Çalışan Verilerinin Korunması: İK Departmanları İçin KVKK Rehberi (2026)

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• İK departmanları, şirket içindeki en yoğun kişisel veri işleyen birimdir: kimlik, sağlık, ceza kaydı, performans, konum ve biyometrik veriler dahil.
• 7499 sayılı Kanun'la getirilen değişiklik sonrası iş sağlığı, sosyal güvenlik ve istihdam kapsamındaki sağlık verileri artık açık rıza gerekmeksizin işlenebilir; ancak bu istisnanın sınırları dikkatle çizilmelidir.
• İşe alımda yapay zeka mülakat ve CV tarama sistemleri kullanılıyorsa KVKK m. 11/1-g kapsamında otomatik karara itiraz hakkı vardır ve aday bilgilendirilmelidir.
• CV veritabanlarının süresiz saklanması hukuka aykırıdır; başvuru sonuçlandıktan sonra makul süre içinde silinmelidir.
• Performans takip yazılımları, çalışan izleme araçları ve biyometrik sistemler KVKK açısından özel dikkat gerektiren alanlar arasındadır.
• İK süreçlerinde en kritik hata: her şeyi açık rızaya bağlamak. İşveren-çalışan ilişkisinde güç dengesizliği nedeniyle Kurul bu yaklaşıma şüpheyle yaklaşır.

İK Neden KVKK'nın En Riskli Alanıdır?

İnsan kaynakları departmanı, bir şirketin en hassas kişisel veri havuzunu yönetir. Bir çalışanın iş ilişkisi boyunca işlenen verileri düşünüldüğünde kapsam çarpıcıdır: kimlik ve iletişim bilgileri, banka hesap bilgileri, maaş ve yan haklar, sağlık raporları, ceza mahkumiyeti kayıtları, performans değerlendirmeleri, disiplin tutanakları, izin kayıtları, işe giriş-çıkış saatleri ve bazı işyerlerinde parmak izi veya yüz tanıma verileri.

Bu verilerin önemli bir kısmı KVKK'nın özel nitelikli kişisel veri kategorisine girer: sağlık verileri, ceza mahkumiyeti bilgileri ve biyometrik veriler. Özel nitelikli veriler, genel verilere kıyasla çok daha sıkı koruma rejimine tabidir ve ihlal halinde daha ağır yaptırımlarla karşılaşılır.

Çalışan verilerinin korunması nedir? İşveren tarafından çalışanlara ait kişisel verilerin KVKK kapsamında hukuka uygun biçimde toplanması, işlenmesi, saklanması ve imha edilmesi süreçlerinin tamamını kapsayan hukuki çerçevedir.

İK Süreçlerinde Kişisel Veri Haritası

Bir çalışanın iş ilişkisi üç aşamada ele alınır ve her aşamada farklı veri türleri işlenir.

Aşama 1: İşe Alım Süreci

Aşama 2: İş İlişkisi Süresince

Aşama 3: İş İlişkisinin Sona Ermesi

İK'da Hukuki Dayanak Tespiti: Açık Rıza Tuzağından Kaçınmak

İK süreçlerinde en sık yapılan ve en ağır sonuçlar doğuran hata, tüm veri işleme faaliyetlerini açık rızaya dayandırmaktır.

İşveren-çalışan ilişkisinde yapısal bir güç dengesizliği vardır. Çalışan, işini kaybetme korkusuyla özgür iradesiyle rıza veremeyebilir. Kurul bu nedenle iş ilişkisinde açık rızayı son çare olarak görmekte ve mümkün olduğunca diğer hukuki dayanaklara başvurulmasını beklemektedir.

Hangi İK Faaliyeti Hangi Hukuki Dayanağa Tabi?

7499 sayılı Kanun'un getirdiği en önemli değişiklik bu tablonun sağlık verileri kısmındadır. 1 Haziran 2024'ten itibaren iş sağlığı ve güvenliği, sosyal güvenlik ve istihdam alanlarındaki hukuki yükümlülükler kapsamında sağlık verilerinin işlenmesi için açık rıza aranmaz.

Ancak bu istisna sınırlıdır. Çalışanın hamilelik durumu, kronik hastalıkları veya psikolojik tedavi bilgileri gibi veriler, doğrudan iş sağlığı ve güvenliği mevzuatının gerektirdiği kapsam dışında kalıyorsa açık rıza gerekir.

İşe Alımda Yapay Zeka: Algoritmik Karar Verme ve KVKK

Son yıllarda İK departmanlarında yapay zeka destekli mülakat sistemleri, otomatik CV tarama araçları ve algoritmik aday değerlendirme platformlarının kullanımı hızla yaygınlaşmaktadır. Bu sistemler KVKK açısından özel bir risk alanı oluşturur.

KVKK m. 11/1-g: Otomatik Karara İtiraz Hakkı

KVKK'nın 11. maddesinin 1-g bendi, ilgili kişiye (bu bağlamda iş başvurusu yapan adaya) şu hakkı tanır: "İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme."

