Bir üretim tesisinin ana girişinde tek bir avuç içi okuyucusu duruyor. Çalışan elini okutuyor, turnike açılıyor ve aynı hareket İK yazılımında o günün giriş kaydını oluşturuyor. Tesis müdürüne cihazın ne işe yaradığı sorulduğunda cevap ikiye bölünüyor: güvenlik ekibi onu yetkisiz girişi engelleyen bir kontrol sayıyor, İK ise puantajın kaynağı olarak görüyor. Tek donanım, iki amaç, tek veri akışı.
Kişisel Verileri Koruma Kurulu’nun 2026/921 sayılı İlke Kararı’nın ardından kendisine ulaşan görüş talepleri üzerine yayımladığı kamuoyu duyurusu, tam olarak bu kurulumu konu ediniyor. Duyuru kararı yumuşatmıyor, kapsamını da genişletmiyor; kararın nerede bittiğini ve neyin hâlâ değerlendirmeye açık olduğunu söylüyor. Kurul, biyometrik veri kullanımına genel bir yasak getirmediğini açıkça belirtiyor, buna karşılık mesai ve işe giriş-çıkış takibi bakımından kapıyı kapatıyor.
Bu ayrım hukuki bir incelik değil, doğrudan bir tasarım talimatı. İşverenin yapması gereken şey duyuruyu okuyup rahatlamak ya da telaşlanmak değil, kendi kurulumunu duyurunun kullandığı dile göre yeniden tarif etmek: bu okuyucu neyi doğruluyor, hangi çıktıyı üretiyor, o çıktı nereye akıyor ve akmasa ne olur? Bu dört sorunun yazılı bir cevabı yoksa, cihazın hangi amaca hizmet ettiğini savunmanın da bir zemini yoktur.
Duyuru bir geri adım değil, sınır çizimidir
İlke Kararı’nı baştan sona ele aldığımız yazımızda çerçeveyi aktarmıştık: mesai takibi amacıyla parmak izi, yüz veya avuç içi gibi özel nitelikli kişisel veri işlenmesi hukuka aykırıdır ve çalışanın onayı bu sonucu değiştirmez. 6698 sayılı Kanunun m. 15/6 hükmü uyarınca alınan bir ilke kararı genel olarak uygulanır ve ayrı bir ikincil düzenleme beklenmez. Bu yazının konusu kararın kendisi değil, karardan sonra Kurul’a yönelen soruların ortaya çıkardığı gri alan.
O sorular kararın metniyle değil, kararın sınırıyla ilgiliydi. Kimyasal deposunun kapısındaki okuyucu da kapsamda mı? Parmak izini “şablona” çeviren sistem kapsam dışında mı sayılır? Güvenlik gerekçesiyle kurulmuş bir sistemin ürettiği kayıt puantaja beslenebilir mi? Duyuru bu üç soruya sırasıyla cevap veriyor ve cevapların ortak paydası tek bir cümlede toplanıyor: değerlendirme cihaz üzerinden değil, amaç üzerinden yapılır. Aynı okuyucu bir amaç için savunulabilirken diğeri için savunulamaz.
Mesai takibinde rıza tartışması kapandı
Duyurunun ilk noktası, biyometrik verilerin yalnızca mesai ve işe giriş-çıkış takibi amacıyla kullanılmasının ölçülülük ilkesine aykırı olduğu ve çalışandan açık rıza alınmasının bu değerlendirmeyi değiştirmediğidir. Gerekçe iki katmanlı. Birincisi rızanın kendisiyle ilgili: Kanunun m. 3 hükmü açık rızayı özgür iradeyle açıklanan bir beyan olarak tanımlar, reddetmenin bedeli bulunan bir onay ise bu tanımı karşılamaz.
İkinci katman rızanın kalitesinden bağımsız ve asıl belirleyici olan. m. 6/3-(a) bendine dayanmak, m. 4/2-(ç) hükmündeki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesini ayrıca sağlama yükümlülüğünü ortadan kaldırmaz. İşleme şartı ile genel ilkeler birbirinin yerine geçmez: biri bulunsa dahi diğeri ayrıca aranır. Mesai takibi sınırlı bir idari amaçtır ve kart, PIN veya şifre bu amacı karşıladığından geri döndürülemez bir tanımlayıcının toplanması gerekli sayılmaz. Bu yüzden rıza metnini yeniden yazmak, aydınlatma metnini kalınlaştırmak ya da onayı ıslak imzayla almak sonucu değiştirmez. Sorun rızanın biçiminde değil, tedbirin kendisinde. Ölçülülük ilkesinin Kurul kararlarındaki uygulaması zaten bu yönde ilerliyordu, yargı kararları da aynı çizgide.
