Şirket aracında bulunan GPS sisteminin mesai saatleri dışında çalışanın konumunu izlemesi, kural olarak Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında hukuka aykırıdır ve özel hayatın gizliliğini ihlal eder. İşverenin yönetim ve denetim hakkı, çalışanın mesai dışındaki özel yaşam alanına müdahale etme yetkisi vermez; bu nedenle mesai saatleri dışında izleme yapılması, “amaçla sınırlılık” ve “ölçülülük” ilkeleriyle bağdaşmaz. İşverenler, araç takip sistemlerini yalnızca işin yürütümü ve araç güvenliği gibi meşru amaçlarla sınırlı tutmakla yükümlüdür.
Hukuki Çerçeve ve Temel İlkeler
İşverenlerin şirket araçlarında araç takip sistemi (ATS) kullanması, iş organizasyonu, araç güvenliği ve yakıt tasarrufu gibi meşru amaçlara dayanıyorsa hukuka uygundur. Ancak bu faaliyetin sınırları 6698 sayılı KVKK ile çizilmiştir. Amaçla sınırlılık ilkesi gereği, veriler yalnızca işin yürütümü için gerekli olan amaçlarla işlenmelidir; mesai dışı takip, işin yürütümüyle doğrudan ilgili değildir.
Ölçülülük ilkesi, izlemenin hedeflenen amaca ulaşmak için en az müdahaleci yöntemle yapılmasını gerektirir. Mesai saatleri dışında sürekli izleme, ölçülülük ilkesini aşan ağır bir müdahaledir. Ayrıca işveren, çalışanı araç takip sisteminin varlığı, verilerin hangi amaçla işlendiği, kimlere aktarıldığı ve ne kadar süre saklandığı konusunda açıkça bilgilendirmekle yükümlüdür.
Mesai Dışı İzlemede İstisnalar ve Sınırlar
İşverenin aracı mesai saatleri dışında da çalışanın kullanımına bıraktığı durumlarda, çalışanın özel hayatının gizliliğini korumak adına teknik ve idari önlemler alınmalıdır. Çalışana, mesai saatleri dışında aracı özel amaçla kullanırken takip sistemini kapatma veya izlemeyi durdurma imkanı tanınması, KVKK uyumu açısından temel bir gerekliliktir.
İstisnai durumlarda, işverenin çalışana başka yollarla ulaşamadığı ve acil bir güvenlik riski (örneğin aracın çalınması) doğduğu hallerde aracın yerini tespit etmesi gerekebilir. Ancak bu durum, sürekli bir gözetim anlamına gelmemeli ve sadece zorunlu hallerle sınırlı tutulmalıdır. Sürekli izleme, iş ilişkisindeki güveni zedeler ve hukuka aykırı veri işleme teşkil eder.
“Av. Vedat Can SÜNERİN
Şirket araçlarında kullanılan takip sistemlerinde aydınlatma yükümlülüğünün yerine getirilmiş olması, mesai dışı izlemenin hukuka uygun olduğu anlamına gelmez. İşverenlerin yönetim hakkı, çalışanın özel hayatına müdahale etme yetkisi vermez. Uygulamada, araç takip sisteminin mesai saatleri dışında kapatılabilmesi veya sadece iş amaçlı kullanımlarda aktif olması, ölçülülük ilkesinin bir gereğidir. Çalışanların, araç kullanım politikalarını ve sistemin teknik kapsamını detaylıca inceleyerek, kişisel verilerinin korunması noktasında haklarını kullanmaları ve gerektiğinde veri sorumlusuna yazılı başvuruda bulunmaları önem arz eder.”
Delil ve İspat Yükü
Uyuşmazlık durumunda, izlemenin hukuka uygun yapıldığını ispat yükü veri sorumlusu olan işverendedir. İncelemede şu belgeler esas alınır:
- Aydınlatma metinleri ve çalışana imzalatılan araç kullanım politikaları.
- Sistemin mesai dışı saatlerde otomatik olarak devre dışı kalıp kalmadığını gösteren teknik yapılandırma bilgileri.
- Takip sisteminin hangi saatlerde aktif olduğunu gösteren sistem logları.
- Verilere kimlerin eriştiğine dair yetkilendirme kayıtları.
Başvuru ve Şikayet Süreci
İhlal şüphesi durumunda çalışan, öncelikle veri sorumlusu olan işverene yazılı başvuruda bulunarak verilerinin işlenme amacını ve mesai dışı izlemenin hukuki dayanağını sorgulamalıdır. İşverenin cevabı tatmin edici değilse veya izleme devam ediyorsa Kişisel Verileri Koruma Kurumu’na şikayette bulunulabilir.
Kurum başvurusu, iş mahkemesindeki dava sürelerini kendiliğinden durdurmaz; her yolun hukuki etkisi ayrı değerlendirilmelidir. Özel hayatın gizliliğinin ihlali veya iş sözleşmesinin haksız feshi gibi durumlarda iş mahkemeleri nezdinde dava açılması, ayrı bir hukuki süreçtir.
