PDKS Yasal mı? KVKK ve Biyometrik Veri Yükümlülükleri

İşletmeler personel devam kontrol sistemi kurmadan önce sıkça aynı soruyu sorar: PDKS KVKK açısından yasal mı? Kısa cevap evet, ancak koşullu bir evettir. Kartlı ya da şifreli bir PDKS'de veri işleme genellikle sorunsuzdur; buna karşılık parmak izi veya yüz tanıma gibi biyometrik doğrulama yöntemi kullanan sistemlerde, işlenen veri Kişisel Verilerin Korunması Kanunu'nun (KVKK) "özel nitelikli kişisel veri" tanımına girer ve buna bağlı ek yükümlülükler doğar. Bu rehberde PDKS'nin hangi koşullarda yasal sayıldığını, biyometrik verinin KVKK'daki yerini, açık rıza şartını, alternatif sunma zorunluluğunu ve işveren olarak üstlenmeniz gereken sorumlulukları sade bir dille ele alıyoruz.

PDKS Yasal mı? Kısa Cevap

Evet, personel devam kontrol sistemi kurmak Türk hukukunda yasaktır diyebileceğimiz bir durum söz konusu değildir. İşverenin çalışanların işe giriş-çıkış saatlerini kaydetmesi, mesai düzenini takip etmesi ve bunu bordroya yansıtması meşru bir yönetsel ihtiyaçtır; hatta İş Kanunu çerçevesinde çalışma sürelerinin belgelenmesi işverenin lehinedir. Sorun, PDKS'nin kendisinde değil, hangi verinin nasıl toplandığında ortaya çıkar. Kartlı veya şifreli bir PDKS'de toplanan veri (kart numarası, PIN, ad-soyad, zaman damgası) sıradan kişisel veri kategorisindedir ve KVKK'nın genel işleme şartlarına tabidir. Buna karşılık parmak izi, yüz veya avuç içi damar deseni gibi biyometrik verilerle çalışan bir pdks kvkk açısından farklı bir rejime girer; çünkü bu veriler kanunun 6. maddesinde sayılan özel nitelikli kişisel veriler arasındadır. Dolayısıyla "pdks yasal mı" sorusunun doğru yanıtı şudur: evet, ama biyometrik doğrulama kullanıyorsanız açık rıza ve aydınlatma gibi ek şartları eksiksiz yerine getirmeniz koşuluyla.

Bu ayrımı baştan netleştirmek, işletmelerin gereksiz endişeye kapılmasını önler. Pek çok firma "biyometrik veri kullanamayız" gibi yanlış bir sonuca varıp verimli bir teknolojiden vazgeçiyor; oysa doğru kurgulanmış bir süreçle parmak izi veya yüz tanıma tabanlı bir personel takip ve PDKS çözümü tamamen hukuka uygun biçimde işletilebilir. Önemli olan, teknolojiyi seçerken uyum adımlarını da baştan sisteme dahil etmektir.

Hukuki zemin açısından bakıldığında işverenin çalışma sürelerini belgeleme yükümlülüğü İş Kanunu ve ilgili yönetmeliklerden kaynaklanır; fazla mesai, yıllık izin ve bordro hesaplamalarının dayanağı düzenli tutulan devam kayıtlarıdır. Bu nedenle PDKS kurmak, yalnızca işverenin tercihi değil, uyuşmazlık halinde kendisini de koruyan bir belgeleme aracıdır. KVKK, bu meşru amacı ortadan kaldırmaz; sadece hangi veri türünün nasıl toplanacağına dair ek bir çerçeve çizer. Dolayısıyla pdks yasal mı sorusunu yalnızca KVKK penceresinden değil, işverenin genel belgeleme yükümlülüğüyle birlikte değerlendirmek daha isabetli bir yaklaşımdır.

