هل نظام البصمة لتسجيل الحضور قانوني في تركيا؟ PDKS والتسجيل عبر الهاتف وفق KVKK

سيُستبدل نظام البوابات الدوّارة القديم في المصنع. يقترح بائع الأجهزة قارئ بصمات: سريع، لا تبادل للبطاقات، وتنتهي مشكلة «بصّم عني». أما المستشار القانوني فيقول: «لننظر أولًا في KVKK». وفي الوقت نفسه يسأل الفريق الميداني عن إمكانية تسجيل الدخول والخروج من الهاتف. تظهر ثلاثة أسئلة معًا: هل تتبع الموظفين بالبصمة قانوني، وهل نظام PDKS عبر الهاتف قانوني، وهل يكفي نموذج الموافقة الذي يوقّعه الموظف؟ الجواب القصير عن سؤال «هل PDKS قانوني؟» هو «يتوقف على الطريقة». ونوضح في هذا المقال النقاط التي يتوقف عليها الجواب وفق القانون التركي، استنادًا إلى نص KVKK، أي قانون حماية البيانات الشخصية في تركيا، وإلى أحدث قرار مبادئ أصدره مجلس حماية البيانات الشخصية.

قانونية PDKS تقييم قانوني لا يتوقف كثيرًا على ما إذا كان سجل الدخول والخروج يُحفظ أم لا، بل على نوع البيانات الشخصية والطريقة التي يُؤخذ بها السجل.

هل PDKS قانوني؟ حفظ السجل واختيار الطريقة سؤالان مختلفان

وفقًا لإعلان هيئة حماية البيانات الشخصية، على أصحاب العمل التزام بتتبع ساعات العمل وتوثيقها. ويؤكد الإعلان نفسه أنه لا يوجد نص قانوني صريح يقضي بإجراء هذا التتبع عبر أنظمة التعريف الحيوي. أي أن حفظ سجل الحضور ليس محل نقاش؛ النقاش هو في كيفية أخذ السجل. وهنا تدخل مبادئ المادة 4 من القانون رقم 6698: يجب أن تكون البيانات مرتبطة بالغرض من معالجتها ومحدودة ومتناسبة.

هل تسجيل الدخول والخروج بالبصمة قانوني؟

تعدّ الفقرة الأولى من المادة 6 من القانون البيانات الحيوية والجينية بيانات شخصية ذات طبيعة خاصة. أما الفقرة الثالثة فتضع القاعدة الأساسية التالية:

معالجة البيانات الشخصية ذات الطبيعة الخاصة محظورة.

يُرفع الحظر إذا توفر أحد الشروط المعدودة: الموافقة الصريحة، أو النص الصريح في القوانين، أو التزام قانوني يتعلق بالتوظيف، وما شابه. وقد قيّم المجلس هذه الشروط واحدًا واحدًا من زاوية تتبع وقت العمل في قرار المبادئ رقم 2026/921 المؤرخ 29 أبريل 2026، المنشور في الجريدة الرسمية في 2 يونيو 2026، وخلاصة نتائجه ما يلي:

• شرط النص الصريح في القانون غير متوفر. تتحدث التشريعات عن تتبع ساعات العمل لكنها لا تقضي بإجرائه بالوسائل الحيوية.
• الموافقة الصريحة وحدها لم تُعدّ كافية. يثير اختلال ميزان القوة في علاقة العامل وصاحب العمل شكًّا في استناد الموافقة إلى إرادة حرة؛ كما يمكن سحب الموافقة.
• حتى مع وجود موافقة صحيحة لا يتحقق التناسب. لم تُعدّ معالجة البيانات الحيوية متناسبة في ظل وجود بدائل أقل تدخلًا.
• عُدّدت البدائل: أنظمة البطاقة المحمية بكلمة مرور أو الرقم السري (PIN)، وجداول الحضور بالتوقيع والورق، وبطاقات الهوية RFID/NFC، والإدخال اليدوي تحت إشراف مراقب.

ويوضّح إعلان الهيئة الثاني المؤرخ 27 أغسطس 2026 نقطة أخرى: تحويل البصمة إلى رمز رياضي وحفظه في قاعدة البيانات لا يُزيل عنها صفة البيانات الحيوية. لذلك فإن حجة «نحن لا نحفظ البصمة بل قالبها» لا تقدّم حلًّا.

ماذا يحدث إذا لم يرغب الموظف في إعطاء بصمته؟

يستند تعليل المجلس إلى هذا السؤال تحديدًا. يوضح المجلس أنه إذا لم تُتح للموظف فعليًا إمكانية عدم الموافقة أو سحبها، أو إذا كان رفض الموافقة قد يجرّ عليه نتائج سلبية، فلا يمكن القول إن لدى الموظف خيارًا حقيقيًا. أي أن ترتيب «من يريد يعطي بصمته، ومن لا يريد يستخدم البطاقة» قد يبدو معقولًا على الورق، لكنه لا يؤسس وحده أرضية قانونية. الحل الحقيقي هو اعتماد طريقة غير حيوية للجميع.

