Kişisel Verileri Koruma Kurumundan İşyerlerinde Biyometrik Veri ile Mesai Takibine İlişkin Emsal Nitelikte İlke Kararı
Giriş
Kişisel Verileri Koruma Kurulu (“Kurul”), 29/04/2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” ile işyerlerinde çalışanların mesai takibinde kullanılan parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik sistemlere ilişkin önemli değerlendirmelerde bulunmuştur. Karar, 2 Haziran 2026 tarihli Resmi Gazete’de yayımlanmış olup işverenlerin personel devam kontrol sistemlerini doğrudan etkileyecek niteliktedir.
Biyometrik Veriler Neden Özel Koruma Altında?
6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında biyometrik veriler, özel nitelikli kişisel veri olarak kabul edilmektedir. Parmak izi, yüz görüntüsü, iris ve retina verileri gibi kişiyi benzersiz şekilde tanımlamaya yarayan verilerin ele geçirilmesi halinde değiştirilmesi veya geri alınması mümkün olmadığından, bu verilerin işlenmesi sıkı şartlara bağlanmıştır.
Kurul, biyometrik verilerin niteliği gereği veri güvenliği ve temel haklar bakımından yüksek risk taşıdığını, bu nedenle veri işleme faaliyetlerinin yalnızca hukuki bir sebebe değil, aynı zamanda ölçülülük ve gereklilik ilkelerine de dayanması gerektiği vurgulanmıştır.
Kararın Temel Tespiti: Mesai Takibi İçin Açık Kanuni Dayanak Bulunmuyor
İlke kararında, işverenlerin çalışanların çalışma sürelerini takip etme ve kayıt altına alma yükümlülüğünün bulunduğunu kabul edilmekte birlikte, Türk hukukunda bu yükümlülüğün biyometrik sistemler aracılığıyla yerine getirilmesini zorunlu veya açıkça mümkün kılan bir düzenlemenin bulunmadığı belirtilmiştir.
Başka bir ifadeyle, çalışma sürelerinin kayıt altına alınması kanunen zorunlu olsa da bu sonuca ulaşmak için parmak izi veya yüz tanıma sistemi kullanılması zorunlu değildir. Kurul tarafından, mesai takibinin farklı yöntemlerle, objektif değerlendirmeyle tespit edilebilecek nitelikte ve ölçülü şekilde gerçekleştirilebileceğini ifade edilmiştir.
Çalışanın Açık Rızasının Alınması Tek Başına Yeterli Sayılmamıştır
Kararın en dikkat çekici yönlerinden birisi de işverenlerin sıklıkla dayandığı “açık rıza” kavramının hukuki sebebine ilişkin değerlendirmedir.
Kurul kararında; işçi-işveren ilişkisinde taraflar arasında doğal bir güç dengesizliği bulunduğu, çalışanın rıza vermemesi veya verdiği rızayı geri çekmesi halinde olumsuz sonuçlarla karşılaşabileceği endişesi taşıyabileceği belirtilmiştir. Ezcümle, çalışanlardan alınan açık rızanın her zaman özgür iradeye dayanıp dayanmadığının ve dahi açık rızanın iş ilişkisi süresince devam edip etmediğinin tartışmalı olduğu ifade edilmiştir.
Bu yaklaşım doğrultusunda Kurul, çalışanın açık rızası bulunsa dahi biyometrik veri işleme faaliyetinin otomatik olarak hukuka uygun hale gelmeyeceğini; ayrıca Kurul’un genel ilkelerine uygunluk denetiminden geçmesi gerektiğini ortaya koymuştur.
Ölçülülük İlkesi ve Alternatif Sistemler
Kurul kararında özellikle ölçülülük ilkesi üzerinde durmuştur. Buna göre veri işleme yöntemi, ulaşılmak istenen amaç bakımından gerekli ve en az müdahaleci yöntem olmalıdır.
Mesai takibinin sağlanabilmesi için;
· Personel kartı sistemleri,
· PIN veya şifre uygulamaları,
· RFID/NFC kimlik kartları,
· Elektronik giriş-çıkış kayıtları,
· İmza çizelgeleri
gibi alternatif yöntemlerin kullanılabileceği belirtilmiştir. Bu alternatiflerin varlığı karşısında biyometrik veri işlenmesinin işverenlerin faaliyet alanları da değerlendirilmek suretiyle birçok durumda zorunlu ve ölçülü kabul edilemeyeceği değerlendirilmiştir.
Kurul, yalnızca mesai takibi amacıyla biyometrik veri kullanımının Kurul’un “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesini ihlal edebileceğine işaret etmiştir.
Anayasa Mahkemesi ve Danıştay İçtihatlarıyla Paralel Yaklaşım
Kurul kararında, Anayasa Mahkemesi’nin 2018/11988 numaralı başvuru hakkında 10/03/2022 tarihinde vermiş olduğu parmak izi sistemiyle mesai takibi yapılmasına ilişkin bireysel başvuru kararına da atıf yapılmıştır. Anayasa Mahkemesi, kamu kurumunda çalışan personelin parmak izi sistemiyle takip edilmesini, yeterli kanuni dayanak bulunmaması nedeniyle kişisel verilerin korunmasını isteme hakkının ihlali olarak değerlendirmiştir.
