By Elif Demir 
Türkiye’deki binlerce işletme her sabah aynı sahneyle açılıyor: çalışan kapıdaki cihaza parmağını okutuyor, vardiya kaydı düşülüyor, gün başlıyor. Haziran başında Kişisel Verileri Koruma Kurulu, bu sahneyi kökten değiştiren iki ayrı düzenlemeye imza attı. Resmî Gazete’de yayımlanan İlke Kararı, mesai ve personel devam takibinde parmak izi, yüz tanıma gibi biyometrik sistemlerin kullanımını kural olarak hukuka aykırı ilan etti; birkaç gün sonra yayımlanan kamuoyu duyurusu ise iş yerlerindeki güvenlik kamerası kullanımının sınırlarını netleştirdi. İki metnin ortak mesajı açık: çalışanı izleyen her teknoloji, bundan böyle çok daha sıkı bir hukuki çerçevede çalışacak.
Bu yazıda iki düzenlemeyi tek tek açıyor; biyometrik cihaz kullanan işletmelerin önündeki geçiş yolunu, kamera kullanımında çizilen sınırları, yaptırım riskini ve uyum için yapılması gerekenleri ele alıyoruz.
Haziran Başında Ne Değişti?
İki gelişme art arda geldi. İlki, Kurulun mesai takibi amacıyla biyometrik veri işlenmesine ilişkin İlke Kararı: ayın ikinci günü Resmî Gazete’de yayımlandı ve yayımıyla birlikte tüm veri sorumluları için bağlayıcı hâle geldi. Karara göre işe giriş-çıkış ve devam kontrolünde parmak izi, yüz tanıma, avuç içi veya damar izi gibi biyometrik yöntemler, çalışandan açık rıza alınmış olsa bile kural olarak kullanılamaz.
İkincisi, aynı haftanın sonunda yayımlanan iki kamuoyu duyurusu. İş yerlerinde ve apartmanlarda güvenlik kamerası kullanımını konu alan bu metinler yeni bir yasak getirmiyor; mevcut kanunun kameralara nasıl uygulanacağını somut örneklerle ortaya koyuyor. Verimlilik ölçme ve disiplin sağlama gibi amaçlarla kamera kurulamayacağı, tuvalet ve soyunma odası gibi alanların hiçbir gerekçeyle izlenemeyeceği bu duyurularda açıkça yazıyor.
Aradaki nitelik farkına dikkat etmek gerekiyor: İlke Kararı bağlayıcı bir düzenleme; kamera duyuruları ise Kurulun mevcut yükümlülükleri hatırlattığı yol gösterici metinler. İkisi birlikte okunduğunda, çalışanın izlenmesine dönük teknolojilerin tamamında denetim çıtasının yükseldiği görülüyor.
Biyometrik Veri Neden Bu Kadar Sıkı Korunuyor?
Parmak izi, yüz geometrisi, iris deseni, avuç içi damar haritası; bunların hepsi kişiyi tek başına ve hatasız tanımlayan fiziksel özelliklerdir. Kişisel verilerin korunması mevzuatında bu veriler “özel nitelikli” kategorisinde yer alır ve sağlık verisi, ceza mahkûmiyeti gibi en hassas bilgilerle aynı korumadan yararlanır.
Bu sıkılığın nedeni, biyometrik verinin değiştirilemez olmasıdır. Çalınan bir şifre değiştirilir, kaybolan bir kart iptal edilir; ele geçirilen parmak izinin ise yenisi yoktur. Bir veri ihlalinde sızan biyometrik şablon, kişiyi ömür boyu takip eden bir risk hâline gelir. Kurulun mesai takibi gibi gündelik bir amaç için bu ağırlıkta bir verinin toplanmasını ölçüsüz bulması, bu kalıcılık gerçeğine dayanıyor.
Kurul Mesai Takibinde Biyometriyi Neden Hukuka Aykırı Buldu?
