Çalışan takibinde KVKK sınırları

Çalışan takibinde KVKK sınırları yazılım tarafında tek alana iniyor: mesai kaydının kimliği bedenden mi, yeniden verilebilir bir tanımlayıcıdan mı geliyor. Alanı hangi kaynağın doldurduğu kod yazılmadan önce verilen bir karardır; tanımlayıcı değişse de kayıt aynı bilgiyi taşımaya devam eder. Sınır açıkta: yeniden verilebilen tanımlayıcı devredilebilir de, telefon başkasına uzatılır ve konum doğrulaması sahayı gösterdiği için bunu kapatmaz.

Kapıdaki okuyucuyu sökmeli miyim sorusu bu yüzden önce bir yazılım sorusuna dönüşüyor. Bir mesai kaydı üç şey taşır: kim, hangi saha, hangi an. Üç cevabın hiçbiri kimliğin bedenden alınmış olmasını şart koşmuyor. Tanımlayıcı değiştiğinde kayıt modeli yerinde kalıyor; değişen tek şey kimlik alanına giren verinin kategorisi.

Kişisel Verileri Koruma Kurulu duyurusunun cümleleri aşağıda kaynağın kendi ifadesiyle aktarılıyor. Hukuki değerlendirme bu yazının konusu değil; cevaplanmayan sorular son bölümde tek tek duruyor ve kaynağa gidiyor.

Kurul duyurusu neyi değerlendiriyor

Mesai kaydının işi bellidir: kimin hangi sahada ne kadar kaldığını göstermek. Bu üç cevap kaydın kendi alanlarıdır. Kimliğin hangi veriyle doğrulandığı ise amacın parçası değil, amaca ulaşmak için seçilen yöntemdir. Ayrım küçük görünüyor ama yazının geri kalanı onun üstünde duruyor.

Kişisel Verileri Koruma Kurulu’nun mesai takibi amacıyla biyometrik veri işlenmesine ilişkin ilke kararı duyurusu bu ayrımı kendi cümlesinde taşıyor. Duyuru, “çalışan devam takibini dijitalleştirme ve güvenliği artırma amacıyla kurum ve kuruluşların giderek artan ölçüde biyometrik tanımlama sistemlerine yönelmesi” diye tarif ettiği bir eğilimi ele alıyor; değerlendirdiği şey de o yönelimin aracı: “biyometrik tanımlama sistemleri (parmak izi, yüz tanıma, iris ve retina taraması gibi)”.

Duyurunun gerekçe cümlesi şu: “takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık kanuni bir düzenleme bulunmadığından mesai takibinin biyometrik verilerin işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir.” Cümlenin öznesi devam kaydının kendisi değil, kaydın hangi veriyle üretildiği. Kararın kapsamına dair her yorum kaynağın metnine ve hukukçuya ait. Burada yalnız yazılıma düşen sonucu okuyoruz: mesai kaydının cevapladığı üç sorunun hiçbirinin cevabı bedenden alınmak zorunda değil.

Aynı üç cevabın biyometrik girdi olmadan üretildiği bir kurulum elimizde var. Kimlik ve yer doğrulamasının sabit bir turnike cihazına değil kaydın kendisine gömüldüğü giriş çıkış kaydı yazısında mekanizmayı ayrıntısıyla anlatmıştık: giriş kaydı sahaya basılı bir kodun okutulmasıyla ve o andaki konum doğrulamasıyla oluşuyor. Burada tekrar etmiyoruz; buradaki soru o mekanizmanın kaydın kimlik alanına ne yazdığı.

Çerçevenin dışında kalan bir durum var. Amaç mesai kaydı değil, sınırlı bir alana kimin girdiğini denetlemekse sorulan soru da değişiyor: orada aranan şey kimin ne kadar kaldığı değil, kimin geçmeye yetkili olduğu. Bu yazı o soruyu ele almıyor ve duyuruların o durumu nasıl karşıladığı da son bölümde kaynağa gidiyor.

Açık rıza kutusu yöntemi kurtarmıyor

İlk refleks çoğu zaman onay formu oluyor: personele bir metin imzalatalım, iş kapansın. Duyuru bu refleksi kendi cümlesiyle karşılıyor. Kurul, “geçerli bir açık rıza bulunsa dahi söz konusu işleme faaliyetinin … genel ilkeler kapsamında ölçülülük kriterini sağlamayacağı” değerlendirmesini yapıyor.

