Kişisel Verileri Koruma Kurulunun 10/08/2023 tarihli ve 2023/1356 sayılı Karar Özeti

"Bir işveren tarafından işe iade davasına, ilgili kişinin mescitte ibadet etme görüntülerinin ibraz edilmesi" hakkında Kişisel Verileri Koruma Kurulunun 10/08/2023 Tarihli ve 2023/1356 sayılı Karar Özeti

Kuruma intikal ettirilen şikayette özetle; 

• İlgili kişinin özel nitelikli kişisel verisi niteliğindeki ibadethane içerisindeki ibadet etme görüntülerinin eski işvereni tarafından rızası dışında kayıt altına alındığı, 
• İşe başladığı tarih itibarıyla şirket tarafından bu konuda aydınlatma yapılmadığı ve açık rızasının alınmadığı, 
• Şirket tarafından ilgili kişinin iş akdinin feshedilmesinden kısa bir süre önce, geriye dönük olarak kişisel verilerin işlenmesiyle ilgili belgelerin imzalanmasının kendisinden istendiği ve belgeleri imzalamak istememesi üzerine, bir şirket çalışanı tarafından gönderilen bir elektronik posta ile belgelerin imzalanması gerektiğinin bildirildiği,
• İşten çıkarılma korkusuyla işe giriş tarihi yazılarak açık rıza metinlerini imzalamak zorunda bırakıldığı, bu şekilde alınan rızanın özgür iradesini yansıtmadığı, söz konusu rıza metninde de şirket tarafından mescit içerisinde görüntü kaydı alma konusunda açıkça bir ifadenin bulunmadığı ve bu konuda bir bilgilendirme yapılmadığı, 
• Şirket tarafından ibadethanede veri kaydı yapıldığına ilişkin özellikle bir bilgilendirme işaretinin de bulunmadığı, şirketin ibadethane içerisindeki görüntüleri kayda almasında diğer işçilerle arasında ayrımcılık yapmak amacının bulunduğu, ibadet eden çalışanlar ile ibadet etmeyen çalışanların tespit edilerek iş yerinde farklı muamelelere maruz bırakıldığı, 
• İbadethanede kaydedilen görüntülerin şirketle ihtilaflı olduğu mahkeme dosyasına şirket tarafından ibraz edildiği

ifade edilerek gereğinin yapılması talep edilmiştir.

Konuya ilişkin başlatılan inceleme çerçevesinde ilgili şirketten savunması istenilmiş olup alınan cevabi yazıda özetle; 

• İlgili kişinin şirket bünyesinde belirli tarihler arasında elektrik elektronik mühendisi olarak çalıştığı, çalışma süresi boyunca görev kapsamına giren işlerini aksattığı, işe gelmediği ve haksız ithamlarla şirket ve yetkilileri aleyhine gazetede yalan haber yaptırdığı gerekçeleriyle iş akdinin feshedildiği, 
• Fesih sonrası ilgili kişinin işe iade davası açtığı ve kendini haklı göstermek için iş yerinde kendisine namaz kıldırılmadığı, ayrımcılığa maruz kaldığı gibi doğru olmayan iddialarda bulunduğu, 
• Şirket bünyesinde yaklaşık 20 yıldır mescit bulunduğu, isteyen herkesin iş akışını aksatmayacak şekilde iş yerindeki mesailerine denk gelen vakit namazlarını kılabildiği, ilgili kişinin de mescitte ibadetlerini yerine getirdiği, 
• İlgili kişi tarafından yaptırılan haber hakkında Cumhuriyet Başsavcılığına suç duyurusunda bulunulduğu; suç duyurusunun ekinde haber konusu yapılan yalan beyanı veren ilgili kişinin gerçekte iş yerindeki mescidi hiçbir sorun olmadan kullanabildiği, ibadetlerini rahatlıkla yaptığı, haberdeki iddiaların gerçek dışı olduğunun ispat edilebilmesi için bazı kamera görüntülerinin sunulduğu, 
• İlgili kişinin şikâyetine konu kamera görüntülerinin iş yerinde güvenlik amacıyla işlendiği, üretim faaliyeti nedeniyle iş sağlığı ve güvenliği açısından iş yerinin "çok tehlikeli" sınıfta yer aldığı, dolayısıyla iş yerinde kamera sistemi ile veri işleme faaliyetinde bulunulduğu, şirket girişinde yer alan ziyaretçi aydınlatma tabelası ve kamera uyarı levhaları vasıtasıyla ilgili kişilerin de bu hususta aydınlatıldığı, 
• İlgili kişiye sunulan aydınlatma metni içerisinde fiziksel mekân güvenliği olarak kamera kayıtlarının işlenen veriler arasında sayıldığı, hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile haklarının da belirtildiği, mescit içerisinde yaşanacak herhangi bir olayın takibi amacıyla "fiziksel mekân güvenliği" verisi olarak işlendiği,
• Mescidin iş yeri sınırlarının içinde yer alması, bağımsız bir bölüm olmayıp üretim alanının içerisinde yer alması ve iş yerindeki revir bölümüne de mescit için ayrılan bölümden geçiş sağlanması nedeniyle mescitte uyarı levhaları ile aynı kamera sisteminin bulunduğu, 
• Ayrıca, İş Sağlığı ve Güvenliği Kanunu, İş Kanunu ve Borçlar Kanunundan doğan "gözetim ve denetim" faaliyetinin yerine getirip getirilmediği konusunda ispat külfetinin bulunması sebebiyle de kamera sistemi ile veri işleme zorunluluğunun bulunduğu, 
• Kamera kayıtları ile çalışanların özel nitelikli kişisel verilerinin işlenmediği ve bunun özel nitelikli kişisel veri de sayılamayacağı, şirket bünyesinde hiçbir çalışanın özel nitelikli kişisel verisi olan "dini, mezhebi veya diğer inançlar"a ilişkin bir verisinin işlenmediği ve bu nedenle işlenmeyen bir veri için ilgili kişiden açık rıza istenmediği, 
• İşe iade davasında yerel mahkeme tarafından işe iade kararı verilmesine rağmen şirket tarafından söz konusu karara itiraz edildiği ve dosyanın istinaf aşamasında olduğu, 
• Şirket personeline ve ilgili kişiye mevzuata ilişkin her türlü eğitimin verildiği