Biyometrik Veri ve KVKK

KVKK'nın 6. maddesi; ırk, etnik köken, siyasi düşünce, din, sağlık, cinsel hayat gibi verilerin yanı sıra biyometrik ve genetik verileri de özel nitelikli kişisel veri olarak sayar. Parmak izinden çıkarılan minutiae noktaları, yüzden üretilen matematiksel şablon ya da avuç içi damar deseni bu kapsamdadır. Özel nitelikli sayılmasının pratik sonucu şudur: bu veriler kural olarak işlenemez ve ancak kanunda öngörülen istisnai şartlardan biri sağlandığında hukuka uygun hale gelir. Sağlık ve cinsel hayat dışındaki özel nitelikli veriler için bu şart, büyük çoğunlukla ilgilinin açık rızasıdır.

Özel nitelikli veri kategorisinin bu denli sıkı korunmasının nedeni, söz konusu verilerin kişiye özgü ve değiştirilemez olmasıdır. Bir şifre unutulduğunda ya da bir kart kaybedildiğinde yenisi çıkarılabilir; ancak parmak izi ya da yüz deseni sızdırılırsa kişi bu veriyi bir daha "değiştiremez". Kanun koyucunun biyometrik veriyi kimlik bilgisi, adres ya da telefon numarası gibi sıradan verilerden ayırıp daha üst bir koruma seviyesine almasının temel gerekçesi de budur. PDKS bağlamında bu, işverenin biyometrik veriyi yalnızca devam kontrolü amacıyla, gerekli olduğu ölçüde ve güvenli biçimde işlemesi gerektiği anlamına gelir; amaç dışı kullanım ya da gereğinden uzun saklama, özel nitelikli veri rejiminin ihlali sayılır.

Bu noktada sık karışan bir ayrımı netleştirmek gerekir: bir çalışanın adı, soyadı ya da kart numarası özel nitelikli veri değildir; ama o kişinin parmak izinden üretilen şablon ya da yüzünden çıkarılan biyometrik veri, biyometrik veri kvkk kapsamında özel korumaya tabidir. Bu yüzden aynı PDKS projesinde bile terminal tipine göre uyum yükü değişir. Kartlı bir kartlı personel takip terminali kurarsanız yükümlülükleriniz nispeten sınırlıdır; parmak izi ya da yüz tanıma sistemleri tercih ederseniz açık rıza, aydınlatma ve veri güvenliği başlıklarında daha kapsamlı bir süreç kurmanız gerekir.

Kurul'un Ölçülülük İlkesi

Kişisel Verileri Koruma Kurulu, biyometrik veri işleyen sistemler için ölçülülük ve gereklilik ilkesine özellikle vurgu yapar. Aynı amaca daha az müdahaleci bir yöntemle (örneğin kart veya şifre ile) ulaşmak mümkünse, biyometrik yöntemin tercih edilmesi ek bir gerekçelendirme gerektirir. Bu, işletmenin biyometrik veri kullanmaması gerektiği anlamına gelmez; ancak seçimi bilinçli yapmasını ve süreci buna göre belgelemesini gerektirir.

Açık Rıza Şartı

Parmak izi açık rıza konusu, PDKS uyum sürecinin en kritik adımıdır. KVKK'da açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlanır. Bir çalışandan parmak izi ya da yüz verisi almadan önce alınacak rızanın geçerli sayılması için üç unsur eksiksiz olmalıdır:

• Belirli bir konuya ilişkin olmalı: "Tüm kişisel verilerimin işlenmesini kabul ediyorum" gibi genel ifadeler geçersizdir. Rıza, özellikle biyometrik verinin devam kontrolü amacıyla işlenmesine yönelik açıkça alınmalıdır.
• Bilgilendirmeye dayanmalı: Çalışan, hangi verisinin hangi amaçla ve ne kadar süre işleneceğini önceden bilmelidir. Bu yüzden rıza, aydınlatma metninin tebliğinden sonra alınır.
• Özgür iradeyle verilmeli: İşveren-çalışan ilişkisindeki güç dengesizliği nedeniyle bu unsur en hassas noktadır. Rıza vermeyen çalışana gerçek bir alternatif sunulmuyorsa rızanın özgürlüğü tartışmalı hale gelir.

