Uzaktan Çalışmada Mesai Saatleri ve Fazla Mesai Problemleri?
9 Nisan 2025
Uzaktan Çalışmanın Vergi ve SGK Boyutu?
9 Nisan 2025
1. Uzaktan Çalışma Sürecinde Kişisel Veri Kavramı
Uzaktan çalışma, çalışanların fiziksel ofis ortamından ayrılarak dijital sistemler üzerinden görevlerini yürüttüğü bir çalışma modelidir. Bu yeni sistem, özellikle teknolojik cihazlar ve yazılımlar aracılığıyla yürütüldüğünden dolayı, işçinin ve işverenin kişisel verilerinin dijital ortamda işlenmesini gündeme getirmektedir. Kişisel veri; kimliği belirli ya da belirlenebilir gerçek kişiye ait her türlü bilgiyi ifade eder. Ad, soyad, IP adresi, e-posta, lokasyon bilgisi, görüntü kaydı gibi birçok unsur bu kapsamda değerlendirilir. Uzaktan çalışmada kullanılan uygulamalar, bu verileri otomatik yollarla işleyebilir ve dolayısıyla KVKK kapsamında ciddi yükümlülükler doğurur.
2. KVKK Kapsamında İşverenin Sorumluluğu
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), işverenleri hem veri sorumlusu olarak tanımlamakta hem de çalışanlarının verilerini koruma yükümlülüğü altına sokmaktadır. Uzaktan çalışma ortamında işverenin, çalışanın kişisel verilerine erişim sağladığı her an için açık rıza alması, işleme amacını net bir şekilde belirtmesi ve verileri sadece gerekli süre boyunca saklaması gerekir. Ayrıca verilerin hangi sistemlerde, kimlerle paylaşıldığı ve yurt dışına aktarılıp aktarılmadığı gibi bilgiler de aydınlatma metinlerinde detaylandırılmalıdır. Aksi takdirde, veri ihlali durumunda idari para cezalarının yanı sıra, çalışanlar tarafından açılacak tazminat davalarıyla da karşılaşılması mümkündür.
3. Çalışanın Kişisel Verileri Nelerdir?
Uzaktan çalışma modelinde, işverenlerin işçiye ait birçok kişisel veriye erişmesi mümkündür. Bu veriler arasında e-posta yazışmaları, oturum açma/kapatma saatleri, IP adresleri, lokasyon bilgileri, yazılım kullanım istatistikleri, video konferans kayıtları ve hatta ekran görüntüleri yer alabilir. Bu tür veriler, ancak belirli bir iş amacına hizmet ettiği sürece ve işçinin bilgisi dâhilinde toplanabilir. Aksi halde, özel hayatın gizliliği ilkesine aykırılık gündeme gelir ve işveren hakkında hem idari hem de cezai yaptırımlar söz konusu olabilir. Dolayısıyla işverenin, hangi verilerin toplandığını ve bu verilerin ne amaçla kullanıldığını çok net biçimde belirtmesi gerekir.
4. Açık Rıza ve Aydınlatma Yükümlülüğü
KVKK’ya göre bir kişisel verinin işlenebilmesi için ya kanunda öngörülen istisnalardan birinin varlığı ya da açık rıza gerekmektedir. Uzaktan çalışma sırasında işverenin; işçinin bilgisayarına kurduğu takip yazılımları, görüntülü denetim araçları ya da anlık raporlama sistemleri vasıtasıyla topladığı veriler için mutlaka açık rıza alması gerekir. Ayrıca işçiye bir aydınlatma metni sunulmalı, bu metinde verilerin kim tarafından, hangi amaçla, ne kadar süreyle ve hangi yöntemle işlendiği açıkça belirtilmelidir. Açık rıza ise serbest iradeye dayanmalı, baskı altında alınmamalı ve geri alınabilir nitelikte olmalıdır. Aksi takdirde rıza geçersiz sayılır.
5. Özel Nitelikli Kişisel Verilerin Korunması
Uzaktan çalışmada bazen çalışanların sağlık bilgileri, engel durumları veya biyometrik verileri gibi özel nitelikli kişisel veriler de işlenebilir. Bu tür veriler, KVKK tarafından daha yüksek koruma altına alınmıştır ve işlenmeleri için hem açık rıza hem de Kurul tarafından belirlenen özel teknik tedbirlerin alınması zorunludur. Örneğin, pandemi döneminde çalışanlardan HES kodu, PCR testi sonucu gibi sağlık bilgileri alınması sıkça karşılaşılan bir durumdur. Ancak bu veriler sadece Sağlık Bakanlığı tarafından belirlenen şartlarda, belirli süreliğine ve yalnızca sağlık amacıyla işlenmelidir. İşverenin bu sınırları aşması, ciddi veri ihlallerine ve yüksek idari para cezalarına yol açabilir.
