Kişisel Verileri Koruma Kurumu (KVKK), çalışanların mesai takibinde parmak izi, yüz tanıma, iris taraması ve benzeri biyometrik verilerin kullanılmasına ilişkin önemli bir ilke kararı yayımladı. Resmî Gazete’de yayımlanan karara göre, işverenlerin çalışma sürelerini takip etme yükümlülüğü bulunmasına rağmen bu takibin biyometrik veri işlenerek yapılması için açık bir yasal dayanak bulunmuyor. Kurul, biyometrik sistemlerin sadece çok sıkı şartlar altında değerlendirebileceğini, alternatif yöntemler varken biyometrik veri kullanımının ölçülülük ilkesine aykırı olabileceğini vurguladı.

29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı’nda, son yıllarda kurum ve kuruluşların çalışan devam kontrol sistemlerinde biyometrik teknolojilere yöneldiğine dikkat çekildi. Parmak izi, yüz tanıma, iris ve retina taraması gibi sistemlerin hızlı ve güvenilir görünmesine rağmen, bu verilerin kişisel verilerin korunması hukuku açısından son derece hassas nitelikte olduğu ifade edildi. Özellikle işçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın her zaman özgür iradeye dayanıp dayanmadığının tartışmalı olduğuna dikkat çekildi.

Kurul kararında biyometrik verilerin niteliğine de ayrıntılı şekilde yer verildi. Parmak izi, retina ve iris verileri gibi fizyolojik özelliklerin yanı sıra ses tonu, imza dinamikleri ve klavye kullanım alışkanlıkları gibi davranışsal verilerin de biyometrik veri kapsamında değerlendirilebildiği belirtildi. Bu verilerin geri döndürülemez özellik taşıdığı, ele geçirilmesi halinde değiştirilmelerinin veya geri alınmalarının mümkün olmadığı için özel koruma gerektirdiği vurgulandı. Kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun özel nitelikli kişisel verilerin işlenmesine ilişkin hükümleri hatırlatıldı. Mesai takibi amacıyla biyometrik veri işlenmesinde uygulamada çoğunlukla açık rıza şartına başvurulduğu belirtilirken, iş ilişkisinin doğası gereği çalışanın rızasının gerçekten özgür iradeye dayanıp dayanmadığı konusunda ciddi tereddütler bulunduğu ifade edildi. Çalışanın rıza vermemesi veya verdiği rızayı geri çekmesi halinde iş yaşamında olumsuz sonuçlarla karşılaşabileceği ihtimalinin, açık rızanın geçerliliğini zayıflattığının altı çizildi.

Kurul, biyometrik verilerin sadece açık rızaya dayanılarak işlenmesinin tek başına yeterli ve sağlam bir hukuki zemin oluşturmadığını değerlendirdi. Özellikle çalışanın rızasını geri almasının sistemin sürdürülebilirliğini etkileyebileceği ve bu sebeple uygulamanın hukuki açıdan sorunlu hale gelebileceği belirtildi. Kararda, İş Kanunu ve ilgili yönetmeliklerde işverenlerin çalışma sürelerini takip etmek ve kayıt altına almakla yükümlü olduğuna işaret edildi. Ancak mevzuatta bu yükümlülüğün biyometrik tanıma sistemleri kullanılarak yerine getirileceğine ilişkin açık bir düzenleme bulunmadığı vurgulandı. Bu nedenle mesai takibinin biyometrik veri işlenmesi yoluyla gerçekleştirilmesinin hukuka aykırılık oluşturabileceği değerlendirildi. 

KVKK, kararında yüksek yargı organlarının daha önce verdiği kararlara da yer verdi. Anayasa Mahkemesi’nin önüne gelen bir başvuruda, belediyede görev yapan bir memurun parmak izi sistemiyle mesai takibine tabi tutulması nedeniyle kişisel verilerinin korunması hakkının ihlal edildiğine hükmedildiği hatırlatıldı. Mahkeme, biyometrik veri temelli takip sistemlerine ilişkin temel esasları belirleyen açık bir yasal düzenleme bulunmadığı gerekçesiyle müdahalenin kanunilik şartını karşılamadığı sonucuna vardı. 

Öte yandan Danıştay’ın da avuç içi damar izi okuyucu sistemiyle yapılan mesai takibine ilişkin bir davada, özel nitelikli kişisel verilerin işlenmesinde “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesinin gözetilmesi gerektiğini vurguladığı belirtildi. Danıştay İdari Dava Daireleri Kurulu’nun da bu yaklaşımı hukuka uygun bulduğu kaydedildi.  Kurulun en dikkat çekici değerlendirmelerinden biri de ölçülülük ilkesi oldu. Kararda, mesai takibinin gerçekleştirilmesi için biyometrik sistemler dışında çok sayıda alternatif bulunduğu ifade edildi. Şifreli kartlar, PIN tabanlı giriş sistemleri, imza föyleri, kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları veya güvenlik görevlisi gözetiminde giriş çıkış kontrolü gibi yöntemlerin kullanılabileceği belirtildi. Bu alternatiflerin varlığı nedeniyle biyometrik veri işlenmesinin zorunlu olduğunun söylenemeyeceği kaydedildi. 

Kurul, veri işleme faaliyetlerinin her durumda hukuka uygunluk, belirli ve meşru amaç, veri minimizasyonu ve ölçülülük ilkelerine uygun yürütülmesi gerektiğini hatırlatarak, biyometrik veri kullanımının ancak gerçekten gerekli ve orantılı olduğu durumlarda değerlendirilebileceğini vurguladı.  Kararın sonunda veri sorumlularının, kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek için gerekli tüm teknik ve idari tedbirleri almakla yükümlü olduğu hatırlatıldı. Kurul, yayımladığı ilke kararıyla işverenleri ve kamu kurumlarını biyometrik veri kullanımında daha dikkatli davranmaya çağırırken, belirlenen ilkelere aykırı uygulamaların tespit edilmesi halinde 6698 sayılı Kanun’un yaptırım hükümlerinin uygulanabileceği mesajını verdi. 

Karar, iş yerlerinde yıllardır yaygın şekilde kullanılan parmak izi ve benzeri biyometrik mesai takip sistemlerine doğrudan bir yasak getirmiyor. Ancak KVKK, bu sistemlerin kullanımının ancak çok sıkı hukuki şartlar altında mümkün olabileceğini ortaya koyarak, işverenlerin biyometrik yöntemler yerine daha az müdahaleci alternatif çözümlere yönelmesi gerektiğine işaret ediyor.