PDKS yasal mıdır? Parmak izli personel takibi ve mobil PDKS, KVKK açısından

Fabrikanın eski turnike sistemi yenilenecek. Cihaz satıcısı parmak izi okuyucu öneriyor: hızlı, kart devri yok, “arkadaşına bastırma” sorunu biter. Hukuk müşaviri ise “önce KVKK’ya bakalım” diyor. Bu arada saha ekibi, telefondan giriş-çıkış yapabilmeyi soruyor. Üç soru bir arada ortaya çıkıyor: parmak izli personel takibi yasal mı, mobil PDKS yasal mı, çalışana imzalatılan onay formu yeter mi? PDKS yasal mıdır sorusunun kısa cevabı “yönteme bağlı”. Bu yazı, bağlı olduğu noktaları KVKK’nın metni ve Kurul’un son ilke kararıyla birlikte açıyor.

PDKS’nin yasallığı, giriş-çıkış kaydının tutulup tutulmamasından çok, kaydın hangi kişisel veriyle ve hangi yöntemle alındığına bağlı olan hukuki bir değerlendirmedir.

PDKS yasal mıdır? Kaydı tutmak ile yöntemi seçmek ayrı sorulardır

Kişisel Verileri Koruma Kurumu’nun duyurusuna göre işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü vardır. Aynı duyuru, takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık bir kanuni düzenleme bulunmadığını da vurgular. Yani devam kaydı tutmak tartışma konusu değildir; tartışma, kaydın nasıl alındığındadır. Bu noktada 6698 sayılı Kanun’un 4. maddesindeki ilkeler devreye girer: veri, işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.

Parmak izi ile giriş çıkış yasal mıdır?

Kanun’un 6. maddesinin birinci fıkrası biyometrik ve genetik verileri özel nitelikli kişisel veri sayar. Üçüncü fıkra ise şu temel kuralı koyar:

Özel nitelikli kişisel verilerin işlenmesi yasaktır.

Yasak, sayılan şartlardan biri varsa kalkar: açık rıza, kanunlarda açıkça öngörülme, istihdama ilişkin hukuki yükümlülük gibi. Kurul, 29.04.2026 tarihli ve 2026/921 sayılı ilke kararında bu şartları mesai takibi açısından tek tek değerlendirmiş ve Resmî Gazete’de 02.06.2026 tarihinde yayımlanan karardan çıkan sonuçlar kısaca şöyledir:

• Kanunda açıkça öngörülme şartı yoktur. Mevzuat çalışma sürelerinin takibinden söz eder ama biyometrik yolla yapılmasını öngörmez.
• Açık rıza tek başına yeterli sayılmamıştır. İşçi-işveren ilişkisindeki güç dengesizliği, rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddüt doğurur; ayrıca rıza geri alınabilir.
• Geçerli rıza olsa bile ölçülülük sağlanmaz. Daha az müdahaleci alternatifler varken biyometrik veri işlemek ölçülü bulunmamıştır.
• Alternatifler sayılmıştır: şifreli kart veya PIN tabanlı sistemler, imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları, denetçi gözetiminde elle giriş.

Kurum’un 27.08.2026 tarihli ikinci duyurusu bir noktayı daha netleştirir: parmak izinin matematiksel bir koda çevrilerek veri tabanında saklanması, onun biyometrik veri niteliğini ortadan kaldırmaz. “Biz parmak izini değil şablonunu saklıyoruz” savunması bu nedenle çözüm sunmaz.

Çalışan parmak izi vermek istemezse ne olur?

Kurul’un gerekçesi tam bu soruya dayanır. Kurul, çalışana rıza göstermeme ya da rızasını geri çekme imkânı etkin biçimde sunulmuyorsa, ya da rıza göstermemek çalışan için olumsuz sonuç doğurabiliyorsa, çalışanın gerçek bir seçeneği olduğunun söylenemeyeceğini belirtir. Yani “isteyen parmak izi versin, istemeyen kart kullansın” düzeni kâğıt üzerinde makul görünse de, tek başına hukuki zemin kurmaz. Asıl çözüm, herkes için biyometrik olmayan bir yöntemi esas almaktır.

Güvenlik gerekçesiyle biyometrik sistem kurulabilir mi?

Aynı duyuru, bazı tesisleri genel değerlendirmeden ayırır. Kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinde biyometrik tanımlama, mesai takibinin değil güvenliğin aracıdır. Kurum bu durumda da kullanımın yalnızca gerekli alan ve kişilerle sınırlı, alternatiflerin yetersiz ve somut güvenlik ihtiyacıyla ölçülü olmasını bekler. Her olay ayrıca değerlendirilir; bu yüzden “güvenlik diyerek herkese parmak izi” yaklaşımı güvenli bir yol değildir.

