KVKK Nedir? İşveren İçin Çalışan Verileri Haritası ve Uyum Rehberi (2026)

KVKK Nedir? İşveren Neden Otomatik Olarak Veri Sorumlusudur?

Kısa cevap: KVKK, kişisel verilerin işlenmesini düzenleyen 6698 sayılı Kişisel Verilerin Korunması Kanunudur. İşveren, çalışanının verisinin hangi amaçla ve nasıl işleneceğine karar veren taraf olduğu için md. 3 anlamında veri sorumlusudur. Bu sıfat sözleşmeyle devredilemez: bordroyu mali müşavir hesaplasa, verileri bir yazılım tutsa bile veri sorumlusu işverendir. Kanun'un işveren için kurduğu düzen üç soruya indirgenebilir — bu veriyi hangi hukuki sebeple işliyorum (md. 5-6), ilgili kişiyi aydınlattım mı (md. 10), ne kadar saklayıp ne zaman imha edeceğim (md. 4 ve 7).

Kavramları en baştan yerine oturtmak, sonraki bütün tartışmaları kısaltır:

• Veri sorumlusu: işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu olan — yani işveren.
• Veri işleyen: veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen — mali müşavir, bordro hizmet sağlayıcısı, İK yazılımı, bulut altyapısı, arşiv firması.
• İlgili kişi: verisi işlenen gerçek kişi — çalışan, çalışan adayı, eski çalışan, stajyer, çalışanın bakmakla yükümlü olduğu aile bireyi.

Buradaki kritik hüküm md. 12/2'dir: kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, güvenlik tedbirlerinin alınması bakımından veri sorumlusu bu kişilerle birlikte müştereken sorumludur. Yani "veriyi biz değil muhasebeci tutuyor" cümlesi bir savunma değil, olsa olsa taraflar arasındaki sözleşmesel bir meseledir.

Kanun'un md. 4'te saydığı genel ilkeler ise her işleme faaliyetinin üzerinden geçmesi gereken süzgeçtir: hukuka ve dürüstlük kurallarına uygunluk; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; amaçla bağlantılı, sınırlı ve ölçülü olma; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme. Bu beş ilke, bu rehberin kalan bölümlerinin tamamını üretir.

KVKK, iş hukukundaki iki hükümle de birlikte okunur: 4857 sayılı İş Kanunu md. 75, işvereni özlük dosyası tutmakla yükümlü kılar ve edindiği bilgileri hukuka uygun kullanmaya, gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamaya zorlar. Türk Borçlar Kanunu md. 419 ise daha nettir: işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya sözleşmenin ifası için zorunlu olduğu ölçüde kullanabilir. Yani "gerekli mi" sorusu, KVKK yürürlüğe girmeden önce de iş hukukunun sorusuydu.

Hangi Çalışan Verisi Hangi Hukuki Sebeple İşlenir? (Veri Haritası)

Aşağıdaki tablo bu rehberin omurgasıdır. Sol sütun İK'nın fiilen tuttuğu veriyi, sağ sütun ise 6698 md. 5'teki hangi işleme şartına dayandığını gösterir. Tabloda "açık rıza" sütunu yoktur — çünkü listedeki kalemlerin neredeyse hiçbirinde açık rızaya ihtiyaç duyulmaz.

Veri kalemi	İşleme amacı	Hukuki sebep (6698 md. 5)
Kimlik ve iletişim bilgileri (ad, T.C. kimlik no, adres, telefon)	Sözleşmenin kurulması, SGK tescili, tebligat	Sözleşmenin ifası (5/2-c) + hukuki yükümlülük (5/2-ç)
Banka hesap / IBAN bilgisi	Ücretin banka aracılığıyla ödenmesi	Sözleşmenin ifası + hukuki yükümlülük
Bordro ve ücret verisi	Ücret hesabı, prim ve vergi bildirimi	Hukuki yükümlülük (5510, GVK, 4857 md. 37)
Aile bilgisi (eş, çocuk sayısı)	Vergi ve prim istisnaları, sigorta bildirimi	Hukuki yükümlülük
Öğrenim ve mesleki yeterlilik belgeleri	İşe yatkınlık, mevzuatın aradığı belgeler	Sözleşmenin kurulması ve ifası
Giriş-çıkış (PDKS) kaydı	Çalışma süresinin belgelenmesi, ücret hesabı	Hukuki yükümlülük + sözleşmenin ifası
İzin ve rapor günleri	İzin bakiyesi, eksik gün bildirimi	Hukuki yükümlülük
Sağlık raporu, işe giriş ve periyodik muayene	İSG ve sosyal güvenlik yükümlülükleri	Özel nitelikli — md. 6/3 istihdam ve İSG bendi
Engellilik durumu ve raporu	Zorunlu istihdam kotası, vergi indirimi, teşvik	Özel nitelikli — md. 6/3 istihdam bendi
Adli sicil kaydı	Yalnızca mevzuatın aradığı işlerde (özel güvenlik gibi)	Özel nitelikli — kanunlarda açıkça öngörülme
Kamera görüntüsü	İşyeri ve mal güvenliği, iş kazası incelemesi	Meşru menfaat (5/2-f) — ölçülülük şartıyla
Araç konum verisi	Filo yönetimi, teslimat, sürüş güvenliği	Meşru menfaat — mesai ve amaçla sınırlı
Zimmet ve ekipman kaydı	Teslim-iade takibi, hakkın korunması	Sözleşmenin ifası + hakkın tesisi (5/2-e)
İcra ve haciz yazıları	Kesinti yükümlülüğünün yerine getirilmesi	Hukuki yükümlülük
Aday özgeçmişi	Başvurunun değerlendirilmesi	Sözleşme kurulması öncesi görüşme + meşru menfaat
Aday verisinin havuzda saklanması	İleride açılacak pozisyonlar	Açık rıza — burada rıza gerçekten uygundur