Açık rıza her zaman geri alınabilir bir irade beyanıdır. Bir çalışan bugün parmak izi vermeyi kabul etse dahi, ileride bu rızasını geri çekebilir. Sistem tasarımı bu senaryoyu desteklemeli; rıza geri alındığında biyometrik kayıt silinmeli ve kişiye alternatif bir doğrulama yöntemi tanımlanmalıdır.

Pratikte rızanın ispat yükü işverendedir; bu nedenle rızanın yazılı ya da dijital olarak imzalanan ayrı bir form üzerinden, tarih ve içerik belirtilerek alınması ve arşivlenmesi önerilir. Rıza metninin iş sözleşmesinin ya da genel şirket politikalarının bir maddesi olarak sunulması, işe girişin biyometrik veri paylaşımına bağlanmış gibi algılanmasına yol açabileceğinden özgür irade unsurunu zayıflatır. Bu yüzden parmak izi açık rıza beyanı, iş sözleşmesinden bağımsız, ayrı imza gerektiren bir belge olarak kurgulanmalı ve çalışana "istemezsem ne olur" sorusunun cevabı da aynı belgede açıkça yazılmalıdır.

Alternatif Sunma Yükümlülüğü

PDKS kvkk uyumunun en pratik ve en sık ihmal edilen unsuru, biyometrik olmayan bir alternatifin her zaman açık tutulmasıdır. Rıza vermeyen ya da rızasını geri çeken çalışan, kart ya da şifre gibi bir yöntemle geçişini sürdürebilmelidir. Bu yalnızca hukuki bir zorunluluk değil, operasyonel bir gerekliliktir de: parmak izi yaralanma, yanık ya da nasır gibi durumlarda; yüz tanıma ise maske veya ışık koşulları nedeniyle geçici olarak çalışmayabilir. Birden fazla doğrulama yöntemini eş zamanlı destekleyen bir PDKS yazılımı, hem uyumu hem de kesintisiz iş akışını garanti altına alır.

Alternatif sunmanın bir başka boyutu da adil işleyiştir. Bir çalışanın biyometrik veri paylaşmayı reddetmesi, onun aleyhine bir uygulamaya (örneğin geç kalmış sayılması ya da farklı muameleye tabi tutulması) yol açmamalıdır. Alternatif yöntem gerçek anlamda eşdeğer bir geçiş imkânı sunmalıdır; aksi halde rızanın "özgür" sayılması güçleşir.

Bu ilkenin İnsan Kaynakları prosedürlerine de yansıtılması gerekir: kart veya şifre ile giriş yapan bir çalışan, yalnızca doğrulama yöntemi farklı diye ayrı bir onay veya izin sürecine tabi tutulmamalı, mesai kaydı diğer çalışanlarla eşit biçimde işlenmelidir. Alternatif yöntemin sistemde kalıcı ve kolay erişilebilir olması, hem denetimlerde hem de olası bir şikâyet sürecinde işverenin iyi niyetini gösteren somut bir kanıt niteliği taşır.

Verinin Saklanması ve Güvenliği

Biyometrik verinin nasıl saklandığı, uyum açısından belirleyici bir teknik detaydır. Kaliteli PDKS terminalleri parmak izinin ham görüntüsünü değil, ondan çıkarılan matematiksel bir özeti — biyometrik şablonu — saklar. Bu şablon tek yönlü bir dönüşümle üretilir ve teorik olarak orijinal parmak izine geri döndürülemez. Sistem seçerken cihazın yalnızca şifreli şablon tuttuğunu, ham görüntüyü kalıcı olarak saklamadığını teyit etmek önemlidir.

KVKK'nın 12. maddesi, özel nitelikli veri işleyen her sistemde teknik ve idari tedbirler alınmasını zorunlu kılar. Teknik tedbirlerin başında güçlü şifreleme gelir; biyometrik şablonlar hem cihaz üzerinde hem de cihaz-sunucu iletişiminde şifrelenmelidir. Yetki tabanlı erişim, log kayıtları ve düzenli güvenlik güncellemeleri de bu kapsamdadır. İdari tedbirler ise veri işleme envanteri hazırlanması, personele farkındalık eğitimi verilmesi ve bir veri ihlali müdahale planının oluşturulmasını içerir.

Tablodan görüleceği gibi asıl uyum yükü, biyometrik doğrulama kullanan terminallerde ortaya çıkar. Zorlu ortamlarda hijyen ve hız önceliğiyle biyometrik yöntem tercih eden işletmeler için, açık rıza ve alternatif sunma süreçlerini baştan tasarlamak, ilerideki hukuki riskleri önemli ölçüde azaltır.

Saklama süresinin sonunda ya da işleme amacı ortadan kalktığında verinin ne olacağı, uyumun bir diğer önemli ayağıdır. KVKK mevzuatı, süresi dolan ya da amacı sona eren kişisel verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini öngörür. Uygulamada işletmelerin belirli aralıklarla (örneğin belirli dönemlerde bir kez) çalışan verilerini gözden geçirdiği ve amacı kalmayan kayıtları temizlediği bir periyodik imha politikası oluşturması önerilir. PDKS özelinde bu, işten ayrılan personelin biyometrik şablonunun sunucudan ve terminal hafızasından kalıcı olarak silinmesi, silme işleminin loglanması ve mümkünse bir imha tutanağıyla belgelenmesi anlamına gelir. Bu adım atlanırsa, ihtiyaç kalmadığı halde saklanmaya devam eden biyometrik veri, veri minimizasyonu ilkesinin ihlali olarak değerlendirilebilir.

Aydınlatma Yükümlülüğü

Aydınlatma yükümlülüğü, rızadan bağımsız ve ondan önce gelen ayrı bir zorunluluktur. PDKS için hazırlanacak aydınlatma metninde şu unsurlar açıkça yer almalıdır: veri sorumlusunun kimliği, verinin hangi amaçla (devam kontrolü, mesai hesabı) işlendiği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi, saklama süresi ve KVKK'nın 11. maddesinde sayılan hakların (bilgi talep etme, düzeltme, silme, itiraz) nasıl kullanılacağı. Aydınlatma metni, terminalin bulunduğu noktada erişilebilir olmalı ve çalışanlara ayrıca yazılı ya da dijital olarak tebliğ edilmelidir.

Aydınlatmanın eksik ya da genel geçer ifadelerle yapılması, sonrasında alınan rızayı da geçersiz kılabilir; çünkü rızanın "bilgilendirmeye dayanması" şartı sağlanmamış olur. Bu nedenle pdks yasal mı sorusuna olumlu cevap verebilmek için aydınlatma ve rıza süreçlerinin birbirini tamamlayan iki ayrı adım olarak kurgulanması gerekir.

Uygulamada aydınlatma metninin birden fazla kanaldan ulaştırılması önerilir: işe giriş evraklarına eklenen yazılı bir nüsha, terminalin yanına asılan kısa bir bilgilendirme panosu ve dijital olarak ulaşılabilen tam metin bir arada kullanıldığında, çalışanın bilgilendirildiği daha güçlü biçimde ispatlanabilir. Yeni işe başlayan personel için aydınlatma, oryantasyon sürecinin standart bir parçası haline getirilmeli; mevcut çalışanlar için ise sistem değişikliği (örneğin kartlıdan biyometriğe geçiş) yapıldığında aydınlatma yeniden yapılmalıdır.

İşveren Sorumlulukları

İşveren, PDKS'yi devreye almadan önce ve sonrasında bir dizi sorumluluğu üstlenir. Öncelikle hangi verinin toplanacağı, hangi amaçla işleneceği ve ne kadar süre saklanacağı netleştirilmeli; bu bilgiler kişisel veri işleme envanterine yansıtılmalıdır. Belirli çalışan sayısı ve mali bilanço eşiklerini aşan işletmeler için Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü doğabilir; bu eşiklerin kendi durumunuza uygulanıp uygulanmadığını netleştirmek önemlidir.

