Законен ли учёт рабочего времени по отпечатку пальца в Турции? PDKS, мобильный учёт и KVKK

Старую турникетную систему на заводе собираются заменить. Поставщик оборудования предлагает сканер отпечатков пальцев: быстро, карты никто никому не передаёт, проблема «отметь и меня» исчезает. Юрисконсульт же говорит: «Сначала посмотрим KVKK». Тем временем выездная команда спрашивает, нельзя ли отмечать приход и уход с телефона. Возникают сразу три вопроса: законен ли учёт персонала по отпечатку пальца, законна ли мобильная PDKS (система контроля посещаемости персонала) и достаточно ли формы согласия, которую подписывает сотрудник? Короткий ответ на вопрос, законна ли PDKS, — «зависит от метода». Ниже разбираем, от чего именно это зависит, по тексту KVKK — закона Турции о защите персональных данных — и последнему принципиальному решению турецкого Совета по защите персональных данных.

Законность PDKS — это правовая оценка, которая зависит не столько от того, ведётся ли учёт прихода и ухода, сколько от того, с какими персональными данными и каким методом он ведётся.

Законна ли PDKS? Вести учёт и выбрать метод — разные вопросы

Согласно объявлению Ведомства по защите персональных данных, у работодателей есть обязанность отслеживать и документировать рабочее время. В том же объявлении подчёркивается, что нет прямой нормы закона, которая предписывала бы вести такой учёт с помощью биометрических систем идентификации. То есть вести учёт присутствия — не предмет спора; спор о том, как этот учёт ведётся. Здесь применяются принципы статьи 4 Закона № 6698: данные должны быть связаны с целью обработки, ограничены и соразмерны.

Законен ли учёт прихода и ухода по отпечатку пальца?

Часть 1 статьи 6 Закона относит биометрические и генетические данные к персональным данным особой категории. Часть 3 устанавливает основное правило:

Обработка персональных данных особой категории запрещена.

Запрет снимается, если выполнено одно из перечисленных условий: явное согласие, прямое указание в законе, правовая обязанность в сфере трудоустройства и т. п. В принципиальном решении № 2026/921 от 29 апреля 2026 г. Совет оценил эти условия по отдельности применительно к учёту рабочего времени. Решение опубликовано в Официальной газете 2 июня 2026 г.; вкратце его выводы таковы:

• Условия «прямо предусмотрено законом» нет. Законодательство говорит об учёте рабочего времени, но не предписывает вести его биометрическим способом.
• Явное согласие само по себе не признано достаточным. Неравенство сил в отношениях работника и работодателя вызывает сомнения в том, основано ли согласие на свободной воле; кроме того, согласие можно отозвать.
• Даже при действительном согласии соразмерность не обеспечивается. Обработка биометрических данных при наличии менее инвазивных альтернатив признана несоразмерной.
• Названы альтернативы: карты с паролем или системы на основе PIN-кода, подписные и бумажные табели присутствия, идентификационные карты RFID/NFC, ручной ввод под наблюдением контролёра.

Второе объявление Ведомства от 27 августа 2026 г. проясняет ещё один момент: преобразование отпечатка пальца в математический код и хранение его в базе данных не лишает его статуса биометрических данных. Поэтому довод «мы храним не отпечаток, а его шаблон» проблему не решает.

Что будет, если сотрудник не хочет сдавать отпечаток пальца?

Обоснование Совета опирается именно на этот вопрос. Совет указывает: если сотруднику реально не предоставлена возможность не давать согласие или отозвать его либо если отказ может обернуться для него негативными последствиями, нельзя говорить, что у сотрудника есть настоящий выбор. То есть схема «кто хочет — сдаёт отпечаток, кто не хочет — пользуется картой» может выглядеть разумной на бумаге, но сама по себе правовой основы не создаёт. Настоящее решение — взять за основу небиометрический метод для всех.

Можно ли установить биометрическую систему ради безопасности?

То же объявление выделяет некоторые объекты из общей оценки. В многоуровневых процессах безопасности, таких как контроль доступа в критические зоны, биометрическая идентификация служит инструментом безопасности, а не учёта рабочего времени. Но и в этом случае Ведомство ожидает, что применение будет ограничено только необходимыми зонами и лицами, альтернативы окажутся недостаточными, а мера будет соразмерна конкретной потребности в безопасности. Каждый случай оценивается отдельно, поэтому подход «ради безопасности — отпечаток у всех» безопасным путём не является.

Законна ли мобильная PDKS? Отметка прихода и ухода с телефона

Отметка с телефона сама по себе не порождает данных особой категории. Оценку определяет то, какие данные собирает приложение. Отметка по логину и паролю — это обработка персональных данных, и на неё распространяются принципы статьи 4. Если добавить проверку по распознаванию лица или отпечатку пальца, речь пойдёт о биометрических данных, и будет применяться упомянутое принципиальное решение. Если собирается геолокация, вопросы меняются: берётся ли местоположение только в момент прихода и ухода или отслеживается весь день, знает ли об этом сотрудник заранее? Отдельное принципиальное решение Совета о данных геолокации мы в этой статье не рассматривали; прежде чем внедрять такой метод, посоветуйтесь со специалистом.

Согласие по KVKK для PDKS: достаточно ли подписанной сотрудником формы?

При биометрическом методе — нет: как мы видели выше, согласие само по себе не признано действительной основой. При небиометрическом методе явное согласие часто может быть даже не нужно: часть 2 статьи 5 Закона разрешает обработку без явного согласия, если выполнено одно из условий, например исполнение договора, правовая обязанность оператора данных или законный интерес. Какое из них применимо, зависит от конкретной ситуации. Какое бы условие ни было выбрано, по статье 10 вы обязаны сообщить сотрудникам, кто вы, с какой целью обрабатываются данные, кому они могут передаваться, каким способом собираются, на каком правовом основании, а также об их правах. На практике главный документ для PDKS — не подписанное «согласие», а ясное и понятное уведомление об обработке данных.

Семь шагов к юридически безопасной PDKS

1. Проведите инвентаризацию текущего метода: какое устройство, какие данные, у кого хранятся?
2. Если есть биометрический считыватель, спланируйте его демонтаж или переход на альтернативу вроде карты или PIN-кода.
3. Выдайте сотрудникам понятное уведомление об обработке данных: укажите, кто вы, цель, передачу, способ сбора и права.
4. Ограничьте доступ к данным о приходе и уходе по ролям: руководитель подразделения видит только свою команду.
5. Определите срок хранения и опишите шаг удаления, уничтожения или обезличивания по его истечении.
6. Если поставщик устройства или программы имеет доступ к вашим данным, чётко пропишите обязанности в договоре.
7. Ведите журналы доступа и изменений; документируйте технические и организационные меры по статье 12.

Безопаснее ли с юридической точки зрения бумага или Excel?

Среди альтернатив, названных Советом, есть подписные и бумажные табели, то есть с правовой точки зрения эти методы не спорны. Проблема на стороне бизнеса: ошибки, невозможность отследить изменения задним числом и несовпадение с записями об отпусках. К тому же бумажный лист тоже содержит персональные данные; важно, кто его видит и где он хранится.

Где в этой картине YazSis KurumsalPortal?

Модуль Учёт времени и посещаемости — не устройство; он сводит отметки PDKS на одном экране, сопоставляет их с сотрудниками и отправляет исключения на согласование. Способ передачи данных с вашего текущего устройства согласуем в ходе проекта. Ролевое разграничение доступа к данным в портале, маскирование таких полей, как турецкий идентификационный номер (TC) и IBAN, журнал доступа к документам и журнал аудита помогают выстроить процесс с ориентацией на KVKK, но не берут на себя за вас выбор метода и правовую оценку. Чтобы ограничить меню и доступ к данным по ролям, загляните на страницу Управление меню и правами.

Если вы хотите вести данные о присутствии упорядоченно, с доступом по правам и прослеживаемо, независимо от метода, посмотрите структуру модулей на странице KurumsalPortal.