Gerekçesini aynı metinde açıyor: “işçi-işveren ilişkisindeki güç dengesizliği sebebiyle açık rızanın özgür iradeye dayanıp dayanmadığı hususunda tereddüt bulunduğu ve bu yönüyle tek başına yeterli bir hukuki zemin oluşturmadığı”. Bir cümle daha ileri de gidiyor: “rıza göstermemenin çalışan açısından muhtemel olumsuzluklar doğurabilmesi durumunda çalışanın gerçek bir seçeneğe sahip olduğu söylenemeyeceğinden rızanın özgür iradeye dayandığından da söz etmek mümkün olmayacaktır.”

Rızanın iş ilişkisinde geçerli olup olmadığı hukuki bir tartışma ve bu yazıda yürütülmüyor. Yazılıma düşen tespit tek satır: onay kutusu kaydın önüne eklenen bir adımdır. Akışa bir ekran daha girer, personel onaylar, sonra aynı okuyucuya parmağını basar. Kaydın kimlik alanına giren verinin kategorisi onaydan önce neyse onaydan sonra da odur. Onay, işlenen veriyi değiştiren bir tasarım kararı değil; işlenen verinin önüne konan bir kapı.

İkinci refleks daha teknik ve genellikle yazılım ekibinden geliyor: parmak izinin görüntüsünü saklamıyoruz, ondan üretilen matematiksel karşılığını saklıyoruz. Kurumun aynı ilke kararının kapsamına ilişkin ikinci kamuoyu duyurusu bu savunmayı da kendi cümlesiyle karşılıyor: “söz konusu verilerin matematiksel bir koda çevrilerek veri tabanında saklanması, biyometrik veri niteliğini ortadan kaldırmamaktadır.”

Yazılım tarafındaki karşılığı şu: veri tabanındaki alanın biçimi verinin kategorisini belirlemiyor. Görüntü yerine sayı dizisi saklamak bir depolama kararı, bir veri kategorisi kararı değil. Kategoriyi belirleyen şey verinin nereden alındığı.

Ölçülülük tasarım masasında hangi soruya dönüşüyor

Ölçülülük hukuk metninde bir ilkedir. Tasarım masasında bir kısıta dönüşmediği sürece kimse onunla ne yapacağını bilmez. Duyurunun işe yarayan tarafı, ilkeyi kendisinin üçe bölmüş olması: değerlendirmenin “yöntemin amaca uygunluğu (işlendikleri amaçla bağlantılı olma), alternatif yöntemlerin tüketilip tüketilmediği (işlendikleri amaçla sınırlı olma) ve müdahalenin boyutu (işlendikleri amaçla ölçülü olma) açısından ayrı ayrı” yapılması gerektiğini söylüyor.

Ortadaki ölçüt, yazılım ekibinin cevaplayabileceği tek ölçüt. Alternatif yöntemlerin tüketilip tüketilmediği sorusu tasarım masasında şu hâle geliyor: aynı üç cevap bedenden alınmayan bir veriyle üretilebiliyor mu? Bu soru hukuki kanaat istemiyor; kaydın hangi alanları taşıdığına bakılmasını istiyor.

Bir giriş kaydının üç alanı var ve her biri ayrı bir kaynaktan doluyor. Okutmanın kimi, konum doğrulamasının hangi sahayı gösterdiği şantiye giriş çıkış sisteminde “kim” alanı okutma eyleminden geliyor, “hangi saha” alanı kayıt anındaki konum doğrulamasından geliyor ve iki bilgi tek giriş kaydında birleşiyor. Saha adı hiçbir adımda listeden elle seçilmiyor.

Üçüncü alan hiç doldurulmuyor. “Hangi an” kaydın oluştuğu anın kendisidir; çalışılan süre de eşleşen giriş ve çıkış kaydından çıkıyor. Türetmenin nasıl işlediğini komşu yazı ele alıyor, burada yalnız kaydın hangi alanları taşıdığına bakıyoruz.

Fark tek bir yerde toplanıyor. Parmak izi okuyucusunda “kim” alanına bedenden alınan bir veri yazılıyor; şantiyede aynı alana sistemin tanıdığı kişinin okutma eylemi yazılıyor. Kaydın öteki iki alanı ikisinde de aynı kalıyor. Yöntem değiştiğinde kaydın taşıdığı bilgi azalmıyor; yalnız bir alanın veri kategorisi değişiyor.

