Şirketlerde İhbar Hattı (Whistleblowing) Kurulumu: KVKK ve İş Hukuku Rehberi

Şirketlerde ihbar hattı; yolsuzluk, taciz, çıkar çatışması, iş sağlığı ve güvenliği ihlali ya da etik kurallara aykırılık gibi risklerin erken fark edilmesini sağlayan önemli bir uyum aracıdır. Ancak hattın kurulması tek başına yeterli değildir: Bildirimde bulunan kişi, hakkında iddia ileri sürülen çalışan, tanıklar ve deliller aynı süreçte korunmalıdır. İyi tasarlanmış bir sistem, ihbarı görünür kılarken kişisel verileri gereksiz yere çoğaltmaz ve iş hukuku bakımından adil bir inceleme yürütür.

Şirketlerde İhbar Hattı (Whistleblowing) Nedir, Neden Kurulur?

İhbar hattı; çalışanların, tedarikçilerin veya diğer paydaşların hukuka, şirket politikasına ya da etik ilkelere aykırı olabileceğini düşündükleri davranışları güvenli bir kanaldan bildirmesine imkân verir. Kanal; çevrim içi form, telefon, e-posta, mobil uygulama, yüz yüze görüşme veya bunların birlikte kullanıldığı bir yapı olabilir.

Türkiye’de bir ihbar hattının hukuki tasarımı tek bir mevzuat metnine dayandırılamaz. Kişisel verilerin işlenmesi bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile çalışanların hakları, işverenin gözetme borcu, sadakat borcu ve olası yaptırımlar bakımından İş Kanunu ve Türk Borçlar Kanunu birlikte değerlendirilmelidir. Rekabet, rüşvet, suç gelirlerinin aklanması, sermaye piyasaları veya iş sağlığı ve güvenliği gibi konular söz konusuysa sektörel yükümlülükler de ayrıca incelenir.

Avrupa Birliği’nde faaliyeti bulunan veya Avrupa merkezli bir grubun parçası olan şirketler için 2019/1937 sayılı AB İhbarcı Koruma Direktifi de önem taşır. Direktifteki 50 çalışan eşiği, yedi günlük alındı bildirimi ve üç aylık geri bildirim süresi Türkiye’deki bütün özel şirketlere doğrudan uygulanan genel kurallar değildir. Buna karşılık gizlilik, tarafsız inceleme ve misillemeden koruma açısından güçlü bir yönetişim ölçütü sunar.

İhbar Hattında İşlenen Kişisel Veriler ve Veri Haritası

Bir bildirim dosyası yalnızca ihbarcının adından oluşmaz. İletişim bilgileri, görevi, çalıştığı birim, olayın zamanı ve yeri, hakkında iddia bulunan kişinin bilgileri, tanık anlatımları, yazışmalar, erişim kayıtları, kamera görüntüleri ve inceleme notları aynı dosyada birleşebilir. İddianın niteliğine göre sağlık bilgisi, sendika üyeliği, cinsel hayata ilişkin veri veya ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili bilgiler gibi özel nitelikli kişisel veriler de gündeme gelebilir.

Bu nedenle ilk adım, “ihbar hattı verisi” adı altında geniş bir veri havuzu kurmak değil, veri akışını işleme faaliyetleri bazında haritalamaktır. Şirket şu sorulara somut cevap vermelidir:

• Veriler kimlerden ve hangi kanaldan toplanır?
• Dosyaya kimler, hangi yetki düzeyiyle erişebilir?
• İnceleme sırasında hangi üçüncü kişilerden destek alınır?
• Hangi bildirim türlerinde hangi veriler gerçekten gereklidir?
• Veriler nerede saklanır, ne zaman silinir ve yurt dışına aktarılır mı?

