Çalışan İzleme Sınırları Nelerdir? 2026 KVKK Rehberi
KVKK’ya göre çalışan izleme yalnızca işin gerektirdiği ölçüde, çalışan aydınlatılarak, hukuki dayanağa oturarak ve orantılı yapılmalıdır; aksi halde KVKK m.18 kapsamında milyonlarca TL’ye varan idari para cezası ve tazminat riski doğar.
BLUF: 2026 itibarıyla geçerli KVKK kurallarına göre çalışan izleme, yalnızca işin yürütülmesi amacıyla, sınırlı, şeffaf ve amaç-bağlı olmalıdır; iş dışı saatlerde GPS ve internet takibi özel hayata müdahale sayılır ve KVKK m.18’deki üst sınırlara (2026’da 17.092.242 TL) varan idari para cezalarıyla karşılaşılır. İşverenler, kamera, GPS ve internet takibini yasal sınırlar içinde tutmak için teknik tedbirler, veri minimizasyonu, aydınlatma, orantılılık ve hukuki dayanak gibi şartları yerine getirmelidir.
Çalışan izleme nedir?
Çalışan izleme, işverenin çalışanların davranışlarını, konumlarını veya dijital aktivitelerini, işin gerekliliği ve verimliliği kapsamında takip etmesi anlamına gelir. Bu takip; CCTV kamera sistemleri, araç içi GPS cihazları, internet ve e-posta trafiği logları gibi teknolojik araçlarla gerçekleştirilebilir. KVKK, “kişisel verilerin işlenmesi, işlenme amacına uygun, sınırlı ve ölçülü olmalı” ilkesini vurgular; dolayısıyla izleme faaliyetleri de bu ilkelere uygun olmalıdır.
- CCTV/kamera izleme: İşyerindeki güvenlik, hırsızlık önleme ve üretkenlik kontrolü amacıyla kullanılır.
- GPS takibi: Şirket araçları veya mobil cihazlar üzerinden konum verisinin toplanmasıdır; yalnızca iş amaçlı seyahatlerde sınırlı tutulmalıdır.
- İnternet takibi: Çalışanın iş bilgisayarında ziyaret ettiği web siteleri, kullanılan uygulamalar ve veri transferleri izlenir. Kurumsal bilgisayarlarda bu izleme, içerik okuma değil politika ve erişim kaydı düzeyinde tutulmalıdır.
Bu araçların her biri, çalışanların özel hayatına müdahale potansiyeli taşıdığından, KVKK’nın “özel hayata saygı” ve “veri minimizasyonu” ilkeleri çerçevesinde düzenlenir.
Çalışan izleme kapsamı hangi durumları kapsar?
KVKK kapsamında çalışan izleme, işin yürütülmesiyle doğrudan ilişkili durumları kapsar; yani izleme, iş güvenliği, iş verimliliği, hizmet kalitesi veya yasal yükümlülüklerin yerine getirilmesi amacıyla sınırlanmalıdır.
İzleme kapsamına giren başlıca durumlar şunlardır:
- İş güvenliği ve acil durum yönetimi: İş kazalarını önlemek ve acil durumlarda hızlı müdahale sağlamak için kamera ve konum takibi kullanılabilir.
- Üretkenlik ölçümü: Çalışanın görev süresi içinde yaptığı işlerin takibi, ancak yalnızca iş saatleri içinde ve iş tanımıyla doğrudan ilgili faaliyetlerle sınırlı olmalıdır.
- Müşteri verisi ve gizliliği: Müşteri bilgilerinin korunması amacıyla çalışanların veri erişim logları izlenebilir.
- Yasal raporlama: İş Kanunu, İş Sağlığı ve Güvenliği Kanunu gibi mevzuatlar gereği belirli kayıtların tutulması zorunludur (örneğin, işyeri giriş-çıkış kayıtları). İnternet erişimi sağlayan işyerlerinde 5651 sayılı Kanun’un erişim kaydı saklama yükümlülüğü de buraya girer.
İş saatleri dışındaki konum ve internet takibi, “özel hayata müdahale” kapsamında değerlendirilir ve KVKK’nın “veri işleme amaçlarıyla sınırlı” ilkesine aykırıdır. Bu nedenle, izleme politikaları mutlaka zaman ve mekan sınırlarını net bir şekilde tanımlamalıdır.
KVKK kapsamında işverenin yükümlülükleri nelerdir?
KVKK, çalışan verilerinin işlenmesi sürecinde işverenlere bir dizi zorunluluk getirir:
- Aydınlatma ve hukuki dayanak: Çalışan, izleme amaçları, veri türleri, saklama süresi ve hakları konusunda önceden aydınlatılmalıdır. İşleme KVKK m.5’teki bir dayanağa (çoğunlukla işverenin meşru menfaati veya hukuki yükümlülük) oturmalıdır; iş ilişkisindeki bağımlılık nedeniyle açık rıza istisnai ve zayıf bir dayanaktır.
