Konum verisi neden hassas?
Konum, KVKK'nın 6. maddesinde sayılan özel nitelikli veriler arasında değil; ama Kurul onu sıradan bir veri olarak da görmüyor. Kurul, araç takip yazılımlarına ilişkin 2021/1303 sayılı kararında konum verisinin işlenmesinin ilgili kişilerin yaşam alışkanlıklarını ortaya çıkarabileceğini, iş yeri, ikamet yeri ve ziyaret edilen diğer yerlerin öğrenilmesinin kişi hakkında profil çıkarılmasına ve din, inanç, cinsel hayat gibi özel nitelikli bilgilerin dolaylı olarak ortaya çıkmasına yol açabileceğini belirtti. Kurul'a göre konum toplanması istisnai olarak başvurulan bir yöntem olmalı.
Bu karar araç kiralama sektörüyle ilgili; ancak gerekçesi işyerindeki konum takibi için de yol gösterici. Çalışan konum takibini doğrudan düzenleyen özel bir kanun hükmü bulunmadığından değerlendirme KVKK'nın genel ilkeleriyle yapılıyor.
İşveren konum takibi yapabilir mi?
Yapabilir, ama koşullu. KVKK'nın 5. maddesi açık rıza dışında da veri işleme şartları sayıyor; işyerinde konum takibi için en sık dayanılan şart, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (m.5/2-f). Şirket aracının güvenliği, saha ekibinin iş planlaması, çalışma alanında geçen sürenin ölçülmesi bu tür menfaatlere örnek gösterilebilir.
Hangi şarta dayanılırsa dayanılsın, KVKK'nın 4. maddesindeki ilkeler her zaman uygulanır: veri belirli, açık ve meşru amaçla, bu amaçla bağlantılı, sınırlı ve ölçülü işlenmeli ve gerektiği kadar saklanmalı.
Açık rıza neden çözüm değil?
Pek çok işveren "çalışana imzalatırız" diye düşünüyor. Kurul'un 2026 kararları bu yaklaşımın zayıf olduğunu gösteriyor:
- 2026/921 sayılı ilke kararında (biyometrik mesai takibi) Kurul, işçi ile işveren arasındaki güç dengesizliğinin rızanın özgürlüğünü şüpheli hâle getirdiğini ve geçerli bir rıza olsa bile ölçülülük ilkesine aykırı işlemenin hukuka uygun hâle gelmeyeceğini belirtti.
- 2026/2035 sayılı ilke kararında (iletişim kanallarının denetimi) Kurul, iş ilişkisindeki bağımlılık nedeniyle açık rızanın kural olarak öncelikli hukuki dayanak kabul edilemeyeceğini ve geçerli bir rızanın da işverene sınırsız denetim yetkisi tanımadığını vurguladı.
Bu iki karar konum takibiyle ilgili değil; ama Kurul'un çalışan izleme konusundaki genel tutumunu yansıtıyor: önce amaç ve ölçülülük, sonra hukuki dayanak. Rıza, ölçüsüz bir takibi kurtarmıyor.
Ölçülülük testi: dört soru
| Soru | Ölçülü | Ölçüsüz olma riski yüksek |
|---|---|---|
| Ne zaman? | Yalnızca mesai süresince | 7/24, hafta sonu, izin günlerinde |
| Nerede? | Fabrika ve tanımlı çalışma alanları | Çalışanın evi, yolu, mesai dışında gittiği yerler |
| Ne kadar süre saklanıyor? | Amaca yetecek kısa süre, sonra otomatik silme | Süresiz arşiv |
| Kim görüyor? | Görev tanımına göre yetkilendirilmiş birkaç kişi | Tüm yöneticiler, ekip arkadaşları |
Kurul'un 2026/2035 sayılı kararındaki kademeli denetim ilkesi de burada yol gösterici: amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa daha ağır yönteme başvurulmamalı. Örneğin amaç yalnızca "çalışan fabrikada mı?" sorusunu yanıtlamaksa, sürekli rota kaydı yerine alan içi/dışı süre ölçümü daha az müdahalecidir.
Mesai dışında takip yapılmamalı
Mesai bittiğinde çalışanın işverenle konum paylaşmasını gerektiren bir iş amacı kural olarak kalmaz. Mesai dışındaki konum, Kurul'un 2021/1303 kararında dikkat çektiği riskin tam karşılığıdır: çalışanın evi, gittiği yerler ve alışkanlıkları ortaya çıkar. Bu nedenle sistem mesai başladığında açılmalı, mesai bitince kendiliğinden durmalı; bu, çalışanın iyi niyetine ya da elle kapatmasına bırakılmamalı.