KVKK Kapsamında İhbar Hattının Hukuki Sebepleri ve Açık Rızanın Yeri

KVKK’ye uygunluk, bildirim ekranına bir açık rıza kutusu eklemekle sağlanamaz. Özellikle iş ilişkisinde çalışan ile işveren arasındaki güç dengesizliği, açık rızanın özgür iradeye dayanıp dayanmadığını tartışmalı hâle getirebilir. Üstelik kanunda başka bir işleme şartı varsa aynı faaliyet için ayrıca açık rıza istenmesi, ilgili kişide yanlış bir seçim algısı yaratabilir.

Hukuki sebep her amaç ve veri grubu için ayrı belirlenmelidir. Somut olayın özelliklerine göre işverenin hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ya da veri sorumlusunun meşru menfaati gündeme gelebilir. Meşru menfaat tercih edildiğinde veri sorumlusunun meşru menfaati ile ilgili kişilerin temel hak ve özgürlükleri arasında yazılı ve denetlenebilir bir denge testi yapılmalıdır.

Özel nitelikli kişisel veriler için KVKK’nin 6. maddesindeki şartlar ayrıca değerlendirilir. 2024’te yürürlüğe giren değişiklik, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik ve sosyal hizmetler alanındaki hukuki yükümlülükler ile bir hakkın tesisi, kullanılması veya korunması gibi sebepleri düzenlemiştir. Ancak bu sebepler sınırsız veri toplama yetkisi vermez; gereklilik, ölçülülük ve özel nitelikli verilere özgü güvenlik tedbirleri korunmalıdır.

İhbar Süreçlerinde Gizlilik, Anonim Bildirim ve Aydınlatma Yükümlülüğü

“Gizli bildirim” ile “anonim bildirim” aynı şey değildir. Gizli bildirimde şirket ihbarcının kimliğini bilir ancak bu bilgiyi yalnızca bilmesi gereken kişilerle paylaşır. Anonim bildirimde ise ihbarcı kimliğini açıklamaz. Teknik kayıtlar, cihaz bilgileri veya kullanıcı hesapları üzerinden anonim kişinin kimliğini dolaylı biçimde belirleyebilecek veriler toplanıyorsa kanal gerçekte anonim sayılmayabilir.

Şirket, mutlak gizlilik vaadinde bulunmamalıdır. Kimlik bilgisinin yetkili makam talebi, yargılama veya hakkında iddia bulunan kişinin savunma hakkı nedeniyle açıklanmasının zorunlu olabileceği durumlar vardır. Doğru yaklaşım; paylaşımı amaçla sınırlamak, erişimi kayıt altına almak ve olası istisnaları anlaşılır biçimde önceden açıklamaktır.

Aydınlatma yükümlülüğü de yalnızca ihbarcı için düşünülmemelidir. Hakkında bildirim yapılan kişi ve tanıklar da kişisel verileri işlenen ilgili kişilerdir. Her gruba veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi, hukuki sebepler ve KVKK’nin 11. maddesindeki haklar açıklanmalıdır. Veri doğrudan ilgili kişiden alınmıyorsa Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliği’ndeki süreler gözetilmeli; incelemenin bütünlüğü gerekçesiyle bilgilendirme belirsiz bir süre ertelenmemelidir.

Hakkında İhbar Yapılan Çalışanın Hakları: Savunma ve Adil İnceleme

İhbar, kanıtlanmış bir ihlal değil, araştırılması gereken bir iddiadır. Dosya adı, yazışma dili ve iç raporlar bu ayrımı korumalı; “suçlu çalışan” gibi peşin hüküm bildiren ifadelerden kaçınılmalıdır. İddiaya konu kişiye uygun aşamada isnadın özü açıklanmalı ve cevap verme imkânı tanınmalıdır. Buna karşılık ihbarcının kimliği veya dosyadaki diğer kişilerin gereksiz ayrıntıları otomatik olarak paylaşılmamalıdır.

