Uzaktan ve hibrit çalışmada ulaşılamama hakkı, mesai ve dijital nöbet

Saat 22.47’de yöneticiden bir WhatsApp mesajı geliyor:

Yarın sabah lazım. Hemen bakabilir misin?

Çalışan bilgisayarını yeniden açıyor, şirket sistemine bağlanıyor, dosyayı düzeltiyor ve 23.35’te gönderiyor. Ertesi gün bu süre çalışma kayıtlarında görünmüyor. Çünkü işverene göre çalışan “zaten evdeydi”.

Uzaktan ve hibrit çalışmadaki temel yanılgılardan biri burada başlıyor: Çalışanın evde olmasını, her an çalışmaya hazır olmasıyla karıştırmak.

Oysa uzaktan çalışma işin yapıldığı yeri esnekleştirir; çalışma süresini ortadan kaldırmaz. Ev, işverenin günün yirmi dört saati talimat verebildiği sınırsız bir işyerine dönüşmez.

Mesaj, çalışma ve nöbet aynı şey değildir

Mesai saatleri dışında gönderilen her mesaj kendiliğinden fazla çalışma sayılmaz. Ancak mesajın ardından çalışanın ne yapmak zorunda kaldığı önemlidir.

Bir bilgilendirme mesajının ertesi iş günü okunması mümkünse, kural olarak fiilî bir çalışma doğmayabilir. Buna karşılık çalışandan hemen cevap vermesi, sisteme bağlanması, belge hazırlaması, çevrim içi toplantıya katılması veya belirli süre içinde çıktı üretmesi bekleniyorsa artık yalnızca “iletişim”den söz edilemez.

Üç farklı durumun birbirinden ayrılması gerekir:

• Ertelenebilir iletişim: Mesaj gönderilir; cevap ve işlem bir sonraki çalışma zamanında beklenir.
• Fiilî çalışma: Çalışan mesaj üzerine dosya açar, sisteme bağlanır, görüşme yapar veya iş üretir. Bu süre çalışma süresidir ve koşulları oluştuğunda fazla çalışma hesabına katılır.
• Bağlı bekleme: Çalışan sürekli ulaşılabilir olmak, kısa sürede cevap vermek veya müdahaleye hazır bulunmak zorundadır. Getirilen sınırlamaların yoğunluğuna göre bu düzen nöbet ya da çalışma süresi tartışmasını doğurabilir.

Bu nedenle asıl soru “Mesaj kaçta gönderildi?” değil; “Çalışanın bu mesaj karşısında ne kadar serbestliği vardı?” olmalıdır.

Türk hukukunda adı konulmamış bir koruma alanı

Türkiye’de henüz “ulaşılamama hakkı” veya “bağlantıyı kesme hakkı” adıyla bağımsız bir kanuni hak düzenlenmiş değildir. Bununla birlikte mevcut hükümler, çalışanın sınırsız biçimde erişilebilir kabul edilemeyeceğini açıkça gösterir.

4857 sayılı İş Kanunu’nun 63. maddesine göre genel bakımdan haftalık çalışma süresi en çok 45 saattir. Günlük çalışma süresi, denkleştirme uygulansa dahi 11 saati aşamaz. Kanun’un 41. maddesi fazla çalışmanın koşullarını ve ücretlendirilmesini; 46. maddesi ise kesintisiz hafta tatilini düzenler.

Uzaktan Çalışma Yönetmeliği’nin 9. maddesi daha da doğrudandır: Uzaktan çalışmanın yapılacağı zaman aralığı ve süresi iş sözleşmesinde belirtilmelidir. Fazla çalışma, işverenin yazılı talebi ve işçinin kabulüyle, mevzuattaki sınırlamalara uygun olarak yapılabilir. Yönetmeliğin 10. maddesi uyarınca iletişim yöntemi ile iletişimin zaman aralığı da taraflarca belirlenmelidir.

Bu hükümler karşısında “Uzaktan çalışıyorsun; telefonun zaten yanında” yaklaşımı, hukuken çalışma süresi düzenlemesinin yerini tutmaz.

Ayrıca sürekli bağlantıda kalma beklentisi yalnız ücret sorununa indirgenemez. Dinlenmenin bölünmesi, uyku düzeninin bozulması, tükenmişlik ve dijital gözetim baskısı; işverenin iş sağlığı ve güvenliğini sağlama yükümlülüğü ile çalışanın özel hayatının korunması bakımından da değerlendirilmelidir.

Türk yargısı: Dijital izler göz ardı edilemez

Yargıtay 9. Hukuk Dairesinin 24 Kasım 2020 tarihli, E. 2017/797, K. 2020/16600 sayılı kararında işçi, fazla çalışma yaptığını ileri sürmüştür. Yargıtay; telefon GPRS kayıtları, araç kayıtları ve haftalık raporlar getirtilmeden talebin reddedilmesini eksik inceleme olarak değerlendirmiş, bu kayıtların diğer delillerle birlikte incelenmesi gerektiğini belirtmiştir.

Karar bazen “GPRS kaydı fazla mesaiyi ispatlar” şeklinde özetleniyor. Bu ifade fazla geniştir. Yargıtayın söylediği, tek bir dijital kaydın otomatik olarak bütün çalışma süresini kanıtladığı değil; uyuşmazlıkla ilgili dijital verilerin göz ardı edilemeyeceğidir.

Uzaktan çalışma uyuşmazlıklarında aynı yaklaşım şu kayıtlara uygulanabilir:

VPN ve kurumsal sistem oturumları, e-posta ve mesaj zamanları, dosya oluşturma ve değiştirme kayıtları, çevrim içi toplantılar, görev yönetim sistemleri, çağrı ve bağlantı kayıtları.

Ancak saat 23.00’te gönderilmiş tek bir e-posta, çalışanın 18.00 ile 23.00 arasında kesintisiz çalıştığını tek başına göstermez. Kayıtların işin niteliği, işveren talimatı, tanık anlatımları ve diğer delillerle birlikte değerlendirilmesi gerekir.

Anayasa Mahkemesi de Onur Özdamar kararında, fazla çalışma ücretini Anayasa’nın 35. maddesindeki mülkiyet hakkı kapsamında incelemiş ve mahkemelerin işçi ile işveren arasındaki menfaat dengesini özenli biçimde kurması gerektiğini vurgulamıştır. Önceden alınmış genel bir fazla çalışma onayı, kanuna aykırı veya öngörülemeyen bütün ek çalışmalardan peşinen feragat edildiği anlamına gelmez. (AYM, B. No: 2019/1450, 22 Şubat 2022)

Fransa: Telefona cevap vermemek kusur değildir

Fransız Yargıtayı niteliğindeki Cour de cassation’ın 17 Şubat 2004 tarihli, 01-45.889 sayılı kararında bir ambulans çalışanı, çalışma saatleri dışında kişisel cep telefonuna yapılan aramalara cevap vermediği için ağır kusurla işten çıkarılmıştı.

