KVKK’dan Mesai Takibinde Biyometrik Veri İşlenmesine İlişkin İlke Kararı
Kişisel Verileri Koruma Kurulu (“Kurul”), 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanan 2026/921 sayılı İlke Kararı ile işyerlerinde parmak izi ve benzeri biyometrik verilerle mesai takibi uygulamalarını hukuka aykırı buldu.
Yazar: Stj. Av. Yusuf Ekrem Çelebi
Tarih: 02.06.2026
İşçi-İşveren İlişkisindeki Güç Dengesi ve Açık Rıza
Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında biyometrik veriler, özel nitelikli kişisel veri kategorisinde yer alıyor ve yasa koyucu bu verilere çok daha sıkı bir koruma rejimi uyguluyor. Kurul, biyometrik verilerin ele geçirilmesi halinde değiştirilmesinin veya geri alınmasının imkânsız olduğunu, bu yüzden de kişilerin geri döndürülemez mağduriyetler yaşayabileceğini vurguluyor.
Uygulamada birçok işveren bu sistemleri çalışanların "açık rızasına" dayandırarak işletiyor. Ancak Kurul bu kararında, işçi ve işveren arasında yapısal bir güç dengesizliği olduğunu vurguluyor. Çalışan, rıza göstermediği takdirde olumsuz bir durumla karşılaşma kaygısı taşıyorsa, ortada özgür iradeye dayalı geçerli bir açık rızadan söz edilemeyeceğini savunuyor. Dolayısıyla Kurul, işçi-işveren ilişkisinde sadece açık rızaya dayanarak biyometrik mesai takibi yapılmasını yeterli bir hukuki zemin olarak görmüyor.
Genel İlkeler ve Ölçülülük Kriteri
Kurul, bir veri işleme faaliyetinin hukuka uygun sayılması için ilgili kişinin açık rızası bulunsa dahi KVKK’nın 4. maddesindeki genel ilkelere uygun olması gerektiğini hatırlatıyor. Bu ilkelerin en başında ise "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" kuralı geliyor. Ölçülülük ilkesi, bir amaca ulaşmak için her zaman ilgili kişilerin haklarına en az müdahale eden yöntemin seçilmesini zorunlu kılıyor.
Kurul’a göre mesai takibi, özü itibarıyla sınırlı bir idari amaç taşıyor. Şifreli kartlar, PIN tabanlı sistemler, RFID/NFC özellikli kimlik kartları, geleneksel imza föyleri veya denetçi gözetiminde manuel giriş gibi yöntemleri bu amaca hizmet etmek için yeterli görüyor. Kurul, bu tür daha az müdahaleci alternatiflerin varlığı karşısında, biyometrik veri işlenmesini "aşırı" buluyor. Dolayısıyla Kurul, mesai takibi gibi bir amaç için biyometrik sistemleri devreye sokmayı ölçülülük ilkesinin ihlali olarak kabul ediyor.
Hukuki Dayanak Yokluğu
Mevzuatımızda işverenin çalışma sürelerini belgeleme yükümlülüğü bulunsa da bu takibin biyometrik verilerle yapılmasını açıkça öngören hiçbir kanuni düzenleme yer almıyor. Kanunilik şartı sağlanmadığı için işverenlerin bu sistemleri meşru kılma şansı kalmıyor.
Veri Sorumlularının Uyması Gereken Esaslar
Kurul’un yayımladığı ilke kararı doğrultusunda, veri sorumlusu olan işverenlerin şu esasları dikkate alarak hareket etmesi gerekiyor:
Mesai takibi amacıyla parmak izi, yüz tanıma veya iris tarama gibi biyometrik sistemlerin kullanımına derhal son verilmelidir.
Çalışanların devam kontrolü için şifreli kart, PIN kodu, RFID/NFC kartlar veya imza gibi hak ihlali yaratmayan alternatif ve geleneksel yöntemler kullanılmalıdır.
Şirketlerin veri koruma politikaları bu yeni ilke kararı ışığında güncellenmelidir.
SONUÇ
Kurul’un 2026/921 sayılı İlke Kararı, biyometrik verilerin mesai takibi gibi idari işlemler için kullanılmasını hukuka aykırı buluyor. İşverenlerin bu karara hızlıca uyum sağlaması ve işyerlerindeki biyometrik takip sistemlerini kaldırması idari para cezalarıyla karşılaşmamaları adına kritik bir önem taşıyor.
Yukarıdaki metin bilgilendirme amaçlı olup, hukuki tavsiye niteliğinde değildir.
