Bir ofis binasında sabah 08:55 ile 09:10 arasında ne olduğunu hiç düşündünüz mü? Yüzlerce kişi aynı anda girişe yükleniyor, kartlar okutuluyor ve arka planda saniyeler içinde yüzlerce kayıt oluşuyor. Çoğu işletme bu kayıtları yalnızca devam takibi için bir araç olarak görür. Oysa bir turnike geçiş sistemi yapılandırıldığı andan itibaren kişisel veri üretmeye başlar: kim, hangi kapıdan, saat kaçta, hangi yöne geçti. Bu bilgi, doğru yönetilmediğinde bir kolaylık değil, ciddi bir hukuki ve operasyonel risk haline gelir. Bu yazıda turnike sistemlerinin veri boyutunu, KVKK ile kesiştiği noktaları ve sahada işe yarayan pratik çözümleri ele alıyoruz.
Turnike Kayıtları Neden Sıradan Bir Devam Takibi Değildir?
Bir turnike sisteminin ürettiği veriyi üç katmanda düşünmek gerekir. İlk katman, kart veya kimlik numarası gibi tanımlayıcı bilgidir. İkinci katman, hareket verisidir: giriş saatleri, geçiş yönü, hangi okuyucunun kullanıldığı. Üçüncü katman ise bu ikisinin birleşiminden doğan davranış örüntüsüdür. Bir çalışanın her gün 12:30'da yemekhaneye giden kapıyı kullanması, ilk bakışta zararsız görünür; ancak bu örüntü bir araya geldiğinde kişinin çalışma alışkanlıkları, izin günleri ve hatta devamsızlık eğilimleri hakkında çıkarım yapılabilir hale gelir.
KVKK açısından kritik olan tam da bu üçüncü katmandır. Kişisel Verileri Koruma Kurumu'nun genel yaklaşımı, konum ve hareket verilerinin tek başına masum görünse de birleştirildiğinde anlamlı profiller oluşturabildiğini kabul eder. Dolayısıyla turnike kayıtlarını "sadece giriş çıkış listesi" olarak değerlendirmek, veri sorumlusu olarak yükümlülüklerinizi eksik anlamanıza yol açar.
Hangi Veriler Gerçekten Gerekli?
Sahada en sık gördüğümüz hata, sistemin toplayabildiği her şeyi toplaması. Oysa veri minimizasyonu ilkesi, amacınıza hizmet etmeyen alanları toplamamanızı gerektirir. Bir üretim tesisinde vardiya takibi için kart numarası ve giriş saati yeterlidir. Buna karşılık parmak izi veya yüz tanıma gibi biyometrik yöntemler, çok daha yüksek koruma yükümlülüğü doğurur ve çoğu zaman alternatif bir çözüm vardır. Eğer amacınız yalnızca yetkisiz geçişi engellemekse, kart ve PIN kombinasyonu çoğu senaryoda yeterli güvenliği sağlar.
KVKK Uyumu İçin Sahada Uygulanabilir Adımlar
Mevzuatı bir uyum kontrol listesine indirgemek kolay, ama asıl mesele bunu günlük operasyona yerleştirmek. Aşağıdaki adımlar, bir turnike projesini hem teknik hem hukuki açıdan sağlam bir zemine oturtmak için izlenebilecek sıralamadır.
- İşleme amacını yazılı hale getirin. "Güvenlik" gibi geniş bir ifade yerine "yetkisiz girişlerin engellenmesi ve acil durumda bina içi kişi sayısının bilinmesi" gibi somut bir amaç tanımlayın.
- Veri envanteri çıkarın. Hangi alanların hangi tabloda, hangi sunucuda ve ne kadar süreyle tutulduğunu tek bir belgede toplayın. Bu belge, sonradan gelecek bir denetimde en güçlü savunmanızdır.
- Saklama süresini takvime bağlayın. Kayıtların otomatik silinmesi için sistem tarafında bir kural tanımlayın; manuel silme işini kimseye bırakmayın.
- Erişim yetkisini daraltın. Geçiş kayıtlarını tüm yöneticiler değil, yalnızca belirli roller görsün. Her erişim de ayrıca loglansın.
- Aydınlatma metnini görünür kılın. Giriş noktasına asılan kısa bir bilgilendirme ve çalışan el kitabındaki detaylı metin, çoğu uyuşmazlığı baştan önler.
Bu adımların çoğu tek seferlik işler değil. Özellikle saklama süresi ve erişim yetkisi, yeni çalışan alımları ve sistem güncellemeleriyle birlikte yeniden gözden geçirilmesi gereken başlıklar.
Mobil PDKS ile Veri Sorumluluğunu Dengelemek
Son yıllarda saha çalışanları için mobil pdks çözümleri yaygınlaşıyor. Telefon üzerinden konum doğrulamalı giriş çıkış, özellikle şantiyelerde ve çok lokasyonlu işletmelerde büyük kolaylık sağlıyor. Ancak burada dikkat edilmesi gereken bir ayrım var: konum verisi, turnike kartından çok daha hassas bir veri türüdür. Sürekli konum takibi yerine yalnızca giriş anında tek seferlik konum doğrulaması yapmak, hem amacı karşılar hem de gereksiz veri toplamayı önler. Çalışanın mesai dışındaki hareketlerinin izlenmediğini açıkça belirtmek, güven ilişkisi açısından da önemli.