Bu düzenin açık bir sınırı var ve kapatılmış gibi yazılamaz. Yeniden verilebilen bir tanımlayıcı devredilebilir de: telefon başkasına verilebilir. Konum doğrulaması bunu kapatmıyor, çünkü konum kişiyi değil sahayı doğruluyor. İtiraz gerçek ve aşağıdaki tablonun kendi satırında açık bir sınır olarak duruyor.

Kimliği neye bağlarsınız: bedene, karta, basılı koda

Duyuru alternatifleri kendisi sayıyor. Kurul, mesai takibinin “biyometrik tanımlama sistemleri yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollar ile sağlanması” gerektiği yönünde değerlendirme yapıyor. Aşağıdaki tablo bu yöntemleri yan yana koyuyor ve hangisinin iyi olduğunu söylemiyor. Sorduğu tek şey şu: sistemde kimlik olarak ne saklanıyor ve o veri yeniden verilebiliyor mu.

Ayırıcı sütun üçüncüsü. Kart yeniden basılır, PIN sıfırlanır, sahaya asılan basılı kod yıprandığında yenisi üretilir. Beden için böyle bir işlem yok; parmak izi bir kez başkasının eline geçtiğinde yerine yenisi verilemiyor. Kurumun ikinci duyurusundaki cümle burada ikinci kez işe yarıyor: veriyi matematiksel bir koda çevirmek onu yeniden verilebilir bir tanımlayıcıya dönüştürmüyor.

Son sütun geçiş maliyetini gösteriyor ve satırlar arasındaki en büyük farkı o taşıyor. Kayıt cihazın kendisinde oluşuyorsa cihazı çıkarmak kaydın kaynağını da değiştirir. Kayıt personelin telefonunda oluşuyorsa sahada sökülecek bir şey kalmaz; kayıt modeli yerinde durur.

Tablo hiçbir yöntemi elemiyor. Tek girişli, kalıcı bir tesiste her gün aynı kapıdan geçen sabit bir kadro için sabit okuyucu kurulum tarafında makul bir tercihtir. Karşılaştırma kurulum, bakım ve saklanan veriyle sınırlı; hukuki değerlendirme taşımıyor.

Konum verisi de işlenir: sürekli iz mi, kayıt anındaki nokta mı

Biyometriden konuma geçmek bir çıkış yolu gibi görünüyor, oysa konum da kişisel veri. Bu bölüm bir hukuki değerlendirme taşımıyor. İlke kararı duyurusunda konum verisine dair bir ifade geçmiyor; aşağıdaki ayrım kararın kapsamından çıkarılmış bir sonuç değil, kayıt modelinin okunmasından çıkan bir tasarım sorusu.

Soru şu: konum kaydın neresine yazılıyor? Şantiye giriş çıkış sisteminde konum, giriş kaydının bir alanı. Kayıt oluştuğu anda o kayda yazılıyor, okutmayla aynı kayıtta birleşiyor ve saha adı elle seçilmiyor. Konumun sahayı nasıl belirlediğini turnike yazısında anlatmıştık; burada konumun kayıtta nereye oturduğuna bakıyoruz.

Gün boyu konum akışı toplamak başka bir şey ve farkı yazılım tarafında görmek kolay. Giriş kaydının üç alanı var: kim, hangi saha, hangi an. Sürekli bir konum izi bu üç alandan hangisine yazılır? Hiçbirine. Kayıt modelinde onu alacak bir alan yok; iz ayrı bir yerde birikir ve mesai kaydının cevapladığı sorulara hiçbir şey eklemez.

Bunu “arada konum tutulmuyor” diye bir iddiaya çevirmiyoruz. Bir sistemin ne tuttuğu, kayıt alanlarına bakılarak anlaşılmaz; kendi tasarımına bakmak gerekir. Sorulacak soru da o: hangi veri hangi anda alınıyor ve nereye yazılıyor.

Karşı durum da var. İşin kendisi gün içindeki rotayı gerektiriyorsa, kayıt anı modeli o işin sorusunu cevaplamaz. Dağıtım ya da saha servisi gibi işlerde sorulan şey kimin ne kadar kaldığı değil, aracın nereden geçtiği. O zaman amaç mesai kaydı olmaktan çıkıyor ve kendi değerlendirmesini istiyor; bu yazının kapsamı dışında.

Okuyucuyu sökünce sistemin nesi yeniden kurulur

Asıl maliyet korkusunu cihazın fiyatı değil, arkasındaki sistem üretiyor. Okuyucu çıkarsa mesai düzeni baştan mı kurulur?