Benzer şekilde Danıştay tarafından verilen kararlarda da biyometrik verilerle mesai takibinde, veri işlemenin ölçülülük ilkesi çerçevesinde amaç ve elde edilen menfaat dengesinde gerekli olup olmadığının ve aynı sonucun daha hafif müdahalelerle elde edilip edilemeyeceğinin incelenmesi gerektiğini belirtmiştir.
Sonuç ve İşverenler İçin Aksiyon Önerileri
Kurul’un bu ilke kararı, işyerlerinde sadece mesai takibi amacıyla parmak izi, yüz tanıma veya iris taraması gibi biyometrik yöntemlerin kullanılmasını neredeyse imkânsız hale getirmektedir. Kurul; mevzuatta bu konuda açık bir kanuni zorunluluk bulunmadığını ve işçi-işveren arasındaki iş ilişkisinin eşit olmayanlar arası kurulan sözleşmesel ilişki olarak nitelendirilmesi nedeniyle alınan "açık rızanın" tek başına bu veri işleme faaliyetini hukuka uygun kılmayacağını, aynı zamanda devam eden iş ilişkisi süresince açık rızanın devam edip etmediği hususundaki iradenin hür bir şekilde beyan edilemeyeceğini net bir şekilde ortaya koymuştur.
Kurul tarafından dikkate alınan bir diğer husus ise taraflarca kurulan iş ilişkisinin ve işin devamı için mesai takibinin parmak izi, yüz tanıma veya iris taraması gibi biyometrik yöntemlerin kullanılmasını gerektirir bir hususun bulunup bulunmadığının mutlak suretle denetlenmesi gerektiği hususu olmuştur. Nitekim, şifreli kartlar veya imza çizelgeleri gibi işin devamını ve işyerinin düzenini sağlamak konusunda yeterli ancak işçilerin kişisel verilerine daha az müdahaleci alternatiflerle aynı amaca ulaşılabiliyorken biyometrik veri işlenmesi, Kurul’un temel direği olan “ölçülülük” ilkesinin açık bir ihlali olarak kabul edilmektedir.
Bu doğrultuda, yüksek idari para cezaları ve hukuki yaptırımlarla karşılaşmamak adına işverenlerin şu adımları atması önerilmektedir:
· Mevcut Sistemlerin Analizi: İşyerinde halihazırda kullanılan tüm Personel Devam Kontrol Sistemleri (PDKS) gözden geçirilmeli; çalışanların biyometrik verilerini işleyen sistemler haritalandırılmalıdır.
· Alternatif Sistemlere Geçiş: Biyometrik veri tabanlı mesai takip sistemleri en kısa sürede devre dışı bırakılmalı; yerlerine personel kartı, PIN/şifre veya RFID/NFC gibi KVKK ve Kurul kararı ile uyumlu alternatif yöntemler entegre edilmelidir.
· Verilerin Güvenli İmhası: Mevcut biyometrik sistemlerin kapatılmasının ardından, bugüne kadar toplanmış ve sistemlerde/sunucularda depolanmış olan tüm biyometrik veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak güvenli ve geri döndürülemeyecek şekilde silinmeli veya yok edilmelidir.
· Aydınlatma Metinlerinin Güncellenmesi: Mesai takip yönteminin değişmesiyle birlikte, şirket bünyesindeki çalışan aydınlatma metinleri ve veri envanterleri güncel ilke kararı uyarınca uzman hukukçular tarafından revize edilmelidir.
· İş Sözleşmeleri ve İç Yönetmeliklerin Güncellenmesi: İşyerinde mesai takip yöntemine dair Kurul kararı uyarınca yapılacak değişikliklerle birlikte işçilere tebliğ edilen iç yönetmelikler ile iş sözleşmelerinde yer alan düzenlemelerin de mutlak suretle değerlendirilmesi ve olası ve revizelerin 4857 Sayılı İş Kanunu ve sair mevzuatlar kapsamında gerçekleştirilmesi gerekmektedir.
Ezcümle, ilgili yazımızda incelenen Kurul kararında vurgulanan Kurul’un “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi uyarınca mesai takibinin tüm sektörlerde faaliyet gösteren işverenler yönünden bir değişikliğe ihtiyaç doğurup doğurmayacağı, işverenlerin tüm çalışma faaliyetleri yönünden mesai takip yönteminde değişikliğe gidilmesi gerekip gerekmeyeceği, işin gereklilikleri ve ticari sır kapsamında farklı departmanlara mensup ve görev tanımlarına sahip çalışanlar yönünden farklı mesai takip sistemlerinin uygulanmasına gerek duyulup duyulmayacağı, ilke kararının tüm sektörler ve işverenlerin tüm çalışanları yönünden mesai takip sisteminde değişikliği zorunlu kılıp kılmayacağı ile söz konusu değişikliğin 4857 sayılı İş Kanunu uyarınca işverenin eşit davranma yükümlülüğü kapsamında ne şekilde değerlendirileceği tartışmaya ve hukuki değerlendirmeye matuf konular olarak gündeme gelecektir.
Asist Hukuk Bürosu