Saklama Süresi ve Silme Pratiği
"Ne kadar saklayalım?" sorusunun tek bir doğru cevabı yok, ama yanlış cevabı çok net: "Sistemde kaldığı sürece." Geçiş kayıtları için makul bir yaklaşım, bordro ve devam süreçleriyle uyumlu bir dönem belirlemek ve bu sürenin sonunda kayıtları anonimleştirmek ya da silmektir. Birçok işletme, geçmişe dönük analiz yapma isteğiyle süreyi sürekli uzatıyor; oysa uzun süre saklanan veri, ihlal durumunda çok daha büyük bir etki alanı yaratır.
Silme işlemini bir politikaya bağlamanın pratik yolu şudur: sistem yöneticisi her çeyrek dönemde saklama süresi dolan kayıtları raporlar, veri sorumlusu bu raporu onaylar ve silme işlemi log ile kayıt altına alınır. Bu döngü, hem denetim hem de iç tutarlılık açısından sağlam bir yapı kurar.
Yedekler ve Bulut Kullanımı
Verinin bulutta tutulması KVKK açısından yasak değil, ancak yurt dışına aktarım kuralları devreye girer. Sunucunun hangi ülkede konumlandığını bilmek, sözleşmede bunu netleştirmek ve gerekiyorsa standart sözleşme metinlerini hazırlamak gerekir. Yedekler de aynı kurallara tabidir; canlı sistemden silinen bir kayıt yedekte kaldığı sürece gerçekten silinmiş sayılmaz. Yedek saklama süresini de ayrıca tanımlamak şart.
Acil Durum ve Denetim İçin Doğru Denge
Bir yangın veya tahliye anında binada kaç kişi olduğunu bilmek hayati önem taşır. Turnike sistemleri bu bilgiyi sağlayabilir, ancak acil durumda turnikenin nasıl davranacağı da önceden tanımlanmalı. Yangın alarmıyla birlikte kanatların otomatik açılması, hem güvenlik hem de mevzuat açısından beklenen bir davranış. Bunun yanında, tahliye sonrası giriş kayıtlarının nasıl işaretleneceği de bir prosedür olarak yazılı olmalı; aksi halde kriz anında kimse hangi kaydın güncel olduğunu bilemez.
Denetim tarafında ise en sık eksik kalan şey, sistem değişikliklerinin kaydı. Yeni bir okuyucu eklemek, bir çalışanın yetkisini genişletmek veya bir kapıyı geçici olarak açık bırakmak, hepsi izlenebilir olmalı. Bu kayıtlar hem iç denetim hem de olası bir veri ihlali incelemesinde ilk başvurulacak kaynaklardır.
Sık Sorulan Sorular
Turnike geçiş kayıtları KVKK kapsamında kişisel veri sayılır mı?
Evet. Bir çalışanın kimlik numarası veya kart numarasıyla eşleştirilen giriş çıkış saatleri, kişiyi belirlenebilir kıldığı için kişisel veri niteliği taşır. Bu verilerin işlenmesi, belirli bir amaca dayanmalı ve aydınlatma yükümlülüğü yerine getirilmelidir.
Parmak izi yerine kart kullanmak uyum açısından yeterli mi?
Çoğu işletme için evet. Biyometrik veriler özel nitelikli kişisel veri kapsamına girebildiği için daha sıkı koşullara tabidir. Kart ve PIN kombinasyonu, yetkisiz geçişi engelleme amacını büyük ölçüde karşılar ve daha düşük bir uyum yükü getirir.
Geçiş kayıtlarını ne kadar süre saklamalıyım?
Bordro ve devam süreçlerinizle uyumlu, amaca hizmet eden bir süre belirleyin ve bu süreyi yazılı bir politikaya bağlayın. Süre dolduğunda otomatik silme veya anonimleştirme uygulayın. Yedeklerdeki kopyalar için de ayrı bir saklama süresi tanımlamayı unutmayın.
Mobil pdks konum verisi toplarken nelere dikkat etmeliyim?
Sürekli takip yerine yalnızca giriş anında tek seferlik doğrulama tercih edin. Çalışana hangi verinin, ne zaman ve hangi amaçla toplandığını açıkça bildirin. Mesai dışı hareketlerin izlenmediğini yazılı olarak teyit etmek hem hukuki hem de kültürel açıdan önemlidir.
Bulut tabanlı turnike yazılımı kullanmak yurt dışına veri aktarımı sayılır mı?
Sunucunun bulunduğu ülkeye göre değişir. Yurt dışında konumlanan bir sunucuya veri aktarıyorsanız, KVKK'nın aktarım kuralları devreye girer. Sözleşmede sunucu lokasyonunu netleştirin ve gerekli aktarım mekanizmalarını önceden hazırlayın.