Mahkeme, çalışanın çalışma saatleri dışında kişisel telefonundan kendisine ulaşılamamasının kusur oluşturmadığına karar verdi. Sağlık hizmeti gibi sürekliliğin önemli olduğu bir alanda dahi çözüm, çalışanı örtülü biçimde sürekli ulaşılabilir saymak değil; nöbeti açıkça ve hukuka uygun şekilde düzenlemektir. (Cour de cassation, 17 Şubat 2004)

Fransa daha sonra bağlantıyı kesme hakkını İş Kanunu’nda açıkça düzenledi. Code du travail m. L2242-17 uyarınca dijital araçların kullanımının dinlenme, izin ve kişisel-aile hayatına saygıyı sağlayacak biçimde düzenlenmesi gerekir. Anlaşma bulunmadığında işverenin bu konuda bir şirket politikası hazırlaması ve çalışanlarla yöneticileri bilinçlendirmesi öngörülür.

Avrupa Birliği: Serbest zaman gerçekten serbest mi?

Avrupa Birliği Adalet Divanı, C-344/19 ve C-580/19 sayılı 9 Mart 2021 tarihli kararlarında nöbet ve bağlı bekleme sürelerini değerlendirirken işlevsel bir ölçüt geliştirdi.

İşverenin getirdiği sınırlamalar, çalışanın hizmet sunmadığı zamanı serbestçe kullanma ve kendi işleriyle ilgilenme imkânını objektif ve çok önemli ölçüde kısıtlıyorsa bekleme süresinin tamamı çalışma süresi sayılabilir. Sınırlamalar bu yoğunlukta değilse yalnızca fiilen çalışılan müdahale süreleri çalışma süresi kabul edilir.

Bu ölçüt uzaktan çalışmaya doğrudan uyarlanabilir. Çalışanın evde bulunması tek başına belirleyici değildir. Cevap süresi, çağrı sıklığı, bilgisayar başına geçme zorunluluğu ve cevap vermemenin sonuçları birlikte incelenmelidir. (ABAD, C-580/19; ABAD, C-344/19)

ABAD’ın CCOO/Deutsche Bank kararındaki diğer önemli ilke ise işverenlerin günlük çalışma süresini ölçmeye elverişli objektif, güvenilir ve erişilebilir bir sistem kurmasıdır. Uzaktan çalışma bu ihtiyacı ortadan kaldırmaz; aksine görünmeyen dijital çalışmayı kaydetmek bakımından daha önemli hâle getirir. (ABAD, C-55/18, 14 Mayıs 2019)

Avrupa Parlamentosu da 21 Ocak 2021 tarihli kararında bağlantıyı kesmeyi, çalışma süresi dışında dijital araçlarla işle ilgili faaliyet veya iletişimde bulunmamak olarak tanımladı. Bu karar bir AB direktifi değildir; fakat işverenin çalışanı çalışma saatleri dışında doğrudan veya dolaylı olarak ulaşılabilir olmaya zorlamaması gerektiğini açık bir politika hedefi olarak ortaya koymaktadır. (Avrupa Parlamentosu, P9_TA(2021)0021)

Amerika Birleşik Devletleri: Hakkın adı farklı, sorun aynı

ABD federal hukukunda Avrupa’daki anlamıyla genel bir “right to disconnect” bulunmuyor. Tartışma daha çok Fair Labor Standards Act kapsamında fiilen çalışılan sürenin bilinmesi, kaydedilmesi ve ücretlendirilmesi üzerinden yürütülüyor.

Allen v. City of Chicago davasında organize suçlar biriminde çalışan polisler, görev saatleri dışında kendilerine verilen BlackBerry cihazları üzerinden yaptıkları işlerin ücretlendirilmesini talep etti. Yedinci Temyiz Çevre Mahkemesi, bazı mesai dışı dijital faaliyetlerin ücretlendirilebilir çalışma olduğunu kabul etti. Buna rağmen çalışanların bu süreleri bildirmediğini işverenin bildiği veya bilmesi gerektiği yeterince ispatlanamadığı için işveren lehine karar verildi. (Seventh Circuit, No. 16-1029, 3 Ağustos 2017)

Kararın iki yönlü mesajı vardır: Mesai dışındaki telefon ve e-posta işi çalışma sayılabilir; fakat bunu görünür ve bildirilebilir kılan gerçek bir kayıt sistemi de bulunmalıdır.

ABD Çalışma Bakanlığının uzaktan çalışma rehberi de işverenin talep etmediği fakat bildiği veya bilmesi gerektiği evden çalışmayı ücretlendirmekle yükümlü olduğunu belirtir. İşveren makul bir bildirim sistemi kurabilir; ancak fiilen bildiği çalışmayı “Çalışan forma yazmamış” diyerek yok sayamaz. (U.S. Department of Labor, Field Assistance Bulletin 2020-5)

İşverenin kurması gereken sınır

Sağlıklı bir uzaktan veya hibrit çalışma sisteminde en az şu konular açıkça düzenlenmelidir:

• Normal çalışma ve iletişim saatleri
• Mesai dışında cevap verilmesinin beklenmediği
• Gerçek acil durumun tanımı ve kullanılacak özel kanal
• Nöbet düzeni, cevap süresi ve karşılığı
• Fazla çalışma talebinin kim tarafından ve nasıl verileceği
• Uzaktan çalışılan sürenin nasıl kaydedileceği
• Ertesi iş günü cevap veren çalışanın olumsuz değerlendirilmemesi
• Yöneticilerin gecikmeli gönderim ve iş yükü planlaması konusunda eğitilmesi

Mesajın sonuna “Müsait olduğunda bakarsın” yazılması, kurum kültürü gerçekte derhâl cevap bekliyorsa yeterli değildir. Politika ile günlük yönetim davranışı aynı yönde olmalıdır.

Ulaşılamama hakkı, işverenin çalışanla hiçbir zaman iletişim kuramayacağı anlamına gelmez. Acil durumlar ve gerçekten gerekli nöbet düzenleri kurulabilir. Fakat istisna açıkça tanımlanmalı, süre kaydedilmeli, dinlenme hakkı korunmalı ve çalışmanın karşılığı ödenmelidir.

Uzaktan çalışma, çalışanı sürekli çevrim içi bir nöbetçiye dönüştürmemelidir.

İşyeri eve taşınabilir; fakat mesai, çalışanın bütün hayatına yayılamaz.

Bu yazı ilk olarak 26 Ağustos 2026 tarihinde LinkedIn’de yayımlanmıştır: Uzaktan Çalışmak Her Zaman Ulaşılabilir Olmak Demek Değildir

Elektrik, internet, ekipman ve hatta evin bir bölümü: Uzaktan çalışmada işveren hangi masraflara ne ölçüde katlanmalı?

Uzaktan çalışma çoğu işletme bakımından ofis, enerji ve işletme maliyetlerini azaltabiliyor. Fakat işin maliyetinin bir bölümü, çalışma mekânı değişti diye kendiliğinden işçinin üzerine geçmiyor. Yakın tarihli Türk yargı kararları tam da bu noktada önemli bir uyarı veriyor.