Tabloyu bir kez çıkardığınızda kazandığınız şey yalnızca uyum değil, aynı zamanda pratik bir denetim aracıdır: listede olmayan bir veriyi topluyorsanız, muhtemelen dayanağı da yoktur. "Kan grubu", "medeni hâl", "askerlik durumu belgesi fotokopisi", "acil durumda aranacak kişinin adresi" gibi kalemler bu sınavı çoğu zaman geçemez — ya amaçla bağlantısı yoktur ya da amaca daha az veriyle ulaşmak mümkündür.

Bir uyarı daha: bu harita envanterin yerini tutmaz ama başlangıcıdır. Envanter, her veri kalemini amaç, hukuki sebep, aktarılan taraf, saklama süresi ve alınan güvenlik tedbiriyle birlikte kaydeder. Envanteri olmayan bir şirketin doğru aydınlatma metni yazması da mümkün değildir; çünkü aydınlatma metni tam olarak bu tablonun düz yazıya çevrilmiş hâlidir.

İş İlişkisinde Açık Rıza Neden Çoğu Zaman Yanlış Cevaptır?

6698 md. 3, açık rızayı üç unsurla tanımlar: belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. İş ilişkisinde takılan unsur üçüncüsüdür.

Basit bir test uygulayın: çalışan bu rızayı vermeseydi, onun için olumsuz bir sonuç doğar mıydı? Cevap "evet" ya da "belki" ise, o rıza özgür iradeye dayanmıyor demektir. İşe alım görüşmesinde önüne konan metni imzalamayan aday, işe alınmama endişesi taşır; sözleşmeyle birlikte imzalatılan rıza metni, sözleşmeyi imzalamamak seçenek olmadığı için baştan sakattır. Kurul'un yerleşik yaklaşımı da bu yöndedir: çalışan ile işveren arasındaki bağımlılık ilişkisi, rızanın özgürlüğünü şüpheli hâle getirir.

İkinci sorun daha da pratiktir: açık rıza her zaman geri alınabilir. Bordro hesabını açık rızaya dayandırdığınızı düşünün; çalışan rızasını geri aldığı gün, kanunen yapmak zorunda olduğunuz bir işlemi yapamaz hâle gelirsiniz. Bu absürt sonuç, hukuki sebebin baştan yanlış seçildiğinin en açık kanıtıdır. Bordronun dayanağı rıza değil, hukuki yükümlülüktür.

Üçüncü nokta ise sıralamayla ilgilidir. md. 5'teki diğer işleme şartlarından biri mevcutsa, ayrıca açık rıza aranmaz; alınan rıza da işlemeye ek bir geçerlilik kazandırmaz. Tersine, gereksiz rıza almak zarar verir: ilgili kişide "istersem durdururum" beklentisi yaratır ve rıza geri alındığında işverenin elinde savunulabilir bir pozisyon kalmaz.

Peki açık rıza ne zaman doğru cevaptır? Cevap dar bir alandır: çalışanın gerçekten reddedebileceği ve reddetmesi hâlinde hiçbir olumsuz sonuç doğmayacak işlemeler.

• Çalışan fotoğrafının şirket internet sitesinde, tanıtım materyalinde veya sosyal medyada yayımlanması.
• Doğum günü, evlilik yıldönümü gibi bilgilerin şirket içi kutlama listelerinde paylaşılması.
• İşverenin yükümlü olmadığı, isteğe bağlı yan haklar için verinin üçüncü taraflara aktarılması (örneğin opsiyonel özel sağlık sigortası paketi).
• Şirket dışı sosyal etkinliklerde çekilen görüntülerin paylaşılması.
• Adayın verisinin, başvurduğu pozisyon kapandıktan sonra yetenek havuzunda saklanması.