İş Kanunu’nun 19. maddesi, davranış veya verim nedeniyle yapılacak fesihte çalışanın savunmasının alınmasını öngörür; 25. maddenin (II) numaralı bendindeki hâller saklıdır. Dolayısıyla ihbar alındığı anda otomatik uzaklaştırma veya fesih kararı verilmesi ciddi uyuşmazlık riski yaratır. Geçici tedbir gerekiyorsa bu tedbir; delillere müdahaleyi önleme, tarafları koruma ve işin sürekliliği gibi somut amaçlara dayanmalı, süresi ve kapsamı ölçülü tutulmalıdır.

İş Hukukunda Misilleme Yasağı ve İhbar Sonrası Fesih Riskleri

İhbar hattına güven, iyi niyetli bir bildirimin kariyer, ücret, vardiya, görev yeri veya performans değerlendirmesi üzerinden cezalandırılmayacağına dair inandırıcı güvenceye bağlıdır. Türk Borçlar Kanunu’nun 417. maddesindeki işverenin çalışanın kişiliğini koruma borcu ve İş Kanunu’ndaki iş güvencesi hükümleri, misilleme niteliğindeki işlemler değerlendirilirken önem kazanabilir.

Yine de ihbar yapmak çalışana her durumda mutlak dokunulmazlık sağlamaz. Bilerek gerçeğe aykırı, hakaret veya iftira niteliği taşıyan bir bildirim ile makul şüpheye dayanan ancak sonradan doğrulanamayan iyi niyetli bildirim aynı kabul edilmemelidir. Disiplin işlemi düşünülüyorsa karar, ihbarın yapılmış olmasına değil, tarafsız incelemeyle ortaya konan somut davranışa, delile ve ölçülülük değerlendirmesine dayanmalıdır.

Misilleme yasağı; etik kodda tek cümle olarak bırakılmamalı, iş hukuku politikalarıyla birlikte uygulanmalıdır. Bildirimden sonraki görev, ücret ve performans kararlarının ikinci bir göz tarafından incelenmesi; yöneticilerin misilleme örnekleri konusunda eğitilmesi ve ihbarcının güvenli biçimde yeni endişe bildirebilmesi bu korumayı işler hâle getirir.

İhbar Sonrası İç Soruşturma ve İnceleme Süreci

Standart bir akış, dosyaların kişiye göre değil, aynı ilkelere göre yönetilmesini sağlar. Her olayın niteliği farklı olsa da aşağıdaki sıra güvenli bir başlangıç sunar:

1. Ön değerlendirme yapın. Hayati tehlike, devam eden taciz, delil kaybı veya yetkili makama bildirim gerektiren acil riskleri ayırın; konunun ihbar hattının kapsamına girip girmediğini belirleyin.
2. Çıkar çatışmasını kontrol edin. İncelemeyi yürütecek kişilerin iddiada adı geçen yöneticilere bağlı olup olmadığını değerlendirin. Gerekirse bağımsız hukukçu veya uzman görevlendirin.
3. Kapsamı ve hukuki çerçeveyi yazılı hâle getirin. Araştırılacak iddiaları, veri kaynaklarını, erişim yetkilerini, hukuki sebepleri ve olası aktarım noktalarını baştan belirleyin.
4. Delilleri hedefli toplayın. Yalnızca iddia ile bağlantılı dönem, kişi ve sistemlerde arama yapın. İşlemleri kayıt altına alın; delilin bütünlüğünü ve kaynağını koruyun.
5. Tarafları dinleyin. Tanık görüşmelerini gizlilik uyarısıyla yürütün; hakkında iddia bulunan kişiye uygun zamanda cevap ve delil sunma fırsatı verin.
6. Bulguları iddialardan ayırın. Her iddiayı “doğrulandı”, “doğrulanmadı” veya “mevcut delille sonuca bağlanamadı” gibi tutarlı ölçütlerle değerlendirin. Uygulanacak tedbirin gerekçesini yazın.
7. Dosyayı kapatın ve izleyin. İhbarcıya, diğer kişilerin mahremiyetini ihlal etmeden sürecin tamamlandığına ilişkin geri bildirim verin; düzeltici faaliyetleri ve olası misilleme belirtilerini takip edin.

