Çalışan kişisel verileri KVKK kapsamında; adayın özgeçmişinden özlük dosyasına, sağlık raporundan kart geçiş kaydına kadar işverenin bir çalışan hakkında tuttuğu her bilgidir. İşveren bu veriyi ancak Kanun'daki bir hukuki sebebe dayanarak, çalışanı önceden aydınlatarak, amaçla sınırlı erişimle ve belirli bir süre boyunca işleyebilir. Açık rıza çoğu durumda doğru dayanak değildir.
İK dosyası büyüdükçe KVKK görünmez oluyor
Bir çalışanın verisi tek bir yerde durmaz. Başvuru aşamasında özgeçmiş bir e-posta kutusuna düşer, işe girişte kimlik ve adli sicil bilgisi özlük dosyasına girer, işe giriş muayenesiyle sağlık verisi oluşur. Sonra PDKS kayıtları, bordro, izin formları, eğitim belgeleri, kurumsal e-posta ve kamera görüntüleri eklenir. Mevzuatın zorunlu tuttuğu eğitim belgeleri için İSG eğitim kayıtlarının dijital takibi yazımıza bakabilirsiniz.
Bu verilerin her biri farklı bir ekibin elindedir: İK, muhasebe, bilgi işlem, işyeri hekimi, güvenlik. Çoğu şirkette "çalışan verisini kim, hangi amaçla, ne kadar süre tutuyor?" sorusuna tek cevap veren kimse yoktur. KVKK'nın işveren açısından zorluğu tam da burada başlar: yükümlülük tek belgede değil, bu dağınık zincirin tamamındadır.
Bu yazı, genel KVKK uyum sürecini çalışan verisine uygular. Parmak izli PDKS ve kamera kaydı gibi özel başlıkları ayrı yazılarda ele aldığımız için burada onlara yalnızca bağlantı veriyoruz.
Çalışan verisini yanlış yönetmenin maliyeti
Çalışan, işverenin veri uygulamalarını en yakından gören ilgili kişidir; bir aksaklığı fark edip başvuru ya da şikâyete dönüştürmesi için uzağa bakması gerekmez. Kurum'un rakamları sorunların nerede yoğunlaştığını gösteriyor:
Kişisel Verileri Koruma Kurumu'na 2025'te ulaşan 12.512 ihbar ve şikâyetin 6.506'sı verilerin veri sorumlusu tarafından hukuka aykırı işlenmesi, 2.838'i (%22) verilerin üçüncü kişilerle hukuka aykırı paylaşılmasıyla ilgiliydi; sektörel dağılımda insan kaynakları 244 başvuruyla ayrı bir kalem olarak yer aldı. (KVKK 2025 Yılı Faaliyet Raporu)
Üçüncü kişiyle paylaşım başlığı işverenler için özellikle tanıdıktır: referans soran başka bir şirkete bilgi vermek, bordro dökümünü şifresiz göndermek ya da çalışan listesini bir tedarikçiyle paylaşmak bu kaleme girer. Riskin teknik tarafı da insan kaynaklıdır. Verizon 2026 Data Breach Investigations Report verisine göre veri ihlallerinin %62'sinde insan faktörü rol oynadı; yanlış kişiye giden bir bordro e-postası da bu sınıfa girer ve 72 saatlik ihlal bildirimi sürecini başlatabilir.
İzleme de ayrı bir risk alanıdır. Kurum'un 8 Haziran 2026 tarihli işyeri güvenlik kamerası duyurusu, kamerayla çalışanların verimliliğini görmek ya da disiplini artırmak gibi amaçların meşru amaç sayılmayacağını açıkça belirtiyor. Aynı mantık e-posta, konum ve bilgisayar izleme araçları için de geçerlidir: amaç soyutsa, araç ne kadar yaygın olursa olsun dayanak zayıftır. Çalışanlara sunulan internet erişiminin kayıtları ise ayrı bir yasal yükümlülüğe tabidir; kapsamını 5651 log tutma yükümlülüğü yazımızda anlattık.