Son olarak iki metni birbirine karıştırmayın: aydınlatma yükümlülüğü rızadan bağımsızdır ve rıza aranmayan işlemelerde de yerine getirilir. Aydınlatma metni ile açık rıza metni ayrı belgeler olmalıdır; ikisini tek kâğıtta birleştirip tek imza almak, aydınlatmayı da rızayı da tartışmalı hâle getirir.

Özel Nitelikli Veriler: Sağlık, Engellilik, Adli Sicil ve Biyometri

6698 md. 6 özel nitelikli kişisel verileri kapalı bir liste hâlinde sayar: kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri. Liste kapalıdır: burada sayılmayan bir veri "hassas görünüyor" diye özel nitelikli sayılmaz, sayılanlar ise istisnasız bu rejime tabidir.

Bu maddenin işveren açısından en önemli kısmı, 7499 sayılı Kanun'la değiştirilen ve 2024 yılında yürürlüğe giren işleme şartları listesidir. Değişiklikten önce sağlık ve cinsel hayat verileri için çok dar bir kapı vardı ve pek çok işveren pratikte açık rızaya sığınıyordu. Bugün md. 6, özel nitelikli verilerin işlenebileceği hâlleri sayarken işveren için hayati bir bent içerir: istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması. Maddede ayrıca açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık, alenileştirme, bir hakkın tesisi-kullanılması-korunması ve sır saklama yükümlülüğü altındaki kişilerce sağlık amaçlı işleme gibi hâller de sayılır. Her hâlde Kurulca belirlenen yeterli önlemlerin alınması şarttır.

Pratik sonuç şudur: işe giriş sağlık raporu, periyodik muayene ve istirahat raporu gibi verileri işlemek için çalışanın açık rızasına ihtiyacınız yoktur; dayanak, İSG ve sosyal güvenlik mevzuatından doğan yükümlülüğünüzdür. Rıza almak burada yalnızca gereksiz değil, riskli de olur.

Veri	İşlenebilir mi?	Dayanak ve sınır	Kim görmeli?
İşe giriş ve periyodik muayene raporu	Evet	İSG yükümlülüğü (6331)	Tıbbi ayrıntı işyeri hekiminde; İK yalnızca "çalışabilir / kısıtlı çalışabilir" sonucunu görür
İstirahat (hastalık) raporu	Evet	Eksik gün bildirimi ve ücret hesabı	İK rapor süresini, tarihini ve türünü görür; teşhis işverenin bilmesi gereken bir veri değildir
Engellilik raporu	Evet	Zorunlu istihdam, vergi indirimi ve teşvik	Bordro ve İK'da sınırlı sayıda kişi
Adli sicil kaydı	Kural olarak hayır	Yalnızca mevzuatın açıkça aradığı işlerde (örneğin özel güvenlik); "her aday versin" uygulaması ölçüsüzdür	Yalnızca işe alım kararını veren
Sendika üyeliği	Toplanmaz	Üyelik ve dayanışma aidatı süreçleri kurumsal kanaldan yürür; işverenin ayrıca üyelik listesi tutması ölçüsüzdür	—
Din, mezhep, siyasi görüş, etnik köken	Hayır	Hiçbir İK sürecinin meşru amacı bunu gerektirmez	—
Biyometrik veri (parmak izi, yüz)	Fiilen hayır	Ölçülülük denetimini geçmesi çok zordur — aşağıdaki bölüm	—

Klasik ve hâlâ çok yaygın bir hata da burada gizlidir: kimlik fotokopisi. Eski tip kimliklerde din hanesi, bazı belgelerde kan grubu bulunur; bunları içeren bir fotokopiyi özlük dosyasında saklamak, ihtiyaç duyulmayan özel nitelikli veriyi işlemek anlamına gelir. Doğru refleks, ilgili alanların maskelenmesi ya da kimlik doğrulamasının fotokopi biriktirmeden yapılmasıdır.

Biyometrik PDKS: Parmak İzi ve Yüz Tanıma Neden Ayrı Bir Başlık?

Parmak izi ve yüz tanıma ile mesai takibi, Türkiye'de KVKK bakımından en çok tartışılan işveren uygulamasıdır ve cevabı da nettir. Nedenini üç adımda görmek mümkün.

Birinci adım: biyometrik veri özel nitelikli kişisel veridir. md. 6'daki listede açıkça sayılır; dolayısıyla sıradan bir kimlik doğrulama yöntemi gibi değerlendirilemez.

