Neredeyse her PDKS ve personel takip aramasının altında aynı soru tekrar ediyor: "Bu yasal mı?" Cevap, kullanılan yönteme göre değişiyor — çünkü Türkiye'de kişisel verilerin korunması mevzuatı, farklı veri türlerine farklı düzeyde koruma sağlıyor.
Önce netleştirelim: personel takibinin kendisi değil, nasıl yapıldığı tartışmalıdır. İş Kanunu, çalışma sürelerinin, fazla mesainin ve dinlenme sürelerinin kayıt altında tutulmasını zaten zorunlu kılar. Sorun, hangi yöntemin bu kaydı tutmak için kullanılacağı ve bu yöntemin KVKK'ya uygun olup olmadığıdır.
| Yöntem | Veri türü | KVKK durumu |
|---|---|---|
| Kart/QR kod okutma | Zaman + kimlik bilgisi | Genel kişisel veri; açık rıza şart değildir, meşru menfaat/yasal yükümlülük temelinde işlenebilir |
| Mobil uygulama giriş-çıkış | Zaman + (varsa) konum | Konum verisi kullanılıyorsa bilgilendirme + orantılılık ilkesi önemli |
| GPS ile sürekli takip | Sürekli konum verisi | Çalışma saatleri dışında takip orantısız kabul edilebilir; yalnızca check-in anında kullanılmalı |
| Parmak izi | Biyometrik veri | Özel nitelikli kişisel veri — açık rıza zorunlu |
| Yüz tanıma | Biyometrik veri | Özel nitelikli kişisel veri — açık rıza zorunlu |
KVKK'nın 6. maddesi, biyometrik ve genetik verileri "özel nitelikli kişisel veri" olarak tanımlar — sağlık verisi, din, siyasi görüş gibi. Bu verilerin işlenmesi için kural olarak açık rıza gerekir; açık rıza olmadan işlenmesi ancak kanunda sayılan istisnai hallerde mümkündür. Bir işveren, çalışanı işe alım şartı olarak parmak izi vermeye zorlayamaz ve rıza vermeyen çalışan için alternatif bir yöntem (kart, QR, PIN) sunmalıdır — aksi halde rızanın "özgür irade ile verildiği" tartışmalı hale gelir.
Geçerli bir açık rıza şu üç şartı taşımalıdır:
Evet. Veri türünden bağımsız olarak, işveren çalışana hangi kişisel verilerin, hangi amaçla, hangi hukuki sebeple işlendiğini açıklayan bir aydınlatma metni sunmakla yükümlüdür. Bu, açık rıza gerektirmeyen kart/QR sistemleri için de geçerlidir — aydınlatma yükümlülüğü ile açık rıza gereksinimi farklı şeylerdir.
Biyometrik veri kullanmadan (kart, QR kod, mobil giriş ile) da tam yasal uyumlu bir devam takip sistemi kurmak mümkündür. Bu, hem açık rıza yönetimi yükünden kurtarır hem de bir çalışanın rıza vermemesi durumunda alternatif sistem kurma zorunluluğunu ortadan kaldırır — çünkü zaten herkes aynı, biyometrik olmayan yöntemi kullanır.
Devam kayıtları, bordro ve iş kazası gibi konularla bağlantılı olduğu için genellikle iş ilişkisinin sona ermesinden sonra da belirli bir süre (SGK ve İş Kanunu'ndaki zamanaşımı sürelerine paralel olarak) saklanmalıdır. Süresiz saklama ise KVKK'nın "amaçla sınırlılık" ilkesine aykırıdır.
PYS, biyometrik veri gerektirmeyen kart/QR/mobil giriş yöntemlerini destekler; bu, açık rıza yönetimi karmaşasına girmeden yasal uyumlu bir devam takip sistemi kurmanın en pratik yoludur.
Evet, çalışma sürelerinin kayıt altına alınması İş Kanunu gereği zorunludur. Kullanılan yöntem (kart, QR, biyometrik) farklı KVKK yükümlülükleri doğurur.
Evet, biyometrik veri özel nitelikli kişisel veri sayıldığı için açık rıza zorunludur ve rıza vermeyen çalışana alternatif bir yöntem sunulmalıdır.
Çalışma saatleri ve check-in/check-out anlarıyla sınırlı, orantılı ve çalışana bildirilmiş bir konum kullanımı genellikle kabul edilir; sürekli ve kesintisiz takip orantısız veri işleme riski taşır.
Evet, açık rıza gerektirmese de, hangi verinin hangi amaçla işlendiğini açıklayan bir aydınlatma metni sunulması KVKK'nın genel şeffaflık ilkesi gereğidir.
Kredi kartı gerekmez. Kurulum yok. Hemen başlayın.
🚀 Ücretsiz Deneyin