İK Yazılımında KVKK: Çalışan Verisi Nasıl Korunmalı?
İK yazılımında KVKK uyumunun neden önemli olduğunu, çalışan verisi kategorilerini, erişim yetkilendirmesini ve mesai takibinde biyometrik veri kullanımına ilişkin 2026 KVKK Kurul kararını bu rehberde ele alıyoruz.
Kısa cevap: İK yazılımında KVKK önemlidir çünkü çalışan verisi (özlük bilgisi, giriş-çıkış kaydı, izin geçmişi) 6698 sayılı Kanun kapsamında kişisel veridir ve işlenmesi belirli ilkelere (ölçülülük, amaç sınırlılığı, veri minimizasyonu) tabidir. Bu rehberde çalışan verisinin hangi kategorilere ayrıldığını, erişim yetkilendirmesinin nasıl kurulması gerektiğini ve özellikle mesai takibinde biyometrik veri kullanımına ilişkin güncel bir KVKK Kurul kararını ele alıyoruz. Bu içerik hukuki danışmanlık niteliği taşımaz; şirketinize özgü uyum kararları için KVKK uzmanına veya hukuk danışmanınıza başvurmanızı öneririz.
Çalışan verisi hangi kategorilere ayrılır?
KVKK açısından çalışan verisi iki ana kategoride değerlendirilir: genel nitelikli veri (ad-soyad, iletişim bilgisi, departman, pozisyon, giriş-çıkış saati gibi) ve özel nitelikli veri (sağlık bilgisi, sendika üyeliği, biyometrik veri gibi — bunlar daha sıkı işleme şartlarına tabidir). Bir İK yazılımı değerlendirirken, hangi verinin hangi kategoriye girdiğini ve özel nitelikli veri işleniyorsa bunun için ek bir hukuki sebep/tedbir gerekip gerekmediğini netleştirmek önemlidir. Bu ayrım özellikle giriş-çıkış (PDKS) sistemleri için kritiktir — aynı amacı (kim ne zaman geldi) karşılamanın genel nitelikli veriyle (kart, QR, GPS) mi yoksa özel nitelikli veriyle (biyometrik) mi yapıldığı, uyum yükünüzü doğrudan etkiler.
Mesai takibinde biyometrik veri: 2026 KVKK Kurul kararı ne diyor?
Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı, mesai takibi amacıyla biyometrik veri işlenmesini değerlendirmiştir. Kararın özeti şudur: Kurul, mesai takibi gibi daha az müdahaleci alternatif yöntemlerin (kart, PIN, RFID/NFC kimlik kartı, imza listesi gibi) bulunduğu durumlarda, yalnızca bu amaç için biyometrik veri işlenmesinin — açık rıza alınsa dahi — ölçülülük ilkesi açısından yeterli karşılığı bulamayabileceğini belirtmiştir. Bunun tüm biyometrik teknolojilerin veya her bağlamda biyometrik verinin genel bir yasağı olduğu şeklinde okunmaması gerekir; karar özellikle mesai takibi amacına ve işveren-çalışan ilişkisindeki güç dengesizliğine odaklanır. Güncel ve tam metin için doğrudan Kişisel Verileri Koruma Kurumu'nun resmi duyurusuna bakmanızı öneririz.
seninİK'te veri işleme yaklaşımı nasıl?
seninİK'te giriş-çıkış (PDKS) takibi QR kod ve GPS/konum doğrulamalı self check-in ile yapılır — biyometrik veri (parmak izi, yüz tanıma gibi) işlenmez. Konum doğrulamasının kapsamını GPS personel takip sistemi sayfasında ayrıca anlattık. Bu, ürünün kendi veri işleme ek sözleşmesinde de açıkça belirtilir: "Biyometrik veri MVP kapsamında işlenmez." Konum doğrulaması da yalnızca giriş/çıkış işlemi anında, tek seferlik olarak yapılır — sürekli bir konum takibi söz konusu değildir. Mevcut bir kart okuyucu veya parmak izi cihazınız varsa bunu isteğe bağlı olarak entegre edebilirsiniz; ancak bu durumda o cihazın biyometrik veri işleme uyumluluğu, cihazı işleten sizin sorumluluğunuzdadır — seninİK bu cihazın kendisini sağlamaz veya bu konuda hukuki tavsiye vermez.
Erişim yetkilendirmesi nasıl kurulmalı?