İkinci adım: ölçülülük ilkesi. md. 4/2-ç, işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Mesai takibinin amacı "çalışma süresini belgelemek"tir. Bu amaca kartla, PIN ile, QR kodla, mobil uygulamayla veya imzalı puantajla da ulaşılabilir. Daha az müdahaleci bir yol varsa, müdahaleci olan ölçüsüzdür. Ölçülülük denetiminde işverenin "bizim için daha pratik" gerekçesi, çalışanın temel hakkına yapılan müdahaleyi karşılamaz.

Üçüncü adım: açık rıza bu sorunu çözmez. Bir önceki bölümde anlattığımız nedenle iş ilişkisinde rıza özgür iradeye dayanmaz; ayrıca Kurul, mesai takibinde biyometrik veri kullanımını ilke kararı düzeyinde ele almıştır. Kararın kapsamını, yöntem karşılaştırmasını ve alternatiflerin risk sıralamasını personel takibi ve KVKK rehberimizde ayrıntılı olarak inceledik; burada tekrar etmiyoruz.

Teknik bir gerçeği de eklemek gerekir: şifre değiştirilebilir, parmak izi değiştirilemez. Bir kart sisteminde yaşanan sızıntı kart yenilenerek kapatılır; biyometrik şablon sızdığında kişinin ömür boyu taşıyacağı bir veri sızmış olur. Riskin geri alınamaz olması, ölçülülük değerlendirmesini biyometri aleyhine ağırlaştıran esas unsurdur.

Bizim tarafımızdan söylenmesi gereken şey kısadır: empuno PDKS'i QR tabanlıdır ve biyometrik veri toplamaz. Çalışan, işyerinde üretilen kısa ömürlü QR kodu kendi telefonundan okutarak giriş-çıkışını kaydeder; ortak bir cihaza parmak izi bırakılmaz. Bunu bir pazarlama üstünlüğü olarak abartmıyoruz — yalnızca ölçülülük tartışmasına hiç girmeyen bir yöntem olduğunu belirtiyoruz (bkz. PDKS ve personel takip modülü).

Hâlihazırda biyometrik sistem kullanan bir işverenseniz, çıkış planı üç adımdan ibarettir: (1) alternatif bir doğrulama yöntemine geçiş takvimi belirleyin, (2) cihazlarda ve sunucularda tutulan biyometrik şablonları imha edin ve imhayı tutanakla kayıt altına alın, (3) aydınlatma metnini ve saklama-imha politikanızı yeni yönteme göre güncelleyin. Cihazı kullanmayı bırakmak, içindeki veriyi silmedikçe uyum sağlamaz.

Aydınlatma Yükümlülüğü: Ne Zaman, Neyi, Nasıl?

6698 md. 10, veri sorumlusuna kişisel verilerin elde edilmesi sırasında ilgili kişiyi bilgilendirme yükümlülüğü yükler. Metnin içermesi gereken unsurlar maddede sayılıdır:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği,
2. Kişisel verilerin hangi amaçla işleneceği,
3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi,
5. md. 11'de sayılan haklar (bilgi talep etme, düzeltme, silme, itiraz vb.).

En sık yapılan hata bir cümleyle özetlenebilir: "rıza almıyoruz, o hâlde aydınlatma da gerekmez." Bu yanlıştır. Aydınlatma yükümlülüğü işleme şartından bağımsızdır; hukuki yükümlülüğe dayanarak işlenen bordro verisi için de aydınlatma yapılır.

İkinci hata zamanlamadır. Aydınlatma, veri elde edilirken yapılır — sonradan değil. Pratikte bu, birden çok temas noktası demektir:

• Kariyer sayfası / başvuru formu: aday verisi burada elde edilir, aydınlatma başvurudan önce görünür olmalıdır.
• İşe giriş: özlük belgelerinin toplandığı anda çalışan aydınlatma metni imzalatılır ya da elektronik olarak onaylatılır (bkz. işe başlatma kontrol listesi).
• Kamera bulunan alanlar: girişte görülebilir bir bilgilendirme levhası ve tam metne erişim.
• PDKS ekranı veya mobil uygulama: ilk kayıt anında bilgilendirme.
• Yeni bir modül devreye alındığında: araç takibi, masraf uygulaması, çalışan self-servis portalı — her yeni veri akışı metni günceller.

İspat yükü veri sorumlusundadır. "Anlattık" demek yetmez; metnin ne zaman, kime, hangi sürümüyle sunulduğunun kaydı gerekir. Islak imzalı nüsha, elektronik onay logu veya kayıtlı e-posta bu işi görür. Metnin sürüm numarası ve tarihi taşıması, yıllar sonra "o dönemde hangi metin yürürlükteydi" sorusunu cevaplanabilir kılar.

