KVKK’dan Mesai Takibinde Biyometrik Veri Kullanımına İlişkin İlke Kararı

Kişisel Verileri Koruma Kurulu (“Kurul”), 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanan “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” (“İlke Kararı”) ile, iş yerlerinde mesai takibi amacıyla kullanılan biyometrik tanıma sistemlerine ilişkin yaklaşımını ortaya koydu.

Son yıllarda çalışan devam takibinde parmak izi, yüz tanıma ve benzeri biyometrik sistemlerin kullanımının yaygınlaşması karşısında Kurul, bu uygulamaların yalnızca veri işleme şartları bakımından değil; aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkeleri çerçevesinde de değerlendirilmesi gerektiğini vurguluyor.

Biyometrik Veriler İçin Daha Yüksek Koruma Standardı

İlke Kararı, çalışanların işe giriş-çıkış saatlerinin takip edilmesi amacıyla kullanılan biyometrik sistemlere odaklanıyor. Kurul, biyometrik verilerin özel nitelikli kişisel veri niteliğinde olduğunu ve geri döndürülemez özellikleri nedeniyle diğer birçok kişisel veri kategorisine kıyasla daha yüksek koruma gerektirdiğini hatırlatıyor.

Bu kapsamda parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik sistemlerin kullanımının, veri koruma mevzuatı bakımından ayrı bir değerlendirmeye tabi tutulması gerektiği belirtiliyor.

Açık Rıza Her Zaman Yeterli Olmayabilir

Kararda dikkat çeken hususlardan biri de çalışanlardan alınan açık rızanın tek başına yeterli bir hukuki dayanak oluşturmayabileceğine ilişkin değerlendirme.

Kurul, işçi-işveren ilişkisinin doğası gereği taraflar arasında tam anlamıyla eşit bir konum bulunmadığını ve çalışanların açık rızalarının her durumda özgür iradeye dayandığının kabul edilemeyebileceğini ifade ediyor. Bu nedenle, biyometrik veri işleme faaliyetinin yalnızca açık rızaya dayanmasının uygulamada önemli tartışmalar doğurabileceğine işaret ediliyor.

Ölçülülük ve Alternatif Yöntemler Vurgusu

İlke Kararı’nın en önemli mesajlarından biri ise ölçülülük ilkesi bakımından yapılan değerlendirme.

Kurul, mesai takibi amacının şifre kartı, personel kartı, PIN sistemi, RFID/NFC tabanlı çözümler veya imza çizelgeleri gibi daha az müdahaleci yöntemlerle de gerçekleştirilebildiğine dikkat çekiyor. Bu nedenle biyometrik veri kullanımının, aynı sonuca daha az müdahaleci yöntemlerle ulaşılabildiği durumlarda ölçülülük kriterini karşılamayabileceği belirtiliyor.

İşverenler Açısından Ne Anlama Geliyor?

İlke Kararı, mesai takibi amacıyla kullanılan biyometrik sistemlerin veri koruma mevzuatı bakımından daha yakından inceleneceğinin önemli bir göstergesi niteliğinde.

Bu çerçevede işverenlerin;

• Mesai takibi süreçlerinde biyometrik veri kullanımının gerçekten gerekli olup olmadığını yeniden değerlendirmesi,
• Aynı amaca ulaşabilecek alternatif yöntemlerin bulunup bulunmadığını analiz etmesi,
• Kullanılan sistemlerin hukuki dayanaklarını ve veri işleme süreçlerini gözden geçirmesi,
• Özel nitelikli kişisel verilere ilişkin teknik ve idari tedbirlerini yeniden değerlendirmesi,

gerekli olacaktır.

Kurul tarafından ortaya konulan yaklaşım, iş yerlerinde biyometrik sistemlerin kullanımını tamamen yasaklamaktan ziyade, bu tür uygulamaların gereklilik ve ölçülülük kriterleri çerçevesinde daha sıkı bir değerlendirmeye tabi tutulacağını gösteriyor.