ifade edilmiştir. 

Konuya ilişkin yapılan incelemede, Kişisel Verileri Koruma Kurulunun 10/08/2023 tarih ve 2023/1356 sayılı Kararı ile; 

• 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) “Tanımlar” başlıklı 3’üncü maddesinin (1) numaralı fıkrasının (a)  bendinde açık rızanın, “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza”, (ç) bendinde ilgili kişinin, “kişisel verisi işlenen gerçek kişi”, (d) bendinde kişisel verinin, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”, (e) bendinde kişisel verilerin işlenmesinin, “kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem”, (ı) bendinde veri sorumlusunun, “kişisel verilerin işleme amacını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ve tüzel kişi”, (ğ) bendinde veri işleyenin “veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi” olarak tanımlandığı, 
• Kanun'un “Genel İlkeler” başlıklı 4’üncü maddesinde, kişisel verilerin ancak bu Kanun'da ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işleneceği hükme bağlandıktan sonra, kişisel verilerin işlenmesinde uyulması zorunlu ilkelere yer verildiği, buna göre, kişisel verilerin ancak; a) Hukuka ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ile d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun işlenebileceği,
• Kanun’un “Kişisel Verilerin İşlenme Şartları” başlıklı 5’inci maddesinin (1) numaralı fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, (2) numaralı fıkrasında ise kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu hükmünün yer aldığı, 
• Kanun’un özel nitelikli kişisel verilerin işlenme şartları başlığını taşıyan 6’ncı maddesinin (1) numaralı fıkrasında; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olduğu; (2) numaralı fıkrasında özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu; (3) numaralı fıkrasında birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel verilerin kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebileceği, sağlık ve cinsel hayata ilişkin kişisel verilerin ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebileceği; (4) numaralı fıkrasında ise özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınmasının şart olduğuna hükmedildiği,
• Kanun’un “Veri sorumlusunun aydınlatma yükümlülüğü” başlıklı 10’uncu maddesinde; kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin, ilgili kişilere veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ve 11’inci maddede sayılan diğer hakları konusunda bilgi vermekle yükümlü olduğunun hükme bağlandığı,
• Söz konusu iddialar ve veri sorumlusu tarafından Kurumumuza gönderilen cevap yazısı incelendiğinde; güvenlik kameraları vasıtasıyla iş yerlerinde, çalışanların iş sağlığı ve güvenliğinin sağlanması kapsamındaki yükümlülüklerin yerine getirilmesi, üretim süreçlerinin kontrolü, iş yerinin ve müşterinin korunması, işçinin performansının değerlendirilmesi ve suç şüphesinin aydınlatılması gibi birçok amaç ile genel ve özel nitelikte kişisel verinin işlenmesinin mümkün olduğu,bu çerçevede, öncelikli olarak veri sorumlusu tarafından kameralar ile görüntülerin işlenmesinin özel nitelikli veya genel nitelikli kişisel veri olup olmadığının değerlendirilmesi gerektiği, şikâyete konu olayda veri sorumlusunun kameralar vasıtasıyla ibadethane içerisindeki görüntü kayıtlarını işlemesinin, ilgili kişinin dini inancına ilişkin bir veri işleme olduğu ve bu sebeple özel nitelikli kişisel veri kategorisine gireceği, bu anlamda Kanun’un 6’ncı maddesi çerçevesinde bir değerlendirme yapılmasının uygun olacağı, 
• Kanun kapsamında açık rızanın; “Tanımlar” başlıklı 3’üncü maddenin (1) numaralı fıkrasının (a) bendinde ‘Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza’ şeklinde tanımlandığı, dolayısıyla, açık rızanın, ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı olduğu, ilgili kişilerin rıza vermemesi ve rızayı geri çekmesinin mümkün olmadığı hallerin, tarafların eşit konumda olmadığı veya taraflardan birinin diğeri üzerinde etkili olduğu (Kişisel Verileri Koruma Kurumu, Açık Rıza Rehberi,, s.6.) güç dengesizliğinin bulunduğu istihdam ilişkisinde var olabildiği, çalışana rıza göstermeme imkanının etkin bir biçimde sunulmadığı durumlarda gerçek bir seçeneğe sahip olunduğunu söylemenin mümkün olmayacağı,
• Söz konusu olayda, ilgili kişiye veri sorumlusu çalışanı tarafından gönderilen elektronik posta içeriğinden anlaşılacağı üzere açık rızanın özgür irade ile verilmediği ve ilgili kişinin işten çıkarılma korkusu ile geriye dönük olarak kişisel verilerin işlenmesiyle ilgili diğer belgeleri de rızası olmadan imzalamak zorunda bırakıldığı,
• Söz konusu veri işleme faaliyetinin her halükârda Kanun’un 4’üncü maddesinde yer alan genel ilkelerden “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine uygun olması gerektiği, çalışanların; soyunma odaları, tuvaletler, duşlar, mescit, dinlenme odaları ve emzirme odaları bakımından makul bir mahremiyet beklentisinde olduğu dikkate alındığında veri sorumlusu tarafından söz konusu alanlarda veri işleme faaliyeti gerçekleştirilmesinin çalışanların mahremiyet beklentilerini zedeler nitelikte ve özel alanlarının işgali niteliğinde sayılabileceği, 
• Veri sorumlusu tarafından iş sağlığı ve güvenliği çerçevesinde kamera vasıtasıyla ibadethanenin gözetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetinin, Kanun’un 6’ncı maddesinde yer alan işleme şartlarından birine ve bunun yanı sıra veri sorumlusu tarafından ifade edilen meşru menfaat kavramına dayandırılamayacağı, ayrıca söz konusu özel nitelikli kişisel veri işleme faaliyetinin Kanun’un 4’üncü maddesinde yer alan genel ilkelerden “belirli, açık ve meşru amaçlar için işlenme” ve “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine uygun olmadığı, nitekim mescidin, veri sorumlusunun çalışma alanı çerçevesinde izlenmesini mecbur kılacak herhangi bir vasfının olmadığı, ayrıca Kanunlarda iş ilişkilerinde ibadethanelerin gözetlenebilmesini uygun gören açıkça bir hükmün bulunmadığı dikkate alındığında ibadethanenin kamera ile izlenmesinin hukuka uygun bir veri işleme olmayacağı,
• Dolayısıyla, tüm bu hususların Kanun’un 12’nci maddesinin (1) numaralı fıkrasında yer verilen “Veri sorumlusu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmüne aykırılık teşkil ettiği 

