Kartlar kaybolur, başkasına verilir, unutulur; parmak izi ise her zaman yanınızdadır. Bu pratik avantaj nedeniyle parmak izli PDKS (personel devam kontrol sistemi) cihazları, özellikle fabrikalarda, mağazalarda ve çok vardiyalı işyerlerinde uzun süre tercih edildi. Son yıllarda yüz tanıma, avuç içi damar tanıma ve iris okuma gibi yöntemler de bu cihazlara eklendi. Ancak tüm bu yöntemlerin ortak noktası, 6698 sayılı KVKK'da özel nitelikli kişisel veri olarak sayılan biyometrik verinin işlenmesidir.
Biyometrik veriyi diğer verilerden ayıran şey, değiştirilemez olmasıdır. Bir şifre ele geçirildiğinde yenisini belirlersiniz; parmak izi şablonu sızdığında ise çalışanın parmak izini değiştirme imkânı yoktur. Bu nedenle Kişisel Verileri Koruma Kurulu, yalnızca mesai takibi amacıyla biyometrik sistem kullanılmasına uzun süredir mesafeli yaklaşmaktadır. Kurul kararlarında, daha az müdahaleci yöntemlerle aynı amaca ulaşılabildiği hallerde biyometrik verinin yalnızca giriş-çıkış takibi için kullanılması, ölçülülük ilkesi açısından sorunlu bulunmuştur.
Bu yazıda biyometrik PDKS'nin hukuki çerçevesini, 2024 yılında yürürlüğe giren değişikliklerin etkisini ve sistemi kullanmaya devam etmek isteyen işverenler için kontrol listesini ele alıyoruz.
Biyometrik Veri ve 2024 Değişikliği
KVKK md. 6, biyometrik ve genetik verileri sağlık, din, sendika üyeliği gibi verilerle birlikte özel nitelikli kişisel veriler arasında sayar. 7499 sayılı Kanun ile yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikle md. 6'daki işleme şartları yeniden düzenlenmiştir. Değişiklik sonrasında özel nitelikli veriler; açık rıza bulunması veya kanunda sayılan diğer şartlardan birinin varlığı halinde işlenebilir. Bu şartlar arasında, örneğin, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk bulunur.
PDKS açısından kritik soru şudur: Mesai takibi için biyometrik veri işlemek, istihdam alanındaki bir hukuki yükümlülüğün yerine getirilmesi için zorunlu mudur? İşverenin çalışma sürelerini kayıt altına alma ihtiyacı vardır; ancak bu ihtiyaç kartlı geçiş, şifreli giriş, mobil uygulama veya imzalı puantaj gibi yöntemlerle de karşılanabilir. Biyometrik yöntem kolaylık sağlar, ama "zorunlu" değildir. Bu nedenle uygulamada, yalnızca mesai takibi amacıyla parmak izi kullanımının çoğu durumda açık rızaya dayanması gerektiği ve rıza vermeyen çalışana alternatif sunulması gerektiği kabul edilmektedir.
Açık Rızaya Dayanıyorsanız: Alternatif Şart
İş ilişkisinde rızanın özgür olabilmesi için, rıza vermeyen çalışanın herhangi bir olumsuz sonuçla karşılaşmaması gerekir. Bu da pratikte şu anlama gelir:
- Parmak izi okutmak istemeyen çalışana kart, şifre veya başka bir yöntem sunulmalıdır.
- Rıza vermeyen çalışan, bu nedenle farklı muamele görmemeli, sorgulanmamalı veya baskıya maruz kalmamalıdır.
- Rıza, işe giriş evrakının içinde gizli bir madde olarak değil, ayrı bir formla alınmalıdır.
- Çalışan rızasını geri aldığında şablonu sistemden silinmeli ve alternatif yönteme geçirilmelidir.
Alternatif sunulmadan "herkes parmak izi okutmak zorunda" şeklinde uygulanan bir sistem, rızanın özgürlüğünü baştan ortadan kaldırır.
