Lahey Bölge Mahkemesi, 7 Temmuz 2026, ECLI:NL:RBDHA:2026:18633, dava numarası 12156440 \ RP VERZ 26-50366.
Çalışanının sözleşmede belirtilenden daha az saat çalıştığından şüphelenen bir işveren dikkatli davranmalıdır. Giriş ve çıkış verilerinin gizlice analiz edilmesi otomatik olarak izin verilen bir durum değildir ve bu tür verilerde tutarsızlıklar ortaya çıksa bile, bu durum otomatik olarak işten çıkarma için yeterli kanıt teşkil etmez. 7 Temmuz 2026'da Lahey'deki kanton mahkemesi, dijital izleme araçlarının kullanımını düşünen her işveren için geçerli olan bir kararla bu konuya ilişkin hüküm vermiştir.
Gerçekler
Çalışan, 2022 yılından beri Delfgauw merkezli bir teknoloji şirketi olan EControls Europe BV'de, son olarak finans departmanında yönetici pozisyonunda çalışıyordu. 2025 yazında, çalışanın eşi meme kanseri tedavisi gördü. Yönetimin onayıyla, çalışan daha sonra kısmen iki küçük çocuğuna bakmak için daha sık evden çalışmaya başladı. Performansı personel değerlendirmelerinde olumlu olarak değerlendirildi ve 2026 yılının başında maaşına zam bile yapıldı.
Daha sonra işveren, çalışanın bağlılığından şüphe duymaya başladı. Tetikleyici unsur, biri muhasebeciden diğeri Hollanda İstatistik Kurumu'ndan (CBS) gelen, ödenmemiş idari yükümlülüklerle ilgili iki rutin hatırlatma mektubuydu. İşveren, çalışandan önce bir açıklama istemeden, yaklaşık bir ay boyunca şirket ağındaki kullanıcı hesabının giriş ve çıkış verilerini analiz etti. Bu verilere dayanarak, işveren çalışanın anlaşmada belirtilenden 29 saat daha az çalıştığı sonucuna vardı ve çalışan, iddia edilen yapısal saat eksiklikleri ve bu konuda işverene karşı dürüst olmaması nedeniyle derhal işten çıkarıldı.
Yeterli GDPR dayanağı yok.
İşveren, giriş ve çıkış verilerini analiz ederek çalışanın kişisel verilerini işlemiştir. Bu tür bir işlem, GDPR kapsamında yasal bir dayanağa ihtiyaç duyar. İş ilişkisinde, meşru menfaate dayanmak açık bir seçenektir, ancak bu, işverenin denetim uygulama isteğinden daha fazlasını gerektirir. İşveren, somut ve güncel bir menfaati, bu menfaate hizmet etmek için işlemenin gerekli olduğunu ve çalışanın menfaatlerinin ve temel haklarının bu menfaatten daha ağır basmadığını gösterebilmelidir.
İş sözleşmesi şartlarına uyumun izlenmesi prensipte meşru bir işveren menfaati oluşturabilir. Ancak bu durumda, iki hatırlatma mektubu bu amaç için yetersiz kalmıştır. Mektuplarda herhangi bir saat eksikliğine işaret edilmemiş ve çalışana idari yükümlülüklerini yerine getirme fırsatı verilmiştir. Dolayısıyla, işleme alınması için yeterince somut bir temel yoktu: Bu, kesinleşmiş bir olgu veya somut olarak kanıtlanmış bir şüphe meselesi değil, çalışanla hiçbir görüşme yapılmadan gizli bir soruşturmaya dönüştürülen dolaylı bir göstergeydi.
