Çalışanın Maaş Bilgisi Kişisel Veri mi? Bordronun Yanlış Kişiye Gitmesi, Ücret Gizliliği Maddesi ve KVKK

Kısa cevap: evet. Ücret, 6698 sayılı Kanun'un 3. maddesindeki tanım gereği kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin bilgidir; dolayısıyla kişisel veridir. Tek başına özel nitelikli sayılmaz, ama bordronun içindeki bazı satırlar özel nitelikli veri doğurabilir ve tablo o noktada değişir. Bordronun yanlış çalışana gitmesi ise sıradan bir dikkatsizlik değil, Kanun'un 12. maddesi anlamında bir veri ihlalidir ve Kurula bildirim yükümlülüğü doğurur. Kişisel Verileri Koruma Kurulu'nun 15 Aralık 2020 tarihli ve 2020/957 sayılı kararına konu olayda bir ilaç şirketinde sunucu geçişi sırasında 337 çalışanın aylık bordrosu yanlış alıcılara e-posta ile gönderildi. Gönderilen dosyalarda maaş tutarının yanında ad soyad, banka hesap numarası ve T.C. kimlik numarası da vardı.

Bordro aslında tek bir veri değil, üst üste binmiş bir veri yığınıdır. Ad soyad, T.C. kimlik numarası, sicil numarası, IBAN, brüt ve net ücret, prim, fazla çalışma, avans mahsubu, vergi ve sigorta primi kesintileri aynı sayfada durur. Bu yüzden bir bordronun ifşası, yalnızca kişinin ne kazandığının öğrenilmesinden ibaret kalmaz. Banka hesap numarası ile kimlik numarasının bir arada sızması dolandırıcılık senaryolarını doğrudan besler. Aynı dosya, kişinin borçlu olup olmadığını, kaç çocuğu bulunduğunu, hangi ek ödemeleri aldığını da ele verebilir. İşyerlerinde "nasılsa sadece rakam" diye bakılan belge, gerçekte bir kimlik dosyasıdır.

Asıl gözden kaçan katman şu: bordro, özel nitelikli kişisel veri taşıyabilir. 4857 sayılı İş Kanunu'nun 37. maddesi, işverenin ücret hesabını gösteren bir pusula vermesini zorunlu kılıyor ve bu pusulada vergi, sigorta primi, avans mahsubu, nafaka ve icra gibi her çeşit kesintinin ayrı ayrı gösterilmesini istiyor. Sendika aidatı da aynı yerde görünür; 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanunu'nun 18. maddesi, üyelik ve dayanışma aidatının yetkili işçi sendikasının yazılı başvurusu üzerine işçinin ücretinden kesilerek sendikaya ödenmesini düzenliyor. Sendika üyeliği, 6698 sayılı Kanun'un 6. maddesinde açıkça özel nitelikli kişisel veri olarak sayılıyor. Gelir vergisi tarafındaki engellilik indiriminden yararlanan bir çalışanın bordrosu ise sağlık durumuna işaret eder. Yani bordroya erişim yetkisini "muhasebede herkes görsün" diye kurgulayan bir şirket, farkında olmadan özel nitelikli veriye toplu erişim açmış olur.

İşveren bu veriyi hangi hukuki dayanakla işliyor? Açık rızayla değil. Ücret ödemek iş sözleşmesinin temel edimidir, dolayısıyla 5. maddenin ikinci fıkrasının (c) bendindeki sözleşmenin ifası şartı devrededir. Vergi ve sosyal güvenlik bildirimleri, ücretin bankadan ödenmesi, ücret hesap pusulası düzenlenmesi gibi başlıklar (ç) bendindeki hukuki yükümlülük kapsamına girer. Bir uyuşmazlıkta bordroların delil olarak kullanılması ise (e) bendine dayanır. Çalışandan "maaş verilerimin işlenmesine izin veriyorum" şeklinde bir rıza metni imzalatmak yalnızca gereksiz değil, yanıltıcıdır; rıza her an geri alınabilir ve geri alındığında işveren ücret ödemeyi bırakamaz. Kurul, işveren ile çalışan arasındaki güç dengesizliği nedeniyle bu ilişkide rızanın özgür iradeye dayandığından zaten kuşkuyla yaklaşıyor. Dayanak açık rıza olmasa da aydınlatma yükümlülüğü ortadan kalkmaz; çalışan aydınlatma metninde ücret verisinin kimlere aktarıldığını görebilmelidir.

