KVKK’dan emsal karar: Mesai takibinde parmak izi kullanımı hukuka aykırı
Kişisel Verileri Koruma Kurulu (KVKK), çalışanların giriş-çıkış ve mesai takibinde biyometrik verilerin kullanılmasına ilişkin önemli bir ilke kararına imza attı. Resmi Gazete’de yayımlanan kararda, işverenlerin mesai kontrolü amacıyla parmak izi, yüz tanıma, iris taraması ve benzeri biyometrik sistemleri kullanmasının kişisel verilerin korunması hukuku açısından ciddi riskler taşıdığı vurgulandı.
29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, son yıllarda iş yerlerinde dijital takip sistemlerinin yaygınlaşması ve biyometrik teknolojilerin kullanımının artması üzerine alındı.
KVKK, mesai takibi amacıyla biyometrik veri işlenmesinin hukuka uygunluk ve ölçülülük ilkeleri açısından ciddi sorunlar barındırdığına hükmetti.
BİYOMETRİK VERİLER ÖZEL NİTELİKLİ KİŞİSEL VERİ KAPSAMINDA
Kurul kararında, parmak izi, yüz tanıma verileri, retina ve iris taramaları gibi biyometrik bilgilerin özel nitelikli kişisel veri kategorisinde yer aldığı hatırlatıldı.
Kişisel Verilerin Korunması Kanunu’nun 6’ncı maddesine göre bu tür verilerin işlenmesinin kural olarak yasak olduğu belirtilirken, yalnızca açık rıza veya kanunda açıkça öngörülmüş istisnai durumlarda işlenebileceği ifade edildi.
Ancak Kurul, biyometrik verilerin diğer kişisel verilere kıyasla çok daha hassas ve geri döndürülemez özellik taşıdığına dikkat çekerek, bu verilerin işlenmesinde yalnızca hukuki dayanağın değil, gereklilik, ölçülülük ve veri minimizasyonu ilkelerinin de gözetilmesi gerektiğini vurguladı.
Parmak izi ve yüz tanıma gibi biyometrik verilerin geri döndürülemez yapısı nedeniyle daha sıkı koruma altında olduğu belirtildi.
İŞVERENLER İÇİN AÇIK KANUNİ DAYANAK BULUNMUYOR
Kararda, işverenlerin çalışanların çalışma sürelerini takip etme ve kayıt altına alma yükümlülüğünün mevzuatta yer aldığı ifade edildi. Ancak bu yükümlülüğün biyometrik yöntemlerle yerine getirilmesini zorunlu kılan veya açıkça izin veren bir yasal düzenlemenin bulunmadığına dikkat çekildi.
Bu nedenle mesai takibinde biyometrik veri kullanımının açık rıza dışındaki veri işleme şartlarına dayanamayacağı değerlendirmesi yapıldı.
KVKK, işçi ile işveren arasındaki ilişki yapısının eşit güç koşullarına dayanmadığını belirterek, çalışanların verdiği açık rızanın her zaman özgür iradeyi yansıtıp yansıtmadığı konusunda tereddütler bulunduğunu da kaydetti.
Kurul, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle açık rızanın tek başına yeterli hukuki dayanak oluşturamayabileceğini vurguladı.
ALTERNATİF YÖNTEMLER BİYOMETRİK TAKİBİ GEREKSİZ KILIYOR
İlke kararında, mesai takibinin biyometrik sistemler dışında farklı yöntemlerle de gerçekleştirilebileceğine dikkat çekildi.
Şifreli kart sistemleri, PIN uygulamaları, RFID ve NFC teknolojisine sahip personel kartları, imza çizelgeleri veya gözetim altında yapılan manuel giriş kayıtları gibi alternatiflerin mevcut olduğu belirtildi.
Kurul, bu yöntemlerin varlığının biyometrik veri işlenmesini zorunlu olmaktan çıkardığını ve mesai takibi gibi sınırlı bir idari amaç için çalışanların en hassas verilerinin işlenmesinin çoğu durumda gerekli görülmeyeceğini ifade etti.
ANAYASA MAHKEMESİ VE DANIŞTAY KARARLARINA ATIF YAPILDI
Kararda ayrıca Anayasa Mahkemesi ve Danıştay’ın daha önce verdiği kararlar da hatırlatıldı. Yüksek yargı kararlarında kişisel verilerin korunması, özel hayatın gizliliği ve ölçülülük ilkelerinin önemine dikkat çekildiği belirtildi.
KVKK, mesai takibi amacıyla biyometrik veri kullanımının, geçerli bir açık rıza bulunsa bile Kişisel Verilerin Korunması Kanunu’nun genel ilkeleri kapsamında ölçülülük şartını karşılamayabileceği sonucuna ulaştı.
Kurul, ilke kararında belirtilen kurallara aykırı hareket eden veri sorumluları hakkında Kanun’un 18’inci maddesi kapsamında idari yaptırımlar uygulanabileceği uyarısında bulundu.
Uzmanlar, söz konusu kararın iş yerlerinde kullanılan parmak izi ve yüz tanıma sistemleri açısından emsal niteliğinde olduğunu ve veri işleme süreçlerinde yeni düzenlemeleri beraberinde getirebileceğini değerlendiriyor.