Yüksek Güvenlikli Alanlar: Farklı Bir Değerlendirme
Biyometrik sistemlerin tamamen yasak olduğu sonucu çıkarılmamalıdır. Değerlendirme amaca göre değişir:
| Kullanım alanı | Amaç | Ölçülülük değerlendirmesi |
|---|---|---|
| Tüm çalışanlar için ana giriş PDKS | Mesai takibi | Alternatif yöntemler varken zayıf; açık rıza ve alternatif gerekir |
| Veri merkezi, kasa dairesi, ilaç deposu | Yetkisiz erişimin önlenmesi | Daha güçlü gerekçe; yine de belgeli değerlendirme gerekir |
| Tehlikeli madde veya kritik üretim alanı | Güvenlik ve iş güvenliği | Somut riske göre değerlendirilir |
| Kantin veya servis aracı kullanımı | Hizmet takibi | Genellikle ölçüsüz |
Yüksek güvenlikli alanlarda bile, biyometrik yöntemin neden gerekli olduğunu, alternatiflerin neden yetersiz kaldığını ve hangi güvenlik önlemlerinin alındığını yazılı olarak değerlendirmeniz gerekir.
Parmak İzli PDKS İçin Teknik ve İdari Güvenlik Önlemleri
Güvenlik önlemleri, rıza veya başka bir hukuki sebep bulunsa bile ayrıca yerine getirilmesi gereken bağımsız bir yükümlülüktür. Hukuki dayanağınız sağlam olsa da zayıf korunan bir biyometrik veri tabanı, olası bir ihlalde şirketi ciddi sorumlulukla karşı karşıya bırakır.
Özel nitelikli veri işleyen işverenlerin, Kurul'un bu verilere ilişkin belirlediği yeterli önlemleri alması beklenir. Biyometrik sistemler için asgari kontrol listesi şöyledir:
- Ham görüntü değil şablon saklayın: Parmak izinin görüntüsü yerine, geri döndürülemez matematiksel şablon tutulmalıdır.
- Şifreleyin: Şablonlar cihazda ve sunucuda şifreli saklanmalı, aktarım sırasında da şifreleme kullanılmalıdır.
- Erişimi sınırlayın: Sisteme yönetici erişimi olan kişi sayısını en aza indirin ve erişim loglarını tutun.
- Mümkünse yerel doğrulama: Şablonun merkezi bir sunucu yerine çalışanın kartında veya cihazda tutulduğu modeller riski azaltır.
- Tedarikçi sözleşmesi: PDKS sağlayıcısı verilere erişebiliyorsa veri işleyen sözleşmesi imzalayın; bulut tabanlı sistemlerde sunucu konumunu ve yurt dışı aktarımı kontrol edin.
- Ayrılışta silme: Çalışan ayrıldığında şablonu derhal silin ve silme işlemini kayıt altına alın.
- Gizlilik taahhüdü ve eğitim: Sisteme erişen personelden gizlilik taahhüdü alın ve düzenli eğitim verin.
Sık Yapılan Hatalar
- Biyometrik veri için ayrı aydınlatma ve açık rıza almamak, genel işe giriş formuyla yetinmek.
- Rıza vermeyen çalışana alternatif sunmamak.
- PDKS cihazının varsayılan ayarlarıyla ham parmak izi görüntüsü saklamak.
- Ayrılan çalışanların şablonlarını yıllarca sistemde bırakmak.
- VERBİS kaydında ve envanterde biyometrik veri işlendiğini beyan etmemek.
Özel nitelikli verilerin işyerindeki genel çerçevesi için özel nitelikli kişisel veriler yazımıza göz atabilirsiniz.
Kararınızı Belgeli Verin
Parmak izli bir sistemi kaldırmak ya da yeni bir sisteme geçmek operasyonel bir karar gibi görünse de, aslında hukuki bir değerlendirme gerektirir. İK Partner, mevcut PDKS uygulamanızı ölçülülük açısından inceler, gerekirse alternatif yöntemlere geçiş planı ve rıza süreçlerini tasarlar. İş hukuku ve mevzuat uyumu hizmetimiz hakkında ücretsiz ilk görüşme için bize ulaşabilirsiniz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat ve Kurul kararları değişebilir. Somut durumlar için hukuk danışmanınıza başvurmanızı öneririz.