Uzunluk konusunda da pratik bir çözüm var: katmanlı aydınlatma. Temas noktasında kısa ve anlaşılır bir özet, yanında tam metne bağlantı. Kanun'un aradığı şey uzun metin değil, ilgili kişinin gerçekten anlayabileceği bir bilgilendirmedir; 12 punto altına sıkıştırılmış dört sayfalık hukuk dili, aydınlatma yükümlülüğünü yerine getirmez.

Aday (İşe Alım) Verisi: Özgeçmiş Ne Kadar Saklanır?

Çalışan adayı da ilgili kişidir; henüz bir iş sözleşmesi bulunmadığı için dayanak çoğunlukla sözleşmenin kurulmasıyla doğrudan ilgili olma ve meşru menfaat şartlarıdır. Bu, işe alım sürecinde toplanan verinin ilana ve pozisyona sıkı biçimde bağlı olması gerektiği anlamına gelir.

İstenmemesi gereken veriler listesi kısa ve nettir: medeni hâl, çocuk sayısı, hamilelik durumu, sağlık bilgisi, din ve mezhep, siyasi görüş, sendika üyeliği, etnik köken. Bunlar hem ölçüsüzdür hem de 4857 md. 5'teki eşit davranma ilkesi bakımından ayrımcılık riski üretir. Zorunlu fotoğraf talebi de aynı sınavda zorlanır: pozisyonun gerçekten gerektirdiği istisnai hâller dışında fotoğraf, işe yatkınlığı ölçmeye yaramaz ama önyargı riski taşır.

Referans arama da bir veri işleme faaliyetidir. Adayın bilgisi ve onayı olmadan mevcut işvereninin aranması, hem ölçüsüzdür hem adaya somut zarar verebilir. Doğru pratik, referans listesini adayın kendisinden istemek ve arama yapılmadan önce bilgilendirmektir.

Sürecin sonunda gelen soru ise en çok atlanandır: işe alınmayan adayın özgeçmişi ne kadar saklanır? Başvuru sonuçlandığı anda işleme amacı ortadan kalkar; md. 4/2-d ve md. 7 gereği verinin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir. Veriyi tutmaya devam etmek istiyorsanız bu yeni ve ayrı bir amaçtır ("yetenek havuzu") ve dayanağı adayın açık rızasıdır. Burada rıza gerçekten uygundur: aday reddettiğinde hiçbir olumsuz sonuç doğmaz, dolayısıyla özgür iradeden söz edilebilir. Rızayı alırken saklama süresini de yazın; "süresiz saklarız" beyanı geçerli bir rızanın konusu olamaz.

İki noktayı daha kayda geçirmek gerekir. Birincisi, sağlık raporu ve adli sicil belgesi kural olarak işe alım aşamasında istenmez; ilki işe alım kararından sonra ve İSG mevzuatı çerçevesinde, ikincisi ise yalnızca mevzuatın açıkça aradığı işlerde gündeme gelir. İkincisi, işe alım süreci bir yazılım veya kariyer sayfası üzerinden yürüyorsa aydınlatma metni başvuru formunun kendisinde olmalıdır; başvuru gönderildikten sonra e-postayla iletilen metin, "elde edilme sırasında bilgilendirme" şartını karşılamaz. İşe alım akışının ürün tarafı için işe alım modülüne bakabilirsiniz.

Çalışan İzleme: Kamera, Kurumsal E-posta, Konum ve İnternet Kaydı

Çalışan izleme, KVKK'nın en çok yanlış anlaşılan alanıdır. Ne "işyeri benim, istediğimi izlerim" doğrudur ne de "izleme tamamen yasaktır". Doğru yaklaşım, her izleme uygulamasını dört soruluk bir ölçülülük testinden geçirmektir:

1. Meşru bir amaç var mı? Güvenlik, iş sürekliliği, iş kazası incelemesi meşrudur; "merak" veya "genel disiplin" değildir.
2. Daha az müdahaleci bir yol var mı? Varsa, seçilen yöntem ölçüsüzdür.
3. Kapsam ve süre sınırlı mı? Hangi alan, hangi saat, ne kadar süreyle saklanıyor?
4. Çalışan önceden ve açıkça bilgilendirildi mi? Gizli izleme, kural olarak hukuka aykırıdır.