Bu madde, bir yapay zeka sisteminin adayı otomatik olarak elemesi veya sıralaması durumunda adayın bu karara itiraz edebileceği anlamına gelir.

Yapay Zeka Mülakat ve CV Tarama Sistemlerinde Dikkat Edilmesi Gerekenler

Aydınlatma zorunluluğu: Aday, başvuru sürecinde yapay zeka destekli bir değerlendirme aracı kullanıldığı konusunda açıkça bilgilendirilmelidir. Bu bilgilendirme aydınlatma metninde yer almalıdır.

İtiraz mekanizması: Adaya otomatik karar sonucuna itiraz etme hakkı tanınmalı ve bu hakkın nasıl kullanılacağı açıklanmalıdır. İtiraz halinde insan müdahalesiyle yeniden değerlendirme yapılması gerekir.

Ayrımcı veri setleri yasağı: Kurul ve KVKK Kurumu, yapay zeka sistemlerinin cinsiyet, yaş, etnik köken, engel durumu gibi korunan kategorilere dayalı önyargılı sonuçlar üretmesinin KVKK'nın eşitlik ve dürüstlük ilkelerine aykırı olduğunu açıkça vurgulamıştır.

KVKK Kurumu'nun 5 Mart 2026'da yayımladığı "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" dokümanı bu konuda şirketlere yol gösterici bir çerçeve sunmaktadır. Dokümanda, çalışan veya aday verilerinin yapay zeka araçlarına aktarılmasının yurt dışı veri aktarım kurallarını tetikleyebileceği, anonim hale getirilmemiş verilerin üçüncü taraf yapay zeka platformlarına yüklenmesinin ciddi KVKK riskleri taşıdığı ve algoritmik kararların şeffaf ve açıklanabilir olması gerektiği vurgulanmaktadır.

CV Veritabanları: Ne Kadar Süre Saklanabilir?

İşe alım sürecinde toplanan özgeçmişler ve başvuru formları, pek çok şirketin "gelecekte ihtiyaç olur" düşüncesiyle süresiz sakladığı verilerdir. Bu uygulama KVKK'ya aykırıdır.

KVKK'nın 4. maddesindeki "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ile "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme" ilkeleri, CV'lerin süresiz saklanmasını engeller.

Pratikte Doğru Yaklaşım

İşe alınmayan adayların CV'leri başvuru sonuçlandıktan sonra makul süre içinde silinmelidir. Makul sürenin ne kadar olduğu konusunda kanunda net bir düzenleme yoktur; ancak genel kabul 6 ay ile 1 yıl arasındadır.

Eğer şirket "ileride uygun pozisyon açılırsa değerlendirmek" amacıyla CV'yi saklamak istiyorsa bunun için adaydan ayrı bir açık rıza alınması gerekir. Bu rıza, işe alım sürecindeki genel rızadan bağımsız olmalıdır.

Rıza alınsa bile saklama süresi sınırsız olamaz. Rıza beyanında belirli bir süre (örneğin "1 yıl boyunca") belirtilmeli ve bu süre dolduğunda veri silinmeli veya yeniden rıza alınmalıdır.

Performans Takip Yazılımları ve Çalışan İzleme

Performans yönetim sistemleri, OKR/KPI takip araçları, ekran kayıt yazılımları, e-posta izleme araçları ve konum takip uygulamaları İK'nın giderek daha fazla kullandığı dijital araçlardır. Her biri KVKK açısından ayrı değerlendirme gerektirir.

Performans Değerlendirme Yazılımları

Hedef belirleme, geribildirim ve değerlendirme süreçlerinde toplanan veriler kural olarak sözleşme ifası veya meşru menfaat dayanağıyla açık rıza gerekmeksizin işlenebilir. Ancak çalışanın bu sistem hakkında aydınlatılmış olması şarttır.

Değerlendirme sonuçlarının yapay zeka tarafından otomatik olarak analiz edilmesi ve bu analize dayalı olarak terfi, ücret artışı veya işten çıkarma kararı verilmesi durumunda KVKK m. 11/1-g kapsamında çalışanın itiraz hakkı doğar.

Ekran Kayıt ve E-posta İzleme

Bu araçlar, çalışanın bilgisayar ekranını anlık olarak kaydeden veya e-posta trafiğini izleyen sistemlerdir. KVKK açısından en hassas alanlardan biridir.

Kurul ve Yargıtay kararlarında bu tür izleme faaliyetlerinin meşru menfaat dayanağıyla yapılabileceği kabul edilmekle birlikte orantılılık ilkesine uyulması zorunludur. Sürekli ve kesintisiz ekran kaydı orantısız bulunabilir. Çalışanın önceden aydınlatılmış olması şarttır.

Amazon France Logistique'in 2024'te CNIL tarafından €32 milyon cezaya çarptırılması, çalışan izleme konusundaki uluslararası yaklaşımın somut göstergesidir. Amazon, depo çalışanlarını el tarayıcılarıyla aşırı ayrıntılı biçimde izlemiş ve hareketsizlik sürelerini takip etmişti. CNIL bu uygulamayı orantısız bulmuştur.

