PDKS cihazı seçerken ilk soru çoğu zaman "parmak izi mi, yüz tanıma mı?" olur. Oysa doğru ilk soru şudur: bu veriyi toplamak zorunda mıyım? 6698 sayılı Kişisel Verilerin Korunması Kanunu biyometrik veriyi özel nitelikli kişisel veri sayar ve işlenmesini özel koşullara bağlar. Devam takibi gibi amaca daha az müdahaleci yöntemlerle ulaşılabilen bir iş için biyometrik veri toplamak, hem hukuki risk hem de gereksiz bir sorumluluktur.
Bu yazıda biyometrinin neden farklı bir kategoride olduğunu, ölçülülük ilkesinin PDKS seçimini nasıl etkilediğini ve biyometri kullanmadan güvenilir bir düzenin nasıl kurulduğunu anlatıyoruz. Bu yazı hukuki görüş değildir; kurumunuzun KVKK danışmanı ya da avukatı nihai değerlendirmeyi yapar.
Biyometrik veri neden farklı?
Parmak izi, yüz, iris gibi veriler kişiyi benzersiz ve değiştirilemez biçimde tanımlar. Sızan bir parola değiştirilir; sızan bir parmak izi değiştirilemez. Kanun bu yüzden biyometrik veriyi sağlık ve din gibi verilerle aynı kategoriye koyar: işleme için açık rıza ya da kanunda öngörülen dar istisnalar gerekir, ayrıca Kurul'un belirlediği ek güvenlik tedbirleri alınmalıdır.
İş ilişkisinde "açık rıza" da ayrı bir tartışmadır: çalışanın işverene karşı özgür iradeyle rıza verip vermediği sorgulanır. Rızaya dayanan bir düzen, rıza geri alındığında çöker.
Ölçülülük: amaca en az veriyle ulaşmak
KVKK'nın genel ilkelerinden biri verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Devam takibinin amacı "bu kişi şu saatte buradaydı" kaydını güvenilir biçimde tutmaktır. Bu amaca kart, QR ve konum doğrulamasıyla ulaşılabiliyorsa biyometrik veri toplamak ölçülülük ilkesiyle bağdaşmaz. Kişisel Verileri Koruma Kurulu'nun kamuya açık kararlarında, daha az müdahaleci yöntemler mümkünken personel takibinde biyometrik verinin kullanılmasına ilişkin olumsuz değerlendirmeler yer almıştır. Kurumunuzun danışmanıyla güncel kararları gözden geçirmenizi öneririz.
Biyometri olmadan güvenilirlik nasıl sağlanır?
"Parmak izi olmazsa herkes arkadaşının kartını okutur" endişesi, kontrolün tek bir kanıta dayandığı eski düzenden kalmadır. Güvenilirlik birkaç basit kontrolün birlikte çalışmasından gelir:
- Kartlı geçiş: kart kişiye ve yetkili geçiş noktalarına bağlıdır; her geçişte nokta ve zaman kaydedilir, farklı şubeden geçişler ayrı raporlanır.
- Mobil QR + konum + cihaz: yerleşke QR kodu (dinamik seçilebilir), telefonun konumu ve çalışana eşleştirilmiş tek cihaz birlikte doğrulanır. Arkadaşının telefonundan giriş yapılamaz.
- Denetim raporları: elle müdahale kayıtları, giriş-çıkışı unutanlar, şu anda içeridekiler ve kişi bazlı hareket listesi tutarsızlıkları görünür kılar.
- Kart yaşam döngüsü: ayrılan kişinin kartı saniyeler içinde cihazlardan kalkar; "açık kalan kart" riski ortadan kalkar.
Bu kombinasyon biyometri kadar güvenilirdir ve çalışanın değiştirilemez bir verisini toplamaz.
KVKK uyumlu PDKS için kontrol listesi
Toplanan veri
- Yalnız gereken alanlar: ad soyad, sicil, görev, yerleşke, kart numarası, e-posta/telefon (uygulama girişi için).
