QR kod ile personel giriş-çıkış takibi: nasıl çalışır, KVKK'da nelere dikkat edilmeli?

Personel giriş-çıkış takibi için uzun yıllar kart okuyucular ve parmak izi cihazları kullanıldı. Son yıllarda ise birçok işletme, cihaz satın almak yerine çalışanların kendi telefonlarını kullandığı QR kodlu sistemlere geçiyor.

Bu yazıda QR kodla giriş-çıkışın nasıl çalıştığını, hangi durumlarda uygun olduğunu ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından nelere dikkat etmeniz gerektiğini anlatıyoruz.

QR kodla giriş-çıkış nasıl çalışır?

Temel işleyiş dört adımdan oluşur:

1. Kod asılır. İşyerinin girişine, o şubeye özel bir QR kod asılır. Kod, sistemin o şubeyi tanımasını sağlayan bir anahtar içerir.
2. Çalışan kendi hesabıyla okutur. Çalışan, telefonundan kendi kullanıcı hesabıyla oturum açar ve kodu okutur.
3. Sistem kaydı oluşturur. Sunucu; kim olduğunu oturumdan, hangi şubede olduğunu koddan, saati ise kendi saatinden alarak giriş veya çıkış kaydı oluşturur.
4. Kayıt puantaja işlenir. Giriş ve çıkış saatleri, çalışma takvimiyle karşılaştırılır; geç kalma, erken çıkma ve fazla çalışma ayrılır.

Burada önemli bir ayrıntı vardır: Kimliği belirleyen, QR kodun kendisi değil, çalışanın oturumudur. QR kod yalnızca "bu kişi şu an bu şubede" bilgisini tamamlar.

Sabit ve değişen kodlar

İki tür QR kod kullanılır:

• Sabit kod: Basılıp duvara asılır, değişmez. Kurulumu en kolay olandır.
• Değişen kod: Bir ekranda gösterilir ve kısa aralıklarla yenilenir. Kodun fotoğrafının çekilip başka yerden okutulmasını zorlaştırır, ancak girişte sürekli açık bir ekran gerektirir.

Diğer yöntemlerle karşılaştırma

Kötüye kullanıma karşı önlemler

Hiçbir yöntem tek başına kusursuz değildir. QR kodlu sistemlerde en sık dile getirilen risk, sabit kodun fotoğrafının çekilip işyeri dışından okutulmasıdır. Bunun için birkaç önlem alınabilir:

• Değişen kod kullanmak: Fotoğrafla okutmayı büyük ölçüde engeller.
• Kodu yalnızca içeriden görülebilen bir yere asmak: Basit ama etkilidir.
• Okutma anında konum doğrulamak: Etkilidir, ancak KVKK açısından ayrıca değerlendirilmesi gerekir (aşağıya bakın).
• İstisna raporlarına bakmak: Her gün aynı saniyede giriş yapanlar, vardiya planıyla uyuşmayan kayıtlar gibi olağan dışı örüntüleri yöneticinin görmesi, çoğu zaman teknik önlemlerden daha işe yarar.
• Kuralı yazılı hâle getirmek: Başkası adına okutmanın disiplin konusu olduğunu personel yönetmeliğinde açıkça belirtin.

KVKK açısından giriş-çıkış takibi

Giriş-çıkış kayıtları, kimliği belirli bir kişiye ait olduğu için kişisel veridir. Bu nedenle KVKK'daki genel ilkelere uygun işlenmelidir: hukuka ve dürüstlük kuralına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma, gerektiği kadar saklama.

Hukuki sebep: açık rıza şart mı?

Çalışma süresinin kaydedilmesi, iş sözleşmesinin ifası ve işverenin kanuni yükümlülükleri (ücretin doğru hesaplanması, fazla çalışmanın belgelenmesi, SGK bildirimleri) ile doğrudan bağlantılıdır. Bu nedenle giriş-çıkış verisi, genellikle KVKK 5. maddedeki açık rıza dışındaki hukuki sebeplere dayanılarak işlenebilir.

İş ilişkisinde çalışanın açık rızasının ne kadar "özgür" olduğu tartışmalı olduğundan, gerçekte başka bir hukuki sebebe dayanan işlemeyi açık rızaya bağlamak önerilmez. Hangi hukuki sebebe dayandığınızı kendi kişisel veri envanterinizde açıkça yazın.