Sakarya Bölge Adliye Mahkemesi 9. Hukuk Dairesinin E. 2023/68, K. 2024/490, 06.03.2024 tarihli kararında, uzaktan çalışan işçinin elektrik giderinin fesih tarihinde ödenmemiş olması, işçinin haklı feshi ve kıdem tazminatı bakımından belirleyici oldu. İşçi 12.08.2021 tarihinde sözleşmesini feshetti; işveren elektrik giderini ancak 19.08.2021 tarihinde ödedi. Mahkeme, fesih anında ödenmemiş elektrik gideri bulunduğunu kabul ederek işçinin haklı nedenle feshettiği ve kıdem tazminatına hak kazandığı sonucuna vardı.

Bu kararın önemi yalnızca elektrik faturasında değil. Asıl soru şu: İşveren çalışanı evden çalıştırdığında hangi maliyetleri, ne ölçüde ve hangi yöntemle karşılamak zorunda?

1. Hukuki çerçeve: İşin gideri kural olarak işverene ait

Türk Borçlar Kanunu m. 413 uyarınca, aksine anlaşma veya yerel âdet yoksa işveren iş için gerekli araç ve malzemeyi sağlamakla yükümlüdür. İşçi kendi aracını veya malzemesini işin görülmesine özgülerse, kural olarak uygun bir karşılık ödenmesi gerekir.

Daha da önemlisi TBK m. 414’tür. Hükme göre işveren, işin görülmesinin gerektirdiği her türlü harcamayı ödemekle yükümlüdür. Yazılı hizmet veya toplu iş sözleşmesiyle günlük, haftalık ya da aylık götürü gider ödemesi kararlaştırılabilir; ancak bu ödeme zorunlu harcamaları karşılayacak miktardan az olamaz. Zorunlu harcamaların kısmen veya tamamen işçi tarafından bizzat karşılanmasına ilişkin anlaşmalar ise geçersizdir. TBK m. 416 da gider alacağının kural olarak ücretle birlikte ödenmesini; düzenli masraf yapılıyorsa uygun avans verilmesini öngörür.

Uzaktan Çalışma Yönetmeliği de sözleşmede işveren tarafından sağlanan iş araçları ve ekipmanı göstermeyi; çalışma mekânının düzenlenmesinden doğan maliyetlerin nasıl karşılanacağının taraflarca belirlenmesini ve üretimle doğrudan ilgili zorunlu giderlerin tespit ve ödeme yönteminin sözleşmede düzenlenmesini ister.

Bu nedenle “uzaktan çalışma giderleri sözleşmede belirlenir” ifadesini, zorunlu giderlerin sıfırlanabileceği şeklinde okumak isabetli değildir. Sözleşmede belirlenmesi gereken asıl olarak giderin kapsamı, hesaplanma yöntemi, belge düzeni ve ödeme usulüdür.

2. Sakarya BAM: Elektrik gideri küçük bir kalem değildi

Sakarya BAM kararına konu olayda elektrik gideri, sözleşmenin sona ermesinden sonra ödenmişti. Mahkeme açısından kritik an fesih tarihiydi. O tarihte işçinin ödenmemiş elektrik gideri vardı. Mahkeme bunu, işçinin haklı feshi bakımından yeterli gördü ve kıdem tazminatına hak kazandığını kabul etti.

Kararın bize söylediği şey, birkaç yüz veya birkaç bin liralık bir masraf kaleminin muhasebe ayrıntısı olarak görülmemesi gerektiğidir. Uzaktan çalışmanın zorunlu giderlerinin sistematik biçimde karşılanmaması, ücret ve gider borçlarının ihlali boyutuna ulaştığında işveren açısından sözleşmenin sona ermesi ve tazminat riski yaratabilir.

3. Türkiye’de benzer kararlar: İnternet, teknolojik araçlar ve yemek

2026 tarihli akademik çalışmada aktarılan Kayseri BAM 7. Hukuk Dairesinin E. 2021/2376, K. 2022/172, 27.01.2022 tarihli kararında, uzaktan çalışma için gerekli teknolojik araçlar, iletişim araçları ve internet hizmetinin işveren tarafından karşılanması gerektiği belirtiliyor.

Aynı çalışmada aktarılan İzmir BAM 9. Hukuk Dairesinin E. 2022/2307, K. 2024/1185, 09.05.2024 tarihli kararında ise pandemi döneminde evden çalışan işçinin yemek yardımı talebinin kabulünde hata görülmüyor. Yemek yardımı teknik anlamda her zaman “gider iadesi” değildir; ücret eki veya sosyal hak niteliği taşıyabilir. Bununla birlikte karar, uzaktan çalışma düzenine geçişin mevcut yan hakları kendiliğinden ortadan kaldırmadığını göstermesi bakımından önemlidir.

4. İşveren ne kadar ödemeli?

Bu noktada en önemli yanlış anlaşılmayı önlemek gerekir: Sakarya BAM kararı, “evden çalışan işçinin tüm elektrik faturası işverene aittir” şeklinde genel bir oran koymuyor. Türk hukukunda elektrik veya internet için herkes bakımından geçerli sabit bir yüzde de bulunmuyor.

Daha doğru yaklaşım giderleri ayırmaktır.

• İşverenin iş için zorunlu tuttuğu özel yazılım, lisans, güvenlik anahtarı, yazıcı sarfı veya yalnızca iş için kurulan internet hattı gibi doğrudan giderlerde tam karşılama esastır.
• Laptop, ekran, telefon, kulaklık gibi iş araçları kural olarak işveren tarafından sağlanmalı; işçinin kendi ekipmanı kullanılıyorsa karşılık ve kullanım koşulları önceden düzenlenmelidir.
• Evde zaten bulunan internet, elektrik veya telefon gibi hem özel hem mesleki kullanılan hizmetlerde iş kullanımına isabet eden makul payın belirlenmesi gerekir.
• Götürü aylık “home-office gideri” belirlenebilir. Ancak TBK m. 414 uyarınca bu tutarın zorunlu giderleri gerçekten karşılayacak seviyede olması gerekir.
• Çalışma mekânının masa, sandalye, aydınlatma veya diğer düzenlemeleri bakımından Uzaktan Çalışma Yönetmeliği maliyet paylaşım yönteminin önceden belirlenmesini ister; ayrıca iş sağlığı ve güvenliği yükümlülükleri ayrı olarak gözetilmelidir.

5. İsviçre: Evin bir odası da gider olabilir

İsviçre Federal Mahkemesinin 4A_533/2018 sayılı, 23.04.2019 tarihli kararı karşılaştırmalı hukuk bakımından özellikle dikkat çekici. İşveren, çalışana kalıcı ve uygun bir çalışma yeri sağlamamış; çalışan evindeki bir odayı çalışma odası ve arşiv olarak kullanmıştı.