İhbar İncelemesinde Delil Toplama: E-posta ve Cihaz Denetiminin Sınırları

İnceleme sırasında kurumsal e-posta, mesajlaşma kayıtları, erişim kayıtları veya kamera görüntüleri kullanılabilir. Ancak “şirket cihazı” ifadesi, cihazdaki her verinin sınırsız biçimde incelenebileceği anlamına gelmez. Kişisel Verileri Koruma Kurulunun çalışan e-postalarına ilişkin kararları; önceden bilgilendirme, belirli amaç, gereklilik, ölçülülük ve daha az müdahaleci yöntemlerin değerlendirilmesi gerektiğini gösterir.

Bu nedenle arama kriteri iddiayla bağlantılı anahtar kelime, tarih ve kişilerle sınırlandırılmalı; kişisel hesaplara veya özel yazışmalara müdahale istisnai tutulmalıdır. Tüm posta kutusunun kopyalanması ya da belirsiz süreyle saklanması yerine, konuya ilişkin kayıtların kontrollü biçimde ayrılması tercih edilmelidir. Çalışan izleme politikaları ile ihbar inceleme prosedürü birbiriyle uyumlu olmalıdır.

İhbar Yazılımlarında KVKK Standart Sözleşme ve Yurt Dışına Veri Aktarımı

İhbar platformu bir teknoloji sağlayıcısından alındığında sorumluluk dışarıya devredilmiş olmaz. Şirket, sağlayıcının veri işleyen mi yoksa bazı faaliyetlerde ayrı bir veri sorumlusu mu olduğunu işlem bazında belirlemelidir. Barındırma konumu, destek ekiplerinin erişimi, alt hizmet sağlayıcılar, erişim kayıtları, ihlal bildirimi, veri iadesi ve silme işlemleri sözleşmede açıkça düzenlenmelidir.

Kişisel verilerin yurt dışına aktarılması veya yurt dışından erişime açılması hâlinde KVKK’nin 9. maddesindeki güncel aktarım rejimi uygulanır. Yeterlilik kararı bulunmayan durumda uygun güvence seçenekleri; şirketler topluluğu için bağlayıcı şirket kuralları, standart sözleşmeler veya kanunda belirtilen diğer mekanizmalar olabilir. Standart sözleşme kullanılırsa imzadan itibaren beş iş günü içinde Kuruma bildirim yükümlülüğü de dikkate alınmalıdır.

İhbar Kayıtlarında Saklama Süresi ve Rol Tabanlı Erişim

“Olası bir uyuşmazlıkta gerekebilir” gerekçesi, bütün ihbar dosyalarını süresiz saklamayı haklı kılmaz. Bildirimin ilk değerlendirmede kapsam dışı kalması, incelemeye dönüşmesi, disiplin sürecine konu olması veya dava dosyasına girmesi farklı saklama ihtiyaçları doğurur. Bu nedenle tek bir uzun süre yerine olayın aşamasına ve hukuki zamanaşımı riskine bağlı bir saklama ve imha politikası oluşturulmalıdır.

Erişim de unvana göre değil, göreve göre verilmelidir. Etik ve uyum birimi, insan kaynakları, hukuk, iç denetim, bilgi güvenliği ve yönetim organları dosyanın tamamına aynı ölçüde erişmemelidir. Rol tabanlı yetki, çok faktörlü kimlik doğrulama, şifreleme ve işlem kayıtları uygulanmalı; periyodik erişim kontrolleriyle gereksiz yetkiler kaldırılmalıdır. Saklama süresi sona erdiğinde veriler silinmeli, yok edilmeli veya uygun olduğu ölçüde anonim hâle getirilmelidir.

