İş dünyasında günümüz teknolojileri işverenlere işçilerinin çalışmalarını denetleyebilmeleri için birçok imkân sunmaktadır. Bu teknolojilerin başında kamera gelmekle beraber RFID, GPS ve Turnike Verileri de bu teknolojik imkanların arasındadır. İşverenin işçilerini izleme sistemleri ile izlemesi özellikle de kamera ile izlemesi Anayasanın her bireye sağladığı özel hayatın gizliliği ilkesi ve Kişisel Verilerin Korunması Kanunu açısından hukuki problemler ortaya çıkartabilmektedir. Hem işverenlerin meşru menfaatlerinin hem de çalışanların temel hak ve özgürlüklerinin dengelenmesi gerekmektedir. Bu tür sistemlerin kurulması ve işletilmesi sırasında KVKK'da belirtilen ilkelere ve şartlara titizlikle uyulması zorunludur.
Hukuki Çerçevenin Dayanakları:
1- Anayasal Güvenceler:
Özel Hayatın Gizliliği: Anayasanın 20.maddesince her birey özel hayatının gizli kalmasını talep etme hakkına sahiptir. Bu hak sadece normal hayat için değil işçinin iş hayatı için de geçerlidir ve işçinin kişisel alanının ihlal edilmemesini sağlar. Ayrıca 20.maddenin 3.fıkrası uyarınca herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir.
Temel Hak ve Özgürlüklerin Sınırlandırılması: Anayasanın 13.maddesine göre; ‘‘Temel hak ve hürriyetler, özlerine dokunulmaksızın yalnızca Anayasanın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Bu sınırlamalar, Anayasanın sözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamaz.’’ Bu maddeyle işyerinde işverenin işçisini gerekli durumlar dışında izleyemeyeceği anlaşılır.
2- Kişisel Verilerin Korunması Kanunu (KVKK):
Kişisel verilerin işlenmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve ilgili ikincil mevzuat hükümleri çerçevesinde gerçekleştirilmelidir. Bu çerçeve, veri sorumlularının (işverenlerin) yükümlülüklerini ve ilgili kişilerin (çalışanların) haklarını belirler.
Kişisel Verilerin İşlenmesinde Genel İlkeler: Bu ilkeler KVKK’nın 4.maddesinde düzenlenmektedir. Bu maddeler şunlardır:
‘‘Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
Hukuka ve dürüstlük kurallarına uygun olma.
Doğru ve gerektiğinde güncel olma.
Belirli, açık ve meşru amaçlar için işlenme.
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.’’
Bu ilkeler, her türlü kişisel verinin işlenme faaliyetinin hukuka uygunluğunun sağlanmasının temelini oluşturur.
Bu ilkelerden özellikle "belirli, açık ve meşru amaçlar için işlenme" ile "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkeleri, çalışan izleme sistemleri açısından büyük önem taşır. İzleme sistemleri, ancak meşru bir amaca hizmet etmeli ve bu amacı gerçekleştirmek için gerekli olanın ötesine geçmemelidir.
Kişisel Verilerin İşlenme Şartları: Bu şartlar KVKK’nın 5.maddesinde sayılmış ve kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini belirtmiştir. Ancak, belirli durumlarda açık rıza aranmaksızın veri işleme mümkündür. Bu durumlardan bir tanesi de ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olmasıdır. Fabrikalarda çalışan izleme sistemleri genellikle iş sağlığı ve güvenliği, üretim süreçlerinin takibi, hırsızlık önleme gibi meşru menfaatler veya hukuki yükümlülükler (örneğin, iş sağlığı ve güvenliği mevzuatı) kapsamında değerlendirilebilir. Ancak, bu şartların varlığı halinde dahi, veri işlemenin genel ilkelere (özellikle ölçülülük) uygun olması şarttır.
Özel Nitelikli Kişisel Verilerin İşlenmesi: KVKK'nın 6. maddesi, özel nitelikli kişisel verileri (ırk, etnik köken, sağlık, cinsel hayat, biyometrik ve genetik veriler vb.) tanımlar ve bunların işlenmesi için daha sıkı şartlar öngörür.
