PDKS ile Personel Takibi Yasal mı? KVKK Açısından Bilinmesi Gerekenler
Neredeyse her PDKS ve personel takip aramasının altında aynı soru tekrar ediyor: "Bu yasal mı?" Cevap, kullanılan yönteme göre değişiyor — çünkü Türkiye'de kişisel verilerin korunması mevzuatı, farklı veri türlerine farklı düzeyde koruma sağlıyor.
Temel Prensip: Çalışma Süresini Kaydetmek Zorunludur
Önce netleştirelim: personel takibinin kendisi değil, nasıl yapıldığı tartışmalıdır. İş Kanunu, çalışma sürelerinin, fazla mesainin ve dinlenme sürelerinin kayıt altında tutulmasını zaten zorunlu kılar. Sorun, hangi yöntemin bu kaydı tutmak için kullanılacağı ve bu yöntemin KVKK'ya uygun olup olmadığıdır.
Veri Türlerine Göre Risk Seviyesi
| Yöntem | Veri türü | KVKK durumu |
|---|---|---|
| Kart/QR kod okutma | Zaman + kimlik bilgisi | Genel kişisel veri; açık rıza şart değildir, meşru menfaat/yasal yükümlülük temelinde işlenebilir |
| Mobil uygulama giriş-çıkış | Zaman + (varsa) konum | Konum verisi kullanılıyorsa bilgilendirme + orantılılık ilkesi önemli |
| GPS ile sürekli takip | Sürekli konum verisi | Çalışma saatleri dışında takip orantısız kabul edilebilir; yalnızca check-in anında kullanılmalı |
| Parmak izi | Biyometrik veri | Özel nitelikli kişisel veri — açık rıza zorunlu |
| Yüz tanıma | Biyometrik veri | Özel nitelikli kişisel veri — açık rıza zorunlu |
Biyometrik Veri Neden Farklı Bir Kategoride?
KVKK'nın 6. maddesi, biyometrik ve genetik verileri "özel nitelikli kişisel veri" olarak tanımlar — sağlık verisi, din, siyasi görüş gibi. Bu verilerin işlenmesi için kural olarak açık rıza gerekir; açık rıza olmadan işlenmesi ancak kanunda sayılan istisnai hallerde mümkündür. Bir işveren, çalışanı işe alım şartı olarak parmak izi vermeye zorlayamaz ve rıza vermeyen çalışan için alternatif bir yöntem (kart, QR, PIN) sunmalıdır — aksi halde rızanın "özgür irade ile verildiği" tartışmalı hale gelir.
Açık Rıza Nasıl Alınır?
Geçerli bir açık rıza şu üç şartı taşımalıdır:
- Belirli bir konuya ilişkin olmalı — genel bir "verilerinizi işleyebiliriz" ifadesi yetmez
- Bilgilendirmeye dayanmalı — verinin ne amaçla, ne kadar süre saklanacağı açıklanmalı
- Özgür iradeyle verilmeli — reddetme halinde işe alım veya çalışma koşullarında olumsuz sonuç doğmamalı
Aydınlatma Metni Zorunlu mu?
Evet. Veri türünden bağımsız olarak, işveren çalışana hangi kişisel verilerin, hangi amaçla, hangi hukuki sebeple işlendiğini açıklayan bir aydınlatma metni sunmakla yükümlüdür. Bu, açık rıza gerektirmeyen kart/QR sistemleri için de geçerlidir — aydınlatma yükümlülüğü ile açık rıza gereksinimi farklı şeylerdir.
Pratik Öneri: Riski Baştan Azaltmak
Biyometrik veri kullanmadan (kart, QR kod, mobil giriş ile) da tam yasal uyumlu bir devam takip sistemi kurmak mümkündür. Bu, hem açık rıza yönetimi yükünden kurtarır hem de bir çalışanın rıza vermemesi durumunda alternatif sistem kurma zorunluluğunu ortadan kaldırır — çünkü zaten herkes aynı, biyometrik olmayan yöntemi kullanır.
Veri Saklama Süresi
Devam kayıtları, bordro ve iş kazası gibi konularla bağlantılı olduğu için genellikle iş ilişkisinin sona ermesinden sonra da belirli bir süre (SGK ve İş Kanunu'ndaki zamanaşımı sürelerine paralel olarak) saklanmalıdır. Süresiz saklama ise KVKK'nın "amaçla sınırlılık" ilkesine aykırıdır.
Personelimiz'in personel takip sistemi biyometrik veri kullanmaz; giriş-çıkış tablette veya çalışanın kendi telefonunda PIN ile yapılır. Bu sayede biyometrik veri için açık rıza süreci gerekmez; konum doğrulaması kullanılıyorsa çalışanlara aydınlatma metni sunulmalıdır.
Biyometrik veri toplamadan, PIN ve konum doğrulamayla çalışan giriş-çıkış takip sistemimizi inceleyin. Biyometrik veri toplamayan terminali inceleyin →