Arkadaş adına kart basma: biyometrik veri toplamadan nasıl önlenir?
Arkadaş adına kart basma, bir çalışanın işe gelmeyen veya geç kalan bir arkadaşının giriş kaydını onun yerine yapmasıdır. Kartlı sistemlerde ve kâğıt föyde çok kolaydır. Değişen QR kod, GPS alanı, selfie ve şüpheli girişler için onay kuyruğu birlikte kullanıldığında, parmak izi toplamadan ve KVKK riskine girmeden bu hileyi zorlaştırır ve görünür hale getirirsiniz.
Güncellendi:
Arkadaş adına kart basma neden bu kadar yaygın?
Çoğu zaman kötü niyetten çok alışkanlıktan doğar: “Servis geç kaldı, kartımı sen bas.” Ancak sistem buna izin veriyorsa küçük iyilikler kalıcı bir uygulamaya dönüşür. Yöntemlere göre risk şöyledir:
| Kayıt yöntemi | Başkası yerine giriş | Neden? |
|---|---|---|
| Kâğıt föy / imza | Çok kolay | Saati ve imzayı herkes yazabilir |
| Excel (yönetici girer) | Kolay | Kayıt, söylenene veya hatırlanana dayanır |
| Kartlı cihaz (RFID/NFC) | Kolay | Kart ödünç verilebilir; cihaz kimin okuttuğunu bilmez |
| Basılı QR + telefon | Zor | Her çalışan yalnızca kendi telefonundan giriş yapabilir |
| Değişen QR + GPS + selfie | Çok zor ve görünür | Kod 15 saniyede değişir, konum ve fotoğraf kontrol edilir |
| Parmak izi cihazı | Çok zor | Ama KVKK açısından ciddi uyum riski taşır |
Maliyeti: küçük dakikalar, büyük toplamlar
Arkadaş adına kart basmanın maliyeti, ödenen ama çalışılmayan süredir. Kendi rakamlarınızla basit bir hesap yapabilirsiniz:
- Örnek: Bir çalışan haftada üç gün 20 dakika geç gelir ve arkadaşı onun yerine zamanında kart basar. Ayda yaklaşık 4 saat eder; bu saatler ücrete ve fazla mesai hesabına girer.
- Dolaylı maliyet: Vardiya geç başlar, diğer çalışanlar yükü taşır, dürüst çalışanların motivasyonu düşer.
- Hukuki risk: Kayıtlar gerçeği yansıtmazsa, bir uyuşmazlıkta çalışma sürelerini ve fazla mesaiyi ispat etmek zorlaşır.
Sektörde dolaşan “ücretlerin yüzde şu kadarı” türünden genel istatistikler yerine, bir ay boyunca kendi verinizi ölçün: onay kuyruğuna düşen şüpheli girişler size gerçek tabloyu gösterir.
6 yöntem: hangisi neyi engeller?
1. Her 15 saniyede değişen QR kod
Girişteki tablette veya ekranda gösterilen kod sürekli değişir. Fotoğrafını çekip evdeki arkadaşa göndermek işe yaramaz; kod gelene kadar geçersizdir. Basılı kodla karşılaştırma için: QR kod ile giriş-çıkış.
2. GPS alanı (geofence)
Her lokasyon için bir yarıçap belirlersiniz. Giriş yalnızca bu alanın içinde kabul edilir; dışarıdan yapılan giriş gerekçe ister ve onayınıza düşer. Konum yalnızca giriş ve çıkış anında alınır, gün boyu takip yapılmaz. Ayrıntılar: GPS ile mesai takibi.
3. Girişte selfie
İsteğe bağlı fotoğraf, şüphe durumunda kimin giriş yaptığını göstermeye yeter. Fotoğraflar 30 gün sonra otomatik silinir. Yüz tanıma yapılmaz; fotoğraf yalnızca gerektiğinde bir yönetici tarafından görüntülenir.
4. Telefonda Face ID veya parmak izi
Doğrulama çalışanın kendi telefonunda, passkey ile yapılır. Sunucuya yalnızca “doğrulandı” bilgisi gelir; ne işverene ne de QRtimetrack'e biyometrik veri ulaşır. Bu seçenek isteğe bağlıdır; açmadan önce KVKK danışmanınızla değerlendirmenizi öneririz.
5. Kioskta fotoğraf ve kişisel kod
Telefonu olmayan çalışanlar girişteki tablette PIN, basılı kart veya telefondaki her 30 saniyede değişen kişisel kodla giriş yapar. Tablet her girişte fotoğraf çekebilir; paylaşılan PIN böylece fark edilir.
6. Şüpheli girişler için onay kuyruğu
Alan dışı konum, yeni cihaz, imkânsız yolculuk (iki lokasyon arasında olanaksız kısa süre) veya eksik fotoğraf gibi durumlar sarı veya kırmızı işaretlenir. Bu girişler siz onaylayana kadar puantaja girmez. Kayıt sunucu saatiyle tutulur; telefonun saatini değiştirmek sonucu değiştirmez.