Kararın gerekçesi üç sütun üzerine oturuyor. Birincisi ölçülülük: mesai takibi dediğimiz iş, çalışanın belirli saatte iş yerinde olup olmadığını kaydetmekten ibarettir ve bu amaca kart, şifre veya imza gibi çok daha hafif araçlarla ulaşılabilir. Amaca daha az müdahaleci bir yolla varılabiliyorsa, en hassas veri türüne el atmak ölçülülük ilkesiyle bağdaşmaz.
İkincisi, verinin amaçla bağlantılı ve sınırlı işlenmesi ilkesi. Vardiya kaydı tutmak için çalışanın vücut özelliklerini şablonlaştırıp veri tabanında saklamak, amacın gerektirdiğinin çok ötesinde bir işlemedir. Üçüncüsü ise iş ilişkisinin doğasından gelen güç dengesizliği; bu, açık rıza tartışmasının merkezinde durduğu için ayrı başlıkta ele almakta yarar var.
Açık Rıza Neden Yeterli Görülmedi?
Veri koruma hukukunda açık rızanın geçerli olabilmesi için özgür iradeyle verilmiş olması şarttır. Kurulun yaklaşımına göre işçi ile işveren arasındaki ilişki, bu özgürlüğü baştan sakatlayan bir bağımlılık içerir: maaşını, görev yerini ve geleceğini işverenin belirlediği bir ortamda çalışanın “parmak izimi vermek istemiyorum” demesi, fiilen mümkün görünse de gerçekte ciddi bir baskı altındadır. Rızayı vermeyen çalışanın işe girişte zorluk yaşayacağı, fark edilmek istemeyen bir damga taşıyacağı endişesi, iradenin özgürlüğünü ortadan kaldırır.
Bu yüzden karar, imzalı rıza formları toplanmış olmasını yeterli saymıyor. İşveren açısından pratik anlamı şu: arşivdeki rıza belgeleri, biyometrik sistemi hukuka uygun hâle getirmiyor. Sistemin kendisi değişmek zorunda. Rızanın iş ilişkisinde hangi şartlarda ayakta kaldığını çalışandan alınan açık rıza başlığında genişlettik.
Karar Hangi İşletmeleri Kapsıyor?
Kapsam, sanılandan geniş. Personel devam kontrol sistemi (PDKS) olarak parmak izi okuyucu kullanan küçük bir imalat atölyesi de, yüz tanımayla turnike açan plaza yönetimi de, avuç içi damar iziyle vardiya takibi yapan fabrika da aynı kuralın muhatabı. Cihazın markası, verinin şablon olarak mı görüntü olarak mı saklandığı, sistemin bulutta mı yerelde mi çalıştığı sonucu değiştirmiyor; mesai ve devam takibi amacıyla biyometrik veri işleniyorsa karar uygulanıyor.
Kamu kurumlarından özel sağlık kuruluşlarına, lojistik depolardan zincir mağazalara kadar bu cihazların yaygınlığı düşünüldüğünde, kararın etki alanı yüz binlerce iş yerini buluyor. Güvenlik gerekçesiyle çok dar istisnaların tartışılabileceği özel durumlar saklı olmakla birlikte, olağan mesai takibi senaryosunda kural nettir: biyometri bu iş için kullanılamaz.
İzin Verilen Alternatif Yöntemler
Karar, işverenleri boşlukta bırakmıyor; devam takibinin hangi araçlarla yapılabileceğini sayıyor. Dört ana seçenek öne çıkıyor.
Şifreli Kart ve PIN Tabanlı Sistemler
Personel kartının okutulması veya tuş takımına kişisel kodun girilmesi, en yaygın geçiş yolu. Mevcut PDKS altyapılarının önemli bölümü kart okuyucuyla birlikte çalışabildiği için, birçok işletmede cihazın tamamen sökülmesi değil okuma modülünün değiştirilmesi yetiyor. Kartın devredilebilir olması suistimal riski doğursa da Kurul bu riski, biyometrik verinin kalıcı tehlikesine kıyasla kabul edilebilir buluyor.
RFID ve NFC Kimlik Kartları
Temassız kartlar, okuyucuya yaklaştırmakla kayıt düşen pratik bir çözüm. Yaka kartıyla bütünleşebildiği için ek taşıma yükü getirmiyor; turnike, kapı ve asansör erişimiyle aynı kart üzerinden yönetilebiliyor. Kart içinde yalnızca bir kimlik numarası taşındığından, kaybolduğunda iptal edilip yenisi tanımlanabiliyor.
İmza ve Kâğıt Esaslı Çizelgeler
Küçük ölçekli iş yerleri için geleneksel imza föyü hâlâ geçerli bir yöntem. Maliyeti yok denecek kadar düşük; veri güvenliği riski de dosya dolabının kilidiyle sınırlı. Denetçi gözetiminde elle giriş kaydı da kararda sayılan seçenekler arasında.
Mobil Uygulama ve Konum Bildirimli Sistemler
Saha ekipleri için telefon üzerinden vardiya başlatma giderek yaygınlaşıyor. Bu yöntemde dikkat edilecek nokta, konum verisinin de kişisel veri olduğu ve işlemenin yine amaçla sınırlı tutulması gerektiği. Mesai başlangıcında tek seferlik konum teyidi ile gün boyu kesintisiz konum izleme arasında, hukuken büyük fark var; ikincisi ayrı bir ölçülülük sorunu doğurur.
Dört yöntemin maliyet, hız ve suistimal riski yönünden ayrıntılı karşılaştırmasını ve tedarikçiye sorulacak soruları biyometrik yasak sonrası PDKS seçimi yazısında topladık.
Elinde Biyometrik Cihaz Olan İşletme Ne Yapmalı?
Mevcut sistemini bu karara uyarlamak isteyen işletme için yol haritası dört duraktan oluşuyor.
Birinci durak, kullanımı durdurmak: cihazın biyometrik modülü devre dışı bırakılmalı ve geçiş tamamlanana kadar imza föyü gibi geçici bir yöntem devreye alınmalı. İkinci durak, alternatif sistemi kurmak: kart, PIN veya temassız çözümlerden işletmenin ölçeğine uyanı seçilip personel kartları tanımlanmalı. Üçüncü durak, birikmiş biyometrik verilerin imhası; bu konu kendi başlığını hak ediyor ve aşağıda ayrıntısı var. Dördüncü durak ise belge düzeni: veri işleme envanteri güncellenmeli, eski aydınlatma metinlerindeki biyometrik ifadeler çıkarılmalı, PDKS tedarikçisiyle yapılan sözleşme veri işleme hükümleri yönünden gözden geçirilmeli.
Tedarikçi ayağı çoğu zaman atlanır; oysa cihazı kuran firma veri işleyen sıfatı taşıyorsa, onun elindeki şablon veri tabanının da silinmesi işverenin takip etmesi gereken bir yükümlülüktür. Sözleşmeye imha tutanağı şartı koymak, ileride doğacak bir denetimde işvereni koruyan somut bir kanıt üretir.
Birikmiş Biyometrik Veriler: Silme ve İmha
Sistemi değiştirmek, geçmişte toplanmış verileri ortadan kaldırmaz. Cihaz hafızasında, sunucuda veya bulut hesabında duran parmak izi ve yüz şablonları, işleme amacı ortadan kalktığı için silinmek, yok edilmek veya anonim hâle getirilmek zorunda. İmha işleminin tutanakla belgelenmesi, hangi cihazdan ve hangi ortamdan kaç kaydın kaldırıldığının yazılması gerekir; sözlü “sildik” beyanı denetimde karşılık bulmaz.
Yedekler sık unutulan noktadır. PDKS yazılımının otomatik yedek aldığı sunucu, dışarıdan hizmet alınan bulut ortamı ve servis firmasının elindeki kopyalar da imha kapsamındadır. Veri güvenliği tarafında benzer disiplinin neden şart olduğunu, sektör örneği üzerinden lojistikte siber güvenlik riskleri içeriğimizde anlatmıştık; oradaki ilkelerin tamamı burada da geçerli. İmha takvimini ve tutanak düzenini kurumsal bir çerçeveye bağlamak isteyenler için kişisel veri saklama ve imha politikası yazısı yol haritası sunuyor.
İş Yeri Kamerasında Çizilen Sınırlar
Haftanın ikinci düzenlemesi kameralara ilişkin. Kurulun duyurusuna göre iş yerinde kamera kurmak isteyen işveren, önce kendine tek bir soru sormak zorunda: bu kamera hangi belirli ve meşru amaca hizmet ediyor? Hırsızlığa karşı bina girişinin izlenmesi, kasanın bulunduğu alanın güvenliği, iş makinelerinin çevresindeki tehlike bölgesinin gözlenmesi gibi amaçlar meşru kabul ediliyor. Amaç tanımlanmadan, “ne olur ne olmaz” diye her köşeye kamera yerleştirmek, daha ilk koşulda hukuka aykırılık doğuruyor.
Meşru amaç tek başına da yetmiyor; işleme, kanundaki hukuki dayanaklardan birine oturmalı ve genel ilkelerle uyumlu yürümeli. Kameranın görüş açısı amacın gerektirdiği alanla sınırlı tutulmalı, kayıtlar amaç için gerekli süre kadar saklanmalı, erişim yetkisi dar bir kadroya verilmeli.
Performans İzleme Amaçlı Kamera Neden Meşru Değil?
Duyurunun işverenler açısından en çarpıcı cümlesi, izleme amaçlarına ilişkin olanı: çalışanların verimli çalışıp çalışmadığını görme, disiplini artırma ve genel kontrol sağlama gibi amaçlar, meşru amaç kapsamında değerlendirilmiyor. Başka deyişle kamera bir güvenlik aracıdır; bir yönetim ve gözetim aracı değildir.
Bu ayrım, sahada sık karşılaşılan bir alışkanlığı hedef alıyor. Üretim bandının başındaki kameradan kimin ne kadar mola verdiğini izleyen, mağaza kamerasından satış personelinin müşteriyle ilgilenme süresini ölçen, ofis kamerasını ekran başında geçirilen zamanı kontrol için kullanan uygulamaların tamamı bu çizginin dışında kalıyor. Çalışan performansını değerlendirmenin hukuka uygun yolları ayrıdır; kamera kaydı bu amacın aracı yapılamaz.
Kameranın Hiç Giremeyeceği Alanlar
Bazı alanlarda amaç ne olursa olsun kamera kurulamaz. Duyuruda sayılan örnekler; tuvaletler, soyunma odaları, mescitler ve dinlenme alanları. Bu mekânlar özel hayatın gizliliğinin çekirdek alanı sayılıyor ve güvenlik gerekçesi dahil hiçbir amaç, buralara kamera yerleştirilmesini haklı kılmıyor.
Yemekhane ve sigara molası verilen avlu gibi ara alanlarda ise değerlendirme amaç ve ölçülülük üzerinden yapılıyor; çalışanın nefes aldığı, gözetimden uzak kalmayı beklediği her mekânda izleme baskısı yaratmaktan kaçınmak, hem hukuki hem yönetsel açıdan doğru yaklaşım. Aynı duyuru setinde apartman ve site yönetimlerine dönük paralel bir metin de yayımlandı; karma kullanımlı binalarda iş yeri ve ortak alan kameralarının ayrı kurallara tabi olduğunu bilmek, yönetimle işletme arasındaki sorumluluk karmaşasını önler.
Aydınlatma Yükümlülüğü ve Saklama Süreleri
Kameranın varlığı gizlenemez. Çalışanlar ve ziyaretçiler; hangi alanların izlendiği, kayıtların hangi amaçla tutulduğu, kime aktarılabileceği ve ne kadar saklanacağı konusunda aydınlatılmalı. Pratikte bu, görünür noktalara asılan bilgilendirme levhaları ile ayrıntılı aydınlatma metninin birlikte kullanılmasıyla sağlanıyor; levha dikkat çeker, metin ayrıntıyı verir.
Saklama süresinde ölçü, amacın gerektirdiği süredir. Güvenlik kaydı için sektörde yaygın uygulama görüntülerin belirli bir periyotta otomatik silinmesi yönünde; olay yaşanmadıkça kayıtları aylarca biriktirmek, sınırlı saklama ilkesini zedeler. Bir olay yaşandığında ise ilgili kesit ayrılır ve hukuki süreç boyunca korunur. Dijital kayıtların delil değeri taşıdığı durumlarda mahkemelerin yaklaşımını siber suçlar ve dijital izler üzerine emsal kararlar yazımızda incelemiştik; kamera görüntüsünün hem koruyucu hem yükümlülük doğurucu yüzünü orada görmek mümkün.
Uymayanı Ne Bekliyor?
İlke Kararı, uyarı niteliğinde bir metin değil. Kararda, gereğine uymadığı tespit edilen veri sorumluları hakkında kanunun yaptırım maddesi uyarınca işlem yapılacağı açıkça yazıyor. Bu madde, ihlalin türüne göre yüksek tutarlara ulaşabilen idari para cezalarını içeriyor; özel nitelikli veride ihlal, ceza takdirinde ağırlaştırıcı etki yapıyor.
Denetimin uzak bir ihtimal olmadığını gösteren bir gösterge de aynı günlerde geldi: Kurum, uluslararası bir eğitim platformunun yaşadığı ve on iki bine yakın kişinin ad, telefon ve adres bilgilerinin ele geçirildiği veri ihlalini kamuoyu duyurusuyla ilan etti. İhlal bildirimleri, ceza kararları ve ilke kararları aynı kurumsal mekanizmanın parçaları; biyometrik karar gibi gündemdeki bir konuda şikâyet ve ihbar yoğunluğunun artması, denetim olasılığını da yükseltir. Çalışan tarafında farkındalığın artması bu olasılığı besliyor; iş yerindeki hak ve yükümlülük eğitimlerinin kapsamına veri koruma başlığını eklemek isteyen işverenler, eğitim planlamasının çerçevesi için çalışan eğitimi içeriğimizden yararlanabilir.
İşveren İçin Uyum Kontrol Listesi
Aşağıdaki liste, iki düzenlemenin gereklerini tek bakışta toplar:
- Biyometrik mesai cihazı varsa kullanımını durdurun; kart, PIN, temassız kart veya imza esaslı bir yönteme geçin.
- Cihazlarda, sunucularda, yedeklerde ve tedarikçide duran biyometrik şablonları tutanakla imha edin.
- Veri işleme envanterini ve aydınlatma metinlerini yeni duruma göre güncelleyin.
- PDKS ve kamera tedarikçileriyle sözleşmeleri veri işleme hükümleri yönünden gözden geçirin.
- Her kamera için yazılı bir amaç tanımlayın; amaca hizmet etmeyen kameraları kaldırın.
- Tuvalet, soyunma odası, mescit ve dinlenme alanlarında kamera bulunmadığını doğrulayın.
- Kameraların görüş açısını amaçla sınırlı tutun; performans ve disiplin izleme amaçlı kullanım varsa son verin.
- Bilgilendirme levhalarını asın, aydınlatma metnini erişilebilir kılın.
- Kayıt saklama süresini tanımlayın ve otomatik silmeyi devreye alın.
- Görüntülere erişim yetkisini dar tutun, erişim loglarını saklayın.
Bu başlıkların birçoğu, iş sağlığı ve güvenliği tarafındaki yükümlülüklerle aynı yönetim disiplinini paylaşır; belgeleme, eğitim ve düzenli gözden geçirme üçlüsü orada da geçerlidir. İki alanı birlikte yöneten işverenler için işveren yükümlülükleri yazımız tamamlayıcı bir çerçeve sunuyor.
Ufukta Bekleyen Başlık: Yapay Zeka Düzenlemesi
Çalışanı izleyen teknolojilere dönük bu sıkılaşma, daha geniş bir düzenleme dalgasının parçası. Hükümetin yeni yapay zeka vizyonu ve eylem planının haziran ortasında açıklanacağı duyuruldu; insan kaynağı, hesaplama altyapısı, veri ekosistemi ve yönetişim mekanizmalarının odakta olacağı belirtiliyor. Plan metni yayımlandığında, işletmelere bildirim veya uyum yükümlülüğü getirip getirmediğini ayrı bir yazıda değerlendireceğiz. Yapay zekânın iş süreçlerine girişinin veri tarafında neler doğurduğuna dair bir ön okuma için lojistikte yapay zeka ve veri analizi içeriğimize bakabilirsiniz.