Çalışan verisine erişimin rol bazlı sınırlandırılması, KVKK'nın veri güvenliğine ilişkin yükümlülükleriyle doğrudan ilgilidir. Pratik bir yaklaşım: bir departman yöneticisi yalnızca kendi ekibinin verisini görsün, bordro gibi en hassas veriler ayrı bir yetki katmanıyla sınırlandırılsın, ve çalışanın kendisi yalnızca kendi verisine self-servis erişsin. Bu yetkilendirmeyi periyodik olarak gözden geçirmek (işten ayrılan bir yöneticinin erişiminin kapatılması gibi) de önemli bir uygulamadır.
Saklama süresi ve silme
KVKK, kişisel verinin işlenme amacı ortadan kalktığında silinmesi/anonimleştirilmesi gerektiğini öngörür. Bir İK yazılımı değerlendirirken, işten ayrılan bir çalışanın verisinin ne kadar süre saklandığını ve bu sürenin sonunda silme/anonimleştirme işleminin nasıl yapıldığını (otomatik mi, manuel bir talep mi gerektiriyor) sorun. Yasal saklama süreleri (örneğin bordro kayıtları için) genel KVKK ilkelerinden ayrı olarak değerlendirilmelidir — bu konuda da hukuki danışmanınıza başvurmanızı öneririz.
İK yazılımında KVKK uyumu için kontrol listesi
Bir İK yazılımını KVKK açısından değerlendirirken şu soruları sorun: (1) Hangi veri kategorileri işleniyor, özel nitelikli veri var mı? (2) Erişim rol bazlı mı sınırlandırılıyor? (3) Giriş kayıtları ve dışa aktarımlar izlenebilir mi (log tutuluyor mu)? (4) Veri saklama ve silme prosedürü net mi? (5) Biyometrik veri işleniyorsa, bunun için ayrı bir hukuki değerlendirme yapıldı mı? (6) Sağlayıcı ile aranızda bir veri işleme sözleşmesi (DPA) var mı? Bu soruların net cevaplarını alabildiğiniz bir sağlayıcı, KVKK uyumu açısından daha güvenilir bir seçenektir.
Bu makaleden çıkarılacaklar
- Çalışan verisi genel nitelikli (ad, departman, giriş-çıkış saati) ve özel nitelikli (sağlık, biyometrik) olarak iki kategoriye ayrılır; özel nitelikli veri daha sıkı işleme şartlarına tabidir.
- 29.04.2026 tarihli 2026/921 sayılı KVKK Kurul kararı, mesai takibi AMACIYLA biyometrik veri işlenmesinin ölçülülük ilkesi açısından yetersiz kalabileceğini belirtir — genel bir biyometri yasağı değildir.
- seninİK, mesai takibinde biyometrik veri işlemez; QR ve GPS/konum doğrulaması (tek seferlik, sürekli değil) kullanır.
- Rol bazlı erişim yetkilendirmesi ve düzenli yetki gözden geçirmesi, KVKK'nın veri güvenliği yükümlülükleriyle doğrudan ilgilidir.
- Bu rehber hukuki danışmanlık değildir; şirketinize özgü kararlar için KVKK uzmanına veya hukuk danışmanınıza başvurun.
Sık sorulan sorular
İK yazılımında KVKK neden önemli?
Çalışan verisi kişisel veridir ve KVKK kapsamında belirli ilkelere (ölçülülük, amaç sınırlılığı, veri güvenliği) tabidir; bir İK yazılımının bu ilkelere uygun çalışması işveren için de bir yükümlülüktür.
Mesai takibinde biyometrik veri kullanmak yasak mı?
Genel bir yasak değildir. 29.04.2026 tarihli KVKK Kurul kararı, yalnızca mesai takibi amacıyla ve daha az müdahaleci alternatifler varken biyometrik veri işlenmesinin ölçülülük ilkesi açısından yeterli karşılığı bulamayabileceğini belirtir. Güncel ve tam bilgi için resmi KVKK duyurusuna bakın.
seninİK biyometrik veri işliyor mu?
Hayır. seninİK'te giriş-çıkış takibi QR kod ve GPS/konum doğrulaması ile yapılır; biyometrik veri (parmak izi, yüz tanıma) işlenmez.
Bu rehber hukuki tavsiye midir?
Hayır. Bu içerik genel bilgilendirme amaçlıdır; şirketinize özgü KVKK uyum kararları için bir KVKK uzmanına veya hukuk danışmanınıza başvurmanızı öneririz.
İlgili sayfalar
Resmi kaynaklar
seninİK ile tanışın
Veri yaklaşımımızı ve modüllerimizi inceleyin.
Size özel, ücretsiz bir demo planlayalım.