PDKS ve KVKK: Personel Takibinde Kişisel Verilerin Korunması

PDKS kullanmak işverenin en doğal haklarından biridir; çalışma sürelerini kayıt altına almak hem yönetsel bir ihtiyaç hem de yasal bir gerekliliktir. Ancak personel devam kontrol sistemi doğası gereği kişisel veri işler: ad-soyad, giriş-çıkış saatleri, konum bilgisi, hatta bazı sistemlerde parmak izi veya yüz verisi. Bu da PDKS'yi 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) tam kapsamına sokar. Bu rehberde, personel takibinde KVKK uyumunu sağlamak için bilmeniz gereken ilkeleri ve pratik adımları ele alıyoruz.

PDKS Hangi Kişisel Verileri İşler?

Tipik bir PDKS kurulumunda işlenen veriler şunlardır:

• Kimlik bilgileri (ad-soyad, sicil numarası)
• Giriş-çıkış tarih ve saatleri, mola ve mesai kayıtları
• Kart/QR kimlik numaraları
• Mobil takip kullanılıyorsa konum (GPS) verisi
• Biyometrik sistemlerde parmak izi veya yüz verisi

Bu verilerin işlenmesi, KVKK'nın temel ilkelerine tabidir: hukuka uygunluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü işleme, doğruluk ve gerektiği kadar saklama.

Hukuki Dayanak: Giriş-Çıkış Kaydı İçin Açık Rıza Gerekir mi?

Yaygın bir yanılgının aksine, standart giriş-çıkış kayıtları için çalışandan açık rıza almak genellikle gerekmez. İş Kanunu kapsamında çalışma sürelerinin belgelenmesi işverenin yükümlülüğüdür; bu nedenle kart veya QR ile devam takibi, "veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi" ve "meşru menfaat" gibi KVKK madde 5'teki işleme şartlarına dayandırılabilir.

Ancak bu, her şeyin serbest olduğu anlamına gelmez. İşleme şartının varlığı sizi aydınlatma yükümlülüğünden kurtarmaz ve ölçülülük ilkesi her zaman geçerlidir.

Aydınlatma Yükümlülüğü: İlk ve Vazgeçilmez Adım

KVKK madde 10 uyarınca, veri işlemeye başlamadan önce çalışanlarınızı bilgilendirmek zorundasınız. PDKS özelinde aydınlatma metninde şunlar yer almalıdır:

• Veri sorumlusunun (şirketinizin) kimliği
• Hangi verilerin işlendiği (giriş-çıkış saati, konum vb.)
• İşleme amaçları (çalışma sürelerinin takibi, bordro, yasal yükümlülükler)
• Verilerin kimlere ve hangi amaçla aktarılabileceği (örneğin bordro hizmet sağlayıcısı)
• İşlemenin hukuki sebebi ve yöntemi
• Çalışanın KVKK madde 11'deki hakları

Aydınlatma; işe giriş evrakları arasında, panoda ve mümkünse PDKS uygulamasının içinde erişilebilir olmalıdır. "Sözlü söylemiştik" savunması denetimde geçerli değildir; ispat edilebilir bir aydınlatma süreci kurun.

Biyometrik Veri: Özel Nitelikli ve Açık Rızaya Tabi

Parmak izi ve yüz tanıma verileri, KVKK madde 6 kapsamında özel nitelikli kişisel veridir ve işlenmeleri kural olarak çalışanın açık rızasına bağlıdır. Burada kritik noktalar şunlardır:

• Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza demektir. İşe alımın veya çalışmaya devamın şartı olarak dayatılan rıza "özgür irade" şartını taşımaz ve geçersiz sayılabilir.
• Kişisel Verileri Koruma Kurulu kararlarında, devam takibi amacına kart veya QR gibi daha az müdahaleci yöntemlerle ulaşılabiliyorsa biyometrik veri işlemenin ölçülülük ilkesine aykırı bulunabildiği görülmektedir.
• Biyometrik sistem kullanacaksanız rıza vermeyen çalışanlara alternatif bir doğrulama yöntemi (kart, QR) sunmanız gerekir.
• Özel nitelikli veriler için Kurulun öngördüğü ek teknik ve idari tedbirler (şifreleme, erişim kısıtları, yetki matrisi) uygulanmalıdır.

Kısacası: biyometrik PDKS hukuken imkânsız değildir ama yükü ağırdır. Alternatif teknolojilerin karşılaştırması için RFID, QR ve biyometrik karşılaştırması yazımıza bakabilirsiniz.

Veri Minimizasyonu ve Ölçülülük

KVKK'nın en pratik ilkesi şudur: amaca ulaşmak için gereken en az veriyi işleyin.

• Devam takibi için yüz tanıma şart mı, kart yetmez mi? Yetiyorsa karta yönelin.
• GPS takibi yalnızca mesai saatleriyle ve iş amaçlı konumlarla sınırlı olmalı; çalışanın mesai dışı konumu asla izlenmemelidir.
• PDKS verilerini performans fişlemesi gibi bildirilen amaç dışındaki işler için kullanmayın; amaç dışı kullanım başlı başına ihlaldir.
• Panele erişimi rol bazlı sınırlayın: her yöneticinin tüm şirketi görmesi gerekmez.

Saklama Süreleri ve İmha

Kişisel veriler, amacın gerektirdiği süre ve ilgili mevzuatta öngörülen süreler boyunca saklanır; sonrasında silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Somut süreler mevzuata ve verinin niteliğine göre değiştiğinden, saklama politikanızı güncel mevzuat ve hukuk danışmanınızla birlikte belirlemenizi öneririz.

İşveren İçin KVKK Uyum Kontrol Listesi

• PDKS'ye özel aydınlatma metni hazırlandı ve ispatlanabilir şekilde sunuldu
• İşleme envanterine PDKS verileri eklendi (gerekiyorsa VERBİS kaydı güncellendi)
• Biyometrik veri işleniyorsa açık rıza süreci ve alternatif yöntem kuruldu
• PDKS sağlayıcısıyla veri işleme sözleşmesi imzalandı
• Panel erişimleri rol bazlı sınırlandı, loglama açık
• Saklama ve imha politikası yazılı olarak belirlendi
• Çalışan başvurularını (bilgi talebi, silme talebi) yanıtlayacak süreç tanımlandı

Bulut tabanlı bir personel takip programı kullanıyorsanız sağlayıcınızın güvenlik uygulamaları da uyumunuzun parçasıdır. PDKS GO'da veriler şifreli iletilir, erişimler yetki bazlı yönetilir ve kart/QR gibi biyometrik olmayan yöntemler öncelikli sunulur; bu da KVKK yükünüzü hafifleten bir mimari tercihtir. Sistemin işleyişini özellikler sayfasından inceleyebilir, ücretsiz deneyebilirsiniz.

KVKK'ya aykırılık halinde idari para cezaları söz konusu olabilir; tutarlar yıllara göre yeniden değerleme ile güncellendiğinden güncel rakamlar için Kişisel Verileri Koruma Kurumu'nun resmi kaynaklarını kontrol edin.

Sık Sorulan Sorular

Çalışan PDKS kullanmayı reddedebilir mi?

Kart veya QR ile devam takibi işverenin yasal yükümlülüklerine dayandığından çalışan bunu reddedemez. Ancak biyometrik doğrulama açık rızaya tabidir; rıza vermeyen çalışana alternatif yöntem sunulmalıdır.

GPS ile konum takibi yasal mı?

Mesai saatleri içinde, iş amaçlı ve çalışanın bilgilendirildiği bir konum takibi ölçülülük sınırları içinde değerlendirilebilir. Mesai dışı izleme veya sürekli/gizli takip hukuka aykırıdır.

PDKS verilerine kimler erişebilmeli?

Yalnızca görevleri gereği ihtiyaç duyanlar: İK, bordro sorumlusu ve ilgili yöneticiler. Erişimler yetki bazlı tanımlanmalı ve kayıt altına alınmalıdır.

İşten ayrılan çalışanın verileri hemen silinmeli mi?

Hayır; devam ve ücret kayıtları yasal saklama süreleri boyunca tutulmalıdır. Ancak biyometrik şablonlar gibi amacı sona eren veriler derhal imha edilmelidir.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Somut durumunuz için bir hukuk danışmanına başvurmanızı öneririz.