Tablonun bütünü şunu söylüyor: çalışan verisi üzerinde kurulan her teknoloji, artık kurulmadan önce hukuki süzgeçten geçmek zorunda. Cihaz satıcısının “herkes kullanıyor” güvencesi, denetim günü geldiğinde işvereni korumuyor; koruyan şey, amaç tanımı, ölçülülük ve belgelenmiş bir uyum sürecidir.
Çalışan verisinin yaşam döngüsü bu iki kararla sınırlı değil; sürecin öteki duraklarını da ele aldık: işe alımda aday verileri, çalışan fotoğrafının kullanımı ve işten ayrılan çalışanın verileri.
Sıkça Sorulan Sorular
Parmak izi ile mesai takibi tamamen mi yasaklandı?
Mesai ve personel devam takibi amacıyla kullanım, kural olarak hukuka aykırı sayıldı. Karar bu amaçla sınırlı; çok dar güvenlik senaryolarında farklı değerlendirme ihtimali saklı olsa da olağan vardiya takibinde parmak izi, yüz tanıma ve benzeri yöntemler kullanılamaz.
Çalışanlardan imzalı açık rıza aldık; sistemimizi korumamız mümkün mü?
Hayır. Kurul, iş ilişkisindeki güç dengesizliği nedeniyle bu rızanın özgür iradeyle verilmiş sayılamayacağı görüşünde. Arşivdeki rıza formları sistemi hukuka uygun kılmıyor; yöntemin kendisinin değişmesi gerekiyor.
Toplanmış parmak izi kayıtlarını ne yapmalıyız?
İşleme amacı ortadan kalktığı için silinmeleri, yok edilmeleri veya anonim hâle getirilmeleri gerekiyor. İmha; cihaz hafızası, sunucu, yedekler ve tedarikçideki kopyaları kapsamalı ve tutanakla belgelenmeli.
Servis aracında veya iş makinesinde kamera bulunabilir mi?
Sürüş güvenliği ve aracın korunması gibi tanımlı bir amaç varsa, ölçülü biçimde kurulabilir. Aracı kullanan personelin aydınlatılması, kaydın amaçla sınırlı tutulması ve kabin içinde sürekli ses kaydı gibi aşırı müdahalelerden kaçınılması koşuluyla değerlendirme yapılır.
Uzaktan çalışanın bilgisayarını veya kamerasını izleyebilir miyiz?
Sürekli ekran izleme ve kamera açtırma, ölçülülük ilkesi karşısında savunulması güç uygulamalardır. İş görme ediminin takibi; teslim edilen iş, oturum kayıtları gibi daha az müdahaleci araçlarla yapılabiliyorsa, yoğun gözetim araçlarına başvurmak hukuka aykırılık riski doğurur. Ekran, araç ve konum takibinin tamamı için çalışanı dijital izlemenin yasal sınırları yazısına bakabilirsiniz.
Kamera kayıtlarını ne kadar süre saklayabiliriz?
Mevzuat tek bir gün sayısı vermiyor; ölçü, amacın gerektirdiği süre. Yaygın uygulama, güvenlik kayıtlarının kısa bir periyotta otomatik silinmesi ve yalnızca olay yaşanan kesitlerin hukuki süreç boyunca korunması yönünde. Saklama süresini yazılı politikaya bağlamak, denetimde elinizi güçlendirir.
Apartman içindeki iş yerimiz için hangi duyuru geçerli?
İş yerinin kendi alanındaki kameralar iş yeri duyurusuna, binanın ortak alanlarındaki kameralar apartman duyurusuna tabidir. Karma kullanımlı binalarda yönetim planı ve kat malikleri kurulu kararlarıyla işletmenin kendi uygulaması birbirinden ayrı yürütülür.
Bu içerik bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık yerine geçmez. Uygulamaya geçmeden önce güncel mevzuat metinlerini Kişisel Verileri Koruma Kurumu’nun resmî kanallarından doğrulamanız ve gerektiğinde uzman desteği almanız önerilir.