İzleme türü	Tipik meşru amaç	Sınırlar	Kırmızı çizgi
Kamera	İşyeri ve mal güvenliği, iş kazası incelemesi	Görüş açısı amaca göre daraltılır; kayıt süresi kısa tutulur; erişim yetkiye bağlanır; girişte bilgilendirme levhası bulunur	Tuvalet, duş, soyunma odası, dinlenme ve ibadet alanları; kamerayı performans ve mesai ölçüm aracına dönüştürmek
Kurumsal e-posta ve internet logu	Bilgi güvenliği, iş sürekliliği, somut bir olayın incelenmesi	Önceden yazılı kullanım politikası; inceleme somut şüpheye bağlı, kapsamı sınırlı ve son çare olmalı	Rutin ve genel içerik taraması; "kişisel" olduğu belli yazışmaların okunması
Araç konum verisi (GPS)	Filo yönetimi, teslimat planlaması, sürüş güvenliği	Yalnızca mesai saatleri; verinin aracın konumu olarak işlenmesi; saklama süresinin operasyonel ihtiyaçla sınırlanması	Mesai dışında, izinli ve tatil günlerinde takibi açık bırakmak; aracı çalışanın kişisel konum izine dönüştürmek
Mobil uygulamada konum doğrulaması	Giriş-çıkış kaydının işyerinde yapıldığının doğrulanması	Yalnızca kayıt anında tek noktalı doğrulama	Arka planda sürekli konum toplamak
Ekran görüntüsü, tuş kaydı	—	Neredeyse hiçbir işyerinde ölçülü bulunmaz	Sürekli ve genel kullanım
Ses kaydı	Çağrı merkezinde hizmet kalitesi ve uyuşmazlık kaydı	Önceden her iki tarafa bildirim; amaçla sınırlı saklama	Genel ofis ortamında sürekli ses kaydı

Yargı içtihadı da aynı yöne bakar: Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi kararlarında işverenin kurumsal e-posta ve internet kullanımını inceleyebilmesi; önceden açık ve anlaşılır bilgilendirme, meşru bir amaç, incelemenin kapsam ve yoğunluğunun amaçla orantılı olması ve daha az müdahaleci bir yolun bulunmaması ölçütlerine bağlanır.

Son ve pratik uyarı: hukuka aykırı biçimde elde edilen bir kayıt, fesih uyuşmazlığında işverenin elini güçlendirmez. Gizlice yapılan bir izlemeden çıkan "delil", hem delil olarak tartışmalıdır hem de başlı başına ayrı bir ihlal doğurur. İzleme uygulamalarını kurarken sorulacak asıl soru "teknik olarak yapabilir miyiz" değil, "bunu yazılı politikamıza koyup çalışana anlatabiliyor muyuz"dur. Anlatamıyorsanız, muhtemelen yapmamalısınız.

Saklama Süreleri ve İmha: Politika, Envanter, Periyodik İmha

KVKK'nın en çok ihlal edilen ilkesi ne aydınlatma ne rızadır; saklama süresidir. md. 4/2-d verilerin "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar" muhafaza edilmesini ister; md. 7 ise işleme sebebi ortadan kalktığında verinin resen veya ilgili kişinin talebiyle silinmesini, yok edilmesini ya da anonim hâle getirilmesini emreder. Uygulamada ise ilkeye çoğu zaman "her ihtimale karşı saklayalım" refleksiyle uyulmaz.

Silmemek bir tedbir değil, risk biriktirmektir: elinizde ne kadar çok veri varsa ihlalin etkisi o kadar büyük olur.

Veri / belge	Saklama ölçüsü	Kaynağı
SGK'ya ilişkin işyeri defter, kayıt ve belgeleri	İlgili olduğu yılı takip eden yıl başından itibaren on yıl	5510 sayılı Kanun md. 86
Vergi ve bordro belgeleri	Vergi Usul Kanunu'nun öngördüğü süre (beş yıl)	VUK md. 253
İş sözleşmesinden doğan alacak ve tazminat kayıtları	Zamanaşımı süresi boyunca (beş yıl)	4857 md. 32 ve Ek md. 3
Özlük dosyası	İş ilişkisi süresince ve uyuşmazlık riski devam ettiği sürece	4857 md. 75
Çalışanın kişisel sağlık dosyası	İSG mevzuatında öngörülen uzun süre; bazı risk gruplarında çok daha uzun	6331 ve ilgili yönetmelikler — işyeri hekiminizle teyit edin
Kamera kaydı	Amaca yetecek en kısa süre; aylara yayılan saklama gerekçelendirilmelidir	md. 4/2-d ölçülülük
PDKS ham giriş-çıkış kaydı	Çalışma süresinin ispatı ihtiyacı boyunca (alacak zamanaşımıyla paralel)	md. 4/2-d + 4857
İşe alınmayan adayın özgeçmişi	Başvuru sonuçlanınca imha; havuz için açık rıza ve belirli süre	md. 5, 7

Süreleri bir tabloda toplamak yetmez; bunları işleten üç mekanizma gerekir. Birincisi, kişisel veri işleme envanteri: her veri kalemi için amaç, hukuki sebep, aktarılan taraf, saklama süresi ve güvenlik tedbiri. İkincisi, saklama ve imha politikası: hangi verinin ne zaman ve nasıl imha edileceği; Veri Sorumluları Siciline kayıtla yükümlü olanlar bakımından bu politikanın hazırlanması zorunludur. Üçüncüsü, periyodik imha: mevzuat, periyodik imha işleminin gerçekleştirileceği zaman aralığının altı ayı geçemeyeceğini öngörür. İmha işlemi tutanakla ve logla kayıt altına alınır; "sildik" beyanı ispat değildir.