İşverenin savunması, çalışanın bu odayı zaten kiraladığı ve home-office nedeniyle ayrıca bir oda kiralamadığı yönündeydi. Federal Mahkeme bunu belirleyici bulmadı. Uygun bir işyeri sağlanmıyorsa evdeki çalışma altyapısının iş için zorunlu hâle gelebileceğini kabul etti. Çalışana özel odanın işyeri ve arşiv olarak kullanımı için toplam 1.425 CHF tazminat verilmişti; aylık 150 CHF üzerinden yapılan yargısal tahminin keyfî olmadığı sonucuna varıldı.

Bu karar, “işçi zaten o evi kiralıyordu” savunmasının her hukuk sisteminde yeterli olmadığını gösteriyor.

6. Fransa: Evin profesyonel kullanımı ayrı bir yük

Fransız Cour de cassation’ın 7.04.2010 tarihli kararlarında, çalışanın özel konutunun işverenin talebiyle profesyonel amaçla kullanılmasının özel yaşama müdahale oluşturan ayrı bir yük olduğu ve bunun tazmin edilmesi gerektiği kabul edildi.

Bu yaklaşım güncelliğini de koruyor. Cour de cassation, 19.03.2025 tarihli kararında çalışana fiilen profesyonel bir mekân sağlanmamışsa veya işin telework biçiminde yapılması kararlaştırılmışsa, konutun profesyonel kullanımı nedeniyle tazminat istenebileceğini yeniden vurguladı. 2.04.2025 tarihli başka bir kararında da, çalışanın idari görevlerini yapabilmesi için işveren tarafından gerçekten kullanılabilir bir işyeri sunulup sunulmadığının araştırılması gerektiğini belirtti.

Türkiye bakımından bugün “home-office oda kirası”nın her uzaktan çalışana otomatik olarak ödenmesi gerektiğini söylemek mümkün değil. Ancak karşılaştırmalı hukuk, işverenin ofis alanından tasarruf ederken işçinin özel alanını düzenli ve zorunlu biçimde iş organizasyonuna tahsis etmesinin ekonomik değeri bulunduğu yönünde gelişiyor.

7. İşverenler için uygulama modeli

En güvenli yaklaşım, giderleri uzaktan çalışma ek protokolünün bağımsız bir bölümü hâline getirmektir. En az şu konular açıkça düzenlenmelidir:

• Hangi araç ve ekipmanı işveren sağlayacak?
• İşçinin kendi ekipmanını kullanması mümkün mü; mümkünse karşılığı ne olacak?
• Elektrik, internet, telefon ve sarf giderleri nasıl hesaplanacak?
• Aylık götürü ödeme varsa tutar ve revizyon yöntemi nedir?
• Olağanüstü veya götürü bedeli aşan zorunlu giderler nasıl belgelenecek?
• Giderler hangi tarihte ödenecek?
• Hibrit çalışanlarda uzaktan çalışma günü sayısı hesaba nasıl yansıyacak?
• Çalışma alanı ve ergonomi için hangi düzenlemeler yapılacak?

Özellikle “ücrete bütün giderler dahildir” şeklindeki genel ve soyut hükümlerden kaçınılmalıdır. Zorunlu giderleri fiilen karşılamayan bir düzenleme, TBK m. 414 karşısında işvereni korumayabilir.

Sonuç

Uzaktan çalışma işyerini ortadan kaldırmıyor; yalnızca işin görüldüğü yeri değiştiriyor. İşveren ofis maliyetinden tasarruf ederken, işin elektrik, internet, ekipman ve çalışma alanı maliyetini sessizce çalışana devredemez.

Sakarya BAM’ın elektrik giderine ilişkin kararı bunun en somut örneklerinden biri: küçük görünen bir gider, fesih tarihinde ödenmediği için haklı fesih ve kıdem tazminatı sonucuna kadar ulaştı.

Bundan sonraki tartışma artık yalnız “işveren ödemeli mi?” değil. Asıl soru, hangi giderin ne ölçüde iş için zorunlu olduğu ve bunun nasıl şeffaf, ölçülebilir ve sürdürülebilir bir sisteme bağlanacağıdır.

Karar künyesi

Sakarya Bölge Adliye Mahkemesi 9. Hukuk Dairesi, E. 2023/68, K. 2024/490, 06.03.2024.

Kaynaklar

1. Aysu Eren Yüce / Aslı Naneci Arıcı, “Covid-19 Sonrası Yeni Normal ve Uzaktan Çalışma”, İstanbul Medeniyet Üniversitesi Hukuk Fakültesi Dergisi, C. 11, S. 1, Mart 2026.
2. 6098 sayılı Türk Borçlar Kanunu m. 413-416, Adalet Bakanlığı Mevzuat Genel Müdürlüğü.
3. Uzaktan Çalışma Yönetmeliği, RG 10.03.2021, S. 31419.
4. İsviçre Federal Mahkemesi, 4A_533/2018, 23.04.2019.
5. Cour de cassation, Chambre sociale, 07.04.2010; 19.03.2025; 02.04.2025.

Bu yazı ilk olarak 12 Ağustos 2026 tarihinde LinkedIn’de yayımlanmıştır: Ofisi Eve Taşımak, Gideri İşçiye Yüklemez

Çalışanın haberi olmadan elde edilen kayıtlar fesihte kullanılabilir mi?

Uzaktan ve hibrit çalışma, işverenlere çalışanların iş süreçlerini dijital araçlarla izleme imkânı sağladı. Çevrim içi olma süresi, uygulama kullanımı, klavye ve mouse hareketleri, ekran görüntüleri, internet geçmişi ve hatta otomatik “verimlilik puanları” artık teknik olarak kolayca ölçülebiliyor.

Ancak ölçülebilen her verinin hukuken toplanabileceği ve fesihte kullanılabileceği söylenemez.

Yargıtay 22. Hukuk Dairesinin 7 Mayıs 2019 tarihli kararı, işverenin çalışanın davranışlarına ilişkin ciddi bulgulara ulaşmış olsa bile, bu bulguları elde etme yöntemindeki hukuka aykırılık nedeniyle haklı fesih savunmasını kaybedebileceğini gösteriyor.

Olay neydi?

İşveren, çalışanın çalışma saatleri içinde kariyer sitelerine girdiğini, sohbet sitelerinde zaman geçirdiğini, başka bir çalışanı işverene bazı bilgileri vermemesi konusunda yönlendirdiğini, şirketin araç vermemesi üzerine işveren hakkında olumsuz ifadeler kullandığını, fuarlara katılmamak için çeşitli mazeretler ürettiğini ve işe girişte sahip olması gereken nitelikler konusunda hatalı bilgi verdiğini ileri sürdü.

Dosya kapsamına göre bu davranışların bir bölümü gerçekten tespit edilmişti.

İşveren ayrıca çalışanın şirketin gizli bilgilerini bir USB bellekle işyeri dışına çıkardığını savundu. Ancak tanıklar, çalışanın zaman zaman işini evden yürüttüğünü ve dizüstü bilgisayar kullandığını belirtti. Şirket sırlarının işyeri dışına çıkarıldığı iddiasını destekleyen somut bir delil sunulamadı.

Asıl sorun, diğer tespitlerin nasıl elde edildiğiydi.