Çalışan kişisel verileri KVKK'da hangi hukuki sebebe dayanır?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5. maddesi kişisel veriyi işlemek için sınırlı sayıda şart sayar. Çalışan verisinde en sık kullanılanlar şunlardır: iş sözleşmesinin kurulması ve ifası, işverenin hukuki yükümlülüğü (İş Kanunu, SGK ve vergi mevzuatı, iş sağlığı ve güvenliği), kanunlarda açıkça öngörülme ve çalışanın temel haklarına zarar vermemek kaydıyla işverenin meşru menfaati. İş Kanunu'nun 75. maddesi de işverene her çalışan için özlük dosyası tutma ve bu bilgileri dürüstlük kurallarına uygun kullanma yükümlülüğü getirir.
Açık rıza ise işçi-işveren ilişkisindeki güç dengesizliği nedeniyle zayıf bir dayanaktır; Kurul bu görüşü biyometrik PDKS ilke kararında açıkça dile getirdi. Zaten başka bir şarta dayanan bir işlem için rıza istemek, çalışanda reddetme hakkı varmış izlenimi yaratır; oysa işlem rıza olmadan da sürecektir ve rıza geri alındığında ne olacağı cevapsız kalır. Aydınlatma metni ile açık rıza metnini ayrı tutmak bu yüzden önemlidir.
Sağlık raporu, sendika üyeliği, adli sicil ve biyometrik veri özel nitelikli kişisel veridir ve 6. maddeye tabidir. 7499 sayılı Kanun'la 1 Haziran 2024'ten itibaren yürürlüğe giren değişiklik, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu işlemeyi ayrı bir şart olarak tanıdı. Bu, sağlık verisinin serbestçe dolaşabileceği anlamına gelmez: işe giriş muayenesi işyeri hekiminde kalmalı, İK'ya yalnızca "çalışmaya elverişli" sonucu gitmelidir.
Çalışan verisi haritası: kategori, dayanak ve erişim
Aşağıdaki tablo, sahada en sık karşılaştığımız veri gruplarını ve her birinde sorulması gereken soruyu özetler. Saklama sürelerini kendi mevzuat analizinize ve saklama ve imha politikanıza göre doldurmanız gerekir.
| Veri grubu | Tipik hukuki sebep | Kim erişmeli? | Sık yapılan hata |
|---|---|---|---|
| Aday özgeçmişi ve mülakat notları | Sözleşme kurulması öncesi adım | İşe alım ekibi | Olumsuz sonuçlanan adayların CV'lerinin yıllarca e-postada kalması |
| Özlük dosyası (kimlik, adres, eğitim, adli sicil) | Hukuki yükümlülük, sözleşmenin ifası | İK | Dosyanın paylaşımlı klasörde herkese açık olması |
| Bordro, banka ve SGK bilgisi | Hukuki yükümlülük, sözleşmenin ifası | İK ve bordro sorumlusu | Bordronun şifresiz e-postayla ya da toplu listeyle gönderilmesi |
| Sağlık raporu ve muayene sonucu | İSG ve istihdam yükümlülüğü (özel nitelikli) | İşyeri hekimi | Raporların İK klasöründe genel dosyalarla birlikte tutulması |
| PDKS ve kartlı geçiş kaydı | Sözleşmenin ifası, meşru menfaat | İK, ilgili yönetici | Kayıtların süresiz saklanması, biyometri kullanımı |
| Kurumsal e-posta ve dosyalar | Meşru menfaat (önceden aydınlatılmış) | Kurallı ve kayıtlı erişim | Ayrılan çalışanın kutusunun kontrolsüz açık kalması |
| Kamera ve konum verisi | Meşru menfaat (güvenlik amacıyla sınırlı) | Güvenlik sorumlusu | Kaydın performans takibine dönüşmesi |
İşe alımdan ayrılışa 8 adımlık uygulama planı
Çalışan verisi uyumu tek seferlik bir belge değil, işe alım, çalışma ve ayrılış döngüsüne yerleştirilen bir düzendir. Aşağıdaki sıra, küçük bir İK ekibinin de uygulayabileceği şekilde kurgulanmıştır.