Uygulamada üç kör nokta neredeyse her şirkette aynıdır: (1) yedeklerde ve arşiv sunucularında duran eski veriler, (2) e-posta eklerinde dolaşan ücret ve izin listeleri, (3) ayrılan personelin bilgisayarında ve mesajlaşma gruplarında kalan kopyalar. Silme politikanız yalnızca ana sisteminizi kapsıyorsa, ihlal riskiniz kapsanmayan yerlerde durur. Belgelerin tek yerde, yetkiye bağlı biçimde durmasının bu kadar önemli olmasının sebebi de budur (bkz. personel özlük dosyası rehberi).

VERBİS Kaydı ve Veri İhlali Bildirimi

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), md. 16 uyarınca tutulan kamuya açık sicildir. Kural, kişisel veri işlemeye başlamadan önce sicile kaydolmaktır; Kurul, işlenen verinin niteliği, sayısı, faaliyetin mevzuattan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi ölçütlerle istisna belirleyebilir ve belirlemiştir.

İstisnanın çerçevesi şudur: yıllık çalışan sayısı ve yıllık mali bilanço toplamı Kurulca belirlenen eşiklerin altında kalan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıt yükümlülüğünden istisna tutulmuştur. Eşik değerleri burada yazmıyoruz — Kurul kararlarıyla belirlenir ve güncellenebilir; güncel hâlini Kurumun VERBİS duyurularından teyit edin. Sık karıştırılan nokta ise şudur: çalışanların sağlık raporunu işlemek, işletmenin "ana faaliyet konusunun özel nitelikli veri işleme olduğu" anlamına gelmez; buradaki ölçüt işletmenin ana faaliyetidir, İK'nın rutin işlemleri değil.

Kayıt yükümlüsü olmanın pratik anlamı, ceza riskinden ibaret değildir: envanter hazırlamak zorunda olmak demektir. Envanteri olmayan bir şirket VERBİS bildirimini de doğru dolduramaz; çünkü sistem tam olarak envanterdeki bilgileri sorar. Kayıt yükümlüsü olmasanız bile envanter çıkarmak, bu rehberdeki her başlığı çözülebilir hâle getirir.

Veri ihlali bildirimi ise md. 12/5'te düzenlenir: işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu ilgili kişiye ve Kurula bildirir. Kurul kararıyla belirlenen usule göre Kurula bildirim en kısa sürede ve her hâlde ihlalin öğrenilmesinden itibaren 72 saat içinde, ilgili kişiye bildirim ise makul olan en kısa sürede yapılır.

Burada en kritik yanılgı, ihlalin ne olduğuna dair dar bir tanımdır. İhlal yalnızca siber saldırı değildir:

• Bordro dosyasının yanlış alıcıya e-postayla gönderilmesi.
• İzin çizelgesinin veya ücret listesinin mesajlaşma grubuna düşmesi.
• Şifresiz bir dizüstü bilgisayarın veya USB belleğin kaybolması.
• Ayrılan personelin erişiminin kapatılmaması ve veriye erişmeye devam etmesi.
• Yetkisiz bir çalışanın meslektaşının sağlık raporunu görmesi.

72 saatlik süre ihlalin öğrenildiği andan işlemeye başlar. Bu yüzden asıl kurulması gereken şey teknik bir sistem değil, bir bildirim zinciridir: olayı fark eden kişi kimi arayacak, karar mercii kim, bildirim metnini kim hazırlayacak. İK'daki bir kişinin fark ettiği olayın bilgi işlem ve hukuk tarafına üç günde ulaştığı bir şirkette süre zaten kaçmıştır.

Kanun'un md. 17 ve 18'inde suçlar ve kabahatler düzenlenir. İdari para cezası tutarlarını burada bilinçli olarak yazmıyoruz: tutarlar her yıl yeniden değerleme oranıyla güncellenir ve bir rehberde sabitlenmeleri yanıltıcı olur. Bilinmesi gereken, aykırılığın türüne göre ceza öngörüldüğü ve tekrarın ağırlaştırıcı sonuç doğurduğudur.

İşveren İçin KVKK Uyum Kontrol Listesi

Aşağıdaki liste, bu rehberdeki başlıkların uygulamaya dönüşmüş hâlidir. Sırayla işletildiğinde uyum, bir proje olmaktan çıkıp rutin hâline gelir.