İşveren, çalışanın bilgisayarına “klavye yakalayıcısı” olarak nitelendirilen özel bir takip programı yerleştirmişti. Programla çalışanın bilgisayar hareketleri ve yazışmaları günlük olarak kaydediliyor; özel hayata ilişkin bilgilerle işe ilişkin veriler arasında ayrım yapılmıyordu.

Çalışanın bu programdan haberdar olduğu veya izleme yapılacağı konusunda önceden bilgilendirildiği ise ispatlanamadı.

Yargıtay ne dedi?

Yargıtay, işverenin yönetim hakkı kapsamında çalışanı elektronik ortamda izleyebileceğini kabul etti. Ancak bu yetkinin kullanılabilmesi için çalışanın izleme konusunda bilgilendirilmiş olması gerektiğini vurguladı.

Karara göre, çalışanın izlendiğinin bildirilmemesi veya gizlice izlenmesi hâlinde elde edilen veriler, iş sözleşmesinin ihlal edildiğini açık biçimde gösterse dahi hukuka aykırı kabul edilmelidir.

Bu nedenle gizli takip sonucunda elde edilen kayıtların haklı fesih sebebi olarak ileri sürülmesi mümkün görülmedi. Yargıtay, feshin haklı nedene dayanmadığı ve çalışanın ihbar tazminatına hak kazandığı sonucuna varılması gerektiğini belirterek ilk derece mahkemesi kararını bozdu.

Buradaki teknik ayrım önemlidir: Karar bir işe iade davasına değil, ihbar tazminatı uyuşmazlığına ilişkindir. Dolayısıyla sonuç “işe iade” değil; işverenin haklı fesih savunmasının reddedilmesi ve işçi lehine ihbar tazminatı değerlendirmesidir.

İşveren nerede hata yaptı?

İşverenin ilk hatası, dijital izlemeyi gizli yürütmesiydi. Çalışan, hangi araçla, hangi verilerinin, hangi amaçla ve ne kadar süreyle izleneceği konusunda önceden bilgilendirilmemişti.

İkinci hata, izlemenin sınırlarının bulunmamasıydı. Özel hayata ilişkin kayıtlarla işe ilişkin veriler ayrılmadan bütün hareketler günlük olarak toplanmıştı.

Üçüncü hata, daha az müdahaleci yöntemler değerlendirilmeden kapsamlı bir takip programına başvurulmasıydı. İşverenin performans, bilgi güvenliği veya iş disiplinini sağlama amacı meşru olabilir; ancak kullanılan aracın bu amaçla ölçülü olması gerekir.

Dördüncü hata ise feshi, hukuka uygunluğu tartışmalı bu kayıtlara dayandırmaktı. Çalışanın davranışıyla ilgili bağımsız ve hukuka uygun başka deliller oluşturulmadan gizli kayıtların fesih dosyasının merkezine yerleştirilmesi, haklı fesih savunmasını zayıflattı.

Karar uzaktan ve hibrit çalışma açısından neden önemli?

Karar, uzaktan çalışma döneminden önce verilmiş olsa da ortaya koyduğu ilke bugün çok daha önemlidir.

Uzaktan çalışan bir kişinin ekranının belirli aralıklarla görüntülenmesi, klavye ve mouse hareketlerinin ölçülmesi, kamera veya mikrofonun açılması, Teams ya da Slack üzerindeki aktiflik süresinin kaydedilmesi, uygulama ve internet kullanımının raporlanması veya yapay zekâ ile verimlilik puanı üretilmesi dijital izleme niteliğindedir.

İşverenin cihazın sahibi olması, bu araçları sınırsız biçimde kullanabileceği anlamına gelmez. İşverenin yönetim hakkı; çalışanın özel hayatı, haberleşme özgürlüğü ve kişisel verilerinin korunması karşısında sınırlıdır.

Türk Borçlar Kanunu’nun 419. maddesi, işçiye ait kişisel verilerin ancak işçinin işe yatkınlığıyla ilgili veya iş sözleşmesinin ifası için zorunlu olduğu ölçüde kullanılmasına izin verir. KVKK bakımından da hukuka uygunluk, belirli ve meşru amaç, amaçla bağlantılılık, sınırlılık, ölçülülük ve gerekli süre kadar muhafaza ilkeleri birlikte gözetilmelidir.

Anayasa Mahkemesi de daha sonraki E.Ü. kararında, çalışanın iletişiminin denetlenmesinde meşru amaç, önceden açık bilgilendirme, daha az müdahaleci yöntemlerin değerlendirilmesi, verilerin amaçla sınırlı tutulması ve menfaatler arasında adil denge kurulması gerektiğini kabul etti.

Burada ayrıca önemli bir KVKK ayrımı yapılmalıdır: Açık rıza, çalışan izlemesinde her durumda tek ve zorunlu hukuki sebep değildir. İşveren önce veri işleme faaliyetinin hukuki sebebini doğru belirlemeli; aydınlatma yükümlülüğünü ise bu hukuki sebepten ayrı ve eksiksiz biçimde yerine getirmelidir.

İşverenler ne yapmalı?

1. İzleme politikasını yazılı hâle getirin.

Hangi araçların kullanılacağını, hangi verilerin toplanacağını, izlemenin amacını, kapsamını, süresini, saklama dönemini ve verilere kimlerin erişeceğini açıkça belirleyin.

2. Çalışanı önceden ve anlaşılır biçimde bilgilendirin.

Genel nitelikte “şirket cihazları denetlenebilir” ifadesi her durumda yeterli olmayabilir. Kullanılan yöntemin çalışan tarafından öngörülebilir olması gerekir.

3. En az müdahaleci aracı seçin.

Amaç, görevlerin tamamlanıp tamamlanmadığını görmekse sürekli ekran kaydı veya keylogger kullanmak yerine görev ve çıktı takibi tercih edilmelidir.

4. Özel alanı ayırın.

İşe ilişkin verilerle özel yazışmalar ve kişisel kullanım verileri arasında teknik ve organizasyonel ayrım kurun. Yetkisiz erişimi engelleyin ve saklama sürelerini sınırlayın.

5. Fesih kararını yalnızca gizli kayıtlara dayandırmayın.

Şüphe ortaya çıktığında hukuka uygun bağımsız deliller toplayın, çalışanın savunmasını alın ve davranışın ağırlığı ile uygulanacak yaptırım arasında ölçülülük sağlayın.

Sonuç

Dijital izleme işverenin yönetim hakkının bir parçası olabilir; fakat gizli, sınırsız ve amaç ayrımı yapılmaksızın yürütülen izleme yönetim hakkının sınırlarını aşar.

Bu kararın işverenlere verdiği temel mesaj açıktır: Çalışanın davranışına ilişkin tespit doğru olsa bile, o tespitin elde edilme yöntemi hukuka uygun değilse haklı fesih savunması kaybedilebilir.