VERBİS kaydı, işletmenin hangi kategori kişisel veriyi hangi amaçla işlediğini, ne kadar süre sakladığını ve yurt içi ya da yurt dışına aktarıp aktarmadığını beyan ettiği resmi bir sicildir. Biyometrik veri işleyen işletmeler için bu beyan özellikle önemlidir, çünkü özel nitelikli veri işleme faaliyeti sicile ayrı bir kategori olarak yansıtılmalıdır. Kayıt yükümlülüğünden istisna tutulan işletme grupları da bulunur; bu nedenle kendi işletmenizin kayıt yükümlüsü olup olmadığını, çalışan sayınız ve faaliyet alanınıza göre güncel mevzuat üzerinden teyit etmeniz gerekir. VERBİS kaydı bir kez yapılıp unutulacak bir işlem değildir; işlenen veri kategorisi ya da amacı değiştiğinde (örneğin kartlı sistemden biyometrik sisteme geçildiğinde) beyanın da güncellenmesi gerekir.

• Aydınlatma metnini hazırlamak ve tebliğ etmek.
• Biyometrik doğrulama için geçerli açık rıza almak ve rıza kayıtlarını saklamak.
• Rıza vermeyen ya da geri çeken çalışanlara alternatif yöntem sunmak.
• Şifreli şablon saklayan, ham veri tutmayan cihazlar seçmek.
• İşten ayrılan personelin biyometrik verisini makul sürede silmek.
• Amaç dışı kullanmamak; PDKS'yi devam takibi dışında bir gözetim aracına dönüştürmemek.
• Gerekiyorsa VERBİS kaydını ve veri işleme envanterini güncel tutmak.

Amaçla sınırlılık ilkesi burada özellikle önemlidir: PDKS yalnızca belirlenen giriş-çıkış noktalarında ve devam kontrolü amacıyla çalışmalı, çalışanların gün içindeki hareketlerini izleyen genel bir gözetim sistemine dönüşmemelidir. Bu hem hukuki uyumun hem de sağlıklı bir çalışan-işveren ilişkisinin temelidir. Sistemin doğru kurgulanması için işe alım sürecinden itibaren İnsan Kaynakları ve BT birimlerinin ortak çalışması, uyumu kalıcı hale getirir. Ankara PDKS projelerinde de aynı prensip geçerlidir: teknoloji seçimi kadar, sürecin KVKK'ya uygun kurgulanması projenin sürdürülebilirliğini belirler.

Sık Yapılan Hatalar

Uygulamada en sık karşılaşılan hatalar arasında, rızayı iş sözleşmesinin içine gömerek özgür irade unsurunu zedelemek; rıza vermeyen çalışana hiçbir alternatif sunmamak; cihazın ham parmak izi görüntüsü sakladığını fark etmeden veri minimizasyonu ilkesini ihlal etmek; ve işten ayrılan personelin biyometrik verisini silmeyi unutmak sayılabilir. Bu hatalar tek tek küçük görünse de bir araya geldiğinde ciddi bir uyum zafiyeti oluşturur.

Kartlı ve Biyometrik PDKS Arasında Seçim

Uyum yükünü azaltmak isteyen işletmeler için kartlı ya da şifreli PDKS, en sade seçenektir; çünkü işlenen veri özel nitelikli kategoriye girmez. Ancak kartın devredilebilir olması, "arkadaşına kart okutma" gibi suistimallere açık olması nedeniyle bazı işletmeler doğruluk ve devredilemezlik için biyometrik yöntemi tercih eder. Bu durumda uyum maliyeti biraz artsa da, doğru kurgulanmış bir açık rıza ve alternatif yöntem süreciyle risk yönetilebilir düzeye iner. Hibrit kurgular — örneğin kart + parmak izi ya da kart + yüz tanıma — bazı işletmeler için hem güvenliği hem de uyumu dengeleyen orta yol olabilir.

