GPS ile personel takibi, sahada ve dağınık noktalarda çalışan ekipler için en pratik giriş-çıkış yöntemidir. Ama "çalışanın konumu" denince işverenin aklına ilk gelen soru KVKK'dır: konum kişisel veri midir, işlemek için ne gerekir, hangi uygulama ölçüsüz sayılır? Bu yazı GPS ile devam takibinin KVKK açısından nasıl kurulması gerektiğini anlatır.
Bu yazı genel bilgi verir ve hukuki görüş değildir. Kendi süreçleriniz için hukuk danışmanınıza başvurun.
Konum kişisel veridir
Bir çalışanın belirli bir anda nerede olduğu, kimliği belli bir kişiye ait bilgidir; yani kişisel veridir. KVKK'nın genel ilkeleri burada da geçerlidir: veri belirli ve meşru bir amaç için, o amaçla bağlantılı ve ölçülü olarak işlenmeli, gerekenden uzun saklanmamalıdır. Konum, biyometrik veri gibi "özel nitelikli" kişisel veri sayılmaz; ama ne kadar ve ne sıklıkla toplandığı ölçülülüğü belirler.
Asıl soru: ne zaman ve ne kadar konum alınıyor
İki uygulama arasında büyük fark vardır:
- Sürekli takip: Uygulama gün boyu arka planda konum toplar; çalışanın her hareketi kaydedilir. Amaç işe gelişi doğrulamaksa, bu, amaç için gerekenden çok daha fazla veri demektir ve ölçülülük açısından ciddi soru doğurur.
- Okutma anında tek konum: Konum yalnızca çalışan giriş ya da çıkış düğmesine bastığında bir kez alınır ve o kayıtla birlikte saklanır. Toplanan veri, amacın gerektirdiğiyle sınırlıdır.
CloudPDKS ikinci yolu izler: mobil uygulama arka planda konum izlemez, telefondan yalnızca kullanım sırasında konum iznini ister. Ayrıntılar GPS PDKS sayfasında.
Aydınlatma metninde ne yazmalı
- Konumun hangi amaçla alındığı: işe geliş ve ayrılışın işyerinde yapıldığını doğrulamak.
- Ne zaman alındığı: yalnızca giriş-çıkış anında.
- Neyin kaydedildiği: en yakın giriş alanı ve alana olan mesafe.
- Kimin görebildiği ve ne kadar süre saklandığı.
Grup şirketlerinde veri sorumlusu her şirketin kendisidir; aydınlatma metni de şirket bazında yayınlanmalıdır. CloudPDKS'de metin şirket bazında ve sürüm numarasıyla yayınlanır, çalışanın okuduğu kaydedilir.
Alan dışı okutma: reddetmek mi, onaya düşürmek mi
GPS'li sistemlerin çoğu, tanımlı alanın dışından yapılan okutmayı ya doğrudan reddeder ya da denetimsiz kabul eder. İlki sahada sorun çıkarır: sinyal binada sapar, ekip başka bir noktaya gönderilir ve çalışan "basamadım" noktasına gelir. İkincisi kaydı değersizleştirir. Dengeli yol, alan dışı okutmayı kaydedip yöneticinin onayına düşürmektir. Yönetici mesafeyi ve en yakın alanı görerek karar verir; karar da kayıtlı kalır.
Sahte konuma karşı
Konum telefondan geldiği için değiştirilebilir. Riskin yüksek olduğu noktalarda GPS, ekranda gösterilen ve sürekli yenilenen bir QR kod ile birlikte kullanılabilir; bu durumda çalışanın orada olduğunu konum değil kod kanıtlar. Ayrıca kaydın saatinin telefondan değil sunucudan alınması, saat oynayarak geç kalmayı gizlemeyi engeller.
Kontrol listesi
- Konum yalnızca giriş-çıkış anında mı alınıyor?
- Uygulama arka plan konum izni istiyor mu?
- Aydınlatma metni konumu, amacını ve saklama süresini açıkça yazıyor mu?
- Alan dışı okutmanın ne olacağı tanımlı mı, karar kayıt altında mı?
- Kimin hangi konum verisini görebildiği yetkiyle sınırlı mı?