Biyometrik mesai takibine yasak
Kişisel Verileri Koruma Kurulu, çalışanların mesai giriş ve çıkışlarının biyometrik verilerle takip edilmesine ilişkin yeni bir ilke kararı aldı. Kararla birlikte işverenlerin parmak izi, yüz tanıma, iris ve retina taraması, el geometrisi ile ses tınısı gibi kişiye özgü verileri mesai takibi amacıyla işlemesinin hukuka aykırı olduğu değerlendirildi.
Kurulun 29 Nisan 2026 tarihli ve 2026/921 sayılı kararı, 2 Haziran 2026 tarihli Resmi Gazete’de yayımlandı. Karar, kamu ve özel sektörde çalışanların devam kontrolünde kullanılan biyometrik sistemlere yönelik önemli bir sınır getirdi.
KVKK, çalışanların açık rızasının bulunmasının biyometrik veriyle mesai takibini tek başına hukuka uygun hale getirmeyeceğine hükmetti. Kararda, işçi ve işveren arasındaki güç dengesizliği nedeniyle çalışanın rızasının her durumda özgür iradeye dayanıp dayanmadığı konusunda tereddüt oluşabileceği belirtildi.
Kurul, çalışanın rıza göstermemesi ya da daha sonra rızasını geri çekmesi halinde olumsuz sonuçlarla karşılaşma ihtimalinin, açık rızanın geçerliliğini tartışmalı hale getirdiğine dikkat çekti. Bu nedenle biyometrik verilerin yalnızca açık rıza şartına dayanılarak işlenmesinin yeterli bir hukuki zemin oluşturmayacağı vurgulandı.
Kararda, biyometrik tanımlama sistemlerinin hızlı, doğru ve manipülasyona dirençli olması nedeniyle iş yerlerinde tercih edildiği ifade edildi. Ancak parmak izi, yüz görüntüsü, iris ve retina bilgisi gibi verilerin kişiyi doğrudan tanımlayan özel nitelikli veriler olduğu belirtildi.
KVKK, bu tür verilerin işlenmesinde yalnızca hukuki sebebin değil, ölçülülük, gereklilik ve veri minimizasyonu ilkelerinin de dikkate alınması gerektiğini bildirdi. Mesai takibi gibi bir amaç için çalışanın biyometrik verisinin alınmasının, daha az müdahaleci yöntemler varken ölçülü kabul edilemeyeceği kaydedildi.
Kurul, mevzuatta işverenin çalışma sürelerini takip etmesi ve belgelemesine ilişkin hükümler bulunduğunu, ancak bu takibin biyometrik veri işlenerek yapılmasını zorunlu kılan açık bir düzenleme olmadığını belirtti.
Bu nedenle mesai takibinin biyometrik tanımlama sistemleriyle yapılmasının, kanunlarda açıkça öngörülme şartına dayandırılamayacağı ifade edildi. KVKK, mevcut durumda biyometrik veri işleme faaliyetinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun özel nitelikli kişisel verilere ilişkin hükümleri kapsamında hukuka uygun bir dayanağa sahip olmadığını değerlendirdi.
Kararda, mesai takibinin biyometrik sistemler yerine daha az müdahaleci yöntemlerle yapılması gerektiği belirtildi. Bu kapsamda şifreli kart veya PIN tabanlı sistemler, geleneksel imza, kâğıt bazlı devam çizelgeleri, RFID ya da NFC kimlik kartları ve denetçi gözetiminde elle giriş gibi yöntemler alternatif olarak gösterildi.
KVKK, veri sorumlusu konumundaki işverenlerin kişisel verilerin hukuka uygun işlenmesini sağlamak için gerekli idari ve teknik tedbirleri almakla yükümlü olduğunu hatırlattı. Karara uygun hareket edilmediğinin tespit edilmesi halinde ilgili veri sorumluları hakkında 6698 sayılı Kanun’un yaptırım hükümleri kapsamında işlem yapılabileceği bildirildi.
Yeni ilke kararı, mesai kontrolünde biyometrik sistem kullanan iş yerleri açısından uygulamaların gözden geçirilmesini zorunlu hale getirdi. İşverenlerin, çalışanların devam takibini yaparken kişisel verilerin korunması hukukuna uygun, ölçülü ve daha az müdahaleci yöntemlere yönelmesi gerekecek.
Karar, milyonlarca çalışanı ilgilendirirken, iş yerlerinde kullanılan parmak izi ve yüz tanıma sistemlerinin mesai takibi amacıyla kullanılmasının önüne geçti. Böylece çalışanların özel nitelikli kişisel verilerinin korunmasına yönelik sınırlar daha açık hale getirildi.