Araç Takip Sistemlerinde Teknik Yapılandırma ve Veri Maskeleme Yükümlülüğü
İşverenlerin, araç takip sistemlerini kurarken yalnızca yazılı politikalara değil, aynı zamanda teknik kısıtlamalara da odaklanması gerekir. Sistemin mesai saatleri dışında otomatik olarak devre dışı kalması veya konum verisinin maskelenmesi, veri sorumlusunun teknik tedbirler kapsamında yerine getirmesi gereken bir yükümlülüktür. Sadece çalışanın izleme butonuna basmasını beklemek, teknik bir güvence sağlamaz; sistemin mimari olarak mesai saatleri dışında veri kaydetmeyecek şekilde yapılandırılması esastır.
Eğer işveren, aracın mesai dışı kullanımına izin veriyorsa, bu durumun teknik olarak ayrıştırılması zorunludur. İş amaçlı kullanım ile özel kullanımın log kayıtlarında birbirinden net bir şekilde ayrılması, veri sorumlusunun şeffaflık ilkesini yerine getirdiğinin en somut kanıtıdır. Teknik yapılandırmada yapılan bir hata veya sistemin sürekli kayıt alması, işverenin “kasıtlı izleme” yapmadığını iddia etse dahi, veri güvenliğini sağlamada ihmali olduğu sonucunu doğurur.
İş Sözleşmesi ve Araç Kullanım Politikası Arasındaki Hukuki Çelişkiler
Şirket aracı tahsis edilirken imzalatılan araç kullanım politikaları, iş sözleşmesinin ayrılmaz bir parçası olarak kabul edilse de, bu metinler KVKK’nın temel ilkelerini bertaraf edemez. Çalışanın “araç takip sisteminin her an açık olacağını kabul ediyorum” şeklinde bir metni imzalamış olması, işverene sınırsız izleme yetkisi vermez. Hukuki açıdan, çalışanın rızası “özgür iradeye” dayanmalıdır; iş ilişkisindeki bağımlılık durumu göz önüne alındığında, bu tür genel rıza beyanları çoğu zaman geçersiz kabul edilir.
İşveren, araç kullanım politikasında izlemenin kapsamını, hangi saatlerde aktif olacağını ve özel kullanımın sınırlarını açıkça belirtmelidir. Eğer politika metni ile fiili uygulama arasında bir çelişki varsa, yani metinde “mesai saatleri dışında izleme yapılmayacağı” yazılı olmasına rağmen sistem sürekli kayıt alıyorsa, bu durum aydınlatma yükümlülüğünün ihlali olarak değerlendirilir. Çalışan, bu çelişkiyi tespit ettiğinde, sistemin log kayıtlarını talep ederek işverenin beyanı ile teknik gerçeklik arasındaki uyumsuzluğu ispat aracı olarak kullanabilir.
Veri Erişim Taleplerinde Denetim Loglarının Önemi
Çalışan, kişisel verilerinin işlenip işlenmediğini öğrenmek için veri sorumlusuna başvurduğunda, sadece konum verisinin kendisini değil, bu veriye kimlerin eriştiğini ve hangi amaçla erişildiğini de talep etmelidir. Denetim logları, sistemin mesai dışı saatlerde kim tarafından veya hangi otomatik süreçle sorgulandığını gösteren en kritik delildir. İşverenin, “sistem otomatik çalışıyor” savunması, log kayıtlarında mesai dışı saatlerde manuel bir sorgulama veya raporlama yapıldığının görülmesi halinde geçersiz kalır.
Erişim talebi sırasında, işverenin sunduğu verilerin eksiksiz olup olmadığını kontrol etmek için zaman damgalarının (timestamp) doğruluğu incelenmelidir. Eğer işveren, mesai dışı saatlere ait verileri “teknik arıza” veya “sistem hatası” gerekçesiyle sunamıyorsa, bu durum verilerin hukuka aykırı işlendiğine dair güçlü bir karine oluşturur. Çalışan, bu süreçte elde ettiği verileri, iş mahkemesinde veya Kişisel Verileri Koruma Kurumu nezdindeki şikayetinde, izlemenin sürekliliğini kanıtlamak için temel dayanak olarak kullanmalıdır.
Sık Sorulan Sorular
İşveren mesai saatleri dışında aracı takip ederse ne yapabilirim?
Öncelikle işverene yazılı başvuruda bulunarak izlemenin hukuki dayanağını sorgulayabilirsiniz. Cevap tatmin edici değilse Kişisel Verileri Koruma Kurumu’na şikayette bulunabilirsiniz.
Araç takip sistemi verileri ne kadar süre saklanmalıdır?
Veriler, işlendikleri amaç için gerekli olan süre kadar saklanmalıdır. Amaç ortadan kalktığında veriler silinmeli veya anonim hale getirilmelidir.
Şirket aracı özel kullanım için tahsis edilmişse takip sistemi nasıl çalışmalı?
Çalışanın özel hayatına müdahaleyi önlemek için sistemin mesai saatleri dışında kapatılabilmesi veya sadece iş amaçlı kullanımlarda aktif olması sağlanmalıdır.
GPS verisi kişisel veri midir?
Evet, konum verisi çalışanı tanımlamaya elverişli olduğu için KVKK kapsamında kişisel veridir.