Anlık yoklama, telefonu sahada bırakıp gitme açığını nasıl kapatır?
GPS takibi telefonun yerini gösterir, kişinin değil. Anlık yoklamanın telefonu sahada bırakma ve ikinci telefon hilesini nasıl ortaya çıkardığını anlatıyoruz.
OkuGPS ile personel takibi ve KVKK – işverenlerin bilmesi gerekenler
GPS ile personel takibi yasal mı? KVKK ilkeleri, aydınlatma, açık rıza, saklama süreleri ve yurt dışına aktarım konusunda işverenlerin bilmesi gerekenler.
GPS ile personel takibinin hukuka uygun olup olmadığı tek cümleyle cevaplanabilecek bir soru değildir; takibin amacına, kapsamına ve nasıl yapıldığına bağlıdır. Genel çerçevede takibin belirli ve meşru bir amaca dayanması, ölçülü olması (örneğin yalnızca mesai süresince yapılması), çalışanların önceden aydınlatılması, uygun bir hukuki sebebe dayanması ve verilerin yalnızca gerektiği kadar saklanması beklenir. Bu yazıda işverenlerin dikkat etmesi gereken başlıkları ve Görevde'nin bu konular gözetilerek nasıl tasarlandığını özetliyoruz.
Konum verisi kişisel veri midir?
KVKK'da kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanır. Bir çalışanın adıyla, hesabıyla ya da telefonuyla ilişkilendirilen konum kaydı da bu kapsamda değerlendirilir.
Konum verisi, KVKK'da sayılan özel nitelikli kişisel veriler arasında yer almaz. Yine de kişinin nerede, ne zaman ve ne kadar süre bulunduğunu gösterdiği için özel hayatına dair çok şey anlatabilir. Bu yüzden konum takibini planlarken temkinli ve ölçülü davranmak önemlidir.
KVKK'nın genel ilkeleri konum takibine nasıl yansır?
KVKK, kişisel verilerin işlenmesinde uyulması gereken genel ilkeler belirler. Bu ilkeleri konum takibi açısından şöyle okuyabilirsiniz:
| İlke | Konum takibi açısından anlamı |
|---|---|
| Hukuka ve dürüstlük kurallarına uygun olma | Takip gizlice yapılmamalı; çalışanlar neyin, neden kaydedildiğini bilmeli. |
| Doğru ve gerektiğinde güncel olma | Hatalı ya da sahte konumların kayıtlara ve değerlendirmelere girmemesine dikkat edilmeli. |
| Belirli, açık ve meşru amaçlar için işlenme | "Mesai ve saha doğrulaması" gibi net bir amaç belirlenmeli; veri bu amacın dışında kullanılmamalı. |
| İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma | Amaca yetecek kadar veri toplanmalı; takip mesai süresiyle sınırlı tutulmalı. |
| Gerekli olan süre kadar muhafaza edilme | Her veri türü için saklama süresi belirlenmeli; süre dolunca veriler silinmeli. |
Bu ilkelerin pratikteki en belirgin sonucu ölçülülüktür. Amaç "personelin mesai saatinde sahada olduğunu doğrulamak" ise, çalışanın akşam nerede olduğunu bilmek bu amaca hizmet etmez.
Aydınlatma yükümlülüğü: çalışanlara ne anlatılmalı?
Veri sorumlusu, kişisel verileri elde ederken ilgili kişileri bilgilendirmekle yükümlüdür. Aydınlatmada genel olarak şu bilgilere yer verilir:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- Verilerin kimlere ve hangi amaçla aktarılabileceği,
- Toplama yöntemi ve hukuki sebebi,
- İlgili kişinin KVKK'dan doğan hakları.
Konum takibinde bunlara ek olarak konumun ne zaman ve hangi sıklıkla alındığını, kimlerin görebildiğini, ne kadar süre ve nerede saklandığını açıkça anlatmak güven oluşturur.
Aydınlatmayı sade bir dille yapın. Uzun ve teknik bir metnin yanında, konumun ne zaman alındığını ve kimlerin gördüğünü anlatan kısa bir özet çok daha kolay anlaşılır. Bilgilendirmeyi takip başlamadan önce yapın, yeni çalışanlar için işe başlama sürecinin parçası hâline getirin ve metin değiştiğinde çalışanları yeniden bilgilendirin.
Aydınlatma ile açık rıza aynı şey değildir. Aydınlatma, kural olarak hangi hukuki sebebe dayanılırsa dayanılsın yerine getirilmesi gereken bir bilgilendirmedir; açık rıza ise hukuki sebeplerden yalnızca biridir. Bu nedenle iki metnin birbirine karıştırılmadan, ayrı ayrı sunulması genellikle önerilir.
Açık rıza mı, başka bir hukuki sebep mi?
KVKK'ya göre kişisel veriler, ilgili kişinin açık rızasıyla ya da kanunda sayılan diğer hukuki sebeplerden birine dayanılarak işlenebilir. Bu sebepler arasında, örneğin, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olma ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olma gibi şartlar bulunur.
Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. İş ilişkisinde taraflar arasında doğal bir güç dengesizliği bulunduğu için rızanın ne ölçüde özgür olduğu tartışılabilir. Bu yüzden hangi hukuki sebebe dayanılacağı; takibin amacına, işin niteliğine ve kapsamına göre ayrıca değerlendirilmelidir. Bu kararı hukuk danışmanınızla birlikte vermeniz önerilir.
Görevde'de uygulama içinde aydınlatma metni gösterilir ve açık rıza alınır. Metin değişirse personelden yeniden onay istenir; onay belgeleri panelden yazdırılabilir.
Veri minimizasyonu: gerekenden fazlasını toplamayın
Ölçülülüğün pratikteki karşılığı, amaca ulaşmak için gereken en az veriyi toplamaktır. Takibi planlarken şu soruları sorun:
- Konum doğrulamasına gerçekten hangi rollerde ihtiyaç var?
- Hangi sıklık yeterli? Saniye saniye takip mi gerekiyor, yoksa duruma göre değişen bir sıklık yeterli mi?
- Konumu kimler görebilmeli? Erişim yalnızca yetkili kişilerle sınırlı mı?
- Ham konum izine mi ihtiyaç var, yoksa çoğu durumda "sahada mı, değil mi" bilgisi yeterli mi?
Görevde'de yöneticiler takip edilmez. Sunucu takip sıklığını duruma göre seçer, telefon hareketsizken GPS kapatılır ve sürekli açık canlı takip yoktur; gerektiğinde yalnızca bir dakikalık canlı oturum açılır. Pil için tasarlanan bu yaklaşım, gereğinden sık konum toplanmasını da azaltır. Ayrıntılar pil dostu takip ve canlı konum takibi sayfalarında. Erişim tarafında rol tabanlı yetki kullanılır ve her müşterinin verileri birbirinden ayrıdır.
Mesai dışında takip neden önerilmez?
Mesai bittikten sonra çalışanın nerede olduğu, iş ilişkisinden çok özel hayatın alanına girer. Mesai dışı takip, amaçla bağlantılılık ve ölçülülük ilkeleri açısından ciddi soru işaretleri doğurur. Benzer bir değerlendirme mola süreleri için de yapılabilir.
Pratikte önemli olan, takibin çalışanın ya da yöneticinin hatırlamasına bırakılmadan, mesai bitince kendiliğinden durmasıdır. Personelin kendi telefonunu kullandığı durumlarda bu ayrım daha da önem kazanır, çünkü aynı cihaz hem iş hem özel hayat için kullanılır. Böyle durumlarda uygulamanın mesai dışında konum almadığını çalışanlara açıkça anlatmak, güven açısından belirleyicidir.
Görevde'de konum yalnızca mesai süresince paylaşılır ve mesai bitince takip durur. Mola boyunca konum paylaşılmaz. Anlık yoklama da yalnızca mesaide olan ve molada olmayan personele gönderilir.
Saklama süreleri: ne kadar tutmalı?
KVKK'ya göre kişisel veriler, ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanmalı; işlenmesini gerektiren sebepler ortadan kalktığında silinmeli, yok edilmeli ya da anonim hâle getirilmelidir.
Her veri türü için saklama süresini ayrı ayrı belirleyip yazılı bir politikada toplamak iyi bir uygulamadır. Örneğin mesai kayıtlarının başka mevzuattan doğan yükümlülükler nedeniyle daha uzun süre saklanması gerekebilirken, ham konum izlerinin uzun süre tutulması amaçla sınırlılık açısından ayrıca gerekçelendirilmelidir.
Görevde'de ham konum kayıtları en fazla 15 gün saklanır, sonra otomatik olarak silinir.
Çalışanların hakları ve başvurular
KVKK, ilgili kişilere kendileriyle ilgili verilere ilişkin çeşitli haklar tanır. Bunlar arasında kişisel verilerin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve verilerin amaca uygun kullanılıp kullanılmadığını öğrenme, verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenen verilerin düzeltilmesini ve şartları oluştuğunda silinmesini isteme gibi haklar bulunur.
Konum takibi yapan bir işverenin, çalışanlardan gelebilecek bu tür başvuruları nasıl karşılayacağını önceden planlaması gerekir. Başvuruların kime yapılacağını, ilgili kayıtların nasıl bulunacağını ve cevabın kim tarafından verileceğini belirleyin. Saklama süresi kısa tutulan ve düzenli olarak silinen veriler, bu süreci de sadeleştirir.
Veri sorumlusu ve veri işleyen: kim, neden sorumlu?
KVKK'da veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir.
Personel takip yazılımı kullanan bir işletmede, takibin amacını ve kapsamını belirleyen işveren genellikle veri sorumlusudur. Yazılımı sağlayan ve verileri işverenin talimatıyla işleyen firma ise veri işleyen konumunda olabilir. Rol dağılımı sözleşmeye ve fiilî duruma göre belirlenir. Bu yüzden sağlayıcınızla yaptığınız sözleşmede tarafların yükümlülüklerini, güvenlik önlemlerini ve verilerin kimlerle paylaşılabileceğini netleştirmeniz önerilir. Veri sorumlusu olarak VERBİS kaydı gibi ayrı yükümlülüklerinizin bulunup bulunmadığını da değerlendirmeniz gerekir.