Ayrıca, çalışanın giriş ve çıkış bilgilerinin bu tür bir kontrol için kullanılabileceğinden haberi yoktu. Henüz yeni oluşturulmuş olan evden çalışma politikası da bunun için net bir temel sağlamamıştı. Çalışanlar hangi verilerin toplandığını, hangi amaçla ve hangi koşullar altında izlenebileceklerini anlamalıdır. Evden çalışmaya, kısmen çalışanın kişisel koşulları nedeniyle açıkça izin verilmiş olması, şeffaflık eksikliğini daha da önemli hale getiriyor: Tam da bu bağlamda, işverenin çalışma saatleri, müsaitlik ve zaman kaydı açısından ne beklendiğini önceden açıkça belirtmesi gerekirdi.
İzleme ne orantılıydı ne de ikincil nitelikteydi.
İşverenin meşru bir menfaati olsa bile, izleme yine de orantılı olmalıydı: çalışanın mahremiyetine yapılan müdahalenin ciddiyeti ve kapsamı, soruşturmanın nedeni ve amacına orantılı olmalıydı. Burada bu orantılılık yoktu. İşveren, çalışanı önceden bilgilendirmeden veya açıklama istemeden yaklaşık bir ay boyunca tek bir çalışanın verilerini analiz etti; üstelik bunu yapmanın sınırlı ve dolaylı bir nedeni vardı. Dahası, çalışan iyi performans gösteriyordu, yakın zamanda maaş zammı almıştı ve yönetimin onayıyla evden çalışmasına izin verilmişti.
İşveren, aynı amaca daha az müdahaleci yöntemlerle ulaşılıp ulaşılamayacağını da değerlendirmeliydi – sözde ikincillik testi. Duruşma sırasında yönetici, çalışanın soruşturmadan haberdar olduktan sonra davranışlarını değiştireceğinden korktuğu için çalışanla konuşmaktan kasten kaçındığını belirtti. Kanton mahkemesi bunu ikna edici bir neden bulmadı. Potansiyel olarak uygunsuz davranışların düzeltilmesi, bir işverenin bir konuşma, bir uyarı veya bir iyileştirme planı yoluyla elde etmek istediği sonuçtur. Bunu kasten göz ardı ederek ve hemen gizli izlemeye geçerek, işveren önce daha az müdahaleci alternatifleri denemeden çok sert bir önlem kullandı.
Giriş ve çıkış verileri, bir kişinin çalışmadığını otomatik olarak kanıtlamaz.
Esas yönünden de kanton mahkemesi verilerin yeterince ikna edici olmadığını tespit etti. Şirket ağına giriş yapmamak, bir kişinin çalışmadığı anlamına gelmez. Çalışanın rolü ayrıca analiz, planlama, danışma, denetim ve telefonla iletişim gibi faaliyetleri de içeriyordu; bu faaliyetler aktif bir ağ bağlantısı gerektirmez. Giriş ve çıkış verileri, sistem aktivitesini kaydeder, bir kişinin iş performansının tamamını değil.
Kanton mahkemesi, çevrimdışı çalışmanın farkın bir kısmını açıklayabileceğini, ancak 4.5 haftalık bir süre zarfındaki 27 saatlik farkın tamamını açıklayamayacağını değerlendirdi. Yine de, iş günü başına ortalama bir saatten biraz fazla olan fark, yapısal olarak, kararlaştırılandan önemli ölçüde daha az saat çalışıldığı sonucuna varmak için yeterli değildi. Veriler en fazla, ciddi bir suistimal veya kasıtlı aldatmanın kesin kanıtı değil, bir göstergesi niteliğindeydi.
GDPR ihlali ve işten çıkarılma ayrı konular değildir.
Veri işlemenin hukuka aykırı olması, bu verilerin işten çıkarma sürecinde kullanılmasının otomatik olarak engellendiği anlamına gelmez, ancak soruşturmanın güvenilirliğini ve ikna ediciliğini ciddi şekilde zayıflatmıştır. İşveren, işten çıkarmayı büyük ölçüde, önceden net bir bilgi olmaksızın toplanan, saat eksiklikleriyle özel olarak ilgili somut bir neden olmaksızın analiz edilen, aşırı müdahaleci bir kontrol yöntemiyle elde edilen ve yapılan gerçek işin yalnızca sınırlı bir resmini veren verilere dayandırmıştır. Daha fazla soruşturma yapılmadan, çalışanın dinlenmeden ve yapılmayan işlere dair somut örnekler olmadan, bundan acil bir işten çıkarma nedeni çıkarılamaz. Bu nedenle GDPR ihlali ayrı bir gizlilik sorunu değil, özet işten çıkarmanın yetersiz hazırlanması ve gerekçelendirilmesinin bir parçasıydı.
Bu karar, içtihat hukukunda tutarlı bir çizgiye uymaktadır.
Lahey'deki kanton mahkemesi bu konuda yalnız değil. Avrupa İnsan Hakları Mahkemesi (AİHM), 2017 yılında, geniş yankı uyandıran Bărbulescu v. Romanya davasında (AİHM 5 Eylül 2017, no. 61496/08), Hollanda içtihat hukukunu etkilemeye devam eden bir işveren izleme değerlendirme çerçevesi oluşturmuştur. AİHM, çalışanların dijital olarak izlenmesini değerlendirirken, diğer hususların yanı sıra şunlara da dikkat edilmesi gerektiğini belirtmiştir: çalışanın izleme olasılığı hakkında önceden bilgilendirilip bilgilendirilmediği, izlemenin ne kadar kapsamlı ve müdahaleci olduğu, işverenin izleme için meşru bir nedeninin olup olmadığı, daha az müdahaleci yöntemlerin mevcut olup olmadığı, izlemenin çalışan için ne gibi sonuçlar doğurduğu ve yeterli güvencelerin sağlanıp sağlanmadığı.
Bu değerlendirme çerçevesi, örneğin, Hollanda Merkez Bölge Mahkemesi'nin 2021 tarihli bir kararında (ECLI:NL:RBMNE:2021:6071) tekrar karşımıza çıkmaktadır. Bu davada, bir işveren, iki iç sinyalin ardından bir çalışanın e-posta kullanımını izlemiş, ancak bu izlemenin ne kadar müdahaleci olduğu veya çalışanın izleme olasılığı hakkında önceden bilgilendirilip bilgilendirilmediği açık olmamıştır. İşveren bu konuda yeterli şeffaflık sağlamadığı için, kanton mahkemesi Bărbulescu kriterlerinin karşılanıp karşılanmadığını veya soruşturma bulgularının herhangi bir yasadışı izlemeden bağımsız olup olmadığını tespit edememiştir. İş sözleşmesinin feshi talebi de bu belirsizlik nedeniyle başarısız olmuştur. Aynı sorun EControls davasında da ortaya çıkmaktadır: Orada da izleme politikası hakkında şeffaflık eksikliği vardı ve işveren, izlemenin orantılı ve somut bir nedene bağlı olduğunu gösterememiştir.
Dijital izlemenin doğası gereği yasa dışı olmadığı, Kuzey Hollanda Bölge Mahkemesi'nin 12 Aralık 2025 tarihli (ECLI:NL:RBNHO:2025:14471) daha yeni bir kararıyla gösterilmiştir. Bu davada, bir işveren, şirket verilerini dışarıya sızdırmakla tehdit eden ve bir meslektaşının olası BT suistimalini bildirmesi üzerine bir çalışan hakkında BT soruşturması başlatmıştır. Kanton mahkemesi, bunun hedefsiz bir "balık avı" değil, somut ve güncel bir temele dayanan bir soruşturma olduğuna ve bu nedenle bulguların derhal işten çıkarmayı haklı çıkarmak için kullanılabileceğine karar vermiştir. EControls davasıyla karşılaştırma açıklayıcıdır: Lahey'de sadece iki rutin hatırlatma mektubu temel oluştururken, Kuzey Hollanda davasında doğrudan çalışanın kendisinden ve bir meslektaşından gelen somut, güncel ve ciddi sinyaller vardı.
