Kısa cevap
İşverenin, çalışanlarının çalışma sürelerini kayıt altına alması hem iş ilişkisinin doğal bir parçasıdır hem de ücret ve fazla çalışma hesabı için gereklidir. Bu nedenle PDKS kullanmak kendi başına hukuka aykırı değildir. Ancak giriş-çıkış kaydı kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Yani kayıt tutabilirsiniz; ama bunu kanunun ilkelerine uygun yapmanız gerekir.
Hangi hukuki sebebe dayanır?
KVKK'nın 5. maddesi kişisel verilerin hangi şartlarda işlenebileceğini sayar. Giriş-çıkış kaydı için uygulamada en çok dayanılan sebepler şunlardır:
- Sözleşmenin ifası: İş sözleşmesinin yerine getirilmesi, çalışma süresinin ve ücretin hesaplanmasını gerektirir.
- Hukuki yükümlülük: İşverenin çalışma süreleri, fazla çalışma ve ücretle ilgili yükümlülükleri vardır.
- Meşru menfaat: İşyerinin düzeni ve güvenliği için kimin ne zaman içeride olduğunu bilmek.
Bu sebepler varken, kart veya QR kodla yapılan sıradan bir giriş-çıkış kaydı için ayrıca açık rıza almak genellikle gerekmez. Açık rıza, özellikle aşağıda anlattığımız biyometrik yöntemlerde gündeme gelir.
Aydınlatma yükümlülüğü
Hangi hukuki sebebe dayanırsanız dayanın, personeli aydınlatmak zorundasınız (KVKK m.10). Aydınlatma metninde en azından şunlar bulunmalıdır: veri sorumlusunun kim olduğu, hangi verinin hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi, çalışanın hakları.
Pratik ipucu: aydınlatma metnini kağıda imzalatmak yerine, personelin kullandığı uygulamada gösterip okunduğunu kayıt altına almak hem işi kolaylaştırır hem de ispatı güçlendirir.
Parmak izi ve yüz tanıma: biyometrik veri
Parmak izi, yüz geometrisi gibi veriler KVKK'da özel nitelikli kişisel veridir (m.6) ve sıradan verilere göre çok daha sıkı şartlara bağlıdır. 7499 sayılı Kanunla 1 Haziran 2024'ten itibaren bu maddede değişiklik yapılmış olsa da özel nitelikli verilerin işlenmesi hâlâ istisnai kabul edilir.
Kişisel Verileri Koruma Kurulu'nun kararlarında, aynı amaca daha az müdahaleci bir yöntemle (kart, QR kod gibi) ulaşmak mümkünken biyometrik sistem kullanılmasının ölçülülük ilkesine aykırı bulunabildiği görülmektedir. İş ilişkisinde çalışanın verdiği rızanın gerçekten "özgür irade" ile verilip verilmediği de ayrıca tartışma konusudur.
Konum verisi
Mobil uygulamayla yapılan okutmalarda konum, "okutma gerçekten işyerinde mi yapıldı" sorusunu cevaplamak için kullanılabilir. Burada ölçü şudur: konum sadece okutma anında ve sadece bu amaçla alınmalı; personel gün boyu sürekli izlenmemelidir. Aydınlatma metninde konumun ne zaman ve neden alındığı açıkça yazmalıdır.
Ne kadar saklanmalı?
KVKK'ya göre veriler, işlendikleri amaç için gerekli olan süre kadar saklanmalı; süre dolunca silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Giriş-çıkış kayıtları ücret ve fazla mesai hesabına dayanak olduğu için, ilgili zamanaşımı süreleri boyunca saklanması makul kabul edilir. Saklama ve imha sürelerinizi bir saklama ve imha politikasında yazılı hâle getirmeniz önerilir.
Teknik ve idari tedbirler
Veri sorumlusu, verilerin hukuka aykırı erişime karşı korunması için gerekli tedbirleri almak zorundadır (KVKK m.12). Bir PDKS'de bunun karşılıkları şunlardır:
- Herkesin sadece görmesi gereken veriyi gördüğü rol bazlı yetki (mağaza müdürü sadece kendi mağazası).
- TC kimlik numarası gibi hassas alanların şifrelenmesi.
- Kim, ne zaman, neyi değiştirdi sorusunu cevaplayan işlem kaydı.
- Şifreli bağlantı (HTTPS), güçlü oturum yönetimi ve düzenli yedek.
- Hizmet sağlayıcıyla (veri işleyen) yazılı sözleşme ve verinin nerede tutulduğunun bilinmesi.
İşveren için kısa kontrol listesi
- PDKS'nin amacını ve hukuki sebebini belirleyin.
- Aydınlatma metnini hazırlayın ve personele ulaştırın.
- Mümkünse biyometrik olmayan bir yöntem seçin; seçemiyorsanız alternatif sunun.
- Konumu sadece okutma anında alın.
- Yetkileri daraltın; kimin hangi veriyi gördüğünü bilin.
- Saklama ve imha sürelerini yazılı hâle getirin.
- Hizmet sağlayıcınızla veri işleme sözleşmesi yapın; VERBİS kayıt yükümlülüğünüz varsa güncel tutun.
Perso-X biyometrik veri toplamaz; aydınlatma metnini uygulamanın içinde gösterir, TC kimlik ve maaş bilgisini şifreler ve kritik işlemleri kayıt altına alır. Ayrıntılar: Güvenlik ve KVKK.
Bilgilendirme amaçlıdır. Bu yazı 4857 sayılı İş Kanunu ve 6698 sayılı KVKK'nın 10 Ekim 2026 itibarıyla genel kurallarını özetler; hukuki görüş değildir. Kendi durumunuz için mali müşavirinize, İK uzmanınıza veya bir avukata danışın; toplu iş sözleşmesi ve iş sözleşmenizdeki daha lehe hükümler saklıdır.