Çalışan bilgisayarlarını izlemek KVKK’ya aykırı mı?

Karar neyi kapsıyor?

Kurul, kararda kurumsal e-posta hesaplarının ve iş yeri iletişim kanallarının denetimini ele alır. Kapsam yalnızca e-posta değildir: kurum içi mesajlaşma, kurumsal anlık iletişim, müşteri ilişkileri sistemleri ve toplantı platformlarının sohbet ve kayıt alanları da sayılır. Bilgisayar ve ağ kayıtları (hangi alan adına, hangi uygulamayla erişildi gibi trafik verileri) için kararın ilkelerini kıyasen uygulamak mantıklıdır; ancak bu bir yorumdur ve kendi durumunuz için hukuki görüş gerekir.

Kararın önemli bir vurgusu: yazışma içeriğine bakmadan yapılan inceleme de kişisel veri işlemedir ve Kanun’a tabidir.

Kararın öne çıkardığı ilkeler

Kaynaklardaki özetlerden çıkan başlıca şartlar:

• Hukuki dayanak: Kanun m.5’teki hukuki yükümlülük, hakkın tesisi/korunması ya da meşru menfaat gibi sebepler kullanılabilir; ancak bunlar sınırsız denetim yetkisi vermez.
• Açık rıza: İş ilişkisindeki güç dengesizliği nedeniyle kural olarak öncelikli dayanak değildir.
• Aydınlatma: Çalışan önceden bilgilendirilmelidir; amaç, kapsam, yöntem (trafik mi içerik mi), içeriğe erişilebilecek haller, saklama süresi ve Kanun m.11 kapsamındaki haklar yer almalıdır. “Kurumsal e-posta denetlenebilir” gibi genel bir cümle yeterli sayılmaz.
• Ölçülülük ve kademelilik: Önce daha az müdahaleci yollar (trafik verisi, teknik engelleme/filtreleme) denenir; içeriğe yalnızca somut şüphe varsa ve iddiayla sınırlı olarak bakılabilir.
• Gizli ve sürekli izleme: Önceden bildirilmeden yapılan gizli izleme ve her işlemi ayrım gözetmeden kaydeden araçlarla denetim hukuka aykırıdır.
• Erişim güvenliği: Verilere yalnızca yetkili ve sınırlı personel erişebilir; erişimler kayda alınır.
• İşten ayrılma: Hesap kapatılır, dayanağı kalmayan veriler imha edilir.

Trafik verisi ile içerik arasındaki fark

Kurul, içeriğe erişimi en ağır müdahale olarak görür ve daha güçlü gerekçe arar. Hangi alan adına erişildiği gibi trafik verisi daha az müdahaleci kabul edilse de o da kişisel veridir; aydınlatma, amaç ve ölçülülük aranır.

Bu yüzden izleme araçları seçerken “neyi toplamıyor?” sorusu en az “neyi topluyor?” kadar önemlidir. Sayfa içeriği, arama metni, ekran görüntüsü, tuş vuruşu ve mesaj içeriği toplamayan bir yaklaşım hem teknik hem hukuki riski düşürür.

İzleme politikası için kontrol listesi

Bir politika yazarken şu sorulara yazılı yanıt verin:

• Amaç ne? (örneğin bilgi güvenliği, lisans/envanter yönetimi, kötüye kullanımın önlenmesi)
• Hangi veri toplanıyor, hangisi toplanmıyor? Trafik ve içerik ayrımı açık mı?
• Özel kullanım serbest mi, sınırlı mı, yasak mı? Kural çalışana duyuruldu mu?
• Veriler ne kadar saklanıyor ve kim erişiyor? Erişimler kaydediliyor mu?
• Çalışan haklarını (bilgi alma, itiraz vb.) nasıl kullanacak?
• İşten ayrılan çalışanın verisine ne olacak?

Wilogger Agent bu çerçevede nasıl tasarlandı?

Wilogger Agent; sayfa içeriği, arama metni, ekran görüntüsü, tuş vuruşu ve mesaj içeriği toplamaz. Ekranı kaydetmez; uzaktan masaüstü kullanılırsa ekran yalnızca çalışanın her oturumda onayıyla canlı görüntülenir. Topladığı veri; bilgisayar envanteri ve güvenlik durumu, sorgulanan alan adı ve sorguyu yapan uygulama, Windows kullanıcı adı ve oturum olaylarıdır. Ajan Windows’ta adı belli bir hizmet olarak çalışır, gizlenmez. Çalışan adı veritabanında şifreli saklanır, panelde varsayılan olarak maskelidir; açık gösterim yalnızca işletme sahibine verilir ve her sorgu denetim kaydına yazılır.

Bir aracın bu özellikleri, işverenin aydınlatma, amaç ve ölçülülük yükümlülüklerinin yerine geçmez. Politikayı ve aydınlatmayı sizin hazırlamanız gerekir; aracı bu politikaya uyacak biçimde yapılandırmanız önemlidir.

Sık sorulan sorular

Kaynaklar

• Kişisel Verileri Koruma Kurulu’nun 16/09/2026 tarihli ve 2026/2035 sayılı kararı (mevzuat arşivi metni)
• Kişisel Verileri Koruma Kurumu (resmî metinler için)

Diğer yazılar

• Ücretsiz Wi-Fi için 5651: hangi kayıtlar, ne kadar süre?
• Şirket bilgisayarları için güvenlik kontrol listesi (Windows)