Örnek İhbar Hattı Politikasında Bulunması Gereken Maddeler

Politika, yalnızca kanalın adresini duyuran kısa bir metin olmamalıdır. Çalışanların ve süreci yöneten ekiplerin aynı beklentiyi paylaşabilmesi için en az şu konular açıkça düzenlenmelidir:

• İnceleme ekibinin bağımsızlığı ve çıkar çatışması çözümü
• Anonim ve gizli bildirim arasındaki fark ile gizliliğin sınırları
• Kimlerin bildirim yapabileceği ve mevcut kanal seçenekleri
• Yönetim organına yapılacak ölçülü ve anonimleştirilmiş raporlama
• Hizmet sağlayıcılar, alt işleyenler ve yurt dışı aktarım mekanizmaları
• Bildirilebilecek konular ve acil durumlarda kullanılacak alternatif yollar
• Bildirimin alınması, ön değerlendirme, inceleme ve geri bildirim adımları
• İyi niyetli ihbarcıya karşı misilleme yasağı ile kasıtlı yanlış bildirimin sonuçları
• İşlenen veri kategorileri, hukuki sebepler, ilgili kişi hakları ve saklama süreleri

Politika kadar eğitim de önemlidir. Çalışanlara hangi olayların nereye bildirileceği anlatılmalı; bildirim alan kişiler soru sorma, gizliliği koruma ve delile müdahale etmeme konusunda eğitilmelidir. Yıllık yönetim raporlarında isim listeleri yerine bildirim türleri, kapanma süresi, doğrulanan bulgular ve düzeltici faaliyetler gibi toplulaştırılmış göstergeler kullanılmalıdır.

İhbar Hattı Yönetiminde Şirketlerin En Sık Yaptığı Hukuki Hatalar

Uygulamada en önemli risk, iyi niyetle kurulan hattın kontrolsüz bir kişisel veri ve söylenti arşivine dönüşmesidir. Her süreçte açık rızaya dayanmak, anonimlik vaat ederken teknik olarak kimlik belirleyici kayıt tutmak, dosyayı çok geniş bir yönetici grubuyla paylaşmak ve bildirimi araştırmadan disiplin yaptırımı uygulamak sık görülen hatalardır.

Bunlara saklama süresi belirlememek, ihbar edilen kişiyi peşinen suçlu kabul etmek, iyi niyetli ancak doğrulanmayan bildirim ile kasıtlı yanlış bildirimi aynı görmek ve dış platformun yurt dışı veri akışını incelememek de eklenebilir. Etkili çözüm, hattı yalnızca yazılım alımı olarak değil, KVKK, iş hukuku, bilgi güvenliği ve kurumsal yönetişimin birlikte yürüttüğü uçtan uca bir süreç olarak tasarlamaktır.

Şirketiniz İçin KVKK ve İş Hukukuna Uyumlu İhbar Hattı Danışmanlığı

Eksik tasarlanan bir ihbar hattı, şirketin erken uyarı mekanizması olmak yerine kişisel veri ihlali, haksız fesih iddiası ve kurum içi güven kaybı doğurabilir. Kanal, inceleme, delil, erişim, saklama ve misillemeden koruma adımları birlikte ele alındığında ise riskleri erken ve ölçülü biçimde yönetmek mümkün olur.

Esenyel Partners; ihbar hattı politikalarının hazırlanması, KVKK veri akışının ve hukuki sebeplerin belirlenmesi, hizmet sağlayıcı sözleşmelerinin incelenmesi, iç soruşturmaların yürütülmesi ve iş hukuku risklerinin yönetilmesi konularında şirketlere bütüncül hukuki destek sunar.

Şirketinizde yeni bir ihbar hattı kurmak veya mevcut sistemi güncel mevzuat ve uygulama ölçütleri bakımından değerlendirmek için Esenyel Partners ile iletişime geçebilirsiniz.

İletişim