Kararın künyesi

Yargıtay 22. Hukuk Dairesi
E. 2017/21857
K. 2019/9884
T. 07.05.2019
Konu: Gizli elektronik izleme kayıtlarının haklı fesihte kullanılması ve ihbar tazminatı

Kararın tam metni

https://yargi.calismatoplum.org/iscinin-haberi-olmadan-izlenmesi-yoluyla-elde-edilen-bilgilerin-hakli-fesih-sebebi-olarak-kullanilamayacagi/

Bu yazı ilk olarak 29 Temmuz 2026 tarihinde LinkedIn’de yayımlanmıştır: Dijital İzlemeyle Haklıyken Haksız Duruma Düşmek

Mesai Takibinde Parmak İzi ve Yüz Tanıma: KVKK, GDPR ve Ölçülülük İlkesi Bakımından Biyometrik Veri Kullanımı

Kişisel Verileri Koruma Kurulu’nun mesai takibi amacıyla biyometrik veri işlenmesine ilişkin 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, işyerlerinde parmak izi, yüz tanıma, avuç içi veya benzeri biyometrik sistemlerin kullanımı tartışmasını yeniden gündeme taşıdı. Karar, özellikle personel kontrol devam sistemi, mesai takibi, giriş-çıkış kontrolü ve işyerinde güvenlik gerekçeleriyle biyometrik veri işleyen kurumlar bakımından önemli sonuçlar doğuruyor.

Ancak bu karar, sanıldığı gibi veri koruma hukukunda yeni bir yön değişikliği yaratmıyor. Aksine, uzun süredir hem Türk kişisel verilerin korunması hukukunda hem de GDPR uygulamasında mevcut olan temel ilkelerin, işyeri biyometrisi bağlamında yeniden ve açık biçimde uygulanmasından ibaret.

Bu nedenle tartışmayı “parmak izi yasaklandı mı?” sorusuna indirgemek eksik olur. Asıl soru şudur:

Bir işveren, çalışanın işe gelip gelmediğini takip etmek için gerçekten çalışanın biyometrik verisini işlemek zorunda mıdır?

Bu soru bizi doğrudan kişisel verilerin korunması hukukunun merkezindeki üç ilkeye götürür: gereklilik, ölçülülük ve veri minimizasyonu.

1. Biyometrik Veri Neden Sıradan Bir Kimlik Doğrulama Aracı Değildir?

Biyometrik veri, kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli fiziksel, fizyolojik veya davranışsal özelliklerden elde edilen veridir. GDPR m. 4/14 biyometrik veriyi, özel teknik işlem sonucunda kişinin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin ortaya çıkan ve kişinin benzersiz şekilde tanımlanmasına veya doğrulanmasına imkân veren veri olarak tanımlar. GDPR m. 9 ise biyometrik veriyi, kişinin benzersiz biçimde tanımlanması amacıyla işlendiğinde özel nitelikli veri kategorisine dahil eder.

KVKK bakımından da biyometrik veriler özel nitelikli kişisel veri niteliğindedir. Bu nitelik, yalnızca veri güvenliği riskinin yüksek olmasından kaynaklanmaz. Biyometrik veri, kişinin bedeni ve kimliğiyle doğrudan bağlantılıdır. Kart kaybolabilir, şifre değiştirilebilir, personel numarası yenilenebilir. Fakat parmak izi, yüz geometrisi veya iris yapısı kişinin bedenine bağlıdır ve çoğu durumda değiştirilemez.

Bu nedenle biyometrik veri işlenmesi, yalnızca “bir veri işleme faaliyeti” olarak değil, aynı zamanda kişilik hakkına ve özel hayata müdahale olarak değerlendirilmelidir. Nitekim Anayasa Mahkemesi, parmak izi kayıt sistemiyle mesai takibi yapılmasına ilişkin Ramazan Şahin başvurusunda, uygulamanın kişisel verilerin korunmasını isteme hakkı ve özel hayata saygı hakkı kapsamında incelenmesi gerektiğini kabul etmiştir.

Bu yaklaşım yüz tanıma sistemleri bakımından da devam etmiştir. Anayasa Mahkemesi’nin yüz tanıma sistemiyle mesai takibine ilişkin kararında da personelden kişisel veri alınması kapsamındaki yüz tanıma sistemiyle mesai takibi uygulamasının, kamusal alanda gerçekleşse dahi özel hayatın gizliliği kapsamında olduğu belirtilmiştir.

Dolayısıyla biyometrik veri tartışması, yalnızca teknik bir “devam kontrol sistemi” tartışması değildir. Çalışanın bedeni üzerinden kimlik doğrulama yapılması, işverenin yönetim hakkı ile çalışanın kişilik hakkı arasındaki sınırın nerede çizileceği sorusunu gündeme getirir.

2. Meşru Amaç Vardır; Fakat Meşru Amaç Tek Başına Yeterli Değildir

İşverenin çalışanların işe giriş-çıkış saatlerini takip etmek istemesi kural olarak meşru bir amaçtır. İş sürelerinin belirlenmesi, ücret hesaplaması, fazla mesai takibi, iş sağlığı ve güvenliği organizasyonu, disiplin süreçleri ve işletmesel planlama bakımından personel devam kontrolü gerekli olabilir.

Ancak kişisel verilerin korunması hukukunda bir amacın meşru olması, o amaç için seçilen her aracın hukuka uygun olduğu anlamına gelmez.

Burada kritik test şudur:

Aynı amaca daha az müdahaleci bir yöntemle ulaşmak mümkün müdür?

Eğer kartlı geçiş sistemi, şifre/PIN kullanımı, mobil doğrulama, RFID kart, turnike sistemi, imza föyü veya elektronik personel takip yazılımı gibi daha az müdahaleci yöntemlerle aynı sonuca ulaşılabiliyorsa, biyometrik veri işlenmesi gereklilik ve ölçülülük testini geçmekte zorlanır.

KVKK’nın 2026/921 sayılı İlke Kararı’nın ağırlık merkezi de buradadır. Kurul, mesai takibi için biyometrik veri kullanımını değerlendirirken alternatif yöntemlerin varlığına, biyometrik verinin hassas niteliğine, çalışan-işveren ilişkisindeki güç dengesizliğine ve ölçülülük ilkesine dikkat çekmiştir.

Bu yaklaşım yeni değildir. Kurul, daha önce 2020/915 sayılı kararında, belediye bünyesinde mesai kontrolü amacıyla parmak izi işlenmesini, KVKK m. 4’teki “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine aykırı bulmuş ve ayrıca hukuka uygun bir işleme şartına dayanılmadığını değerlendirmiştir.

Benzer şekilde Kurul’un 2022/797 sayılı kararında, işyerinde güvenlik kamerası ve işe giriş-çıkışlarda yüz tanıma sistemi kullanımı, kişisel verilerin hukuka aykırı işlenmesi bağlamında değerlendirilmiştir.

Dolayısıyla 2026 tarihli İlke Kararı, önceki karar çizgisinden bir sapma değil; aksine Kurul’un biyometrik veriye ilişkin yerleşen yaklaşımının ilke kararı düzeyinde daha açık ifade edilmesidir.

3. Açık Rıza Biyometrik Veri İşlemeyi Her Zaman Kurtarmaz

Uygulamada sık karşılaşılan savunma şudur:

“Çalışanlardan açık rıza alıyoruz.”

