İşveren Çalışanın Fotoğrafını Web Sitesinde ve Sosyal Medyada Paylaşabilir mi? Tanıtımda Çalışan Görseli ve KVKK
Çalışan fotoğrafı tanıtımda kullanılacaksa kural olarak açık rıza gerekiyor. Kurul kararları, arşiv ile yayın ayrımı, işten ayrılınca kaldırma yükümlülüğü.
Kısa cevap: çalışanın tanınabildiği bir fotoğrafını tanıtım amacıyla kullanmak için kural olarak o çalışanın açık rızası gerekir. İş sözleşmesini imzalamış olmak bu rızayı içermez, görev tanımında pazarlama faaliyeti geçmesi de tek başına yetmez. Kişisel Verileri Koruma Kurulu'nun kararlarında tekrar eden çizgi şudur: fotoğrafın çekilmesi ile o fotoğrafın şirketin internet sitesine, sosyal medya hesabına ya da reklam filmine konulması iki ayrı işleme faaliyetidir ve ikincisinin kendi hukuki sebebi olmak zorundadır. İş ilişkisi bittikten sonra görselin yayında kalmaya devam etmesi ise apayrı bir başlık; Kurul bunu incelediği olayların çoğunda başlı başına hukuka aykırılık saydı ve idari para cezasına bağladı.
Bir yanlış anlaşılmayı baştan temizlemekte fayda var. Sıradan bir portre fotoğrafı özel nitelikli kişisel veri değildir. Kurum'un biyometrik verilerin işlenmesine ilişkin rehberi biyometrik veriyi, kişinin özgün biçimde teşhis edilmesini sağlayan ve spesifik bir teknik işlemeden kaynaklanan veri olarak tanımlıyor. Bir yüzün fotoğrafı, yüz tanıma sistemine verilip matematiksel bir şablona dönüştürülmediği sürece 6. maddenin ağır rejimine girmez, 5. madde çerçevesinde değerlendirilir. Fark pratikte işinize yarar: aynı vesikalık fotoğrafı hem kurumsal tanıtımda hem de kapı geçiş sistemindeki yüz tanıma modülünde kullanmaya kalktığınızda, ikinci kullanım bambaşka bir hukuki zemine geçer ve orada açık rızanın geçerliliği tartışması çok daha sert biçimde önünüze gelir.
Peki tanıtım fotoğrafı 5. maddedeki hangi işleme şartına dayanır? Listeyi tek tek elemek gerekiyor. Kanunlarda açıkça öngörülme şartı burada yok, hiçbir kanun işverene çalışanının görselini yayımlama yetkisi vermiyor. Fiili imkânsızlık ve hukuki yükümlülük bentleri konuyla ilgisiz. Alenileştirme bendine dayanmak isteyenler çıkıyor, yani çalışanın LinkedIn profilindeki fotoğrafını 'zaten herkese açık' diyerek almak. Fakat Kanun alenileştirilmiş veriye dayanmayı alenileştirme iradesine uygun olma şartına bağlıyor; kişi kendini iş arayan biri olarak tanıtmak için koyduğu fotoğrafın işverenin reklam malzemesine dönüşmesine razı olmuş sayılmaz. Geriye meşru menfaat ile açık rıza kalıyor ve Kurul'un yayımlanmış kararlarında reklam, tanıtım ya da pazarlama amaçlı görsel kullanımının meşru menfaatle karşılandığı bir örnek yok.
Sözleşmenin ifası şartı hiç mi işlemez? İşler, ama dar bir alanda. Kurum'un 2023 yazında kamuoyuna duyurduğu bir kararda, bir giyim firmasının ürün tanıtımı çekimlerine katılan fotomodelin görsellerinin iş ilişkisi bittikten sonra da sitede kalmasında ihlal görülmedi. Kurul, çekimin taraflar arasındaki sözleşmenin doğrudan konusu olduğunu, ürünlerin stoğu tükendiğinde görsellerin zaten kaldırıldığını tespit etti. Buna karşılık 20 Ekim 2022 tarihli ve 2022/1147 sayılı kararda, bir iç mimarın görüntülerinin fesihten sonra reklamda kullanılması hukuka aykırı bulundu ve gerekçede mimarlık mesleğinin ekran önünde görünmeyi gerektirmediği vurgulandı. Test aslında sade: kamera karşısına çıkmak işin kendisi mi, yoksa işverenin işin üstüne eklediği bir talep mi?
