KVKK ilke kararı neden bu kadar konuşuluyor?
Personel devam kontrol sistemlerinde parmak izi ve yüz tanıma gibi biyometrik yöntemler uzun süredir hız, pratiklik ve kayıt güvenilirliği nedeniyle tercih ediliyordu. Ancak biyometrik veriler, sıradan personel bilgilerinden farklı olarak doğrudan kişiye özgü ve geri döndürülemez nitelikte kabul edildiği için veri koruma hukukunda çok daha hassas bir alanda yer alır. Resmî Gazete'de yayımlanan ilke kararı da tam olarak bu noktaya odaklanıyor: Sırf operasyon kolaylığı sağlıyor diye biyometrik veri işlenmesi, her durumda ölçülü ve hukuka uygun kabul edilmiyor. Karar, işverenlerin personel takibiyle veri koruma yükümlülükleri arasında daha dengeli bir çerçeve kurmasını zorunlu hale getiriyor. Bu nedenle konu yalnızca hukuk birimlerinin değil, insan kaynakları, bilgi işlem, idari işler ve güvenlik ekiplerinin de doğrudan gündemine girmiş durumda.
Resmî Gazete'de yayımlanan kararın özeti nedir?
İlke kararının temel mesajı, biyometrik veri işlemenin tamamen serbest bir personel takip yöntemi olarak görülemeyeceğidir. Kurul yaklaşımında öne çıkan başlıklar; veri işlemenin zorunluluğunun somut şekilde gösterilmesi, daha az müdahaleci alternatiflerin değerlendirilmesi, aydınlatma yükümlülüğünün eksiksiz yerine getirilmesi ve veri güvenliği tedbirlerinin teknik olarak ispatlanabilir düzeyde kurulmasıdır. Başka bir ifadeyle, “sistem hızlı çalışıyor” veya “işletmede uzun süredir böyle kullanılıyor” gibi gerekçeler tek başına yeterli sayılmıyor. Karar, ölçülülük ve gereklilik testini merkeze alıyor. İşverenin önce ihtiyacını tanımlaması, ardından biyometrik yöntem dışında kartlı, mobil, QR kodlu veya yetkilendirilmiş erişim gibi alternatifleri neden yeterli görmediğini açıklayabilmesi bekleniyor.
Kararın sahadaki karşılığı
Bu yaklaşım pratikte şunu ifade ediyor: Aynı sonucu daha düşük riskli bir yöntemle elde etmek mümkünse, biyometrik veri işleme tercihinin sorgulanması gerekir. Bu nedenle yeni dönemde şirketler yalnızca cihaz yatırımını değil, veri işleme mantığını da gözden geçirmek zorunda kalıyor.
Parmak izi ve yüz tanıma sistemleri neden gündeme geldi?
Çünkü bu iki yöntem, personel doğrulamasında en çok kullanılan biyometrik teknolojiler arasında yer alıyor. Parmak izi okuyucular uzun yıllardır üretim tesislerinden ofislere kadar çok farklı yapılarda kullanıldı. Yüz tanıma sistemleri ise temassız kullanım, hızlı geçiş ve merkezi yönetim avantajları nedeniyle özellikle son yıllarda öne çıktı. Ancak her iki çözüm de kişiyi fiziksel özellikleri üzerinden tanımladığı için özel nitelikli kişisel veri kategorisinde değerlendirilir. Veri sızıntısı, yanlış yapılandırma ya da gereksiz veri toplama durumlarında risk seviyesi klasik kullanıcı adı, kart numarası veya personel koduna göre çok daha yüksektir. İşte kararın gündem yaratmasının ana sebebi de bu: İşletmeler artık sadece “doğru çalışan doğru saatte giriş yaptı mı” sorusuna değil, “bu doğrulama yöntemi gerçekten gerekli mi ve veri koruma açısından savunulabilir mi” sorusuna da yanıt vermek zorunda.
Biyometrik cihazlar tamamen yasaklandı mı?
Hayır, en çok karıştırılan konu da bu. İlke kararı biyometrik cihazların otomatik olarak yasaklandığını söylemiyor. Esas değişen nokta, biyometrik veri işlemenin “varsayılan ve risksiz” bir çözüm olarak değerlendirilmemesi. Eğer işveren somut gerekliliği ortaya koyabiliyor, daha az müdahaleci yöntemlerin neden yeterli olmadığını gösterebiliyor, veri minimizasyonunu sağlayabiliyor ve teknik-idari güvenlik önlemlerini eksiksiz kurabiliyorsa biyometrik çözüm hâlâ belirli senaryolarda değerlendirilebilir. Ancak artık karar süreçleri çok daha sıkı belgelendirme gerektiriyor. Yani mesele cihazın kendisi değil; kullanım amacı, kapsamı, zorunluluğu, saklama yöntemi ve kurumsal veri yönetişimi. “Tamamen serbest” yorumu nasıl yanlışsa, “tamamen yasaklandı” yorumu da aynı ölçüde yanlış ve yanıltıcıdır.