Ancak iş ilişkisi içinde açık rızanın geçerliliği her zaman sorunludur. Çünkü işçi ile işveren arasında yapısal bir güç dengesizliği vardır. Çalışanın gerçekten özgür iradesiyle rıza verip vermediği, reddetmesi halinde olumsuz bir sonuçla karşılaşıp karşılaşmayacağı, alternatif bir yöntem sunulup sunulmadığı ve rızanın geri alınabilir olup olmadığı somut olarak incelenmelidir.

EDPB’nin rızaya ilişkin 05/2020 sayılı rehberinde de rızanın özgür iradeye dayanması gerektiği; özellikle işveren-çalışan ilişkisi gibi güç dengesizliği bulunan hallerde rızanın geçerliliğinin dikkatle değerlendirilmesi gerektiği belirtilir.

Bu nedenle işyerinde biyometrik veri işleme faaliyetlerinde “açık rıza formu imzalatıldı” demek tek başına yeterli değildir. Hele ki sistem fiilen zorunluysa, çalışan alternatif bir yöntem kullanamıyorsa veya biyometrik veri vermeyen çalışan mesai kaydı yaptıramıyor, ücret hesaplamasında sorun yaşıyor ya da işyerine girişte dezavantajlı duruma düşüyorsa, rızanın özgür iradeye dayandığını savunmak güçleşir.

Belçika Veri Koruma Otoritesi’nin 6 Eylül 2024 tarihli ve 114/2024 sayılı kararında da çalışanların parmak iziyle zaman kayıt sistemine ilişkin benzer bir değerlendirme yapılmıştır. Kararda parmak izinin GDPR m. 4/14 anlamında biyometrik veri olduğu; zaman kaydı amacıyla kullanıldığında GDPR m. 9 kapsamında özel nitelikli veri niteliği taşıdığı; işverenin bu işleme faaliyeti için geçerli bir hukuki sebep ortaya koyamadığı ve veri minimizasyonu/dokümantasyon yükümlülükleri bakımından ihlaller bulunduğu değerlendirilmiştir.

Bu karar, Türk hukuku bakımından da önemli bir karşılaştırmalı örnek sunar. Çünkü hem KVKK hem GDPR sisteminde ortak mantık aynıdır: özel nitelikli veri işlemek için yalnızca bir form düzenlemek yetmez; işleme faaliyetinin maddi olarak gerekli, ölçülü, sınırlı ve hukuki sebebe dayalı olması gerekir.

4. GDPR Uygulaması da Aynı Soruyu Soruyor: Gerçekten Gerekli mi?

GDPR m. 5/1-c uyarınca kişisel veriler, işlendikleri amaçlarla sınırlı, ilgili ve gerekli olanla sınırlı olmalıdır. Bu, veri minimizasyonu ilkesidir. GDPR m. 9 ise biyometrik verilerin, kişiyi benzersiz biçimde tanımlamak amacıyla işlenmesini kural olarak yasaklar; yalnızca belirli istisnai hallerde buna izin verir.

Bu nedenle GDPR bakımından da işyerinde biyometrik devam kontrolü şu iki aşamalı testten geçmelidir:

Birinci aşama: GDPR m. 6 kapsamında genel bir hukuki sebep var mı?

İkinci aşama: GDPR m. 9 kapsamında özel nitelikli verilerin işlenmesine izin veren istisnai bir şart var mı?

Ancak bu iki aşama geçilse bile üçüncü ve çoğu zaman belirleyici aşama kalır:

Veri minimizasyonu ve ölçülülük ilkesi sağlanıyor mu?

İngiltere Bilgi Komiserliği Ofisi’nin Serco Leisure kararında bu test son derece somut uygulanmıştır. ICO, Serco Leisure ve bağlantılı kuruluşların 38 tesiste 2.000’den fazla çalışanın biyometrik verisini, yüz tanıma ve parmak izi sistemleriyle mesai takibi amacıyla hukuka aykırı işlediğini tespit etmiş; kuruluşlara çalışan devam takibi amacıyla biyometrik veri işlemeyi durdurma ve hukuken saklanması gerekmeyen biyometrik verileri silme talimatı vermiştir.

ICO’nun değerlendirmesinde öne çıkan husus, işverenin biyometrik sistemin neden gerekli ve orantılı olduğunu yeterince gösterememesi, çalışanlara gerçekçi alternatif sunulmaması ve ticari/operasyonel menfaatlerin çalışanların mahremiyetine üstün tutulmasıdır. Resmi enforcement notice metninde de Serco’nun biyometrik verileri çalışan devam takibi amacıyla işlediği açıkça belirtilmektedir.

İspanya Veri Koruma Otoritesi AEPD de biyometrik sistemlerle mesai ve devam kontrolüne ilişkin rehberinde aynı çerçeveyi kurmuştur. Rehber, biyometrik sistemlerin çalışma süresi kontrolünde kullanılmasının GDPR çerçevesinde yüksek dikkat gerektirdiğini ve ölçülülük/veri minimizasyonu analizinin merkezde olduğunu ortaya koymaktadır.

Hollanda Veri Koruma Otoritesi de biyometrik verilerin yüksek mahremiyet riski taşıdığını, çünkü bu verilerin benzersiz olduğunu; biyometrik erişim uygulamalarının ancak çok sınırlı koşullarda meşrulaştırılabileceğini belirtmektedir.

Bu karar ve rehberlerin ortak noktası açıktır: işverenin devam kontrolü yapma hakkı vardır; fakat bu hak, çalışanı biyometrik gözetim nesnesine dönüştürecek şekilde kullanılamaz.

5. Kişilik Hakkı Boyutu: Çalışanın Bedeni Yönetim Hakkının Sınırıdır

İşverenin yönetim hakkı, işin organizasyonu, işyerinin düzeni, iş süreçlerinin denetimi ve verimliliğin sağlanması bakımından önemlidir. Ancak yönetim hakkı sınırsız değildir. İş hukukunda dahi işverenin yönetim hakkı; dürüstlük kuralı, eşit davranma borcu, kişilik haklarına saygı, işçinin onuru ve özel hayatı ile sınırlıdır.

Biyometrik veri işlenmesi tam da bu sınırda yer alır.

Çünkü burada işveren yalnızca “çalışan saat kaçta geldi?” sorusunun cevabını aramamaktadır. Bu cevaba ulaşmak için çalışanın bedeninden, benzersiz kimlik doğrulamaya elverişli özel nitelikli veri almaktadır.

Bu nedenle biyometrik mesai takibi sistemleri, sıradan bir personel takip yazılımı gibi değerlendirilemez. Bu sistemlerde:

• veri kategorisi hassastır,
• veri kaynağı kişinin bedenidir,
• veri ihlali halinde telafi imkânı düşüktür,
• amaç genellikle daha az müdahaleci araçlarla sağlanabilir,
• iş ilişkisindeki güç dengesizliği rızayı tartışmalı hale getirir,
• sistematik izleme riski vardır.

