Kişisel Verileri Koruma Kurulu’nun Mesai Takibi Amacıyla Biyometrik Veri İşlenmesine İlişkin İlke Kararı Hakkında Bilgi Bülteni
- Giriş
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanan 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı (“İlke Kararı”) ile işverenler tarafından çalışanların mesai takibi amacıyla parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik tanımlama sistemleri kullanılarak biyometrik veri işleme faaliyetlerinin hukuka uygunluğu değerlendirilmiştir.
Bu bülten, söz konusu İlke Kararı’nın getirdiği temel değerlendirmeleri, işverenler ve veri sorumluları bakımından doğurabileceği yükümlülükleri ve uygulamaya etkilerini özetlemek amacıyla hazırlanmıştır.
- İlke Kararı’nın Amacı ile Kurul’un Değerlendirmeleri
Biyometrik tanımlama sistemleri hızlı, doğru ve manipülasyona dirençli yöntemler olarak görülmekle birlikte; parmak izi, yüz tanıma, iris ve retina taraması gibi veriler özel nitelikli kişisel veri niteliğinde olduğundan, bu verilerin işlenmesi kişisel verilerin korunması hukuku bakımından oldukça hassas bir alan oluşturmaktadır.
Kurul tarafından İlke Kararı’nda özellikle aşağıdaki hususlar vurgulanmıştır:
- İşverenlerin çalışma sürelerini takip etmesine ve belgelemesine ilişkin yasal yükümlülükleri bulunmakla birlikte, mesai takibinin biyometrik veriler aracılığıyla yapılmasını açıkça öngören bir kanuni düzenleme bulunmamaktadır.
- Çalışanlardan alınan açık rızanın her durumda özgür iradeye dayandığının kabul edilmesi mümkün değildir.
- Çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin şekilde sunulmaması ya da rıza göstermemenin çalışan açısından olumsuz sonuçlar doğurabilecek olması halinde, açık rızanın geçerliliği tartışmalıdır.
- Biyometrik veri işleme faaliyetinin yalnızca açık rızaya dayandırılması, kural olarak yeterli bir hukuki zemin oluşturmamaktadır.
- Geçerli bir açık rıza bulunsa dahi, mesai takibi amacıyla biyometrik veri işlenmesi, alternatif ve daha az müdahaleci yöntemler mevcut olduğu sürece ölçülülük ilkesine aykırı kabul edilebilecektir.
Kurul bu kapsamda, mesai takibi amacıyla biyometrik veri işlenmesinin; amaca uygunluk, alternatif yöntemlerin bulunup bulunmadığı ve müdahalenin ölçülülüğü bakımından ayrıca değerlendirilmesi gerektiğini belirtmiştir.
Bu doğrultuda, mesai takibi için biyometrik tanımlama sistemleri yerine;
- şifreli kart veya PIN tabanlı sistemler,
- RFID/NFC kimlik kartları,
- geleneksel imza ve kâğıt bazlı devam çizelgeleri,
- denetçi gözetiminde elle giriş gibi yöntemlerin tercih edilmesi gerektiği ifade edilmiştir.
- Sonuç ve Yaptırımlar
Kurul, mesai takibi amacıyla biyometrik veri işlenmesinin, Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) yer alan[1] özel nitelikli kişisel veri işleme şartlarından herhangi birine dayanmadığı; geçerli bir açık rıza bulunsa dahi, söz konusu işleme faaliyetinin Kanun’da düzenlenen[2] ölçülülük ilkesini karşılamayacağı sonucuna varmıştır.
Bu nedenle, çalışanların mesai takibinin parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik tanımlama sistemleriyle yapılması hukuka aykırılık teşkil edebilecektir.
Kurul ayrıca, İlke Kararı’nda belirtilen hususların Kanun[3] kapsamında veri sorumluları tarafından alınması gereken idari ve teknik tedbirlerden olduğunu belirtmiştir. Buna aykırı hareket edildiğinin tespiti halinde, ilgili veri sorumluları hakkında Kanun uyarınca[4] idari yaptırım uygulanabilecektir.
Bu çerçevede işverenlerin ve veri sorumlularının, mevcut personel devam kontrol sistemlerini gözden geçirmeleri; biyometrik veri kullanımına dayalı uygulamaları sonlandırmaları veya hukuka uygun alternatif yöntemlerle değiştirmeleri önem arz etmektedir.
Saygılarımızla,
Gülaç Hukuk Bürosu