KVKK'ya uygun çalışan izleme nasıl yapılır?

İşveren, işin yürütülmesi için çalışana verdiği bilgisayarı ve kurumsal hesapları denetleyebilir. Ama bu yetki sınırsız değildir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Kişisel Verileri Koruma Kurulu’nun kararları, izlemenin önceden bildirilmesini, meşru bir amaçla sınırlı ve ölçülü olmasını bekler. Aşağıdaki yedi adım, bir çalışan takip yazılımını kurmadan önce düşünmeniz gerekenleri sıralıyor.

1. Amacı yazın

“Ne için izliyoruz?” sorusunun cevabı tek cümle olmalı: proje maliyetini ölçmek, fazla mesaiyi görmek, uzaktan çalışmada iş yükünü dengelemek, müşteriye faturalanan saati belgelemek gibi. KVKK md. 4, kişisel verilerin “belirli, açık ve meşru amaçlar için” işlenmesini ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” olmasını ister. Amaç yazılı değilse hangi verinin gerekli olduğuna da karar veremezsiniz.

2. Hukuki sebebi belirleyin

Çalışan izlemede en sık dayanılan hukuki sebepler, iş sözleşmesinin ifası ve veri sorumlusunun meşru menfaatidir (KVKK md. 5). Çalışandan “her şeye onay veriyorum” türünden genel bir rıza almak çoğu zaman doğru yol değildir: açık rıza “belirli bir konuya ilişkin” olmalıdır (md. 3) ve iş ilişkisinde rızanın gerçekten özgür olup olmadığı tartışmalıdır. Hangi sebebin sizin için uygun olduğunu avukatınızla belirleyin.

3. Çalışanı önceden bilgilendirin (aydınlatma)

KVKK md. 10’a göre çalışanlara, veriler toplanırken şunlar anlatılmalıdır: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ve çalışanın md. 11’deki hakları.

Kurul kararlarında bu adım sık sık belirleyici olur. Kurul, işverenin eski bir çalışanın kurumsal e-posta hesabına aydınlatma yapmadan eriştiği bir şikâyette erişimin bir işleme şartına dayanmadığını değerlendirmiş ve işverene 250.000 TL idari para cezası vermiştir (2021/1187). Başka bir kararda ise e-posta denetiminin çalışanlara verilen politika ve metinlerde anlatıldığını ve denetimin “yalnızca ilgili personelle ve amaca yönelik kişisel veri ile sınırlı” tutulduğunu değerlendirerek işveren hakkında işlem yapılmasına gerek görmemiştir (2023/86).

Pratikte:

• Aydınlatma metnini izleme başlamadan önce verin.
• Kimin ne zaman okuduğunu kanıtlayabilecek şekilde saklayın.
• Metni değiştirdiğinizde yeni sürümü yeniden okutun.

4. Yalnız gerekeni toplayın (ölçülülük)

Amaç “hangi projeye kaç saat gitti” ise tuş vuruşlarının içeriğine, kamera görüntüsüne ya da sürekli ekran kaydına ihtiyacınız yoktur. Kendinize şu soruları sorun:

• Uygulama adı yetiyor mu, yoksa pencere başlığı da gerekli mi?
• Tam web adresi mi gerekli, alan adı mı yetiyor?
• Ekran görüntüsü gerçekten gerekli mi? Gerekliyse herkes için mi, yalnız belirli bir takım için mi?
• Mesai dışında da veri toplanması gerekiyor mu?

Çalışanın kişisel bir iş için takibi duraklatabilmesi (özel zaman) ve izlemenin yalnız çalışma saatlerinde yapılması ölçülülüğü güçlendiren uygulamalardır.

5. Ekran görüntüsü gibi hassas veriler için açık rızayı ayrı ele alın

Ekran görüntüleri ekranda o an ne varsa (özel bir mesaj, sağlık bilgisi, banka ekranı) onu da yakalayabilir. Bu tür veriler için birçok işveren, genel aydınlatmanın yanında ayrı bir açık rıza metni kullanmayı tercih eder. Açık rıza “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan” rızadır (KVKK md. 3); yani rıza vermemek ya da geri çekmek mümkün olmalı ve bunun bir yaptırımı olmamalıdır.