#	Kontrol	Neden önemli?
1	Veri envanteri çıkarıldı mı?	Diğer her adımın girdisi; envantersiz aydınlatma metni doğru yazılamaz
2	Her veri kalemi için hukuki sebep yazıldı mı?	Rızaya dayandırılan işlemeler tespit edilip doğru sebebe taşınmalıdır
3	Aydınlatma metni güncel ve temas noktasında mı?	md. 10 — elde edilme sırasında bilgilendirme; ispat yükü sizde
4	Aydınlatma ve açık rıza metinleri ayrı mı?	Tek kâğıtta birleştirilen metin ikisini birden tartışmalı kılar
5	Gereksiz rıza metinleri kaldırıldı mı?	Diğer işleme şartı varken alınan rıza koruma sağlamaz, beklenti üretir
6	Özel nitelikli verilere erişim daraltıldı mı?	Sağlık verisinin tıbbi ayrıntısı işyeri hekiminde kalmalıdır
7	Biyometrik bir uygulama var mı?	Varsa geçiş planı ve şablonların imhası gerekir
8	Saklama süreleri ve imha politikası yazılı mı?	md. 4/2-d ve md. 7; periyodik imha aralığı altı ayı geçemez
9	Yetkilendirme matrisi var mı?	Kimin hangi veriye eriştiği yazılı değilse erişim de sınırlanamaz
10	Ayrılan personelin erişimi kapatılıyor mu?	En sık görülen ihlal sebeplerinden biri
11	Veri işleyenlerle sözleşme yapıldı mı?	md. 12/2 müşterek sorumluluk; mali müşavir, yazılım, arşiv firması
12	Yurt dışına aktarım var mı?	Bulut hizmetleri çoğu zaman aktarım demektir; md. 9 rejimine tabidir
13	İhlal müdahale planı yazılı mı?	72 saatlik süre öğrenme anından işler; zinciri önceden kurun
14	VERBİS durumu değerlendirildi mi?	Kayıt yükümlüsü müsünüz, değilseniz gerekçesi kayıtlı mı?
15	İlgili kişi başvurularını karşılayacak süreç var mı?	md. 11 ve 13; başvuruya süresinde cevap verilmemesi ayrı bir aykırılıktır

Listedeki 12. sıra çoğu şirkette gözden kaçar: kullandığınız e-posta, dosya paylaşımı, İK veya muhasebe hizmeti sunucuları yurt dışındaysa, ortada bir yurt dışına aktarım vardır. md. 9, aktarımı yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları gibi) ve sınırlı arızi hâller çerçevesinde düzenler; standart sözleşme kullanıldığında Kuruma bildirim yükümlülüğü de doğar. "Veriyi biz yurt dışına göndermiyoruz, sadece bulutta tutuyoruz" cümlesi bu bakımdan koruma sağlamaz.

empuno Bu İşin Neresinde? Kapsam Sınırını Açıkça Yazıyoruz

Bu rehberi bitirirken en önemli cümleyi net yazalım: bir yazılım satın alarak KVKK uyumu satın alınmaz. Uyum, hukuki sebebi doğru seçmek, metinleri yazmak, süreleri belirlemek ve erişimi yönetmekle sağlanır; bunlar şirketin kendi kararlarıdır.

Yazılımın üstlenebileceği şey ise teknik ve idari tedbirlerin bir kısmıdır. empuno tarafında bunun karşılığı şudur:

• Yetkiye bağlı erişim: hangi rolün hangi ekranı ve hangi veriyi göreceği modül bazında tanımlanır; "herkes her şeyi görüyor" durumu ortadan kalkar.
• Belgenin tek yerde durması: özlük belgeleri çalışan profilinde kategorili biçimde saklanır; ücret ve izin listelerinin e-posta ekleriyle dolaşma ihtiyacı azalır.
• Sağlık verisinde asgarilik: izin ve rapor kaydı gün, tarih ve tür bilgisiyle tutulur; teşhis girilecek bir alan yoktur.
• Biyometrik veri toplanmaması: PDKS akışı QR tabanlıdır.
• Çalışan self-servisi: çalışan kendi bordrosunu, izin bakiyesini ve zimmetini kendi görür; bilgi talebi her seferinde İK'nın elle dosya göndermesine dönüşmez.

Ne yapmadığımızı da yazıyoruz: empuno sizin aydınlatma metninizi yazmaz, VERBİS kaydınızı yapmaz, veri envanterinizi çıkarmaz, saklama ve imha politikanızı hazırlamaz ve hukuki danışmanlık vermez. Bu sınırı pazarlama metninde değil, mevzuat uyumu sayfamızda kapsam dışı işler listesinde de açıkça belirtiyoruz. Yazılımın işi, doğru kararı verdikten sonra onu uygulanabilir kılmaktır.