 sayılı Kararına göre bilanço esasına göre defter tutanlarda iki ölçüt birlikte aranır; bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır.
VERBİS’ten muaf olmak; aydınlatma, veri güvenliği, imha ve başvuruları cevaplama yükümlülüklerini kaldırmaz.
Yaptırımlar
Aşağıdaki yükümlülüklere aykırılık idari para cezası gerektirir (md. 18/1):
- Aydınlatma yükümlülüğü (md. 10),
- Veri güvenliği yükümlülükleri (md. 12),
- Kurul kararlarına uymama (md. 15),
- VERBİS’e kayıt ve bildirim (md. 16),
- Standart sözleşmenin Kurum’a bildirilmesi (md. 9/5).
Ceza tutarları her takvim yılı başında yeniden değerleme oranında artırılır (5326 sayılı Kabahatler Kanunu md. 17/7). Güncel tutarlar için Kurum duyurularına bakın. Kurul’un verdiği idari para cezalarına karşı idare mahkemesinde dava açılabilir (md. 18/3). Kişisel verileri hukuka aykırı olarak kaydetme, ele geçirme, yayma ve süresi dolduğu hâlde silmeme ise Türk Ceza Kanunu md. 135–140 kapsamında suçtur (KVKK md. 17).
Kontrol listesi
Uyumu adım adım gözden geçirmek için işaretlenebilir bir liste hazırladık: Çalışan verileri ve KVKK uyumu kontrol listesi.
Bu rehber bilgilendirme amaçlıdır. Somut olaylarda iş sözleşmesi, toplu iş sözleşmesi ve Yargıtay’ın güncel kararları sonucu değiştirebilir. Düzeltme önerin.