- Veri minimizasyonu: Yalnızca işin gerektirdiği en az veri toplanmalı; örneğin, GPS konum verileri sadece iş seyahatleri sırasında kaydedilmelidir.
- Teknik ve idari tedbirler: Veri güvenliğini sağlamak için şifreleme, erişim kontrolü, loglama ve düzenli güvenlik denetimleri uygulanmalıdır. Veri güvenliği ihlali, KVKK m.18’de en yüksek ceza bandındaki kategorilerden biridir.
- Veri sorumlusu ve veri işleyenlerin atanması: KVKK’da “veri sorumlusu” ve “veri işleyen” rollerinin net bir şekilde tanımlanması ve sorumlulukların belgelenmesi gerekir.
- Kayıt ve raporlama: İzleme faaliyetleri, kişisel veri işleme envanterinde yer almalı ve kurum kapsamdaysa VERBİS kaydı güncel tutulmalıdır; bu belgeler denetimlerde sunulmalıdır.
Bu yükümlülüklerin yerine getirilmemesi, hem idari para cezalarına hem de çalışanların güven kaybına yol açar; bu da işyerinde motivasyon ve verimliliği olumsuz etkiler.
Çalışan izleme ihlallerine uygulanacak cezalar nelerdir?
KVKK’nın 18. maddesi, Kanun’daki yükümlülüklere aykırılık halinde uygulanacak idari para cezalarını düzenler. Tutarlar her yıl yeniden değerleme oranıyla güncellenir; Kurul, alt ve üst sınır arasında takdir yetkisi kullanır. Çalışan izleme ihlalleri şu kategorilere girer:
- Aydınlatma yükümlülüğünün yerine getirilmemesi: Çalışana izleme amacı ve hakları hakkında bilgi verilmemesi; 2026’da 85.437-1.709.200 TL.
- Veri güvenliği yükümlülüğünün yerine getirilmemesi: Kamera görüntüleri, konum verileri veya erişim kayıtlarının yetkisiz erişime açık tutulması; 2026’da 256.357-17.092.242 TL.
- Kurul kararlarının yerine getirilmemesi: Şikâyet sonrası verilen izlemeyi durdurma veya veri silme kararına uyulmaması; 2026 üst sınırı 17.092.242 TL’dir.
- VERBİS kayıt ve bildirim yükümlülüğüne aykırılık: Kapsamdaki işverenin izleme faaliyetlerini VERBİS’te bildirmemesi; 2026 üst sınırı 17.092.242 TL’dir.
“Rıza olmaksızın izleme” diye ayrı bir ceza kategorisi yoktur; dayanaksız veya orantısız izleme genellikle aydınlatma ve veri güvenliği kategorileri üzerinden cezalandırılır. Ayrıca hukuka aykırı izleme TCK m.135-136 kapsamında suç oluşturabilir ve İş Kanunu çerçevesinde tazminat sorumluluğu doğurabilir. İşverenlerin bu riskleri önlemek için izleme politikalarını KVKK’ya tam uyumlu şekilde düzenlemesi kritik bir adımdır.
Kamera, GPS ve internet takibi nasıl yasal bir şekilde uygulanır?
Yasal bir izleme sistemi kurmak, üç temel adıma dayanır: planlama, uygulama ve denetim.
Planlama aşaması
- İzleme amacını net bir şekilde tanımlayın (örnek: iş güvenliği, üretkenlik).
- Hangi veri türlerinin toplanacağına karar verin; kamera görüntüleri, konum koordinatları ve internet erişim kayıtları gibi.
- Çalışanlara yazılı aydınlatma metni ve kullanım politikası sunun; başka bir hukuki dayanak yoksa açık rıza alın.
Uygulama aşaması
- Kamera sistemlerini yalnızca ortak çalışma alanlarına kurun; tuvalet, dinlenme odası ve soyunma odası gibi mahrem alanlarda kamera bulunmasın.
- GPS cihazlarını sadece şirket araçlarına ve iş saatleri içinde kullanılan mobil cihazlara yerleştirin; iş dışı saatlerde veri toplama otomatik olarak durmalıdır.
- İnternet takibini içerik okuma değil, politika ve erişim kaydı düzeyinde tutun. Arin Agent bu katmanda çalışır: web ve uygulama erişim kuralları merkezi politikayla tanımlanır, USOM listesindeki zararlı adresler otomatik engellenir, erişim kayıtları 5651 saklama süresine göre yönetilir; kişisel içerik okunmaz ve her izleme modülü ayrı ayrı kapatılabilir.
