KVKK uyumlu personel takibi: konum, aydınlatma ve saklama süresi

Konum verisi hangi tür veridir?

Çalışanın konumu kişisel veridir, ama 6698 sayılı Kanun m.6’daki özel nitelikli veriler arasında sayılmaz; o liste kapalıdır ve kıyasla genişletilemez. Bu, konumun serbestçe toplanabileceği anlamına gelmez: Kurul’un 2021/1303 sayılı kararı, konum bilgisinin profil çıkarmaya ve özel nitelikli bilgi türetmeye yol açabileceğini, bu yüzden toplanmasının istisnai olması gerektiğini değerlendirdi.

Hangi hukuki dayanakla işlenir?

İşverenlerin ilk aklına gelen açık rızadır; ama iş ilişkisinde açık rıza zayıf bir zemindir. Kurul’un 2026/921 sayılı ilke kararı, işçi–işveren ilişkisindeki güç dengesizliği nedeniyle açık rızanın özgür iradeye dayanıp dayanmadığında tereddüt bulunduğunu ve tek başına yeterli bir hukuki zemin oluşturmadığını belirtti.

Pratikte dayanak çoğu zaman meşru menfaattir (m.5/2-f) ve bu, yazılı bir denge testi ister. 2021/1303 kararı dört ölçüt verir:

• İşverenin menfaati gerçek ve korunmaya değer mi?
• Amaç yalnızca bu işlemeyle mi gerçekleşebiliyor, daha az müdahaleci bir yol var mı?
• Menfaat açık ve mevcut mu, varsayımsal mı?
• Çalışanı koruyan tedbirler alındı mı (sınırlı süre, sınırlı erişim, mesai dışı veri yok)?

Ölçülülük: personel konum takibinde ne kadarı yeterli?

Kanunun m.4’teki genel ilkeleri, verinin amaçla bağlantılı, sınırlı ve ölçülü işlenmesini ister. Personel takibinde bunun somut karşılığı şudur:

Çalışan GPS takibine ilişkin doğrudan bir Kurul kararı bulamadık; yukarıdaki değerlendirme Kanun’un genel ilkelerine ve anılan kararlara dayanır.

Aydınlatma metni: kim, nasıl?

Aydınlatma yükümlülüğü (m.10) veri sorumlusuna, yani işverene aittir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e göre aydınlatma veri sorumlusu ya da yetkilendirdiği kişi tarafından, elektronik ortam dâhil her yolla yapılabilir; ispat yükü veri sorumlusundadır.

Kurul’un 2026/347 sayılı ilke kararı, aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi gerektiğini vurguladı. Aydınlatma bir bilgilendirmedir; çalışana “okudum, onaylıyorum” kutusu işaretletmek aydınlatmayı rızaya dönüştürmez ve yanlış bir uygulamadır.

Saklama ve imha süreleri

Konum ve fotoğraf kayıtları süresiz tutulmaz. İşleme amacı ortadan kalkınca veri silinir, yok edilir ya da anonimleştirilir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e göre:

• Periyodik imha aralığı saklama ve imha politikası hazırlamakla yükümlü olanlarda 6 ayı, yükümlü olmayanlarda 3 ayı geçemez.
• Politika hazırlama yükümlülüğü VERBİS’e kayıtla yükümlü olanlara aittir. Kurul’un 2023/1154 sayılı kararıyla yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyeti özel nitelikli veri işleme olmayan veri sorumluları kayıttan istisnadır.
• İstisna olmak imha yükümlülüğünü kaldırmaz; yalnız politika yazma yükümlülüğünü kaldırır.
• Çalışanın verisine ilişkin başvurusu en geç 30 gün içinde sonuçlandırılır.

Yazılım sağlayıcısının rolü

Personel takip yazılımını bulutta sunan firma çoğu durumda veri işleyendir; veriyi işverenin talimatıyla ve işveren adına işler, kendi amacı için kullanamaz. Kanun m.12/2, veri işleyenle veri sorumlusunun güvenlik tedbirlerinden müştereken sorumlu olduğunu söyler. Yazılı bir veri işleyen sözleşmesi Kanun’da açıkça zorunlu tutulmasa da Kurum’un Kişisel Veri Güvenliği Rehberi bunu önerir; müşterek sorumluluk düşünüldüğünde pratikte gereklidir.

Kontrol listesi

• Hangi veriyi (giriş-çıkış, konum, fotoğraf) hangi amaçla işlediğimizi yazdık mı?
• Dayanağımız meşru menfaatse denge testini yazılı yaptık mı?
• Konum yalnız mesai süresince mi alınıyor? Mesai dışı veri saklanıyor mu?
• Aydınlatma metni hazır mı, açık rızadan ayrı mı, kime ne zaman sunulduğu kayıtlı mı?
• Konum ve fotoğraf için saklama süresi belirlendi mi, süresi dolan kayıt gerçekten siliniyor mu?
• Kimin hangi çalışanın verisini gördüğü sınırlandı mı?
• Yazılım sağlayıcısıyla veri işleyen ilişkisi yazılı mı?

Kendi ürünümüzde bu soruların nasıl karşılandığını giriş-çıkış takibi sayfasında yazdık: konum yalnız mesai açıkken alınır, saklama süresi şirket ayarıdır ve süresi dolan kayıt imha edilir.