- Konum yalnız işlem anında (mesai başlat/bitir) ve kurumun açtığı yerleşkelerde; gün boyu izleme yok.
- Biyometrik veri yok.
Aydınlatma ve kayıt
- Çalışanlara aydınlatma metni: hangi veri, hangi amaçla, ne kadar süre, kimlerle paylaşılır.
- Veri işleme envanterinde PDKS kaydı; VERBİS yükümlülüğü varsa güncel.
- İş sözleşmesi / iç yönetmelikte devam takibi düzenlemesi.
Erişim ve güvenlik
- Rol bazlı yetki: şube yöneticisi kendi şubesini, taşeron sorumlusu kendi firmasını, İK tamamını görür.
- Her elle müdahale kim-ne zaman-neden bilgisiyle kayıtlı.
- Sağlık raporu gibi belgeler yalnız yetkili rollerin görebildiği kişi dosyasında.
- Hesap tek cihazla eşleşir; cihaz değişimi yönetici onayıyla.
Saklama ve imha
- Saklama süreleri belirlenmiş (iş hukuku yükümlülükleri ve olası uyuşmazlıklar gözetilerek — danışmanınızla).
- İşten ayrılan kişinin hesabı pasife alınır, kartı iptal edilir; veri saklama süresi sonunda imha politikası uygulanır.
Kamera ve PDKS: ayrı tutun
Güvenlik kameraları ile devam takibini birleştirmek — yüz tanımayla giriş kaydı almak — iki ayrı veri işleme amacını tek sistemde toplar ve biyometrik veri tartışmasını doğrudan açar. Devam takibi için kamera görüntüsüne ihtiyaç yoktur; güvenlik kamerası varsa kendi aydınlatması ve kendi saklama süresiyle ayrı yönetilir.
NetKurum'un yaklaşımı
NetKurum biyometrik veri toplamaz: devam takibi kartlı geçiş ve QR + konum + cihaz doğrulamalı mobil girişle yapılır. Konum yalnız işlem anında ve yerleşke için açıldıysa kontrol edilir. Sayfa yetkileri görev ve role, veri kapsamı yerleşke ve firmaya bağlıdır; elle müdahaleler ayrı raporda tutulur; belgeler kişi dosyasında yetkiyle korunur. Ayrıntılar: Erişim Yönetimi ve Giriş-Çıkış Yönetimi.
En güvenli kişisel veri, hiç toplanmamış olandır. Devam takibi için değiştirilemez bir veriyi toplamak zorunda değilsiniz.
Sık sorulan sorular
Çalışan açık rıza verirse parmak izi kullanılabilir mi?
Hukuken tartışmalı bir alandır: iş ilişkisinde rızanın özgürlüğü ve ölçülülük ilkesi birlikte değerlendirilir. Daha az müdahaleci yöntem varken biyometriye gerek yoktur; danışmanınıza sorun.
Konum verisi toplamak KVKK'ya uygun mu?
Amaçla sınırlı ve ölçülü olduğu, aydınlatma yapıldığı sürece evet: yalnız işlem anında, yalnız kurumun açtığı yerleşkelerde, gün boyu izleme olmadan.
Kart numarası kişisel veri midir?
Kişiyle ilişkilendirilebildiği için evet; ama biyometrik değildir, değiştirilebilir ve ölçülüdür. Normal kişisel veri rejimine tabidir.
Aydınlatma metnini kim hazırlar?
Kurumun KVKK danışmanı; yazılım sağlayıcısı hangi verinin nasıl işlendiğini belgeleyerek destek verir.
Ölçülü bir devam takibi kurun
Mevcut cihazlarınızı ve veri akışınızı birlikte gözden geçirebiliriz. Bize ulaşın ya da mobil giriş için ücretsiz denemeye başlayın.
Yazar hakkında
Zeynep Çelik
Dijital İçerik Uzmanı
NetKurum blogunda teknoloji, entegrasyon ve saha uygulamalarını ele alır. Bulut PDKS'yi, bağlantı cihazlarını ve gerçek müşteri deneyimlerini anlaşılır örneklerle aktarır.