6. Saklama süresini ve erişimi sınırlayın

• Her veri türü için saklama süresi belirleyin ve süre dolunca silin ya da anonimleştirin (KVKK md. 7).
• Verileri kimin görebileceğini rol bazında sınırlayın: takım lideri kendi takımını, İK ve yönetim tüm şirketi gibi.
• Kimin kimin verisini ne zaman görüntülediğini kaydedin.
• Veriler yurt dışındaki bir hizmet sağlayıcıda tutuluyorsa, yurt dışına aktarım kurallarını (KVKK md. 9) avukatınızla ayrıca değerlendirin; 2024 değişiklikleriyle standart sözleşme ve Kurul’a bildirim gibi yükümlülükler gündeme gelir.

7. Çalışanın haklarını kullanabilmesini sağlayın

Çalışan, KVKK md. 11 uyarınca kendisi hakkında hangi verinin işlendiğini öğrenme, düzeltilmesini ve silinmesini isteme gibi haklara sahiptir; başvurular en geç 30 gün içinde sonuçlandırılır (md. 13). Başvuruların nereye ve nasıl yapılacağını aydınlatma metninde yazın ve başvuruları kayıt altına alın.

Özet kontrol listesi

• İzlemenin amacı yazılı
• Hukuki sebep belirlendi (avukatla)
• Aydınlatma metni izleme başlamadan verildi, okunduğu kanıtlanabiliyor
• Yalnız amaca yeten veri toplanıyor; özel zaman var
• Ekran görüntüsü gibi hassas veriler için ayrı açık rıza
• Saklama süreleri ve rol bazlı erişim tanımlı; görüntülemeler kayıtlı
• Çalışanın başvuru yolu belli

Focus bu adımlarda nasıl yardımcı olur?

Workify360 Focus’u KVKK’ya uygun kullanım için tasarladık; hukuki sorumluluk yine veri sorumlusu olarak işverendedir ve Focus’u kullanmak tek başına bir uyum sağlamaz.

Bugün:

• Ölçülülük ayarları: pencere başlığı ve web adresi kaydı kapatılabilir; şirket takip saatleri belirlediyse bu saatlerin dışında veri gönderilmez; çalışan özel zaman açabilir. Tuş vuruşlarının içeriği, video, kamera ve mikrofon hiçbir zaman kaydedilmez (Focus ne kaydediyor).
• Saklama ve erişim: pencere başlıkları varsayılan 90 gün saklanır ve süre ayarlanabilir; başlıklar ve tam adresler yalnız tek bir kişi seçildiğinde görünür, ekip listelerinde ve e-posta raporlarında görünmez. Bir takıma atanan takım liderleri kendi takımlarını görür.
• Ekran görüntüsü için açık rıza: ekran görüntüleri (Premium) varsayılan olarak kapalıdır; açarsanız yalnız rıza veren kişiler için alınır, gönderilmeden önce çalışanın bilgisayarında varsayılan olarak bulanıklaştırılır ve rıza geri çekilince masaüstü uygulaması en geç 15 dakika içinde görüntü almayı bırakır. Bu özellik kademeli olarak kullanıma açılıyor (ekran görüntüleri ve rıza).
• Alt işleyenler: verinin hangi sağlayıcılarda işlendiği alt işleyen listesinde açık.

Yakında, organizasyonlara adım adım gelen yeni panel sürümüyle:

• Aydınlatma metni panelde: Focus’un varsayılan metninden başlayıp şirketinize uyarlarsınız ve yayımlarsınız; her çalışan paneli bir sonraki açışında okur, kimin okuduğu sürüm ve zamanla saklanır (aydınlatma metinleri).
• Çalışan başvuruları: çalışan profilindeki Verilerim bölümünden başvurusunu yapar ve verisini indirir; “Verimi kim gördü” ile verisinin ne sıklıkla görüntülendiğini görür (verilerim).

Yeni sürüm organizasyonunuza gelene kadar aydınlatmayı ve başvuruları kendi kanallarınızdan yürütün.