Aydınlatma metninde neler olmalı?
Konum takibine başlamadan önce çalışan aydınlatılmalı (KVKK m.10). Metinde en az şunlar somut olarak yazmalı:
- Konumun hangi amaçla işlendiği (ör. çalışma alanında geçen sürenin ölçülmesi).
- Hangi saatlerde alındığı ve mesai dışında alınmadığı.
- Hangi yöntemle (telefon uygulaması, araç cihazı) ve hangi sıklıkla toplandığı.
- Hukuki sebep (KVKK m.5'teki hangi şart).
- Saklama süresi ve süre sonunda silindiği.
- Verilere kimlerin erişebildiği, kimlere aktarılabileceği.
- Çalışanın KVKK m.11'deki hakları.
Ayrıntılar için çalışan aydınlatma metni rehberimize bakın. Aydınlatma yükümlülüğünü yerine getirmemenin 2026 cezası 85.437 – 1.709.200 TL; veri güvenliği yükümlülüğü ihlalinde aralık 256.357 – 17.092.242 TL.
Konum verisiyle ne yapılabilir, ne yapılmamalı?
Mesai içindeki konum verisi, çalışma alanı dışında geçen sürenin ölçülmesi gibi kayıp zaman analizlerinde kullanılabilir. Ancak veriyi topladığınız amaç dışında kullanmak (ör. çalışanın mesai sonrası nereye gittiğini merak etmek) amaçla sınırlılık ilkesine aykırıdır. Disiplin sürecinde konum verisine dayanacaksanız, bunun aydınlatma metninde öngörülmüş olması ve avukatınızla değerlendirilmesi önemlidir.
Mertsis Digital ile
Mesai içinde ölçüm, mesai dışında sessizlik
- Mesai süresince telefon dakikada bir konum bildirir; mesai bitince durur. Mesai dışında konum alınmaz, fabrikadan uzak konum kaydedilmez.
- Fabrika ve her çalışma alanı haritada çizilir; alan içi ve dışı süre ölçülür.
- 10 dakikadan uzun alan dışı ya da susan telefon için yöneticiye anında uyarı; haftalık konum oranı patronun telefonunda.
- Konum izi 48 saatte silinir. KVKK aydınlatma ve açık rıza metinleri işe giriş setinde hazır; veriler Avrupa'da (Almanya) yetki rolleriyle tutulur.
Sık sorulanlar
İşveren çalışanın konumunu takip edebilir mi?
Meşru bir amaçla, çalışanı önceden aydınlatarak ve ölçülü biçimde (yalnızca mesai içinde, amaçla sınırlı, kısa saklama süresiyle) yapılabilir. Sürekli ve kapsamı belirsiz takip KVKK'nın ölçülülük ilkesine aykırı olur.
Mesai dışında konum takibi yapılabilir mi?
Mesai dışında konum işlemeyi gerektiren bir iş amacı kural olarak bulunmaz. Kurul, konum verisinin yaşam alışkanlıklarını ortaya çıkarabileceğini ve profil çıkarılmasına yol açabileceğini belirtiyor. Sistem mesai bitince kendiliğinden durmalıdır.
Çalışandan açık rıza alırsam sorun kalmaz mı?
Hayır. Kurul, 2026/921 ve 2026/2035 sayılı ilke kararlarında işçi-işveren ilişkisindeki güç dengesizliği nedeniyle rızanın özgürlüğünü sorguluyor ve geçerli bir rızanın ölçüsüz işlemeyi hukuka uygun hâle getirmeyeceğini, işverene sınırsız denetim yetkisi vermeyeceğini belirtiyor.
Konum verisi ne kadar süre saklanmalı?
KVKK belirli bir gün sayısı öngörmüyor; veri işlendiği amaç için gerekli olan süre kadar saklanmalı. Amaç günlük alan içi/dışı süre ölçümüyse, ham konum izinin kısa sürede otomatik silinmesi ölçülülüğe en uygun yoldur.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- KVKK karar özeti 2021/1303
- KVKK: 2026/921 sayılı ilke kararına ilişkin kamuoyu duyurusu
- KVKK: 2026/2035 sayılı ilke kararı (iletişim kanallarının denetlenmesi)
- KVKK: 2026 yılı idari para cezası tutarları
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuz için bir avukata ya da mali müşavirinize danışın.