KVKK ve Personel Giriş-Çıkış Verileri: PDKS'de Hukuka Uygunluk

Personel devam kontrol sistemleri doğaları gereği kişisel veri işler. Kimin, hangi saatte, nereden giriş yaptığı bilgisi 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır; parmak izi veya yüz tanıma söz konusu olduğunda ise iş, çok daha korumalı bir kategoriye taşınır. Bu yazıda PDKS kurarken karşınıza çıkacak KVKK başlıklarını, teknoloji seçimini etkileyen yönleriyle özetliyoruz. Doğrulama yöntemlerinin karşılaştırması için kartlı, parmak izi ve yüz tanıma sistemleri rehberimize bakabilirsiniz.

Giriş-çıkış kaydı kişisel veridir

Bir çalışanın mesai kaydı, kimliği belirli bir gerçek kişiye ilişkin olduğu için kişisel veridir. Buna bağlı olarak işveren, KVKK anlamında veri sorumlusu sıfatını taşır ve Kanun'un tüm yükümlülükleri devreye girer: hukuka uygun işleme şartı, aydınlatma, veri güvenliği, saklama ve imha.

Bu, "PDKS kurmak KVKK'ya aykırıdır" anlamına gelmez. İşverenin çalışma sürelerini kaydetme yükümlülüğü İş Kanunu'ndan doğar ve mesai kaydının işlenmesi genellikle meşru bir zemine oturur. Belirleyici olan hangi veriyi, hangi yöntemle, ne kadar işlediğinizdir.

Biyometrik veri özel nitelikli veridir

Parmak izi, avuç içi damar izi, retina ve yüz verisi Kanun'un 6. maddesi anlamında özel nitelikli (hassas) kişisel veridir. Bu kategori, sıradan kişisel verilerden çok daha dar bir çerçevede işlenebilir: özel nitelikli veriler, ilgili kişinin açık rızası olmaksızın ancak Kanun'da sayılan sınırlı hâllerde işlenebilir. Ayrıca bu veriler için Kurul tarafından belirlenen ek güvenlik tedbirlerinin alınması gerekir.

Biyometrik verinin ayırt edici özelliği geri alınamaz olmasıdır: şifre değiştirilebilir, kart yenilenebilir; ancak sızan bir parmak izi ömür boyu sızmış kalır. Mevzuatın bu veriyi ayrı bir rejime tabi tutmasının nedeni de budur.

İş ilişkisinde açık rıza tek başına yeterli mi?

Uygulamada en sık yapılan varsayım, "çalışanlara rıza metni imzalatırsak sorun kalmaz" şeklindedir. Bu yaklaşım risklidir.

Açık rızanın geçerli olabilmesi için özgür iradeyle açıklanmış olması gerekir. İşçi ile işveren arasındaki bağımlılık ilişkisi nedeniyle, çalışanın işe girişte veya iş sırasında verdiği rızanın gerçekten özgür olup olmadığı tartışmalıdır. Rıza vermeyen çalışanın işe alınmaması, mesaisinin sayılmaması ya da fiilen dezavantajlı duruma düşmesi söz konusuysa, ortada geçerli bir açık rızadan söz etmek güçleşir. Ayrıca açık rıza her zaman geri alınabilir; sisteminizin, rızasını geri çeken çalışan için çalışmaya devam edebilmesi gerekir.

Ölçülülük: amaca en az müdahaleyle ulaşmak

Kanun'un 4. maddesindeki genel ilkeler, işleme şartından bağımsız olarak her zaman uygulanır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli, açık ve meşru amaçlar için işleme, amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza.

Ölçülülük ilkesi, mesai takibi bakımından somut bir soruya dönüşür: Amacınıza daha az müdahaleci bir yöntemle ulaşabiliyor musunuz? Bir ofiste giriş-çıkış saatini kaydetmek için kart veya mobil doğrulama yeterliyken parmak izi toplamak, ölçülülük açısından savunması zor bir tercihtir. Yüksek güvenlikli bir tesise erişim kontrolü ile ofis mesai takibi aynı ihtiyaç değildir; teknoloji seçimi de aynı olmamalıdır.

Aynı ilke konum verisi için de geçerlidir. Saha ekibinin mesai kaydını doğrulamak amacıyla giriş ve çıkış anında konum almak ile, mesai boyunca sürekli konum izlemek arasında ölçülülük bakımından ciddi fark vardır. Bu ayrımı GPS ile personel giriş-çıkış takibi yazımızda ayrıntılandırdık.