Hangi yöntemi seçerseniz seçin, kararı yalnızca maliyet ya da hız üzerinden değil, KVKK yükümlülükleri üzerinden de değerlendirmeniz, ileride yaşanabilecek şikayet ya da denetim süreçlerinde işletmenizi güvence altına alır. PDKS nasıl seçilir rehberimizde donanım ve sistem seçimini daha geniş kriterlerle ele alıyoruz; parmak izi personel takip sisteminin avantaj ve dezavantajları yazımızda ise biyometrik yöntemin operasyonel yönlerini detaylandırıyoruz.

Uyumsuzluk Halinde Karşılaşılabilecek Riskler

KVKK yükümlülüklerinin yerine getirilmemesi, işletmeyi hem idari hem de itibari açıdan riske sokar. Kanun, veri sorumlularının aydınlatma yapmaması, veri güvenliği tedbirlerini almaması ya da Kurul kararlarına uymaması gibi ihlaller için idari para cezası öngörür; cezanın miktarı her yıl güncellenen tebliğlerle belirlendiğinden, güncel ve kesin rakamları bu genel bilgilendirme yazısında vermek yerine ilgili mevzuatın kendisinden veya bir uzmandan teyit edilmesini öneririz. Bunun yanında Kurul, tespit ettiği ihlallerde veri işlenmesinin durdurulmasına, düzeltici işlem yapılmasına ya da hukuka aykırı olarak elde edilen verinin silinmesine karar verebilir; bu tür kararlar işletmenin PDKS'yi belirli bir süre işletememesi gibi operasyonel sonuçlar da doğurabilir.

İdari yaptırımların ötesinde, biyometrik veri ihlalleri çalışan tarafından açılacak hukuk davalarına ve şikâyetlere de zemin hazırlar; rızası olmadan veya eksik aydınlatmayla biyometrik verisi işlenen bir çalışan, Kurul'a şikâyet başvurusunda bulunabilir ya da maddi-manevi tazminat talep edebilir. Bir veri ihlali haberinin kamuoyuna yansıması durumunda ise işletmenin marka itibarı, idari cezadan bağımsız olarak uzun vadeli bir zarar görebilir. Bu risklerin tamamı, aslında baştan sağlam kurgulanmış bir açık rıza, aydınlatma ve veri güvenliği süreciyle büyük ölçüde önlenebilir niteliktedir; dolayısıyla uyum yatırımı, olası bir ihlalin maliyetiyle kıyaslandığında çoğu zaman çok daha düşük kalır.

Sonuç: PDKS Yasal mı Sorusunun Özeti

PDKS kurmak başlı başına yasal bir sorun oluşturmaz; personel devam kontrolü, işverenin meşru ve yaygın bir yönetsel ihtiyacıdır. Asıl dikkat edilmesi gereken nokta, kullanılan doğrulama yönteminin türüdür. Kartlı ya da şifreli sistemlerde yük görece hafifken, parmak izi ve yüz tanıma gibi biyometrik yöntemlerde KVKK'nın özel nitelikli veri hükümleri devreye girer; bu da geçerli açık rıza, eksiksiz aydınlatma, alternatif yöntem sunma ve sıkı veri güvenliği tedbirlerini zorunlu kılar. Bu adımlar eksiksiz uygulandığında biyometrik PDKS de tamamen hukuka uygun biçimde işletilebilir.

Bu yazı genel bilgilendirme amacı taşır ve hukuki danışmanlık niteliği taşımaz; işletmenizin veri işleme koşulları kendine özgü olduğundan, sisteminizi kurmadan veya biyometrik doğrulamaya geçmeden önce mutlaka bir KVKK uzmanı veya avukattan görüş almanızı öneririz. Biltek Zaman olarak İstanbul başta olmak üzere pek çok ilde, kartlıdan biyometriğe uzanan PDKS çözümlerini uyum odaklı bir yaklaşımla kuruyor ve sonrasında da yanınızda oluyoruz. İhtiyacınıza en uygun sistemi belirlemek için bizimle iletişime geçebilirsiniz.

Sıkça Sorulan Sorular