Açık rızaya geldiğimizde iş ilişkisinin kendine özgü sorunu başlıyor. Kurul, işçi ile işveren arasında yapısal bir güç dengesizliği bulunduğunu, rıza göstermemenin çalışan açısından olumsuz bir sonuç doğurabileceği hâllerde rızanın özgür iradeye dayandığından söz edilemeyeceğini defalarca tekrarladı. Tanıtım fotoğrafı, bu tabloda rızanın gerçekten işleyebildiği ender alanlardan biri, çünkü çalışanın görselde yer almayı reddetmesi işin görülmesini engellemiyor. Ama bunu gösterebilmeniz gerekiyor. Rıza iş sözleşmesinin içine gömülmüş bir madde olmamalı; ayrı, imzalanmasa da işe başlanabilen bir belge olmalı. Hangi mecrada, hangi amaçla ve ne kadar süreyle kullanılacağı yazmalı. 'Şirketin her türlü tanıtım faaliyetinde kullanılmasını kabul ediyorum' cümlesi battaniye rızadır ve Kurum'un kendi açıklamalarında hukuken geçersiz sayılıyor. Rızanın alındığını ispat yükü de veri sorumlusunda, yani işverendedir.
Aydınlatma ile rızayı da karıştırmamak gerekiyor. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, hangi işleme şartına dayanılırsa dayanılsın aydınlatmanın yapılmasını, açık rıza alınacak hâllerde ise iki işlemin ayrı ayrı yerine getirilmesini istiyor. İkisini tek forma gömmek denetimde en sık eleştirilen uygulamalardan biri. Kapsam konusunda da dikkat gerekiyor: 2022/1147 sayılı kararda şirketin sunduğu aydınlatma metninin 'iş akdiniz devam ettiği sürece' ibaresini taşıması, fesih sonrası kullanımı meşrulaştırmak yerine şirketin aleyhine yorumlandı. Metninizin çizdiği süre, işlemenizin süresini de çiziyor.
Kurul kararlarına bakınca aynı hikâye farklı sektörlerde tekrarlıyor. 27 Nisan 2021 tarihli ve 2021/422 sayılı kararda, bir işyerinde pilates eğitmeni olarak çalışmış kişinin fotoğrafları iş ilişkisi sona erdikten sonra da işverenin herkese açık sosyal medya hesabında kalmayı sürdürmüştü. Veri sorumlusu, fotoğrafların kişinin bilgisi ve isteğiyle çekildiğini savundu ama rızayı belgeleyen hiçbir şey sunamadı; üstelik kullanımdan vazgeçeceğini bildirdiği hâlde paylaşımları yayında bıraktı. Kurul, geçerli bir işleme şartı bulunmadığını tespit ederek 18. maddenin birinci fıkrasının (b) bendi uyarınca idari para cezası uyguladı ve görsellerin silinmesine karar verdi. Buradaki ders sözlü izinle ilgili: ispatlanamayan rıza, hukuken alınmamış rızadır.
Paylaşılan içeriğin fotoğraf olması da şart değil. 21 Nisan 2022 tarihli ve 2022/386 sayılı kararda bir şirket, işten çıkardığı müdürünü adıyla ve soyadıyla anarak 'yaptığı usulsüzlükler nedeni ile işten ATILAN' ifadesiyle herkese açık hesabından duyurmuş, müşterilerinden özür dilemişti. Kurul paylaşımın 5. maddedeki hiçbir şarta dayanmadığını ve ölçülülük ilkesini aştığını değerlendirerek 30.000 TL idari para cezası verdi, kişisel verilerin imhasına hükmetti. Ayrılış duyuruları, veda gönderileri ve 'aramızdan ayrıldı' paylaşımları çoğu şirkette iyi niyetle hazırlanıyor. Hukuki sebebi ise nadiren düşünülüyor.