Yurt dışına aktarım konusunu atlamayın
Kullandığınız yazılımın verileri Türkiye dışındaki bir veri merkezinde saklaması, KVKK'daki yurt dışına aktarım kuralları açısından değerlendirilmesi gereken bir konudur. Bu alandaki kurallar 2024 yılında yapılan değişikliklerle güncellendi. Aktarımın hangi şarta ve hangi araca (örneğin standart sözleşme) dayanacağını hukuk danışmanınızla birlikte belirlemeniz, aydınlatma metninde de bu konuya yer vermeniz önerilir.
Kullandığınız yazılımın verileri nasıl işlediğini sözleşme ve aydınlatma metinleri üzerinden sağlayıcınıza sorun; bu bilgiyi kendi değerlendirmenizde ve çalışanlarınıza yapacağınız aydınlatmada dikkate alın.
Görevde bu ilkeler gözetilerek nasıl tasarlandı?
| Konu | Görevde'deki karşılığı |
|---|---|
| Konum ne zaman alınır? | Yalnızca mesai süresince; mesai bitince takip durur |
| Mola | Mola boyunca konum paylaşılmaz |
| Kimler takip edilir? | Mesaideki personel; yöneticiler takip edilmez |
| Takip sıklığı | Duruma göre değişir; hareketsizken GPS kapalı, sürekli canlı takip yok |
| Verinin doğruluğu | Android'in sahte olarak işaretlediği konumlar kaydedilmez |
| Saklama | Ham konum kayıtları en fazla 15 gün, sonra otomatik silinir |
| Aydınlatma ve rıza | Uygulama içinde; metin değişirse yeniden onay, belgeler panelden yazdırılabilir |
| Güvenlik | Şifreli bağlantı, Google ile giriş, rol tabanlı yetki |
Bu tasarım uyum sürecinizi kolaylaştırmak için düşünülmüştür; ancak tek başına KVKK'ya uyum anlamına gelmez. Takibin amacı, dayanılan hukuki sebep, aydınlatmanın içeriği ve saklama politikası gibi kararlar veri sorumlusu olarak sizin değerlendirmenize bağlıdır. Görevde'nin güvenlik ve veri yaklaşımı hakkında daha fazla bilgi için Güvenlik ve KVKK sayfasına bakabilirsiniz.
İşverenler için kısa kontrol listesi
- Takibin amacını yazılı olarak belirleyin.
- Hangi rollerin takip edileceğine karar verin.
- Hukuki sebebi hukuk danışmanınızla birlikte belirleyin.
- Çalışanları takip başlamadan önce aydınlatın.
- Takibin yalnızca mesai süresince yapıldığından emin olun.
- Saklama sürelerini belirleyin ve silmenin nasıl yapıldığını kontrol edin.
- Konum verisine erişimi yetkili kişilerle sınırlayın.
- Sağlayıcınızla rolleri ve güvenlik önlemlerini sözleşmede netleştirin.
- Verilerin nerede saklandığını öğrenin ve yurt dışına aktarım konusunu değerlendirin.
Görevde'nin konum takibini, aydınlatma ve rıza akışını ve saklama kurallarını yakından görmek isterseniz demo ve teklif başvurusu yapabilirsiniz.
Sık sorulan sorular
GPS ile personel takibi yasal mı?
Bunun tek bir cevabı yoktur; takibin amacına, kapsamına ve nasıl yapıldığına bağlıdır. Genel olarak belirli ve meşru bir amaç, ölçülülük, aydınlatma, uygun bir hukuki sebep ve sınırlı saklama süresi temel değerlendirme noktalarıdır.
Çalışanın konumu mesai dışında takip edilebilir mi?
Mesai dışı takip, amaçla bağlantılılık ve ölçülülük ilkeleri açısından ciddi soru işaretleri doğurur. Bu nedenle takibin mesai bitince kendiliğinden durması önerilir; Görevde'de konum yalnızca mesai süresince paylaşılır.
Konum kayıtları ne kadar süre saklanmalı?
KVKK'ya göre veriler, ilgili mevzuatta öngörülen ya da işleme amacı için gerekli olan süre kadar saklanmalıdır. Görevde'de ham konum kayıtları en fazla 15 gün saklanır, sonra otomatik olarak silinir.
Açık rıza almak tek başına yeterli mi?
Açık rıza, KVKK'daki hukuki sebeplerden yalnızca biridir ve aydınlatma yükümlülüğünün yerini tutmaz. Hangi hukuki sebebin uygun olduğu, takibin amacına ve kapsamına göre değişir.
Bu yazıdaki bilgiler kendi işletmem için yeterli mi?
Her işletmenin durumu farklıdır; takip politikanızı oluştururken bir hukuk uzmanından destek almanızı öneririz. Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.