Mobil PDKS yasal mı? Telefondan giriş-çıkış kaydı

Telefondan kayıt, kendiliğinden özel nitelikli veri doğurmaz. Değerlendirmeyi belirleyen, uygulamanın hangi veriyi topladığıdır. Kullanıcı adı ve şifreyle yapılan kayıt kişisel veri işlemektir ve 4. maddedeki ilkelere tabidir. Yüz tanıma ya da parmak izi doğrulaması eklenirse biyometrik veri söz konusu olur ve yukarıdaki ilke kararı devreye girer. Konum bilgisi alınıyorsa sorular değişir: konum yalnızca giriş-çıkış anında mı alınıyor, gün boyu mu izleniyor, çalışan bunu önceden biliyor mu? Konum verisi için Kurul’un ayrı bir ilke kararını bu yazıda esas almadık; böyle bir yöntem kurmadan önce uzmanınıza danışın.

PDKS KVKK onayı: Çalışana onay formu imzalatmak yeter mi?

Biyometrik yöntemde yetmez; yukarıda gördüğümüz gibi rıza tek başına geçerli zemin sayılmamıştır. Biyometrik olmayan bir yöntemde ise açık rıza çoğu zaman gerekli bile olmayabilir: Kanun’un 5. maddesinin ikinci fıkrası, sözleşmenin ifası, veri sorumlusunun hukuki yükümlülüğü ve meşru menfaat gibi şartlardan biri varsa açık rıza aranmadan işlemeye izin verir. Hangisinin geçerli olduğu somut duruma bağlıdır. Hangi şart seçilirse seçilsin, 10. madde gereği çalışanlara kimliğiniz, işleme amacı, verinin kimlere aktarılabileceği, toplama yöntemi ve hukuki sebep ile haklar hakkında bilgi vermek zorundasınız. Pratikte PDKS için asıl belge, imzalatılan “onay” değil, açık ve anlaşılır bir aydınlatma metnidir.

Yasal açıdan güvenli bir PDKS kurmak için yedi adım

1. Mevcut yöntemi envanterleyin: hangi cihaz, hangi veri, kimde saklanıyor?
2. Biyometrik okuyucu varsa kaldırma ya da kart, PIN gibi alternatife geçiş planı yapın.
3. Çalışanlara anlaşılır bir aydınlatma metni verin; kimlik, amaç, aktarım, toplama yöntemi ve hakları yazın.
4. Giriş-çıkış verisine erişimi role göre sınırlayın; birim yöneticisi yalnızca kendi ekibini görsün.
5. Saklama süresini belirleyin ve süre dolunca silme, yok etme ya da anonim hale getirme adımını tanımlayın.
6. Cihaz ya da yazılım sağlayıcınız verinize erişiyorsa sorumlulukları sözleşmede açıkça yazın.
7. Erişim ve değişiklik kayıtlarını tutun; 12. maddedeki teknik ve idari tedbirleri belgeleyin.

Kâğıt veya Excel ile tutmak hukuken daha mı güvenli?

Kurul’un saydığı alternatifler arasında imza ve kâğıt bazlı çizelgeler de bulunur; yani hukuki açıdan bu yöntemler tartışmalı değildir. Sorun işletme tarafındadır: hata, geriye dönük değişiklik izinin olmaması ve izin kayıtlarıyla eşleşmeme. Üstelik kâğıt föy de kişisel veri taşır; kimin gördüğü ve nerede durduğu önemlidir.

YazSis KurumsalPortal bu tabloda nerede durur?

PDKS & Devam Kontrol modülü bir cihaz değildir; PDKS hareketlerini tek ekranda birleştirir, çalışanla eşleştirir ve istisnaları onaya bağlar. Mevcut cihazınızın verisinin aktarım yöntemi projede birlikte belirlenir. Portalın rol bazlı veri kapsamı, TC kimlik ve IBAN gibi alanların maskelenmesi, belge erişim kaydı ve denetim kaydı, KVKK odaklı bir süreç kurmanıza yardımcı olur; ancak yöntem seçimini ve hukuki uygunluğu sizin yerinize üstlenmez. Menü ve veri erişimini role göre sınırlamak için Menü ve Yetki Yönetimi sayfasına bakabilirsiniz.

Devam verisini yöntemden bağımsız olarak düzenli, yetkiye bağlı ve izlenebilir tutmak istiyorsanız KurumsalPortal sayfasından modül yapısına göz atabilirsiniz.