6. Uzaktan Erişim Sistemlerinin Riskleri
Uzaktan çalışma modelinde sıklıkla kullanılan VPN, uzaktan masaüstü bağlantısı, bulut depolama, e-posta sistemleri gibi dijital araçlar ciddi güvenlik riskleri taşımaktadır. Bu sistemler aracılığıyla iletilen ya da depolanan veriler, siber saldırılar veya sistem açıkları nedeniyle üçüncü kişilerin eline geçebilir. Bu durum yalnızca çalışanın değil, işverenin de verilerinin ihlaline yol açar. Bu nedenle işverenler, KVKK’nın teknik ve idari tedbir yükümlülüğü kapsamında, güçlü şifreleme sistemleri, çok faktörlü kimlik doğrulama, düzenli sızma testleri ve kullanıcı eğitimleri gibi önlemleri almakla sorumludur. Aksi halde veri sorumlusu sıfatıyla hem para cezaları hem de manevi tazminatlarla karşı karşıya kalabilirler.
7. İşverenin Denetim Hakkı ve Sınırları
İşverenin, uzaktan çalışan personelin görevlerini yerine getirip getirmediğini denetleme hakkı vardır; ancak bu denetim hakkı sınırsız değildir. Anayasa’nın 20. maddesinde güvence altına alınan özel hayatın gizliliği ve KVKK’nın 4. maddesindeki ölçülülük ilkesi uyarınca, yapılan her denetim orantılı ve sınırlı olmalıdır. Örneğin; işveren çalışanın ekran görüntülerini sürekli olarak alıyorsa, bu uygulama ancak çalışanın rızası varsa ve başka bir yol kalmamışsa meşru sayılabilir. Aksi halde, çalışan özel hayatına müdahale edildiği iddiasıyla dava açabilir. Bu nedenle denetim yöntemlerinin, sözleşme ve işyeri iç yönetmeliklerinde açıkça belirtilmesi büyük önem taşır.
8. Bulut Tabanlı Sistemlerde Veri Güvenliği
Uzaktan çalışan birçok kişi, işverenin kullandığı bulut tabanlı sistemler üzerinden veri paylaşımı yapmaktadır. Ancak bu sistemler, verilerin yurt dışında bir sunucuda saklanması ihtimali nedeniyle kişisel verilerin yurt dışına aktarımı sorununu gündeme getirmektedir. KVKK’nın 9. maddesi uyarınca kişisel veriler, sadece açık rıza ile ya da Kurul’un uygun bulduğu ülkelere aktarılabilir. Bu durum hem teknik hem de hukuki açıdan detaylı denetim gerektirir. İşverenler, kullandıkları bulut sistemlerinin hangi ülkede barındığını bilmeli, veri transferine ilişkin güvenlik protokollerini kontrol etmeli ve gerekiyorsa çalışanlardan ayrıca açık rıza almalıdır.
9. Kişisel Verilerin İmhası ve Saklama Süreleri
KVKK’ya göre işverenin, işlediği kişisel verileri yalnızca gerekli olduğu süre kadar saklaması ve bu sürenin sona ermesiyle birlikte verileri imha etmesi gerekmektedir. Uzaktan çalışmada bu süreler genellikle görev tamamlandığında ya da iş akdi sona erdiğinde dolmuş olur. Ancak birçok işveren, sistemdeki verileri süresiz saklamakta ve bu durum veri ihlallerine davetiye çıkarmaktadır. Oysa işveren, veri envanteri oluşturmalı, her veri türü için ayrı bir saklama süresi belirlemeli ve bu süre sonunda verileri anonimleştirme, silme ya da yok etme yükümlülüğünü yerine getirmelidir. Aksi takdirde, Kişisel Verileri Koruma Kurumu tarafından ciddi yaptırımlarla karşılaşılabilir.
10. Resmî Kurumlar ve Başvuru Kanalları
Uzaktan çalışmada kişisel verilerin işlenmesiyle ilgili herhangi bir hak ihlali ya da veri güvenliği problemi yaşayan bireyler, Kişisel Verileri Koruma Kurumu (KVKK)’na başvurarak ihlal bildirimi yapabilirler. Aynı şekilde, Çalışma ve Sosyal Güvenlik Bakanlığı da işverenlerin iş hukuku kapsamında KVKK ile çelişen uygulamalarını denetleme yetkisine sahiptir. Bu nedenle çalışanlar, aşağıdaki bağlantılar üzerinden bilgi alabilir ve şikâyet başvurusu yapabilirler:
- Kişisel Verileri Koruma Kurumu (KVKK): https://www.kvkk.gov.tr
- Çalışma ve Sosyal Güvenlik Bakanlığı: https://www.csgb.gov.tr
- Resmî Gazete (Yönetmelik ve Tebliğler): https://www.resmigazete.gov.tr
- 6698 sayılı KVKK metni: https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5
Daha detaylı bilgi almak ve hukuki destek almak için FFK Partner Hukuk olarak sizlere profesyonel destek sağlıyoruz!