Biyometrik Sistemler (Parmak İzi, Yüz Tanıma)

Biyometrik veriler KVKK'da özel nitelikli kişisel veri olarak sınıflandırılır. İşyeri giriş-çıkışında parmak izi veya yüz tanıma kullanılması için kural olarak çalışanın açık rızası gerekir.

İşveren-çalışan ilişkisindeki güç dengesizliği nedeniyle Kurul, biyometrik verilerin işlenmesinde alternatif yöntemlerin (kart, şifre) sunulup sunulmadığını sorgulamaktadır. Çalışana yalnızca parmak izi seçeneği sunulması ve bunun zorunlu kılınması, rızanın özgürlüğünü tartışmalı hale getirir.

Konum Takibi

Şirket araçlarının veya saha çalışanlarının konum takibi, meşru menfaat dayanağıyla yapılabilir. Ancak mesai saatleri dışında konum takibinin sürdürülmesi orantısızlık oluşturur ve ihlal riski doğurur. Çalışan mesai sonrası aracı kişisel kullanımına bırakıyorsa konum takibinin mesai saatleriyle sınırlandırılması gerekir.

İş İlişkisi Sona Erdiğinde Veriler Ne Olacak?

Çalışanın işten ayrılması, verilerin otomatik olarak silinmesi anlamına gelmez. Bazı veriler yasal zorunluluklar nedeniyle belirli sürelerle saklanmak zorundadır.

Yasal saklama süresi dolan veriler, Kişisel Veri Saklama ve İmha Politikası kapsamında periyodik olarak imha edilmelidir. "Belki lazım olur" gerekçesiyle süresiz saklama KVKK'ya aykırıdır.

İK İçin KVKK Uyum Kontrol Listesi

• ☐ Her İK sürecinde (işe alım, özlük, performans, izin, çıkış) işlenen veriler envanterle belgelenmiş mi?
• ☐ Her veri kategorisi için doğru hukuki dayanak tespit edilmiş mi? (Açık rıza son çare olarak mı kullanılıyor?)
• ☐ Çalışanlara yönelik aydınlatma metni hazırlanmış ve imza karşılığı tebliğ edilmiş mi?
• ☐ İşe alım sürecinde adaylara aydınlatma yapılıyor mu?
• ☐ Yapay zeka mülakat veya CV tarama aracı kullanılıyorsa adaylar bilgilendiriliyor mu?
• ☐ Otomatik karar mekanizmasına itiraz yolu tanınmış mı?
• ☐ CV veritabanının saklama süresi belirlenmiş ve periyodik imha yapılıyor mu?
• ☐ Performans ve izleme yazılımları hakkında çalışanlar aydınlatılmış mı?
• ☐ Biyometrik veri işleniyorsa açık rıza usulüne uygun alınmış mı? Alternatif yöntem sunuluyor mu?
• ☐ Bordro, muhasebe ve İK yazılımı sağlayıcılarıyla veri işleme sözleşmesi (DPA) imzalanmış mı?
• ☐ İşten ayrılan çalışanların verileri için saklama-imha takvimi oluşturulmuş mu?
• ☐ Tüm İK personeline KVKK eğitimi verilmiş ve kayıt altına alınmış mı?

Sonuç

İK departmanı, KVKK uyumunun en kritik ve en karmaşık alanıdır. İşe alımdan performans yönetimine, sağlık verilerinden biyometrik sistemlere kadar geniş bir veri işleme yelpazesini yönetir. Bu yelpazenin her bir parçasında doğru hukuki dayanağın seçilmesi, aydınlatma yükümlülüğünün eksiksiz yerine getirilmesi ve veri saklama sürelerinin titizlikle takip edilmesi gerekir.

Yapay zeka araçlarının İK süreçlerinde yaygınlaşması, algoritmik karar verme ve otomatik profilleme konularını KVKK gündeminin ön sıralarına taşımıştır. KVKK Kurumu'nun 2026 yılında yayımladığı dokümanlar, bu alanın düzenleyici denetim altına alındığını açıkça göstermektedir.

Güneş Partners olarak İK departmanlarının KVKK uyum süreçlerinde — veri envanteri hazırlığından aydınlatma metinlerine, yapay zeka kullanım politikalarından Kurul incelemesine — kapsamlı hukuki destek sağlıyoruz. İK süreçlerinizi KVKK açısından değerlendirmek için bizimle iletişime geçebilirsiniz.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı KVKK (özellikle m. 4, 5, 6, 10, 11), 7499 sayılı Kanun'un getirdiği değişiklikler, KVKK Kurumu'nun "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" dokümanı (5 Mart 2026), CNIL'in Amazon France Logistique kararı ve güncel Kurul ilke kararları temelinde hazırlanmıştır. İK ve KVKK uyum süreçlerinde profesyonel destek için gunespartners.com adresini ziyaret edebilirsiniz.