Son olarak, işten çıkarma davalarında delil açısından, Yüksek Mahkeme'nin 13 Mart 2026'da (ECLI:NL:HR:2026:409) verdiği kararın, işten çıkarma kararını kısmen dijital delillere, örneğin kamera kayıtlarına dayandıran bir mahkemenin, çalışanın bu materyali gerçekten görüp yorum yapabildiğinden emin olması gerektiğini vurgulaması önemlidir. Bunun gerçekleşmemesi durumunda, Hollanda Medeni Usul Kanunu'nun 19(1) maddesi ve Avrupa İnsan Hakları Sözleşmesi'nin 6. maddesi uyarınca "diğer tarafı dinleme" ilkesi ve eşit haklar ilkesi ihlal edilmiş olur. Bu akıl yürütme biçimi, EControls davasında olduğu gibi, işverenin işten çıkarma kararını giriş ve çıkış verilerine dayandırdığı durumlarda da aynı derecede geçerlidir: burada da, mahkeme kararını bu delillere dayandırmadan önce çalışana bu delilleri görme ve bunlara itiraz etme konusunda gerçek bir fırsat verilmelidir.
Özetle işten çıkarma için acil bir neden yok.
Geçerli bir ani işten çıkarma, Hollanda Medeni Kanunu'nun 7:677(1) ve 7:678(1) maddeleri anlamında acil bir neden gerektirir. Bu neden büyük bir ihtiyatla kabul edilmeli ve ispatlanabilir gerçeklere dayanmalıdır; iddia ve ispat yükü işverene aittir. Bu durumda, bunun için yeterli bir olgusal temel yoktu. İşveren, çalışandan önce açıklama istememiş, gizlice toplanan verilere dayanmış, şirket ağı dışında yapılan çalışmaları yeterince dikkate almamış, önceden uyarıda bulunmamış veya iyileştirme fırsatı vermemiş ve çalışanın kişisel koşullarına yeterince önem vermemiştir. Bu nedenle kanton mahkemesi, ani işten çıkarmanın haklı olmadığına ve işverenin öncelikle daha az müdahaleci önlemler alması gerektiğine karar vermiştir.
İşveren için mali sonuçlar
İşten çıkarmanın geçerli bir şekilde yapılmamış olması nedeniyle, işverene çeşitli tazminatlar ödemesi emredildi: yasal geçiş ödemesi, usulsüz fesih tazminatı ve yaklaşık altı aylık maaşa denk gelen brüt 60,000 Euro tutarında adil tazminat (billijke vergoeding). Adil tazminat miktarını belirlerken, kanton mahkemesi, çalışanın bir günden diğerine, iş hukuku kapsamında mümkün olan en ağır yaptırımla karşı karşıya kaldığını, oysa çalışanın iyi performans gösterdiğini ve işverenin dikkatli bir ön süreç izlemediğini dikkate aldı. İşverenin sabit yasal tazminata karşı uyguladığı mahsup işlemleri de iptal edildi.
İnsan kaynakları ve yönetim için pratik dersler
Bu karar, uygulama için bir dizi açık ders sunmaktadır. Çalışanların evden çalışmasına izin verirken, çalışma saatleri, müsaitlik, verimlilik ve saat kaydı konusunda önceden net düzenlemeler yapılmalı ve hangi dijital verilerin toplandığı, hangi amaçla toplandığı ve ne zaman kontrol edilebileceği şeffaf bir şekilde kaydedilmelidir. Giriş ve çıkış saatleri gibi sistem verileri, katılım veya performans için otomatik bir ölçüt olarak değil, yalnızca dikkatli bir soruşturmanın parçası olarak kullanılmalıdır. Bir çalışanın bağlılığı konusunda şüphe varsa, İK öncelikle bir görüşme yapmalı, çalışandan açıklama istemeli ve geçici zaman kaydı, uyarı veya iyileştirme planı gibi daha az müdahaleci önlemleri değerlendirmelidir. Herhangi bir izleme biçimi, yasal dayanak, gereklilik, orantılılık ve ikincillik gerekliliklerine göre önceden değerlendirilmelidir. Çalışan dinlendikten sonra somut sinyaller devam etmedikçe, disiplin cezası -hele ki ani işten çıkarma- düşünülemez.
Kişisel verilerin işlenmesine ilişkin düzenlemeler ve çalışanların varlığını, davranışını veya performansını izlemeyi amaçlayan tesisler için, Hollanda İşyeri Konseyi Kanunu'nun (WOR) 27(1) maddesi uyarınca işyeri konseyinin onay hakkı ayrıca geçerlidir. Bu tür bir düzenleme veya izleme sistemi uygulamak isteyen bir işveren, işyeri konseyinin onayının gerekli olup olmadığını önceden değerlendirmeli ve gerekirse, önlemi uygulamadan önce kanton mahkemesinden bu onayı veya yerine geçecek izni almalıdır.
Bu, pratikte ne anlama geliyor?
Çalışanların gizli izlenmesi, ancak GDPR'nin 5. maddesinde belirtilen yasallık, şeffaflık, amaç sınırlaması ve veri minimizasyonu ilkelerine uygun olması ve GDPR'nin 6. maddesinde belirtilen geçerli bir yasal dayanağa dayanması durumunda savunulabilir. GDPR'nin 88. maddesi, iş ilişkisindeki veri işleme konusunda daha spesifik kurallar getirilmesine olanak tanır, ancak kendi başına gizli izleme için sınırsız bir yetki sağlamaz. İzlemenin ayrıca gerekli ve orantılı olması ve öncelikle daha az müdahaleci yöntemlerin değerlendirilmesi gerekir. Yasa dışı olarak toplanan veya amaçlanandan farklı bir amaçla kullanılan veriler, iş hukuku yaptırımı (özellikle de ani işten çıkarma) için temel oluşturabilecek ciddi zararlara yol açabilir ve önemli gizlilik ve iş hukuku risklerine neden olabilir.
Bu davadan çıkarılacak en önemli ders, dijital izlemenin asla izin verilmemesi gerektiği değil, ancak işverenin somut bir menfaati belirleyebildiği, en az müdahaleci yöntemi seçtiği ve çalışanı önceden şeffaf bir şekilde bilgilendirdiği durumlarda savunulabilir olduğudur. Bu davada işveren üç konuda da başarısız oldu: tetikleyici yeterince somut değildi, izleme çok müdahaleciydi ve daha az kapsamlı alternatifler kullanılmamıştı.
Sık Sorulan Sorular
İşveren, çalışanın giriş ve çıkış bilgilerini kontrol edebilir mi?
Hayır. Bir işveren, bu tür kişisel verileri ancak GDPR anlamında meşru bir menfaat söz konusu olduğunda ve çalışanın gizliliğine müdahale orantılı ve gerekli olduğunda işleyebilir. Ayrıca, çalışan prensip olarak, örneğin açıkça iletilmiş bir politika aracılığıyla, bu tür bir izlemenin gerçekleşebileceğini önceden bilmelidir. Bunun eksikliği durumunda, soruşturma bu vakada olduğu gibi hızla hukuka aykırı hale gelir.
Oturum açmamış olmak ile çalışmıyor olmak arasındaki fark nedir?
Şirket ağına giriş yapmamış olmak, bir çalışanın otomatik olarak çalışmadığı anlamına gelmez. Birçok rol, danışmanlık, analiz veya denetim gibi bilgisayar bağlantısı gerektirmeyen görevleri de içerir. Kanton mahkemesi, giriş ve çıkış verilerinin en fazla bir gösterge sağlayabileceğini, ancak kendi başlarına yapısal saat eksikliklerinin yeterli kanıtını oluşturmadığını vurgulamaktadır.