هل يمكن تركيب نظام حيوي بداعي الأمن؟

يستثني الإعلان نفسه بعض المنشآت من التقييم العام. ففي عمليات الأمن متعددة المستويات، مثل التحكم في الدخول إلى المناطق الحرجة، يكون التعريف الحيوي أداة للأمن لا لتتبع وقت العمل. وحتى في هذه الحالة تنتظر الهيئة أن يقتصر الاستخدام على المناطق والأشخاص الضروريين فقط، وأن تكون البدائل غير كافية، وأن يكون متناسبًا مع حاجة أمنية ملموسة. وتُقيَّم كل حالة على حدة؛ لذلك فإن نهج «البصمة للجميع بحجة الأمن» ليس طريقًا آمنًا.

هل PDKS عبر الهاتف قانوني؟ تسجيل الدخول والخروج من الهاتف

التسجيل من الهاتف لا يُنشئ بذاته بيانات ذات طبيعة خاصة. ما يحدد التقييم هو نوع البيانات التي يجمعها التطبيق. التسجيل باسم المستخدم وكلمة المرور معالجة لبيانات شخصية ويخضع لمبادئ المادة 4. وإذا أُضيف التحقق بالتعرف على الوجه أو البصمة، فالأمر يتعلق ببيانات حيوية ويدخل قرار المبادئ المذكور أعلاه حيز التطبيق. وإذا جُمعت بيانات الموقع تتغير الأسئلة: هل يُؤخذ الموقع لحظة الدخول والخروج فقط أم يُتتبع طوال اليوم، وهل يعلم الموظف بذلك مسبقًا؟ لم نعتمد في هذا المقال على قرار مبادئ مستقل للمجلس بشأن بيانات الموقع؛ استشيروا مختصكم قبل اعتماد مثل هذه الطريقة.

موافقة KVKK لنظام PDKS: هل يكفي أن يوقّع الموظف نموذج موافقة؟

في الطريقة الحيوية لا يكفي؛ فكما رأينا أعلاه، لم تُعدّ الموافقة وحدها أساسًا صحيحًا. أما في الطريقة غير الحيوية فقد لا تكون الموافقة الصريحة ضرورية أصلًا في كثير من الأحيان: إذ تسمح الفقرة الثانية من المادة 5 من القانون بالمعالجة دون موافقة صريحة إذا توفر أحد الشروط، مثل تنفيذ العقد، أو الالتزام القانوني الواقع على المسؤول عن البيانات، أو المصلحة المشروعة. وأيّها ينطبق يتوقف على الحالة الملموسة. وأيًّا كان الشرط المختار، فأنتم ملزمون بموجب المادة 10 بإبلاغ الموظفين بهويتكم، وغرض المعالجة، والجهات التي قد تُنقل إليها البيانات، وطريقة جمعها، والسبب القانوني، وحقوقهم. عمليًا، الوثيقة الأساسية لنظام PDKS ليست «الموافقة» الموقّعة، بل نص إشعار واضح ومفهوم.

سبع خطوات لإنشاء نظام PDKS آمن من الناحية القانونية

1. اجردوا الطريقة الحالية: أي جهاز، وأي بيانات، ولدى من تُحفظ؟
2. إن كان هناك قارئ حيوي، فضعوا خطة لإزالته أو للانتقال إلى بديل مثل البطاقة أو الرقم السري.
3. قدّموا للموظفين نص إشعار مفهومًا؛ واكتبوا فيه الهوية والغرض والنقل وطريقة الجمع والحقوق.
4. قيّدوا الوصول إلى بيانات الدخول والخروج بحسب الدور؛ ليرَ مدير الوحدة فريقه فقط.
5. حدّدوا مدة الحفظ وعرّفوا خطوة الحذف أو التدمير أو إخفاء الهوية عند انتهائها.
6. إن كان مزوّد الجهاز أو البرنامج يطّلع على بياناتكم، فاكتبوا المسؤوليات بوضوح في العقد.
7. احتفظوا بسجلات الوصول والتعديل؛ ووثّقوا التدابير التقنية والإدارية الواردة في المادة 12.

هل الورق أو Excel أكثر أمانًا من الناحية القانونية؟

من بين البدائل التي عدّدها المجلس جداول التوقيع والجداول الورقية أيضًا؛ أي أن هذه الطرق ليست محل خلاف من الناحية القانونية. المشكلة في جانب التشغيل: الأخطاء، وغياب أثر التعديلات اللاحقة، وعدم التطابق مع سجلات الإجازات. ثم إن الورقة نفسها تحمل بيانات شخصية؛ ومن يطّلع عليها وأين تُحفظ أمر مهم.

أين يقف YazSis KurumsalPortal في هذه الصورة؟

وحدة إدارة الحضور والانصراف ليست جهازًا؛ فهي تجمع حركات PDKS في شاشة واحدة، وتربطها بالموظف، وتُخضع الاستثناءات للاعتماد. ويُتفق على طريقة نقل بيانات جهازكم الحالي خلال المشروع. ويساعدكم نطاق البيانات بحسب الدور في البوابة، وإخفاء حقول مثل رقم الهوية التركي (TC) وIBAN، وسجل الوصول إلى المستندات وسجل التدقيق، على بناء عملية تراعي KVKK؛ لكن ذلك لا يتولى عنكم اختيار الطريقة ولا التحقق من مشروعيتها القانونية. ولتقييد القوائم والوصول إلى البيانات بحسب الدور يمكنكم الاطلاع على صفحة إدارة القوائم والصلاحيات.

إذا أردتم حفظ بيانات الحضور بشكل منظم ومرتبط بالصلاحيات وقابل للتتبع بصرف النظر عن الطريقة، فيمكنكم الاطلاع على بنية الوحدات في صفحة KurumsalPortal.