- Envanter çıkarın: Aday, çalışan, stajyer ve eski çalışan için hangi verinin hangi sistemde durduğunu listeleyin; yöntem için kişisel veri envanteri hazırlama yazımıza bakabilirsiniz. Bu liste VERBİS kaydınızla tutarlı olmalıdır.
- Her işleme bir dayanak yazın: Tablodaki gibi, her veri grubu için Kanun'daki şartı ve amacı belgeleyin. Rızaya dayandırdığınız işlemleri tek tek sorgulayın.
- Aydınlatmayı zamanında yapın: Adaya başvuru anında, çalışana işe girişte aydınlatma metni verin; izleme araçlarını (kamera, e-posta, PDKS) açıkça yazın ve imza ya da elektronik onay kaydı tutun.
- Özel nitelikli veriyi ayırın: Sağlık ve adli sicil belgelerini ayrı, erişimi kısıtlı bir alanda tutun. İşyeri hekimi dışındakilerin göreceği bilgiyi sonuçla sınırlayın.
- Erişimi role bağlayın: Özlük dosyasını İK, puantajı ilgili yönetici, bordroyu bordro sorumlusu görsün. Yetkiyi kişiye değil role verin ve kimin neye baktığını kayıt altına alın.
- Paylaşımı kurala bağlayın: Bordro firması, OSGB, sigorta ve yazılım sağlayıcısı gibi üçüncü taraflarla yazılı veri işleyen sözleşmesi yapın; referans ve bilgi taleplerine kim, hangi çerçevede cevap vereceğini belirleyin.
- Saklama süresini sistemde uygulayın: Olumsuz aday dosyaları, geçiş kayıtları ve eski çalışan verisi için süre belirleyin ve süresi dolanın silinmesini ya da anonimleştirilmesini elle değil, zamanlanmış işlemle yapın.
- Ayrılışı bir kontrol listesine bağlayın: Kart, e-posta, dosya ve uygulama erişimleri aynı gün kapansın; cihaz iadesi tutanağa bağlansın. Posta kutusu, yönlendirme kuralları ve paylaşılan bağlantılar için işten ayrılan çalışanın e-posta erişimi yazımızdaki listeyi kullanabilirsiniz. Eski çalışanlardan gelecek ilgili kişi başvurularına kimin yanıt vereceği de önceden belli olsun.
Bu adımların hepsi hukuk ekibinin masasında bitmez. Aydınlatma metnini hukukçu yazar, ama erişim rolleri, zamanlanmış silme ve ayrılış günü kapatma işlemleri yazılımda kurulmazsa belge kâğıtta kalır. Teknik tarafın temel önlemlerini KOBİ siber güvenlik kontrol listesi özetliyor.
Digital Bridge'de bu işi nasıl yapıyoruz?
Çalışmaya bir keşif görüşmesiyle başlıyoruz: İK, bilgi işlem ve varsa işyeri hekimiyle birlikte çalışan verisinin nerede oluştuğunu, hangi sistemler arasında taşındığını ve kimlerin eriştiğini çıkarıyoruz. KVKK uyum danışmanlığı kapsamında envanter, dayanak tablosu ve erişim matrisi bu aşamanın çıktısıdır. Hukuki metinler için sizin hukuk danışmanınızla birlikte çalışırız.
İkinci adımda teknik açıkları kapatıyoruz. Özlük belgelerini paylaşımlı klasörlerden çıkarıp yetkilendirilmiş bir elektronik belge yönetim sistemine taşımak, puantaj ile bordro arasındaki Excel adımını kaldırmak ve İK, bordro ve personel yönetimi yazılımında rol bazlı erişim kurmak tipik işlerimizdir. Puantajın bordroya nasıl aktarılacağını PDKS bordro entegrasyonu yazımızda ayrıntılı anlattık; yeni bir sistem değerlendiriyorsanız İK yazılımı seçimi rehberindeki KVKK sorularını da listeye ekleyin.