Bazı aktarımlar zaten mevzuattan doğuyor. Ücret, Prim, İkramiye ve Bu Nitelikteki Her Türlü İstihkakın Bankalar Aracılığıyla Ödenmesine Dair Yönetmelik'te 4 Haziran 2025'te yapılan değişiklikle çalışan sayısı eşiği beşten üçe indirildi; Türkiye genelinde en az üç işçi çalıştıran işveren ödemeleri banka üzerinden yapmak zorunda. Bu da bankaya düzenli bir ücret listesi gitmesi demek. Sosyal Güvenlik Kurumu'na yapılan bildirimler, muhasebe ve bordro hizmetinin dışarıdan alındığı hâllerde mali müşavire ya da bordro firmasına yapılan aktarımlar aynı mantıkla yürür. İcra dairesinden maaş haczi müzekkeresi geldiğinde de durum aynıdır: 2004 sayılı İcra ve İflas Kanunu'nun 355. maddesi, işverenin haczin uygulandığını ve borçlunun ücret miktarını en geç bir hafta içinde bildirmesini, kesilen tutarı hemen daireye göndermesini istiyor. Burada dikkat edilecek nokta kapsamdır. İcra dairesine sorulan bilgi verilir, on iki aylık bordro seti gönderilmez.

Bordro hizmetini dışarıdan almak sorumluluğu devretmiyor. Kurul'un 7 Nisan 2022 tarihli ve 2022/328 sayılı kararına konu olayda, bordrolama hizmeti sunan şirket bir çalışana ücretsiz izin uygulamasına ilişkin ihtarname göndermiş, aynı ihtarnameyi kişinin T.C. kimlik numarası ve adresiyle birlikte yedi başka çalışana daha iletmişti. Kurul, verilerin karartma gibi bir işlem yapılmaksızın paylaşıldığını ve bu paylaşımın 5. maddedeki işleme şartlarından hiçbirine dayanmadığını tespit ederek 100.000 TL idari para cezası uyguladı. Karardan çıkan ders pratik bir cümleye sığıyor: aynı uygulamadan etkilenen çalışanlar, birbirlerinin belgesini görmeye hak kazanmış olmuyor. Toplu bir ücretsiz izin sürecinde bile her çalışana yalnızca kendi belgesi gider.

Türkiye'de bordro kaynaklı ihlallerin büyük çoğunluğu tek bir hatadan doğuyor: toplu e-posta gönderimi. 2020/957 sayılı kararda ihlal, güvenlik seviyesini artırmak için yapılan sunucu geçişi sırasında oluştu; hatalı bordroyu alan bir çalışanın insan kaynaklarını uyarması sayesinde on üç dakika içinde tespit edildi ve iki saat içinde durduruldu, e-postalar silindi, alıcılara uyarı yapıldı. Kurul bu aşamada 12. madde kapsamında ayrıca işlem yapılmasına gerek görmedi, ancak ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde bildirim konusunda daha dikkatli olunması yönünde talimat verdi. 2021/464 sayılı kararda ise bir otoyol işletmesinde bordrolar çalışanların kendi talepleriyle bildirdikleri kişisel e-posta adreslerine gönderiliyordu ve sistemsel bir eşleştirme hatası yüzünden 489 kişi başkasının bordrosunu görebildi. Kurul burada durumu salt teknik arıza saymadı. Saha personeline kurumsal e-posta hesabı tahsis edilmemiş olmasını, iş yazışmalarının kişisel adresler üzerinden yürütülmesini ve risk analizinin yetersizliğini idari eksiklik olarak niteledi ve 60.000 TL idari para cezası verdi.

Bu iki karar birlikte okunduğunda uygulamaya dönük bir kontrol listesi çıkıyor. Bordro gönderimi tek alıcılı olmalı; toplu gönderim aracı kullanılıyorsa eşleştirme mantığı canlıya çıkmadan önce test verisiyle doğrulanmalı. Dosyalar parola korumalı gönderiliyorsa parola aynı e-postanın içinde yazmamalı. Bordroların ortak ağ klasöründe, herkesin eriştiği bir sürücüde ya da paylaşılan bir bulut dizininde durması en sık rastlanan ve en kolay kapatılan açıktır. Kimin hangi çalışanın bordrosunu görebileceği bir yetki matrisiyle yazılı hâle getirilmeli ve erişimler loglanmalı. Kurumsal e-posta altyapısı bir konfor kalemi değil, Kurul'un bir kararında açıkça tartıştığı bir güvenlik tedbiri. Kendi hesabından bordro gönderen bir İK uzmanı, şirketi 2021/464'teki tabloya bir adım yaklaştırıyor.