EDPB’nin video cihazları yoluyla kişisel veri işlenmesine ilişkin 3/2019 sayılı rehberi, özellikle sistematik izleme teknolojilerinin kişilerin davranışları ve anonim hareket edebilme imkânı üzerindeki etkilerine dikkat çeker. Rehber doğrudan tüm biyometrik mesai sistemlerine ilişkin olmasa da, sistematik gözetime ilişkin genel yaklaşımı bakımından önemlidir.

Bu nedenle mesele yalnızca “biyometrik veri güvenli saklandı mı?” meselesi değildir. Veri güvenliği tedbirleri elbette önemlidir; ancak hukuka aykırı biçimde toplanan bir verinin güvenli saklanması, işleme faaliyetini hukuka uygun hale getirmez.

6. “Ama Sistem Güvenli” Savunması Neden Yeterli Değildir?

Biyometrik sistem sağlayıcıları çoğu zaman verinin şifreli saklandığını, template formatına dönüştürüldüğünü, ham parmak izi görüntüsünün tutulmadığını veya sistemin ISO sertifikalı olduğunu belirtir. Bu bilgiler teknik güvenlik değerlendirmesi bakımından önemlidir.

Fakat kişisel verilerin korunması hukukunda güvenlik, hukuka uygunluğun yalnızca bir unsurudur.

Bir veri işleme faaliyeti için şu sorular ayrı ayrı sorulmalıdır:

1. Belirli, açık ve meşru amaç var mı?
2. Uygun hukuki sebep var mı?
3. Özel nitelikli veri bakımından ayrıca işleme şartı var mı?
4. Veri işleme faaliyeti gerekli mi?
5. Daha az müdahaleci alternatif var mı?
6. Veri minimizasyonu sağlanmış mı?
7. Aydınlatma yükümlülüğü yerine getirilmiş mi?
8. Açık rıza varsa gerçekten özgür iradeye dayanıyor mu?
9. Veri güvenliği tedbirleri alınmış mı?
10. Gerekli ise veri koruma etki değerlendirmesi yapılmış mı?

Belçika Veri Koruma Otoritesi’nin 114/2024 sayılı kararında da teknik güvenlik unsurları ayrıca incelenmiş; ancak kararın merkezinde hukuka uygunluk, özel nitelikli veri işleme yasağı, veri minimizasyonu, şeffaflık ve hesap verebilirlik yer almıştır.

Bu nokta uygulama bakımından önemlidir. Çünkü birçok kurum biyometrik sistem satın alırken yalnızca tedarikçinin teknik güvenlik beyanlarına odaklanmaktadır. Oysa KVKK/GDPR uyumu bakımından asıl soru

Bu sistemi teknik olarak güvenli kurabilir miyiz?

değil,

Bu sistemi kurmaya hukuken gerçekten ihtiyacımız var mı? Dır.

7. 2026/921 Sayılı Kararın Asıl Mesajı

KVKK’nın 2026/921 sayılı İlke Kararı, mesai takibinde biyometrik veri kullanımının genel olarak hukuka uygun kabul edilemeyeceğini ortaya koyarken aslında yeni bir hukuki ilke icat etmemektedir. Karar, KVKK m. 4’teki genel ilkelerin ve özel nitelikli kişisel verilerin işlenmesine ilişkin sıkı rejimin doğal sonucudur.

Bu yönüyle kararın asıl mesajı şudur:

Personel devam kontrolü meşru olabilir; fakat bu amaç, çalışanın biyometrik verisinin işlenmesini otomatik olarak gerekli ve ölçülü hale getirmez.

Kurumlar bu kararı yalnızca “parmak izi sistemini kaldıralım mı?” düzeyinde okumamalıdır. Daha doğru okuma şudur:

• Hangi çalışan verilerini topluyoruz?
• Bu verilerin hangileri gerçekten zorunlu?
• Aynı amaca daha az veriyle ulaşabilir miyiz?
• Özel nitelikli veri işliyorsak buna gerçekten mecbur muyuz?
• Açık rızaya dayanıyorsak bu rıza iş ilişkisi içinde gerçekten geçerli mi?
• Alternatif yöntem sunuyor muyuz?
• Personel takip sistemlerimiz kişilik hakkı sınırına nerede temas ediyor?

Bu sorular yalnızca biyometrik sistemler için değil, tüm çalışan izleme teknolojileri için geçerlidir. Uzaktan çalışma yazılımları, ekran takip sistemleri, lokasyon takibi, araç takip sistemleri, kamera sistemleri, performans analitiği ve yapay zekâ destekli çalışan değerlendirme sistemleri bakımından da aynı metodoloji işletilmelidir.

8. Sonuç: Bir Veriyi İşleyebiliyor Olmak, Onu İşlemeniz Gerektiği Anlamına Gelmez

KVKK’nın son kararı, işverenlere personel takibinin yasak olduğunu söylemiyor. Çalışma sürelerinin takibi, iş organizasyonu ve güvenlik gereksinimleri elbette meşru amaçlar olabilir.

Ancak veri koruma hukuku, meşru amaca ulaşmak için seçilen aracın da sorgulanmasını ister.

Biyometrik veri söz konusu olduğunda bu sorgu daha da sıkıdır. Çünkü burada işlenen veri, çalışanın yalnızca mesaisine değil, bedenine ve kimliğine ilişkindir.

Bu nedenle işverenler ve kurumlar bakımından temel kural şudur:

Önce amaç belirlenmeli, sonra en az müdahaleci araç seçilmeli, en son veri işlenmelidir.

Tersi yapıldığında, yani önce teknoloji satın alınıp sonra hukuki gerekçe arandığında, sorun kaçınılmaz hale gelir.

KVKK’nın 2026/921 sayılı İlke Kararı’nın hatırlattığı şey tam olarak budur:

Bir çalışanın işe gelip gelmediğini kontrol etmek meşrudur.
Ama bunun için çalışanın bedeninden veri almak çoğu durumda gerekli değildir.

1. Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi.
2. Kişisel Verileri Koruma Kurulu, 2020/915 sayılı Karar Özeti, parmak iziyle mesai kontrolü.
3. Kişisel Verileri Koruma Kurulu, 04.08.2022 tarihli ve 2022/797 sayılı Karar Özeti, işyerinde yüz tanıma sistemi ve kamera kullanımı.
4. Anayasa Mahkemesi, Ramazan Şahin Başvurusu, B. No: 2018/11988.
5. Anayasa Mahkemesi, B. No: 2019/34119, yüz tanıma sistemiyle mesai takibi.
6. Regulation (EU) 2016/679, GDPR m. 4/14, m. 5, m. 9.
7. EDPB, Guidelines 05/2020 on Consent under Regulation 2016/679.
8. EDPB, Guidelines 3/2019 on processing of personal data through video devices.
9. ICO, Serco Leisure Operating Limited and relevant associated trusts, Enforcement Notice, 2024.
10. Belgian Data Protection Authority, Decision 114/2024, 6 September 2024.
11. AEPD, Guidelines on clocking and attendance control processing using biometric systems.