Kaydın kendisine bakınca cevap çıkıyor. Bir mesai kaydı dört parçadan oluşuyor: kim, hangi saha, giriş anı ve eşleşen çıkış anı. Bu dört parçanın hiçbiri kimlik alanına hangi tür tanımlayıcının yazılacağını şart koşmuyor. Süre hesabı, saha kırılımı ve ay sonundaki döküm hepsi bu dört parçanın üstünde duruyor ve tanımlayıcının türünü sormuyor.

Ama cevap kaydın nerede oluştuğuna bağlı ve bu ayrım atlanırsa yanlış bir güvence verilmiş olur. Kayıt cihazın kendisinde oluşuyorsa, cihazı çıkarmak kaydın kaynağını da değiştirir: kaydı üreten yüzey başkasıdır ve o yüzeyin sisteme nasıl bağlandığı yeniden kurulur. Kayıt personelin telefonunda oluşuyorsa değişen şey kaydın kaynağı değil, yalnız kimlik alanının veri kategorisi.

İkinci durumun somut hâli şantiyede duruyor. Kurduğumuz sistemde sahaya monte edilmiş donanım yok; uygulama personelin kendi telefonunda çalışıyor. Şantiye kapandığında sökülecek, taşınacak ya da depoda bekleyecek bir cihaz oluşmuyor. Sahada duran tek fiziksel parça basılı kodun kendisi ve yıprandığında yerine yenisi basılıyor.

Kaydın telefonda yazılması kendi başına bir tasarım konusu ve bu yazının dışında. Saha kaydının personelin telefonunda oluştuğu düzeni ayrı bir yazıda ele almıştık; buradaki tek bağ şu: kayıt telefonda yazıldığı için sahaya sökülecek bir cihaz kurulmuyor. Doğrulamayı sabit bir cihaz yerine personelin taşıdığı telefona taşıyan katmanı da o yüzden ayrı bir başlık altında anlatıyoruz.

Bir soru bu bölümde cevaplanmıyor: halihazırda saklanan biyometrik verinin akıbeti. İki duyuruda da ele alınmıyor ve yazılım masasında verilecek bir karar değil. Soru hukukçuya gidiyor.

Hangi soru yazılımın, hangi soru hukukçunun

Bu yazının cevapladığı sorular dar ve sayılabilir. Mesai kaydı için hangi veri alınır, hangi anda alınır, nereye yazılır ve yöntem değişince sistemin nesi yeniden kurulur. Dördünün de cevabı kaydın alanlarına bakılarak çıkıyor; hiçbiri hukuki kanaat gerektirmiyor.

Cevaplanmayanları da açıkça yazmak gerekiyor, çünkü bu yazıdan hukuki güvence çıkarmak yanlış olur. Dört başlık kaynağa gidiyor.

Açık rızanın iş ilişkisinde geçerliliği ilk başlık. Duyuru bu konuda kendi değerlendirmesini yapıyor ve o değerlendirme yukarıda kaynağın kendi cümlesiyle aktarıldı; yorumu hukukçunun işi. İkinci başlık halihazırda toplanmış biyometrik verinin akıbeti: iki duyuruda da ele alınmıyor. Üçüncüsü yüksek güvenlikli alanlarda durumun farklı olup olmadığı; bu başlık da iki duyuruda geçmiyor, dolayısıyla burada “istisna var” ya da “istisna yok” demek kaynağın söylemediği bir şeyi söylemek olur. Dördüncüsü yaptırım ve o da duyuruların konusu değil.

Dördü de aynı yere gidiyor: Kurul’un kendi metnine ve hukukçuya. Yazılım ekibinin bu sorulara verdiği her cevap, kaynağı olmayan bir cevap olur.

Yazılım tarafında kalan iş ise somut. Kaydın hangi alanları taşıdığı, eşleşen giriş ile çıkışın neyi ürettiği ve çıkışı okutulmamış bir girişin ne olduğu tasarım kararlarıdır; hepsi kod yazılmadan önce verilir. Sahadaki giriş çıkış kaydını ofisteki hesaba bağlayan kurguyu anlatırken sorduğumuz soru da şu: bu bilgi bir kez mi giriliyor, yoksa her katmanda yeniden mi yazılıyor? Kimlik alanına hangi verinin yazıldığı sorusu o zincirin ilk halkası.