Personel Giriş-Çıkış Kayıtlarında KVKK: Teknik ve İdari Tedbirler Kontrol Listesi

Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir. Kurumunuzun durumu için bir avukat veya KVKK danışmanıyla çalışmanız gerekir. Mevzuat ve Kişisel Verileri Koruma Kurulu kararları değişebilir; güncel metinler için kvkk.gov.tr adresini esas alın.

Bir iş yerinde personelin kartla giriş-çıkış yapması, "kim ne zaman geldi" bilgisinin tutulması demektir. Ad, soyad, kart numarası ve giriş-çıkış saatleri kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamına girer. Bu kayıtları tutan, panelde gösteren ve yedekleyen yazılımı geliştiren kişi, teknik tedbirlerin önemli bir kısmını belirleyen kişidir.

1. Kişisel veri mi, özel nitelikli mi?

Kart numarası ve giriş-çıkış zamanı genel (sıradan) kişisel veridir. Parmak izi, yüz veya avuç içi gibi biyometrik veriler ise kanunda özel nitelikli kişisel veri sayılır ve çok daha sıkı şartlara tabidir. Sistem kurarken kart yerine biyometrik yöntem seçmek, yükümlülüklerinizi önemli ölçüde artırır. Karar vermeden önce hukuki görüş alın.

2. Hukuki sebep ve aydınlatma

Verinin işlenmesi için kanunda sayılan şartlardan en az birine dayanmak gerekir. İş ilişkisinde devam takibi çoğu zaman sözleşmenin ifası ve işverenin hukuki yükümlülüklerine dayandırılır; hangisinin sizin için geçerli olduğunu hukuk danışmanınız belirler.

İşverenin ayrıca çalışanları aydınlatma yükümlülüğü vardır. Aydınlatma metni genel olarak şunları içermelidir:

• Veri sorumlusunun kimliği
• Verinin hangi amaçla işlendiği
• Kimlere ve hangi amaçla aktarılabileceği
• Toplama yöntemi ve hukuki sebep
• Kişinin kanundan doğan hakları

Metin çalışanın erişebileceği bir yerde olmalı ve çalışanlara duyurulmalıdır.

3. Veri minimizasyonu

Kanun, verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Yazılım tarafında bunun karşılığı:

• Yalnızca gerekli alanları saklayın (ad, departman, kart numarası, giriş-çıkış zamanı). Kimlik numarası, adres, fotoğraf gibi alanlar gerekmiyorsa toplamayın.
• Panelde herkesin her şeyi görmesine izin vermeyin; ekranları role göre sadeleştirin.
• Ham kart numarası yerine, mümkünse sistem içinde bir iç kimlik (ID) kullanın.

4. Erişim kontrolü ve kayıt tutma

• Kimlik doğrulama: Paneli yalnızca yetkili kullanıcılar açabilmeli. Parolalar düz metin değil, yavaş bir karma algoritmasıyla (bcrypt, scrypt, Argon2 veya PBKDF2) saklanmalıdır.
• Yetkilendirme: Yönetici ile sıradan görüntüleyici ayrılmalı; kim neyi görüyor/değiştiriyor tanımlı olmalı.
• İzleme: Kayıtlar üzerinde yapılan düzeltmeler (ör. çıkış saatinin elle girilmesi) kim tarafından, ne zaman yapıldı diye kayıt altına alınmalı.
• Oturum güvenliği: Zaman aşımı, çıkış yapma ve uygun çerez ayarları (HttpOnly, Secure, SameSite).

5. İletim ve saklama güvenliği

• Panele uzaktan erişim varsa HTTPS zorunlu olmalı. TLS'i uygulamada kurmak yerine Cloudflare Tunnel veya bir ters vekil kullanabilirsiniz.
• Sunucuya erişim SSH sertleştirme ile korunmalı.
• Veritabanı parolaları ve SMTP gibi sırlar kod içinde değil, izinleri kısıtlı bir ortam dosyasında durmalı.
• Disk şifrelemesi, fiziksel erişimi olan birinin veriyi okumasını zorlaştırır; cihaz çalınabilecek bir yerdeyse düşünün.

6. Yedekler de kişisel veridir

En sık gözden kaçan nokta budur. Gece alınan veritabanı yedeği, tüm kişisel verinin bir kopyasıdır ve aynı korumayı hak eder:

• Yedek dosyalarına erişim kısıtlı olmalı.
• Aktarılan başka cihazdaki kopya da aynı güvenlik düzeyinde korunmalı.
• Saklama süresi tanımlanmalı. "Sonsuza dek sakla" demek, silinmesi gereken verinin yedeklerde kalmaya devam etmesi demektir. Rotasyon (ör. 14 günlük günlük yedek + aylık arşiv) ve arşivin ne zaman imha edileceği yazılı olmalı.

Yedekleme düzeni için 3-2-1 yazımıza bakın.

7. Saklama ve imha

Kanun, verinin işlenme amacı ortadan kalktığında silinmesini, yok edilmesini veya anonim hale getirilmesini ister. Devam kayıtları için ilgili iş mevzuatı ve diğer kanunlardaki saklama süreleri geçerli olabilir; sürenin kaç yıl olduğunu hukuk danışmanınız söyler. Siz yazılım tarafında şunu sağlayın:

• Süresi dolan kayıtları belirlemek ve silmek için bir mekanizma.
• İşten ayrılan personelin hesabını silmek yerine pasifleştirme ile geçmiş kayıtları yasal süre boyunca koruma, süre bitince temizleme.

8. Veri sorumlusu için idari işler

Teknik tedbirler tek başına yeterli değildir. Kurum olarak genellikle şunları da yapmanız beklenir (kapsam ve eşikler için danışmanınıza sorun):

• Kişisel veri işleme envanteri oluşturmak
• Saklama ve imha politikası yazmak
• Çalışanlara ve yetkililere farkındalık sağlamak
• Veri ihlali durumunda izlenecek yolu belirlemek (Kurul'a bildirim süreleri kanunda belirlidir)
• VERBİS kayıt yükümlülüğünün kurumunuz için doğup doğmadığını kontrol etmek

Hızlı kontrol listesi

• [ ] Hangi veriyi, hangi amaçla tuttuğumuz yazılı
• [ ] Çalışanlara aydınlatma metni verildi
• [ ] Parolalar karma olarak saklanıyor, kullanıcı rolleri ayrı
• [ ] Panel HTTPS ile erişiliyor
• [ ] Düzeltmeler kayıt altında
• [ ] Yedekler korunuyor ve saklama süresi belirli
• [ ] Süresi dolan veriyi silme planı var
• [ ] Hukuki görüş alındı

Bu liste bir başlangıçtır; bir kurumun uyumu, o kurumun gerçek koşullarına göre bir uzmanla birlikte değerlendirilmelidir.