Doğru soru ne olmalı?
Doğru soru, “Biyometrik cihaz kullanabilir miyiz?” değil; “Bu kullanım biçimi KVKK ilkeleri açısından savunulabilir mi?” olmalıdır. Kararın pratik değeri tam da bu bakış değişikliğinde yatıyor.
İşverenlerin dikkat etmesi gereken temel noktalar
Yeni dönemde ilk yapılması gereken, mevcut PDKS kurgusunu hukuki ve teknik açıdan birlikte değerlendirmektir. Şirketler hangi veriyi topladığını, bu veriyi hangi cihazın ürettiğini, nerede sakladığını, kimlerin eriştiğini ve ne kadar süre muhafaza ettiğini net şekilde ortaya koymalıdır. Ardından gereklilik analizi yapılmalı; kartlı geçiş, Web PDKS, mobil geçiş veya access control gibi daha düşük riskli yöntemlerin aynı ihtiyacı karşılayıp karşılamadığı incelenmelidir. Aydınlatma metinleri güncel değilse revize edilmeli, veri saklama ve imha politikaları netleştirilmeli, bilgi işlem ve insan kaynakları süreçleri eşgüdümlü hale getirilmelidir. Ayrıca tedarikçi sözleşmeleri de önemlidir; kullanılan cihazın veriyi nasıl işlediği, şablon veriyi nerede tuttuğu ve dış servis bağımlılıkları mutlaka kontrol edilmelidir.
Yanlış bilinen bilgiler neden risk oluşturuyor?
Sahada en sık karşılaşılan yanlışlardan biri, personelden alınan standart bir onayın her şeyi hukuka uygun hale getireceği düşüncesidir. Oysa çalışan-işveren ilişkisi içinde açık rızanın her durumda serbest iradeyle verildiğinin kabul edilmesi kolay değildir. Bir başka yaygın hata, biyometrik verinin cihazda tutulduğu sürece risk taşımadığı varsayımıdır. Veri cihazda, sunucuda ya da bulutta bulunsun; işleme faaliyeti devam ettiği sürece güvenlik, yetki yönetimi ve saklama süresi sorumluluğu ortadan kalkmaz. “Biz sadece giriş çıkış saati tutuyoruz, biyometrik veriyi kullanmıyoruz” yaklaşımı da teknik olarak çoğu zaman gerçeği yansıtmaz; çünkü doğrulama mekanizması biyometrik eşleşme üzerine kuruluysa veri işleme faaliyeti zaten vardır. Bu yanlış kabuller, şirketleri hem denetimlerde hem de iç uyum süreçlerinde savunmasız bırakır.
Karar şirketler için ne anlama geliyor?
Karar, personel takibinin sona erdiği anlamına gelmiyor; tersine, personel takibinin daha bilinçli ve daha belgelenebilir şekilde yapılması gerektiğini söylüyor. İşletmeler için ana mesaj şudur: Personel devam kontrolü ihtiyacı meşrudur, ancak bu ihtiyacı karşılarken kullanılan araçların risk düzeyi, gerekliliği ve hukuki dayanağı doğru kurulmalıdır. Bu yüzden yönetim ekiplerinin artık teknoloji seçimini yalnızca operasyonel konfor üzerinden yapmaması gerekir. İnsan kaynakları, hukuk, bilgi işlem ve saha operasyonları birlikte hareket etmelidir. Karar aynı zamanda yeni yatırım fırsatları da yaratıyor. Özellikle kartlı geçiş, mobil doğrulama, QR kodlu giriş ve merkezi raporlama sunan bulut çözümleri, uyum ve operasyon dengesini birlikte arayan işletmeler için daha görünür hale geliyor.
İşletmeler için sağlıklı yol haritası nasıl olmalı?
Öncelikle panik yerine analiz odaklı hareket etmek gerekir. Mevcut biyometrik sistemin kapsamı belirlenmeli, ardından alternatif senaryolar hazırlanmalıdır. Birçok şirket için çözüm, doğrudan tüm sistemi kapatmak değil; riskli noktaları azaltmak, geçişi kademeli yönetmek ve veri işleme mantığını yeniden tasarlamaktır. Örneğin bazı sahalarda biyometrik doğrulama yerine kartlı geçiş ve turnike entegrasyonu yeterli olabilir. Bazı yapılarda mobil geçiş ve merkezden raporlama daha verimli sonuç verebilir. Kritik olan, her lokasyon için tek tip karar vermek yerine süreç bazlı değerlendirme yapmaktır. NetPDKS yaklaşımında da önce iş akışı, sonra cihaz ve yazılım seçimi gelir. Bu sayede işletme hem mevzuat riskini azaltır hem de personel takibinden vazgeçmeden daha sürdürülebilir bir yapı kurabilir.