Kişisel Verileri Koruma Kurulu (KVKK), 2 Haziran 2026 tarihli ve 2026/921 sayılı ilke kararıyla işyerlerinde çalışanların parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik verilerle mesai takibine yönelik uygulamaları hukuka aykırı buldu. Bu karar, milyonlarca çalışanı ve işvereni doğrudan ilgilendiriyor. Peki, işverenler şimdi ne yapmalı? Hangi alternatif sistemlere yönelmeli? Yasal yükümlülükler neler? Bu rehberde tüm detayları ele alıyoruz.
KVKK Kararının Temel Gerekçeleri
KVKK'nın bu kararı, biyometrik verilerin özel nitelikte kişisel veri olması ve geri döndürülemez özellik taşımasından kaynaklanıyor. İşte kararın temel gerekçeleri:
- Hukuki Dayanak Eksikliği: İş Kanunu'nda işverenlerin çalışma sürelerini takip etme yükümlülüğü bulunsa da, bu takibin biyometrik yöntemlerle yapılmasını zorunlu kılan açık bir yasal düzenleme yok.
- Ölçülülük İlkesi: Mesai takibi için daha az müdahaleci alternatif yöntemler (kartlı sistemler, şifreli giriş, imza çizelgeleri) mevcutken biyometrik veri kullanımı ölçülülük ilkesini ihlal ediyor.
- Rıza Tartışması: İşçi ile işveren arasındaki güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın her zaman özgür iradeye dayanıp dayanmadığı tartışmalı.
- Veri Güvenliği Riski: Biyometrik veriler ömür boyu değişmediğinden, bu verilerin kötüye kullanımı veya sızdırılması durumunda telafisi mümkün olmayan sonuçlar doğurabilir.
Biyometrik Veri Kullanan İşletmeler Ne Yapmalı?
Karar, mevcut sistemlerini derhal gözden geçirmeleri ve uygun alternatiflere geçiş yapmaları gerektiğini işletmelere hatırlatıyor. İşte atılması gereken adımlar:
1. Mevcut Biyometrik Verilerin İmhası
İşletmeler, biyometrik verileri yasal süreç tamamlanana kadar güvenli bir şekilde saklamalı, ardından KVKK'nın öngördüğü yöntemlerle imha etmelidir. Veri imha politikası oluşturulmalı ve kayıt altına alınmalıdır.
2. Alternatif PDKS Sistemlerine Geçiş
Kartlı ve şifreli PDKS sistemleri, biyometrik verilere alternatif olarak öne çıkıyor. Bu sistemler hem yasal uyumluluk sağlıyor hem de maliyet açısından daha avantajlı olabiliyor.
3. Çalışanların Aydınlatılması
Yeni sisteme geçiş sürecinde çalışanlar, veri işleme amaçları ve yöntemleri hakkında KVKK'nın 10. maddesine uygun olarak aydınlatılmalıdır.
Kartlı ve Şifreli PDKS Alternatifleri
Biyometrik sistemlerin yerini alabilecek çeşitli PDKS (Personel Devam Kontrol Sistemi) çözümleri bulunuyor:
RFID/NFC Kartlı Sistemler
En yaygın ve ekonomik alternatiflerden biri olan RFID/NFC kartlı sistemler, çalışanların kartlarını okuyucuya yaklaştırarak giriş-çıkış yapmasını sağlar. Kartlar kolayca yenilenebilir ve kaybedilmesi durumunda iptal edilebilir. Proximity kartlar, akıllı kartlar ve MIFARE teknolojili kartlar farklı güvenlik seviyeleri sunar.
PIN/Şifre Tabanlı Sistemler
Kart kullanımı istenmeyen ortamlarda, çalışanların kişisel PIN kodları ile giriş-çıkış yapabileceği şifreli sistemler tercih edilebilir. Ancak PIN kodlarının güvenliği ve paylaşım riski göz önünde bulundurulmalıdır.