KVKK: neden parmak izi çözüm değil?
Biyometrik veriler 6698 sayılı KVKK md. 6'ya göre özel nitelikli kişisel veridir. Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı'nda (Resmî Gazete, 2 Haziran 2026) mesai takibi için biyometrik veri işlenmesini değerlendirdi:
- Mevzuat, mesai takibinin biyometrik sistemle yapılmasını öngörmez.
- İşveren ile çalışan arasındaki güç dengesizliği nedeniyle açık rıza tek başına yeterli bir hukuki dayanak sayılmaz.
- Açık rıza olsa bile işlem, KVKK md. 4'teki ölçülülük ilkesine uymalıdır; daha az müdahaleci yöntemler varken biyometri ölçüsüz kalabilir.
- Kurul alternatif olarak şifreli kart veya PIN, imzalı föy, RFID/NFC kart ve yönetici gözetiminde manuel kaydı sayar.
Kurum'un kamuoyu duyurusuna göre bu ilkelere uyulmaması KVKK md. 12 kapsamında değerlendirilebilir ve md. 18'deki idari yaptırımlara yol açabilir. Yani arkadaş adına kart basmayı önlemek için işyerinde parmak izi toplamak artık ciddi bir uyum riski taşır. Değişen QR, GPS, kişisel kod ve onay kuyruğu, biyometri olmadan benzer bir güvenlik sağlar. Ayrıntılar: PDKS ve parmak izi ve dijital mesai kaydı ve mevzuat.
Hangi yöntemi seçerseniz seçin, çalışanları KVKK md. 10 kapsamında aydınlatma metniyle bilgilendirin: hangi veri (giriş saati, giriş anındaki konum, fotoğraf), hangi amaçla, ne kadar süre saklanıyor.
Kontrol listesi: arkadaş adına girişi önleme
- Her çalışanın hesabını tek bir cihaza bağlayın; yeni telefonu yönetici onaylasın.
- Kalabalık girişlerde değişen QR kod gösteren bir tablet kullanın.
- Her lokasyon için gerçekçi bir GPS yarıçapı belirleyin (çok dar alan yanlış alarm üretir).
- Riskli lokasyonlarda selfie veya kioskta fotoğrafı açın.
- Telefonu olmayanlar için kişisel kod veya PIN + fotoğraf kullanın.
- Onay kuyruğunu her gün kontrol edecek kişiyi belirleyin (vardiya amiri, şantiye şefi).
- Düzeltmelerin gerekçe ve kişiyle kaydedildiğinden emin olun.
- Ay sonunda çalışanların saatlerini telefondan onaylamasını isteyin.
- Aydınlatma metnini güncelleyin ve kuralları ekibe açıkça anlatın.
QRtimetrack ile ne kadar tutar?
Aktif çalışan başına aylık 1,99 €, en az 5 çalışan faturalanır (1–5 çalışan için aylık 9,95 €, vergiler hariç). Değişen QR, GPS, selfie, kiosk ve onay kuyruğu pakete dahildir. İlk 7 gün 10 çalışana kadar ücretsizdir, kart gerekmez.
Girişte tablet isterseniz özel teklife bakın. Tablet paketi her ülkede sunulmaz; Türkiye için uygunluk ve fiyatı bize sorun. Mevcut bir Android tablet de kiosk olarak kullanılabilir.
Sık sorulan sorular
Arkadaş adına kart basmak disiplin suçu mudur?
İşyeri yönetmeliğinde ve iş sözleşmesinde düzenlenmesi önerilir. Gerçeğe aykırı kayıt, işverenin güvenini sarsan bir davranış olarak değerlendirilebilir; somut yaptırım için iş hukuku danışmanınıza başvurun. Önce kuralları açıkça yazılı hale getirin.
Parmak izi olmadan arkadaş adına giriş gerçekten önlenebilir mi?
Yüzde yüz hiçbir yöntem yoktur, ama tek cihaz eşleştirme, 15 saniyede değişen QR, GPS alanı ve fotoğraf birlikte kullanıldığında hile hem zorlaşır hem de onay kuyruğunda görünür hale gelir.
Çalışan GPS konumunu sahte bir uygulamayla değiştirirse?
Bu mümkündür; bu yüzden GPS tek başına kullanılmamalıdır. Değişen QR kod kapıda fiziksel olarak bulunmayı gerektirir; fotoğraf ve imkânsız yolculuk kontrolü de şüpheli girişleri işaretler.
Selfie kullanmak KVKK'ya aykırı mı?
Fotoğraf kişisel veridir; yüz tanıma yapılmadığı, amaçla sınırlı tutulduğu ve kısa süre saklandığı sürece ölçülü bir kontrol olarak değerlendirilebilir. QRtimetrack'te fotoğraflar 30 gün sonra silinir. Çalışanları önceden bilgilendirin.
Telefonu olmayan çalışanlar ne yapacak?
Girişteki tablette PIN, basılı kart veya kişisel kodla giriş yaparlar; tablet her girişte fotoğraf çekebilir. Tüm girişler aynı raporda görünür.