Aydınlatma yükümlülüğü

Hukuki sebep ne olursa olsun, çalışanı aydınlatmak zorunludur (KVKK 10. madde). Aydınlatma metninde en az şunlar yer almalıdır:

• Veri sorumlusunun kimliği
• Hangi verilerin, hangi amaçla işlendiği
• Verilerin kimlere ve hangi amaçla aktarılabileceği
• Toplama yöntemi ve hukuki sebebi
• Çalışanın KVKK 11. maddedeki hakları

Aydınlatma metnini işe girişte imzalatmak veya elektronik ortamda okundu onayı almak, ispat açısından faydalıdır.

Konum verisi

Bazı sistemler, okutma anında telefonun konumunu da kaydeder. Konum da kişisel veridir ve ölçülülük ilkesi açısından dikkatle ele alınmalıdır:

• Konum yalnızca okutma anında ve yalnızca "şube sınırları içinde mi" sorusunu cevaplamak için kullanılmalıdır.
• Mesai boyunca ya da mesai dışında sürekli konum takibi, giriş-çıkış amacını aşar ve ölçülü kabul edilmesi zordur.
• Konum kullanılacaksa bu, aydınlatma metninde açıkça yazılmalıdır.

Biyometrik veriler

Parmak izi ve yüz tanıma, KVKK 6. maddede sayılan özel nitelikli kişisel veri kapsamındadır ve çok daha sıkı şartlara tabidir. Kişisel Verileri Koruma Kurulu, bu tür verilerin giriş-çıkış takibinde kullanılmasında ölçülülük ilkesine özellikle dikkat çeker ve daha az müdahaleci bir yöntemle aynı amaca ulaşılabiliyorsa biyometrik veri işlenmesini sorunlu görür. QR kodlu bir sistem, biyometrik veri gerektirmediği için bu açıdan daha az risk taşır.

Saklama süresi

Giriş-çıkış kayıtları, amacın gerektirdiği süre kadar saklanmalıdır. İşçilik alacaklarında zamanaşımı süresi genellikle beş yıl olduğu için birçok işveren kayıtları iş ilişkisi süresince ve sona ermesinden sonra bu süre boyunca saklar. Süre dolduğunda kayıtlar silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Saklama ve imha kurallarınızı yazılı bir politikaya bağlayın.

Erişim yetkileri

Bir çalışanın giriş-çıkış kayıtlarını herkesin görmesi gerekmez. Kayıtları yalnızca ilgili yönetici, İK ve bordroyu hazırlayan kişi görmelidir. Kullandığınız sistemde rol bazlı yetkilendirme olup olmadığını kontrol edin.

Veri sorumluları siciline kayıt

Belirli eşiklerin üzerindeki işverenler, Veri Sorumluları Siciline (VERBİS) kayıt olmakla yükümlüdür. Eşikler Kurul kararlarıyla güncellenebildiğinden, yükümlü olup olmadığınızı Kurumun güncel duyurularından kontrol edin.

Kurulum öncesi kontrol listesi

1. Aydınlatma metni hazır ve çalışanlara iletildi mi?
2. Hangi verilerin toplanacağı (kimlik, saat, şube, varsa konum) belirlendi mi?
3. Konum kullanılacaksa yalnızca okutma anıyla sınırlı mı?
4. Kayıtları kimlerin göreceği tanımlandı mı?
5. Saklama süresi ve imha yöntemi yazılı mı?
6. Telefonu olmayan veya telefonunu kullanmak istemeyen çalışan için alternatif bir yöntem var mı?
7. Başkası adına okutmanın sonucu personel yönetmeliğinde yazılı mı?

Altıncı madde sık atlanır. Çalışanı kişisel telefonunu iş için kullanmaya zorlamak yerine, girişte ortak bir cihaz veya yönetici onaylı elle kayıt gibi bir alternatif sunmak, hem uygulamayı kolaylaştırır hem de itirazları azaltır.

Kurumsal İK'da nasıl yapılır?

Kurumsal İK'da her şubenin kendine ait bir QR kodu vardır. Çalışan, çalışan paneline kendi hesabıyla giriş yapıp bu kodu okutur; kayıt yalnızca oturumdaki çalışana yazılır ve yalnızca kendi şirketinizin şubesi kabul edilir. Sistem okutma sırasında konum bilgisi almaz. Kayıtlar puantaja günlük düşer ve yalnızca yetki verdiğiniz kişiler tarafından görülür.