Özellikle yüz tanıma sistemleri gibi biyometrik verileri işleyen izleme sistemleri, özel nitelikli kişisel veri işleme kapsamına girer ve bu nedenle çok daha katı şartlara tabidir. Bu tür verilerin işlenmesi için ilgili kişinin açık rızası veya kanunlarda açıkça öngörülmesi gibi istisnai uygulamalar gereklidir.
Aydınlatma Yükümlülüğü: Veri sorumlusu, kişisel verileri işlerken ilgili kişileri aydınlatmakla yükümlüdür. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 4. ve 5. maddeleri bu yükümlülüğün kapsamını ve usulünü belirler.
İşverenler, çalışan izleme sistemleri hakkında çalışanları açık, anlaşılır ve sade bir dille bilgilendirmelidir. Bu bilgilendirme, verilerin hangi amaçla, hangi yöntemle toplandığını, kimlere aktarılabileceğini ve çalışanların haklarını içermelidir. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.
Veri Güvenliği Yükümlülükleri: Veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla her türlü idari ve teknik güvenlik tedbirlerini almakla yükümlüdür.
3- İçtihatlar ve Yargı Kararları:
Türk yargısı ve Kişisel Verileri Koruma Kurulu (KVKK) kararları, çalışan izleme sistemlerinin uygulanmasında "ölçülülük", "gereklilik" ve "özel hayatın gizliliği" ilkelerinin önemini vurgulamaktadır.
Ölçülülük ve Özel Hayatın Gizliliği:
Danıştay İdari Dava Daireleri Kurulu ve Danıştay 10. Daire Başkanlığı kararları, kameralı takip sistemlerinin kamu yararı ile orantılı olması gerektiğini, aksi takdirde ölçülülük ilkesine aykırılık teşkil edeceğini belirtmektedir. Özellikle çalışanların çalışma odalarını ve servisleri çekecek şekilde yerleştirilen kameraların, kamusal alanda dahi olsa özel hayatın gizliliği ilkesi kapsamında değerlendirildiği ifade edilmiştir.
‘‘..Kameralı takip sistemi ile kurumca amaçlanan kamu yararı arasında orantılılık bulunmadığından uygulamanın ölçülülük ilkesine aykırılık teşkil etmekte olduğu, Ana1. madde maddesinde de, kişisel verilerin ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceğinin belirtildiği, ancak konuyla ilgili dava konusu işlemin gerçekleştirildiği aşamada yasal bir düzenlemenin yapılmadığı, idarelerin teknolojik gelişmelerden de yararlanarak kamu çalışanlarının faaliyet yürüttüğü alanda güvenlik ve suçun önlenmesi amacıyla kameralı takip sistemi uygulaması, güvenlik amacı ile giriş ve çıkışlar gibi alanlar dışında kameraların çalışanların çalışma odalarını ve servisleri çekecek şekilde yerleştirildiği durumlarda, kamusal alanda da olsa özel hayatın gizliliği ilkesi kapsamında bulunduğunun Avrupa İnsan Hakları Mahkemesi kararları ve Dairelerinin daha önceki tarihli kararlarından anlaşıldığı,’’ DANIŞTAY İDARİ DAVA DAİRELERİ KURULU 2021/1603 E. , 2021/2631 K.
Yüz Tanıma Sistemi ve Özel Nitelikli Veriler:
Kişisel Verileri Koruma Kurulunun 04/08/2022 tarih ve 2022/797 sayılı Karar Özeti, işe giriş-çıkışlarda yüz tanıma sistemi kullanılmasının ve tuvalet gibi özel alanlara güvenlik kamerası yerleştirilmesinin hukuka aykırı olduğunu belirtmiştir. Kurul, yüz tanıma sisteminin orantısız bir uygulama olduğunu ve özel hayatın gizliliğini ihlal ettiğini vurgulamıştır. Ayrıca, aydınlatma ve açık rıza alma işlemlerinin ayrı ayrı yerine getirilmesi gerektiğini de belirtmiştir.
Mesai Takibi ve Ölçülülük İlkesi:
Danıştay 12. Daire Başkanlığı kararı, mesai takibi için özel nitelikli kişisel verilerin işlenmesinin gerekliliği konusunda "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesini vurgulamıştır. Veri sorumlusunun, amacı çerçevesinde, ölçülülük ilkesine uygun olarak ilgili kişiden asgari düzeyde bilgi talep etmesi, bunun dışındaki amaç için lazım olmayan veri işlemeden kaçınması gerektiği belirtilmiştir.
Sürekli İzleme ve Kişilik Hakları:
9. Hukuk Dairesi kararı, işçinin sürekli şekilde izlenmesinin işçiyi stres altına sokarak işçi sağlığını olumsuz etkilediğini ve kişilik haklarını zedelediğini belirtmiştir. Bu tür bir izleme, özel nitelikte kişisel veri olarak kabul edilmiştir.
Elektronik Kart Okuma Sistemleri:
(Kapatılan) 22. Hukuk Dairesi kararı, işyerine giriş ve çıkışlarda güvenlik amacı ile kullanılan elektronik kart okuma sistemlerinin, işçinin işyerindeki fiilen görev yaptığı çalışma saatlerini belirlediği kabul edilemeyeceğini belirtmiştir.
Anayasa Mahkemesi Kararları ve Bilgilendirme Yükümlülüğü:
Anayasa Mahkemesi kararları, çalışanın kişisel verilerinin işlenmesi ve iletişimin denetlenmesi durumunda, işverenin çalışanı önceden yeterli bir biçimde bilgilendirmesi gerektiğini vurgulamıştır.
KVKK AÇISINDAN TEMEL SINIRLAR
Yukarıda anlattığım tüm bu bilgiler ışığında KVKK açısından izleme sistemleri için temel sınırlar şunlardır;
1- Belirli, açık ve meşru amaç
2- Hukuki sebep (Meşru menfaat, hukuki yükümlülük, sözleşmenin ifası gibi)
3- Ölçülülük/Orantılılık
4- Mahrem alan yasağı
5- Şeffaflık ve Aydınlatma Zorunluluğu
6- Saklama süresi
7- Veri Güvenliği
ÇALIŞAN İZLEME SİSTEMLERİNDE KVKK RİSKLERİ
Başlıca KVKK riskleri şunlardır;
1- Aydınlatmasız izleme (KVKK m.10 ihlali)
2- Hukuki sebebin yanlış kurgulanması
3- Ölçülülük ihlali (KVKK m.4)
4- Amaç dışı kullanım
5- Saklama süresi aşırılığı
6- Üçüncü tarafa kontrolsüz aktarım
7- Veri güvenliği zafiyetleri (KVKK m.12)
8- İç prosedür eksikliği: erişim yetkisi, olayda kim ne yapar, talep gelince nasıl cevaplanır.
İşverenlerin işyerlerinde çalışanlarını izleme sistemleri ile izleme yetkisi, iş hayatı için mecburi olsa da bu yetki sınırsız değildir. İşverenler, bu yetkiyi kullanırken Anayasal hakların, KVKK hükümlerinin ve içtihatlarla belirlenen meşru amaç, orantılılık, aydınlatma yükümlülüğü ve veri güvenliği ilkelere ve temel sınırlandırmalara kesinlikle uymak zorundadır. Bu ilkelere ters düşecek uygulamalar, olası durum ve davalarda işverenin aleyhine sonuçlar doğurma riski taşır. İşçiler de haklarının ihlal edildiği bir durumla karşı karşıya kaldıklarında, hukuki yollara başvurarak haklarını arayabilirler. Hem işverenlerin hem de işçilerin bu konuda hakları bulunmakla beraber, bu hakların sınırlarının olduğunun bilinmesi gerekir.