- Uzaktan destek için çalışanın haberi olmadan bağlanan genel amaçlı uzak masaüstü araçları yerine çalışan onaylı uzak ekran kullanın: bağlantı onaysız kurulmaz, oturum boyunca ekranda kalıcı bildirim durur, her oturum kayıt altındadır.
Denetim ve sürekli iyileştirme
- Aylık veri işleme raporları hazırlayın ve veri sorumlusu ile paylaşın.
- Güvenlik denetimlerini yılda en az iki kez yapın; şifreleme, erişim kontrolü ve log yönetimi kontrol edilmelidir.
- Çalışanların KVKK haklarını (erişim, düzeltme, silme) kullanabilmesi için bir talep süreci oluşturun.
Bu adımlar, izleme faaliyetlerini KVKK’nın “amaç sınırlaması”, “veri minimizasyonu” ve “şeffaflık” ilkeleriyle uyumlu hâle getirir. İzleme gereksinimleri işyerinin büyüklüğüne ve çalışan sayısına göre değişir; bu nedenle politika ölçeklenebilir olmalıdır.
Diğer ülkelerle karşılaştırıldığında en iyi uygulamalar nelerdir?
Avrupa Birliği (AB) ülkelerinde, GDPR çerçevesi KVKK’ya benzer “veri işleme sınırlaması” ve “çalışan hakları” prensiplerini getirir. Örneğin, Almanya’da GDPR ve Federal Veri Koruma Kanunu (BDSG m.26), çalışan verisinin iş ilişkisinin gerektirdiği ölçüde ve orantılı işlenmesine izin verir; sürekli veya iş dışı konum takibi hukuka aykırı sayılır. GDPR’da idari para cezaları 20 milyon Euro’ya veya küresel cironun %4’üne kadar çıkabilir.
Türkiye’de de yaklaşım aynı yöne gider: aydınlatma metni, yazılı kullanım politikası ve orantılılık, AB’deki “privacy by design” ilkesinin karşılığıdır. Tek seferlik, battaniye niteliğinde bir rıza formu ise KVKK’da geçerli sayılmaz; rıza belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmelidir.
En iyi uygulamalar arasında şunlar öne çıkar:
- Veri koruma etki değerlendirmesi (DPIA): KVKK’da zorunlu olmasa da, izleme sistemleri kurulmadan önce risk analizi yapılması iyi uygulamadır.
- Çalışan temsilcileriyle ortak politika geliştirme: Sendika veya çalışan temsilcileriyle izleme kurallarının müzakere edilmesi, kabul oranını artırır.
- Periyodik eğitim: Çalışanlara KVKK ve izleme politikaları hakkında düzenli eğitim verilmesi, farkındalığı yükseltir.
Bu yaklaşımlar, sadece yasal uyumu sağlamakla kalmaz, aynı zamanda çalışan güvenini ve işyeri kültürünü güçlendirir.
İzleme politikalarınızı KVKK ve uluslararası standartlara uygun şekilde yapılandırmak, hem yasal riskleri azaltır hem de çalışan memnuniyetini artırır. Kurumsal bilgisayarlarda şeffaf ve orantılı izleme kurmak istiyorsanız, personel bilgisayar takip programı sayfasında Arin Agent’ın çalışan onaylı, modül bazlı ve denetim kanıtı üreten yaklaşımını inceleyebilir ve demo talep edebilirsiniz.
Sık sorulan sorular
İzleme, işin yürütülmesi amacıyla, KVKK m.5’teki bir hukuki dayanağa (çoğunlukla işverenin meşru menfaati) oturarak, orantılı ve çalışan önceden aydınlatılarak yapılmalıdır; gizli izleme bu şartları karşılamaz.
Veri minimizasyonu, erişim yetkilendirmesi, şifreleme, kayıt sürelerinin sınırlandırılması ve aydınlatma metni sunulması gerekir.
Özel hayata müdahale sayılır; KVKK m.18 kapsamında 2026’da 17.092.242 TL’ye varan idari para cezası uygulanabilir, ayrıca TCK kapsamında suç ve İş Kanunu çerçevesinde tazminat sorumluluğu doğabilir.
Kamera/GPS/İnternet izlemesi için KVKK'ya uygun aydınlatma metni hazırlayıp çalışanlara erişilebilir şekilde sunmalıdır.
İlgili yazılar
Arin Agent'ı canlı görmek ister misiniz?
KVKK ve 5651 uyumlu kurumsal cihaz yönetimi için ücretsiz demo talep edin. 15 dakikada cihazlarınızı keşfedin.
Demo Talep Et