İş mevzuatı ne diyor?
İş Kanununa İlişkin Çalışma Süreleri Yönetmeliği'nin 9. maddesine göre işveren, işçilerin çalışma sürelerini uygun araçlarla belgelemek zorundadır. Yönetmelik bu kaydın kâğıt çizelge, kart ya da mobil uygulamayla tutulacağını belirtmez. İş Kanunu ve Çalışma Süreleri Yönetmeliği'nde mesai kaydının mobil uygulamayla tutulmasını ayrıca düzenleyen ya da yasaklayan bir hüküm yer almaz.
Kayıt hangi araçla tutulursa tutulsun çalışma süresi sınırları aynıdır: haftalık çalışma süresi genel olarak en çok 45 saattir (İş Kanunu md. 63), günlük çalışma süresi her ne şekilde olursa olsun 11 saati aşamaz (Yönetmelik md. 4).
Asıl soru: KVKK
Mobil PDKS kişisel veri işler: çalışanın kimliği, giriş-çıkış saatleri ve çoğu sistemde konum. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanır; giriş-çıkış saati de konum da bu kapsamdadır.
Kanunun 4. maddesine göre kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenir ve ilgili mevzuatta öngörülen ya da amaç için gerekli süre kadar saklanır.
| Yöntem | İşlenen veri | Dikkat edilecek nokta |
|---|---|---|
| Parmak izi ya da yüz tanıma | Biyometrik veri (özel nitelikli kişisel veri) | KVKK Kurulu'nun 2026/921 sayılı kararına göre mesai takibi için kural olarak hukuka aykırıdır; çalışanın açık rızası da yeterli değildir |
| QR kod okutma | Kimlik ve giriş-çıkış saati | Biyometrik veri içermez |
| Giriş-çıkış anında konum doğrulama | Konum verisi (kişisel veri) | Konum yalnız kayıt anında, tanımlı lokasyonla eşleşme için alınır; gün boyu takibe göre çok daha az veri işlenir |
| Gün boyu konum takibi | Sürekli konum verisi | Çalışanın hareketlerini izler; mesai kaydı için gerekenden fazla veri toplama riski taşır |
KVKK 2026/921 kararı
Kurul, mesai takibi amacıyla biyometrik veri işlenmesinin çalışanın açık rızası olsa bile kural olarak hukuka aykırı olduğunu açıkladı. Daha az müdahaleci alternatifler olarak şifreli kart ya da PIN tabanlı sistemleri, imza ve kâğıt bazlı devam çizelgelerini, RFID/NFC kimlik kartlarını ve denetçi gözetiminde elle girişi saydı. Kararda QR kod ya da konum doğrulaması ayrıca sayılmaz.
Mobil PDKS kullanan işverenin yükümlülükleri
- Aydınlatma (KVKK md. 10): Çalışanlara veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kanundaki hakları bildirilir.
- Veri güvenliği (KVKK md. 12): Verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli tedbirler alınır.
- Asgari veri (KVKK md. 4): Giriş-çıkış kaydı için gerekenden fazla veri toplanmaz.
- Saklama süresi (KVKK md. 4): Veriler, ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanır.
Mobil PDKS sağlayıcısı aracı sunar; verilerin hangi amaçla ve nasıl işleneceğine karar veren işveren, veri sorumlusu olarak bu yükümlülüklerden sorumludur.
Mobil PDKS seçerken sorulacak sorular
- Parmak izi ya da yüz tanıma gibi biyometrik veri kullanıyor mu?
- Konum ne zaman alınıyor: yalnız giriş-çıkış anında mı, gün boyu mu?
- Hangi veriler toplanıyor ve ne kadar süre saklanıyor?
- Telefonu olmayan ya da kişisel telefonunu kullanmak istemeyen çalışanlar için ortak cihaz seçeneği var mı?
- Kayıtlarda yapılan düzeltmeler iz bırakıyor mu, kayıtlar dışa aktarılabiliyor mu?