“Şablon saklıyoruz, görüntü saklamıyoruz” neden bir savunma değil?
Duyurunun uygulamaya en sert dokunan noktası bu. Biyometrik verinin doğrudan saklanmayıp matematiksel bir koda ya da şablona dönüştürülmesi, verinin biyometrik veri niteliğini ortadan kaldırmıyor. Tedarikçi broşürlerinde ve teklif dosyalarında sıkça görülen “ham görüntüyü saklamıyoruz, yalnızca şablon tutuyoruz” cümlesi teknik bir açıklamadır, hukuki bir dayanak değildir. Bu cümleyi uyum dosyasına savunma olarak koyan şirket, aslında hiçbir şey koymamış olur.
Sebep, dönüşümün ne yaptığına bakınca görülüyor. Şablon, kişiyi diğer çalışanlardan ayırt etmeye devam ettiği sürece kişiyi tanımlar, zaten bunu yapmasa sistem çalışmaz. Böyle bir dönüşüm takma adlaştırmadır ve takma adlaştırılmış veri kişisel veri olmaya devam eder. Veriyi Kanunun kapsamından çıkaran şey anonim hâle getirmedir: kişinin belirli veya belirlenebilir olmaktan tümüyle çıkması. Geri döndürülebilen ya da eşleştirmeye elverişli kalan bir çıktı bu eşiği geçmez.
Hash veya şifreleme kullanılması da tabloyu değiştirmiyor. Bunlar Kanunun m. 12 hükmü altında değerlendirilen veri güvenliği tedbirleridir ve zaten yerine getirilmesi gereken yükümlülüklerdir. Bir işleme şartı yaratmazlar, ölçülülük analizinin yerine de geçmezler. Şirketin sorması gereken soru “veriyi nasıl sakladığımız” değil, “bu veriyi hiç toplamamız gerekiyor mu” sorusudur. Bu soru cevaplanmadan şifreleme gücünü tartışmak, yanlış masada oturmaktır.
Yasak yok, amaç ayrımı var
Duyurunun üçüncü noktası kararın genel bir yasak getirmediğini teyit ediyor. Kritik alanlara erişim, kimlik doğrulama veya yüksek güvenlik ihtiyacı gibi farklı amaçlarla biyometrik veri kullanımı, somut olay özelinde mümkün olabilir. Bu cümle bir muafiyet değildir ve bir davet hiç değildir. Kurulun söylediği, değerlendirmenin amaç bazında yapılacağı, her amacın kendi m. 6/3 şartını ve kendi ölçülülük analizini taşıması gerektiğidir.
Bunun somut karşılığı şu: aynı şirkette iki kurulum aynı anda incelendiğinde biri ayakta kalabilirken diğeri düşebilir. Sınırlı sayıda kişinin girdiği bir veri merkezi kabini ile yüzlerce çalışanın sabah geçtiği ana turnike, aynı teknolojiyi kullansalar bile aynı hukuki değerlendirmeye tabi değildir. Kritik alan tanımının dar tutulması, erişim yetkisi olan kişi listesinin sınırlı olması ve bu sınırın denetlenebilir biçimde belgelenmesi, savunmanın ana gövdesini oluşturur. “Fabrikanın tamamı kritik alandır” cümlesi bu testi geçmez.
Aynı okuyucu iki amaca birden hizmet ettiğinde ne yapılır?
Sahadaki en yaygın kurulum bu: güvenlik gerekçesiyle alınmış bir cihaz, ürettiği kaydı sessizce puantaj sistemine besliyor. Güvenlik gerekçesi burada mesai kaydını meşrulaştırmaz. Doğrulama işleminin hukuka uygun sayılması, o doğrulamanın çıktısının ikinci bir amaç için kullanılmasına izin vermez. İkinci amaç kendi hukuki temelini kendisi kurmak zorundadır ve mesai takibi bakımından o temel yoktur. Çözüm cihazı değiştirmekten çok, veri akışını amaçlara göre ayırmaktan geçiyor.