İşveren, şüpheye dayanarak ani bir işten çıkarma gerçekleştirebilir mi?
Hayır. Geçerli bir işten çıkarma, işveren tarafından ileri sürülüp kanıtlanması gereken acil bir nedene dayanır. Mahkeme bunu değerlendirirken büyük bir ihtiyat gösterir. Eksik veya hukuka aykırı yollarla elde edilmiş kanıtlara dayalı bir şüphe yeterli değildir. Dahası, işveren, iş hukukunun sunduğu en ağır yaptırımı seçmeden önce, görüşme, uyarı veya iyileştirme planı gibi daha hafif önlemleri öncelikle değerlendirmelidir.
Haksız yere ani işten çıkarılma durumunda bir çalışan ne tür tazminat alabilir?
İşten çıkarma kararının geçerli olmadığı ortaya çıkarsa, çalışan geçiş ödemesi, ihbar süresi boyunca ödenen maaşa eşit haksız fesih tazminatı ve adil tazminat talep edebilir. Adil tazminat miktarı, işverenin kusur derecesi ve işten çıkarmanın çalışan üzerindeki sonuçları da dahil olmak üzere davanın tüm koşullarına bağlıdır.
İşveren, evden çalışma sürecini ek bir denetime tabi tutabilir mi?
Daha fazlası olmadan olmaz. Evden çalışma izni verilmesi, işverenin otomatik olarak ek veya gizli izleme yapabileceği anlamına gelmez. Çalışma saatleri, müsaitlik, verimlilik ve herhangi bir kayıtla ilgili düzenlemeler tercihen önceden açıkça kaydedilmeli ve çalışanlarla görüşülmelidir. Ek izlemenin de somut bir tetikleyicisi olmalı ve gerekenden daha ileri gitmemelidir.
Çalışma saatleri konusunda şüpheler varsa işveren bunun yerine ne yapmalıdır?
Mahkeme, görüşme yapmak, çalışılan saatleri takip etmek, uyarıda bulunmak veya iyileştirme planı başlatmak gibi daha az müdahaleci alternatiflerden açıkça bahsetmektedir. Ancak bu adımlar yeterli sonuç vermediğinde ve somut, doğrulanmış sinyaller olduğunda, GDPR'nin gerekliliklerine uygun olarak daha kapsamlı izleme düşünülebilir.
Çalışanların her türlü dijital olarak izlenmesi yasa dışı mıdır?
Hayır. Dijital izleme, işverenin somut ve güncel bir tetikleyici unsurun (örneğin somut tehditler veya kötüye kullanımla ilgili dahili bir rapor) varlığını kanıtlayabildiği ve orantılılık ve ikincillik ilkelerine uygun hareket ettiği durumlarda haklı gösterilebilir. Bu durum, örneğin, Kuzey Hollanda Bölge Mahkemesi'nin 12 Aralık 2025 tarihli (ECLI:NL:RBNHO:2025:14471) kararıyla örneklendirilmektedir; bu kararda, somut tehditler ve dahili bir raporla tetiklenen bir BT soruşturmasının yasal olduğu ve bulgularının özet bir işten çıkarma için temel oluşturmasına izin verildiği tespit edilmiştir.
Sonuç
Bu karar, dijital izleme verilerinin yalnızca saat eksikliklerinin kanıtı olarak kullanılamayacağını açıkça ortaya koymaktadır. Açık bir tetikleyici veya önceden bilgi olmadan gizlice izleme yapan bir işveren, hem soruşturmanın hem de buna dayalı işten çıkarmanın geçerli olmama riskini taşır. Bu nedenle güvenli yol şudur: sinyalleri dikkatlice inceleyin, önce bir görüşme yapın ve ancak gerçekten gerekliyse uygun ve orantılı bir izleme önlemi seçin.