Aydınlatma yükümlülüğü

Kanun'un 10. maddesi uyarınca veri sorumlusu, verilerin elde edilmesi sırasında ilgili kişiyi bilgilendirmek zorundadır. PDKS için hazırlanacak aydınlatma metni en azından şunları açıkça söylemelidir:

• Veri sorumlusunun kimliği,
• Hangi verilerin işlendiği (giriş-çıkış saati, cihaz bilgisi, varsa konum veya biyometrik şablon),
• İşleme amacı (çalışma sürelerinin takibi, puantaj ve bordro, iş sağlığı ve güvenliği yükümlülükleri),
• Hukuki sebep ve varsa aktarım yapılan taraflar (örneğin yazılım sağlayıcısı, muhasebe firması),
• Toplama yöntemi ve ilgili kişinin 11. maddedeki hakları.

Aydınlatma ile açık rıza ayrı işlemlerdir ve aynı metinde birleştirilip tek imzaya bağlanmamalıdır. Aydınlatma bir bilgilendirmedir; rıza ise bir irade beyanı.

Saklama süresi ve imha

Mesai kayıtları süresiz saklanamaz. Her veri kategorisi için işlenme amacına ve ilgili mevzuattaki zamanaşımı sürelerine dayalı bir saklama süresi belirlenmeli, bu süreler kişisel veri saklama ve imha politikasında yazılı hâle getirilmeli ve süre dolduğunda veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Pratikte en sık rastlanan aykırılık, on yıl öncesine ait ham giriş-çıkış loglarının "belki lazım olur" diye tutulmasıdır. Amacı biten veriyi elde tutmak, koruma yükümlülüğünü sürdürmek anlamına gelir; yani gereksiz risk.

Veri güvenliği ve aktarım

Kanun'un 12. maddesi, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. PDKS bağlamında bunun karşılığı somuttur: yetkiye dayalı erişim (her yönetici herkesin kaydını görmemeli), kayıtların şifrelenmesi, erişim loglarının tutulması, biyometrik verinin ham görüntü olarak değil geri döndürülemez şablon olarak saklanması.

PDKS'yi bir yazılım sağlayıcısı üzerinden kullanıyorsanız, sağlayıcıyla ilişkiniz veri aktarımı doğurur. Sunucuların nerede olduğu, alt işleyicilerin kimler olduğu ve sözleşmede veri güvenliğine dair taahhütlerin bulunup bulunmadığı, ürün seçiminde teknik özellikler kadar önemlidir. PDKS seçerken sorulması gereken sorular yazımızda bu başlığa da yer verdik.

Çalışanın hakları

11. madde, ilgili kişiye kendi verisi hakkında bilgi talep etme, işlenme amacını öğrenme, düzeltme, silme, aktarıldığı üçüncü kişileri bilme ve zarara uğraması hâlinde tazminat isteme gibi haklar tanır. Çalışanlar bu talepleri işverene yöneltir; işverenin bunları karşılayabilecek bir iç sürece sahip olması gerekir. Kendi mesai kaydını göremeyen bir çalışan, hem şeffaflık hem de uygulanabilirlik açısından sorunlu bir kurgunun içindedir.

Kısa kontrol listesi

• Amacınız için gerçekten biyometrik veriye ihtiyacınız var mı, yoksa kart/QR/mobil doğrulama yeterli mi?
• Biyometrik yöntem kullanıyorsanız dezavantaj yaratmayan bir alternatif sunuyor musunuz?
• PDKS'ye özel bir aydınlatma metniniz var mı; rızadan ayrı mı alınıyor?
• Saklama süreleri yazılı mı, süresi dolan kayıtlar gerçekten imha ediliyor mu?
• Kayıtlara erişim yetkiye bağlı mı, erişimler loglanıyor mu?
• Sağlayıcınızla veri işleme ve güvenlik taahhütleri sözleşmeye bağlanmış mı?
• İşlemeleriniz VERBİS kaydınıza ve envanterinize doğru şekilde yansımış mı?

Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. KVKK uygulaması Kurul kararlarıyla şekillenen dinamik bir alandır; kurumsal bir uygulamaya geçmeden önce güncel Kurul kararlarını ve rehberlerini inceleyin, gerekiyorsa hukuk danışmanınıza başvurun.