- Çıktıyı kesin. Güvenlik amaçlı doğrulamanın sonucu puantaja, bordroya veya devamsızlık raporlarına akmamalı, entegrasyon kapatılmalı ve kapatıldığı belgelenmeli.
- Mesaiyi ayrı sistemle tutun. Giriş-çıkış saati kart, PIN veya benzeri biyometrik olmayan bir yöntemle kaydedilmeli ve bu kayıt tek başına puantajın kaynağı olmalı.
- Kapsamı daraltın. Biyometrik doğrulama yalnızca gerçekten kritik olan noktalarda ve yalnızca o noktaya girmesi gereken kişiler için açık kalmalı.
- Saklama süresini amaca bağlayın. Güvenlik amaçlı erişim kayıtları o amacın gerektirdiği süreyle sınırlı tutulmalı, mesai amaçlı raporlama süreleriyle eşitlenmemeli.
- Yetkiyi bölün. Erişim kayıtlarını güvenlik biriminin, mesai kayıtlarını İK’nın görmesi sağlanmalı, çünkü ortak ve sınırsız bir yönetici ekranı ayrımı fiilen ortadan kaldırır.
Bu ayrımın en zor kısmı teknik değil, kurumsal. Cihazı satın alan birim ile veriyi kullanan birim çoğu şirkette farklıdır ve kimse akışın tamamına bakmaz. Kişisel veri işleme envanteri tam da bu yüzden faydalı: aynı okuyucunun iki ayrı satır olarak, iki ayrı amaç ve iki ayrı hukuki sebeple yazılması, ayrımın kâğıt üzerinde de var olmasını sağlar.
Gerekliliği kim, nasıl belgeler
Duyurunun dördüncü noktası ispat yükünün nerede durduğunu gösteriyor: alternatif yöntemlerin yetersiz olması, biyometrik veri kullanımının gerçekten gerekli olması ve kullanımın yalnızca gerekli alan ve kişilerle sınırlandırılması önem taşıyor. Bu üç unsurun ortak özelliği, hepsinin sonradan değil karar anında üretilen bir belgeyle gösterilebilmesi. Denetimde “biz bunu düşünmüştük” cümlesinin karşılığı yoktur.
- Alternatifleri somut olarak eleyin. Kartın, şifrenin veya PIN’in bu alanda neden yetersiz kaldığı, olayın kendi koşullarıyla yazılmalı, genel güvenlik retoriği bu boşluğu doldurmaz.
- Kapsamı sayısal değil, tanımsal olarak sınırlayın. Hangi kapı, hangi görev tanımı, hangi vardiya: sınır ne kadar dar tanımlanırsa savunma o kadar sağlam olur.
- Değerlendirmeyi karar anında yazın. Gereklilik analizi cihaz kurulmadan önce tamamlanmalı ve tarihli bir kayda bağlanmalı.
- Kayıtları hizalayın. Envanter, VERBİS bildirimi ve aydınlatma metni aynı amacı aynı sözcüklerle anlatmalı, çünkü aralarındaki fark denetimde ilk fark edilen şeydir.
Yüksek riskli bir işleme söz konusu olduğunda veri koruma etki değerlendirmesi mantığıyla ilerlemek işi kolaylaştırıyor: riskin tanımlanması, alternatiflerin karşılaştırılması, artık riskin kabul edilip edilmediğinin kayda geçirilmesi. Bu, gereklilik testinin sorduğu soruların aynısıdır ve zaten üretilmesi gereken belgeyi ortaya çıkarır.
Bugün yapılabilecek üç iş var. Birincisi, sahadaki her biyometrik okuyucunun listelenmesi ve her biri için tek bir amacın yazılması, iki amaç yazılıyorsa akış zaten ayrılmamış demektir. İkincisi, mesai takibine bağlı olan her entegrasyonun kapatılması ve saklanan şablonların imhasının tutanağa bağlanması, çünkü yöntemi değiştirip şablonu bırakmak işlemeyi sürdürmek anlamına gelir. Üçüncüsü, ayakta kalması istenen güvenlik kurulumları için gereklilik değerlendirmesinin yazılı hâle getirilmesi. Bu üçü tamamlanmadan yapılan her tartışma, m. 18 kapsamındaki idari yaptırım riskini şirketin üzerinde tutmaya devam eder.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz. Somut bir olaya ilişkin değerlendirme için hukuki destek alınması önerilir.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın