Endüstri 4.0 ve IoT Sensörleri: Makine Verisi Ne Zaman Kişisel Veri Olur?

Akıllı Fabrikada Veri Kime Ait?

Endüstri 4.0 projeleri çoğu zaman bir mühendislik hedefiyle başlar: arızayı önceden görmek, duruşları azaltmak, enerji tüketimini düşürmek. Makinelere takılan sensörler sıcaklık, titreşim ve çevrim süresi gibi teknik değerler üretir. İmalat sanayi KVKK açısından soru, bu teknik verinin hangi noktada bir çalışanın performansına, konumuna veya sağlığına dair bilgiye dönüştüğüdür.

Bu yazıda makine verisi ile operatör verisinin birleştiği noktaları, giyilebilir cihazları ve konum takibini, verimlilik analitiğini, bilgilendirme ve ölçülülük gerekliliğini, tedarikçi platformlarını ve uyumlu tasarım ilkelerini ele alıyoruz.

Makine Verisi ile Operatör Verisinin Birleşmesi

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Bir pres makinesinin saatlik çevrim sayısı, kimseyle ilişkilendirilmediği sürece teknik bir veridir. Aynı sayı, o saatte makineyi kullanan operatörün sicil numarasıyla aynı tabloda tutulduğunda operatörün iş performansına ilişkin kişisel veri haline gelir.

Bu bağ her zaman açık bir kullanıcı girişiyle kurulmaz. Uygulamada en sık görülen bağlantı noktaları şunlardır:

Bu nedenle bir Endüstri 4.0 projesinde ilk adım, hangi veri alanının hangi kaynakla birleşerek kişiye bağlandığını gösteren bir veri akış haritası çıkarmaktır.

Makine Verisini Kişiye Bağlayan Noktalar

Giyilebilir Cihazlar ve Konum

İş sağlığı ve güvenliği (İSG) amacıyla kullanılan giyilebilir cihazlar hızla yaygınlaşıyor: düşme ve hareketsizlik algılayan kartlar, gaz dedektörleri, forklift yaklaşım uyarı sistemleri, akıllı baretler ve gerçek zamanlı konum sistemleri. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu'nun 4. maddesi, işvereni çalışanların işle ilgili sağlık ve güvenliğini sağlamak için mesleki risklerin önlenmesi dahil her türlü tedbiri almakla yükümlü tutar. Bu cihazların meşru bir amacı vardır.

Ancak aynı cihaz farklı veriler üretebilir. Nabız, vücut ısısı veya yorgunluk ölçümü yapan bir cihaz, KVKK'nın 6. maddesinde özel nitelikli kişisel veri olarak sayılan sağlık verisini işler. 7499 sayılı Kanunla 2024'te değiştirilen bu madde, özel nitelikli verinin istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması halinde işlenebileceğini düzenler. Buradaki “zorunlu” kelimesi, İSG amacının her türlü ölçümü meşrulaştırmadığını gösterir.

Konum verisi de benzer bir sınır ister. Tehlikeli bölgeye girişte uyarı veren bir sistem ile çalışanın mola sürelerini ve tuvalet ziyaretlerini kaydeden bir sistem aynı teknolojiyi kullanabilir; ancak ikincisi İSG amacıyla bağlantılı değildir. Cihazın mesai dışında veya tesis dışında veri toplamaması teknik olarak güvence altına alınmalıdır. Araçlardaki takip sistemleri için benzer değerlendirmeleri ticari araçlarda kamera ve takip sistemi yazımızda ele aldık.

Verimlilik Analitiği

Makine verisinin operatörle birleştirilmesinin en hassas kullanım alanı bireysel verimlilik analizidir. Hat bazında genel ekipman verimliliğini ölçmek bir üretim yönetimi aracıdır; aynı ölçümü kişi bazında sıralamaya, primlere veya disiplin süreçlerine bağlamak ise çalışan hakkında sonuç doğuran bir değerlendirmedir.

KVKK'nın 11. maddesi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını tanır. Bir algoritmanın “düşük performanslı” olarak işaretlediği çalışan hakkında insan değerlendirmesi olmadan işlem yapılması bu hakla doğrudan ilişkilidir. Otomatik skorların karar değil, yöneticinin değerlendireceği bir girdi olarak kullanılması ve çalışana açıklama yapılabilmesi gerekir.

Çalışan izleme konusunda Kurul yaklaşımının genel çerçevesini çalışan e-posta izleme KVKK yazımızda anlattık. Fabrikalarda sık kullanılan parmak izi ve yüz tanımalı giriş sistemleri için ise Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı mesai takibinde biyometrik veri ilke kararı dikkate alınmalıdır; Kurul bu kararda işçi-işveren ilişkisindeki güç dengesizliği nedeniyle açık rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddüt bulunduğunu vurgulamıştır.