değerlendirmelerinden hareketle; 

• Veri sorumlusu tarafından mescitte kamera vasıtasıyla gerçekleştirilen kişisel veri işleme faaliyetine ilişkin ilgili kişinin açık rızasını özgür irade ile vermediği ve işten çıkarılma korkusu ile geriye dönük olarak kişisel verilerin işlenmesiyle ilgili diğer belgeleri de rızası olmadan imzalamak zorunda bırakıldığı kanaatine varıldığından Kanun’un 6’ncı maddesi kapsamında herhangi bir veri işleme şartına dayanılmaksızın veri işleme faaliyetinin gerçekleştirildiği, diğer taraftan açık rıza alınsa dahi söz konusu veri işleme faaliyetinin Kanun’un 4’üncü maddesinde yer alan genel ilkelerden “işlendikleri amaçla bağlı, sınırlı ve ölçülü olma” ilkesine aykırılık teşkil edeceği sonucuna varılmakta olup, bu hususların Kanun’un 12’nci maddesinin (1) numaralı fıkrasında yer verilen “Veri sorumlusu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmüne aykırılık teşkil etmesi nedeniyle Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca veri sorumlusu hakkında 300.000 TL idari para cezası uygulanmasına, 
• Şikâyete konu kişisel veri işleme faaliyetinin Kanun’un 15’inci maddesinin (7) numaralı fıkrası kapsamında ivedilikle durdurulması ve sonucundan Kurula bilgi verilmesi yönünde veri sorumlusunun talimatlandırılmasına, 
• Şikâyete konu hukuka aykırı olarak işlenen kişisel verilerin imha edilerek sonucundan Kurula bilgi verilmesi yönünde veri sorumlusunun talimatlandırılmasına

karar verilmiştir.