Özlük ve sağlık belgelerini kendi ürünümüzde tutmak isteyen kurumlar için SmartFiles kurumsal dosya yönetimi İK'ya ayrı bir depo alanı açar: okuma, yazma, silme gibi yetkiler kişiye ya da departmana ayrı ayrı verilir, klasöre saklama süresi atanır ve metni okunabilen belgelerde TC kimlik numarası, IBAN gibi değerler ile olası özel nitelikli veri ifadeleri işaretlenir. Ayrılış gününde ise Smart360 ürün ailesinin tek panelinden çalışanın e-posta, dosya ve geçiş erişimi, kaç ürün kullandığından bağımsız olarak tek yerden kapatılır.
Üçüncü adım güvenlik ve izleme tarafıdır. Siber güvenlik çalışmasında İK klasörlerine kimin eriştiğine, bordro e-postalarının nasıl gönderildiğine ve kamera ile e-posta izleme kurallarına bakıyoruz; kamera tarafı için kamera kaydı ve KVKK yazımızdaki çerçeveyi kullanıyoruz. Hazır paket satmıyoruz: ihtiyaç analizinden sonra kapsamı, aşamaları ve bedeli yazılı bir teklifte netleştiriyoruz.
SmartPass: PDKS ve geçiş verisinde KVKK kurallarını sisteme gömmek
Çalışan verisinin en hızlı biriken kısmı giriş-çıkış kayıtlarıdır. SmartPass kartlı geçiş kontrolü, PDKS ve yemekhane sayımını tek sistemde birleştirir; 13,56 MHz MIFARE ve NFC ile okunabilen kartlarla çalıştığı ve karttan yalnızca kimlik numarasını (UID) okuduğu için mesai takibinde biyometrik veri işlemeniz gerekmez. Ayrı bir PDKS cihazı kurmadan puantaj vardiya planına göre oluşur; kapanan ay kilitlenir ve kişi başına aylık özet ERP'ye CSV ya da JSON olarak aktarılır.
Tasarımında KVKK tarafı çekirdektedir. SmartPass kart numarasını saklamaz; numara okunduğu anda kuruma özel anahtarla tek yönlü bir özete çevrilir, veritabanında yalnız özet ve son dört hane bulunur. Kurum geçiş kayıtlarının saklama süresini kendisi seçer; süresi dolan kayıtlarda kişiyle ilişkilendiren alanlar her gün kendiliğinden silinir, sayılar ve raporlar korunur. Her değişiklik önceki ve sonraki değeriyle denetim kaydında tutulur; panel erişimi 43 ayrı izinle sınırlanır, örneğin yalnız puantaj görme ya da yalnız ziyaretçi kabulü yetkisi verilebilir.
Somut bir senaryo: üç tesisli bir üretim şirketinde her tesis ayrı bir SmartPass kurumu olarak açılır ve her kurumun verisi kendi ayrı veritabanında tutulur; farklı tesislerin kayıtları aynı tabloda durmaz. Bir çalışan ayrıldığında kartı iptal edilir; saklama süresi dolunca ayrılan personelin adı, iletişim bilgileri ve fotoğrafı silinir, sayılar ve raporlar kalır. Denetim kaydı raporu ayrı bir izin istediği için bu süreci yalnız yetki verilen kişi inceler.
Sonraki adım
Çalışan verisi için basit bir başlangıç yapın: aday, aktif çalışan ve eski çalışan verisinin hangi klasörlerde, kutularda ve cihazlarda durduğunu tek sayfada listeleyin. Bu listeyle bizimle iletişime geçtiğinizde erişim ve saklama açıklarını birlikte önceliklendirir, gerekirse SmartPass'in geçiş ve puantaj tarafına nasıl oturacağını gösteririz. Diğer uyum başlıkları için Siber Güvenlik ve KVKK rehberimize göz atabilirsiniz.