Gelelim en çok tartışılan başlığa: iş sözleşmesindeki ücret gizliliği maddesi. Burada iş hukuku ile veri koruma hukuku sık sık birbirine karışıyor. Çalışan kendi maaşını bir mesai arkadaşına söylediğinde KVKK ihlali doğmaz; kişi kendi verisini paylaşmaktadır ve bu işlemde veri sorumlusu sıfatı taşımaz. Mesele tamamen iş hukuku alanında kalır. Yargıtay 9. Hukuk Dairesi'nin 5 Ekim 2017 tarihli, 2016/24041 esas ve 2017/15069 karar sayılı ilamında, aynı işyerinde çalışanlara verilen ücretlerin eşit davranma ilkesi bakımından denetlenebilmesi için işçi tarafından bilinmesi gerektiği vurgulanmıştı. Doktrinde bu yaklaşıma itiraz edenler de var ve sözleşmeye bağlılığı öne çıkarıyorlar. Uygulamada ölçüt şuna dönüşüyor: ücretini söylemek tek başına fesih gerekçesi sayılmıyor, işyerinde ciddi bir huzursuzluğa yol açan yayma davranışı ise geçerli nedene dönüşebiliyor. Avrupa tarafında rüzgâr şeffaflıktan yana esiyor; Avrupa Birliği'nin 2023/970 sayılı Ücret Şeffaflığı Direktifi'nin üye devletlerce 7 Haziran 2026'ya kadar iç hukuka aktarılması öngörülmüştü. Türkiye'de doğrudan uygulanmıyor, ama Avrupa'da iştiraki olan gruplar bu soruyla şimdiden karşılaşıyor.

Kendi maaşını söylemek ile başkasının bordrosunu ele geçirip dağıtmak arasında ise kalın bir çizgi var. İkinci davranış Türk Ceza Kanunu'nun 136. maddesi kapsamında kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçunu gündeme getirir ve iki yıldan dört yıla kadar hapis cezası öngörülmüştür. Suçun mağduru bordrosu ifşa edilen çalışandır, dolayısıyla şikâyet hakkı da ona aittir. Aynı fiil iş sözleşmesi bakımından doğruluk ve bağlılığa aykırılık oluşturabilir. İşverenin bu noktada kendi payına düşen soru şudur: bu çalışan, başkasının bordrosuna neden erişebiliyordu? Erişim yetkisi görev tanımından genişse ceza sorumluluğu failde kalsa bile, veri güvenliği tedbirlerini almama sorumluluğu şirkete döner.

Üçüncü kişilere ifşa tarafında Kurul'un çizgisi sert. 2 Eylül 2022 tarihli ve 2022/896 sayılı kararda, eski işveren ilgili kişinin kişisel verilerinin yer aldığı savcılık şikâyet dilekçesini kişinin kardeşine e-posta ile göndermişti. Kurul paylaşımın hiçbir işleme şartına dayanmadığını değerlendirerek 150.000 TL idari para cezası uyguladı. Aile ferdi de üçüncü kişidir; akrabalık, veriyi paylaşma yetkisi vermez. Aynı mantık günlük İK trafiğinde sık karşımıza çıkan iki talebe de uygulanır. Bir banka kredi başvurusu için maaş teyidi istediğinde ya da yeni bir işveren referans araması yaparken ücret sorduğunda, çalışanın bilgisi ve talebi olmadan bilgi verilmez. Bu tür taleplerde doğru yol, teyidi çalışanın kendisine verilen belge üzerinden yürütmektir. 2026 rakamlarıyla bakıldığında hata pahalı: veri güvenliği yükümlülüklerine aykırılık 18. maddenin birinci fıkrasının (b) bendi uyarınca 256.357 TL ile 17.092.242 TL arasında, aydınlatma yükümlülüğüne aykırılık ise 85.437 TL ile 1.709.200 TL arasında idari para cezası anlamına geliyor. Bordrosu ifşa edilen çalışanın yolu ise nettir: önce 11. madde kapsamında veri sorumlusuna başvuru, otuz gün içinde cevap gelmezse veya cevap yetersizse Kurula şikâyet, ayrıca genel hükümlere göre tazminat talebi.

İşyerinizde bordroların kimlere gittiğini, hangi klasörlerde durduğunu ve kimin erişebildiğini son bir yıl içinde gözden geçirmediyseniz, başlanacak yer burası. KVKK Danışman'ın ücretsiz ön değerlendirmesinde ücret verisi akışınızı, bordro gönderim yönteminizi, erişim yetkilerinizi ve bordro hizmet sağlayıcınızla imzaladığınız sözleşmeyi birlikte inceliyoruz.

Randevu Al