2022/1147 sayılı karar bir ayrımı netleştirdiği için ayrıca değerli. Kurul, çalışma dönemine ait görüntülerin şirket arşivinde bulunmasını hukuka uygun görmekle birlikte, fesihten sonra bu görüntülerin televizyon reklamında, internet sitesinde ve sosyal medya hesaplarında pazarlama amacıyla kullanılmaya devam edilmesinde geçerli bir işleme şartı olmadığını tespit etti. Aynı olayda eski çalışanın cep telefonu numarası kargo kayıtlarında, adı ve soyadı ise satış ile tahsilat belgelerinde işlem sahibi olarak durmayı sürdürüyordu; Kurul bunu verilerin doğru ve gerektiğinde güncel olması ilkesine aykırı buldu. Sonuç 250.000 TL idari para cezası, verilerin imha edilmesi ve işlemin tutanağa bağlanması oldu. Arşivde tutmak ile yayında tutmak arasındaki bu çizgi, çıkış sürecinizi tasarlarken elinizdeki en kullanışlı ölçüt.
Rıza geri alındığında ne oluyor? Kurum'un açıklamalarına göre geri alma ileriye etkilidir, bildirimi aldığınız andan itibaren işlemeyi durdurmanız gerekir. Talep 6698 sayılı Kanun'un 13. maddesi uyarınca en geç otuz gün içinde sonuçlandırılmalı. İş asıl burada zorlaşıyor, çünkü bir çalışanın görüntüsü tek yerde durmuyor. Diyelim ki üç yıl önce çekilmiş bir tanıtım videonuz var: video YouTube'da, kesitleri Instagram'da, bir karesi sitedeki ekip sayfasında, aynı kare basılı katalogda, üstüne bir de arama motoru önbelleğinde. Çıkış kontrol listesi hazırlarken bakılacak yerleri tek tek yazmak gerekiyor; internet sitesi, sosyal medya arşivi, tanıtım videoları, sunum şablonları, e-posta imzaları, dijital reklam setleri, basılı materyal ve varsa bayi ile tedarikçi mecraları. Yeniden basılamayacak matbu malzeme için kalan stoğun dağıtımdan çekilmesi makul bir adımdır.
Meselenin KVKK dışında kalan bir yüzü daha var. Türk Borçlar Kanunu'nun 419. maddesi, işverenin işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili olduğu veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini söylüyor. Fikir ve Sanat Eserleri Kanunu'nun 86. maddesi, eser niteliğinde olmasalar bile resim ve portrelerin tasvir edilenin muvafakati olmadan teşhir edilemeyeceğini düzenliyor ve yalnızca sınırlı istisnalar tanıyor. Kişilik hakkının ihlali ise Türk Medeni Kanunu'nun 24 ve 25. maddeleri üzerinden manevi tazminat kapısını açıyor. Yani görseli siteden kaldırmak KVKK cephesini kapatır, eski çalışanın açacağı tazminat davasını kendiliğinden bitirmez. Kurum cephesinde 2026 tutarlarıyla aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasına bağlı.
Şirketinizin internet sitesinde, sosyal medya arşivinde ve tanıtım videolarında kaç çalışanın görüntüsü var, bunlar hangi rızaya dayanıyor ve ayrılanların görselleri ne zaman kaldırıldı? Bu üç sorunun yazılı cevabı yoksa, riski görmenin en hızlı yolu küçük bir envanter çıkarmaktır. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut rıza metinlerinize ve çıkış sürecinize bakıp eksikleri sıralayabiliriz.