Kart + PIN Kombinasyonu
Daha yüksek güvenlik gerektiren alanlar için kart ve PIN kombinasyonu kullanılabilir. Bu yöntem, kartın çalınması veya kaybedilmesi durumunda bile yetkisiz girişi engeller.
Mobil Uygulama Tabanlı Sistemler
Akıllı telefonların yaygınlaşmasıyla birlikte, Bluetooth veya QR kod tabanlı mobil giriş sistemleri de alternatif olarak değerlendirilebilir. Çalışanlar telefonlarını okuyucuya yaklaştırarak veya uygulamada oluşturulan QR kodu okutarak giriş yapabilir.
İmza Çizelgeleri ve Manuel Kayıtlar
Küçük ölçekli işletmeler için geleneksel imza çizelgeleri veya denetçi gözetiminde giriş-çıkış kayıtları hâlâ geçerli ve yasal bir yöntemdir. Ancak büyük işletmeler için verimlilik açısından dijital sistemler daha uygundur.
Yasal Yükümlülükler ve Uyum Süreci
KVKK kararı sonrası işletmelerin yerine getirmesi gereken yasal yükümlülükler şunlardır:
- Veri Envanteri Güncelleme: İşlenen kişisel verilerin envanteri çıkarılmalı ve biyometrik veriler işlenmiyor olarak güncellenmelidir.
- Aydınlatma Yükümlülüğü: Çalışanlar, yeni veri işleme yöntemleri hakkında bilgilendirilmelidir.
- Teknik ve İdari Tedbirler: Yeni sistemin veri güvenliği açısından yeterli tedbirleri içerdiğinden emin olunmalıdır.
- Saklama ve İmha Politikası: Verilerin ne kadar süreyle saklanacağı ve nasıl imha edileceği belirlenmelidir.
- Veri Sorumlusu Başvuru Yolu: Çalışanların başvurularını iletebileceği kanallar aktif tutulmalıdır.
Maliyet ve Uygulama Avantajları
Kartlı ve şifreli sistemlere geçiş, sadece yasal uyumluluk sağlamakla kalmıyor, aynı zamanda çeşitli avantajlar da sunuyor:
- Düşük Başlangıç Maliyeti: Biyometrik cihazlara kıyasla kart okuyucular ve şifreli paneller daha ekonomiktir.
- Kolay Yönetim: Kartların basımı, dağıtımı ve iptali hızlı ve kolaydır.
- Ölçeklenebilirlik: İşletme büyüdükçe sistem kolayca genişletilebilir.
- Entegrasyon Kolaylığı: Mevcut bordro ve ERP sistemleriyle entegrasyonu daha basittir.
- Bakım Maliyeti: Biyometrik sensörlerin temizliği ve kalibrasyonuna kıyasla daha düşük bakım gereksinimi.
Cersa Güvenlik ile Yasal ve Güvenilir Çözümler
Cersa Güvenlik Sistemleri olarak, KVKK'nın yeni kararına tam uyumlu PDKS çözümleri sunuyoruz. İşletmenizin ihtiyaçlarına ve bütçesine en uygun kartlı ve şifreli sistemleri projelendiriyor, kurulumunu yapıyor ve teknik destek sağlıyoruz.
Sarıyer ve İstanbul'un 39 ilçesinde hizmet veren ekibimiz, ücretsiz saha keşfi ile işletmenizin mevcut sistemini değerlendiriyor ve en uygun geçiş planını hazırlıyor. Biyometrik sistemlerden kartlı sistemlere geçiş sürecinde yaşanabilecek kesintiyi minimuma indirmek için hızlı ve profesyonel kurulum hizmeti sunuyoruz.
PDKS sistemlerinin yanı sıra kamera, alarm, yangın ihbar ve geçiş kontrol sistemleriyle entegre çözümler de sunarak işletmenizin güvenlik altyapısını bütüncül bir yaklaşımla güçlendiriyoruz.