Bilgilendirme ve Ölçülülük

KVKK'nın 10. maddesi, kişisel veri elde edilirken ilgili kişinin; veri sorumlusunun kimliği, işleme amacı, aktarım yapılan taraflar, toplama yöntemi, hukuki sebep ve hakları konusunda bilgilendirilmesini zorunlu tutar. Fabrikada bu, genel bir çalışan aydınlatma metninin yeterli olmadığı anlamına gelir. Sensörlü hatlar, giyilebilir cihazlar ve verimlilik panoları için hangi verinin ne amaçla toplandığı ayrıca ve anlaşılır biçimde anlatılmalıdır.

Ölçülülük ise Kanun'un 4. maddesindeki temel ilkedir: veri işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Uygulamada şu sorular yol gösterir: amaç kişiye bağlanmadan, hat veya vardiya düzeyinde toplulaştırılmış veriyle sağlanabilir mi? Daha az müdahaleci bir yöntem var mı? Veri, amaç için gereken süreden uzun tutuluyor mu? Bu soruların yanıtı yazılı olarak kayda geçirildiğinde hem çalışanlara hem de olası bir Kurul incelemesine açıklama yapmak kolaylaşır.

Çalışanlardan toplu açık rıza almak bu soruların yerini tutmaz. Kurul'un yukarıda anılan ilke kararında da vurgulandığı gibi, iş ilişkisindeki güç dengesizliği rızanın özgürce verildiğini göstermeyi zorlaştırır. Ölçülü olmayan bir izleme, çalışanın imzası alınarak ölçülü hale gelmez.

Tedarikçi Platformları

Endüstriyel nesnelerin interneti (IIoT) çözümleri çoğunlukla bulut tabanlı platformlar üzerinden çalışır. Makine üreticileri de uzaktan izleme ve bakım hizmeti kapsamında makinelerden sürekli veri alır. Bu veri akışında operatör girişleri, alarm kayıtları veya kamera görüntüleri de yer alıyorsa tedarikçi kişisel veriye erişiyor demektir.

KVKK'nın 12. maddesi, veri sorumlusunun kendi adına veri işleyenlerle birlikte veri güvenliği tedbirlerinden müştereken sorumlu olduğunu düzenler. Platform yurt dışındaysa aktarım 9. maddedeki mekanizmalardan birine dayanmalı, standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kurum'a bildirilmelidir. Uzaktan bakım bağlantılarının hangi ağ bölümüne erişebildiği, kimin ne zaman bağlandığı ve bağlantının kayıt altına alınıp alınmadığı operasyonel teknoloji (OT) güvenliğinin olduğu kadar KVKK uyumunun da konusudur.

Uyumlu Tasarım İlkeleri

Yeni bir sensör, giyilebilir cihaz veya analitik projesine başlamadan önce aşağıdaki ilkeler proje belgesine eklenebilir:

Amacı yazın ve amacın kişi düzeyinde veri gerektirip gerektirmediğini değerlendirin; gerekmiyorsa veriyi hat veya vardiya düzeyinde toplayın.

Operatör kimliğini analitik veri setinden ayırın; kimlik eşleştirme tablosuna yalnızca yetkili birkaç kişinin erişmesini sağlayın. Kayıtlarda kimlik maskelemenin teknik yöntemlerini log maskeleme KVKK yazımızda bulabilirsiniz.

Sağlık verisi üreten ölçümleri yalnızca İSG açısından zorunlu olduğu ölçüde açın; bu verilere İSG profesyonelleri dışında erişim vermeyin.

Konum ve hareket verisinin mesai ve tesis dışında toplanmasını teknik olarak engelleyin.

Otomatik performans skorlarını insan değerlendirmesi olmadan disiplin veya ücret kararına bağlamayın.

Tedarikçi sözleşmelerinde veri konumu, alt yükleniciler, uzaktan erişim ve sözleşme sonunda silme koşullarını netleştirin.

Saklama sürelerini belirleyin; ham sensör verisini kısa, toplulaştırılmış raporları daha uzun süre tutun.

Çalışanları proje başlamadan önce bilgilendirin ve sorularını yanıtlayacak bir iletişim kanalı açın.

Sonuç ve Sonraki Adım

Endüstri 4.0 projelerinde makine verisi ile kişisel veri arasındaki sınır, teknik bir değerin bir çalışanla ilişkilendirildiği anda aşılır. İmalat sanayi KVKK uyumu bu nedenle projenin sonunda eklenen bir metin değil, sensör seçiminden veri modeline kadar tasarımın parçası olmalıdır. Giyilebilir cihazlar ve bireysel verimlilik analitiği, özellikle sağlık verisi ve otomatik karar riskleri nedeniyle en dikkatli değerlendirilmesi gereken alanlardır.

Mevcut sistemleriniz için ilk adım, hangi veri alanının kişiye bağlandığını gösteren bir akış haritası çıkarmaktır. Üretim sektörüne özgü diğer başlıkları üretim ve imalat sektörü KVKK sayfamızda bulabilirsiniz. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sık Sorulan Sorular