KVKK: Mesai takibi amacıyla biyometrik veri işlenmesi hukuka aykırı

Kişisel Verileri Koruma Kurulu (KVKK), mesai takibi amacıyla biyometrik veri işlenmesine ilişkin ilke kararını Resmi Gazete'de yayımladı. 29 Nisan 2026 tarihli ve 2026/921 sayılı karar, çalışan devam takibini dijitalleştirme ve güvenliği artırma amacıyla kurum ve kuruluşların giderek artan ölçüde biyometrik tanımlama sistemlerine yönelmesi üzerine alındı.Kararda, parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerinin hızlı ve manipülasyona dirençli özellikleriyle cazip görünse de kişisel verilerin korunması hukuku açısından son derece hassas bir alan oluşturduğu belirtildi. Kanun'un 6'ncı maddesi uyarınca biyometrik verilerin de aralarında yer aldığı özel nitelikli kişisel verilerin işlenmesinin kural olarak yasak olduğu; ancak açık rızanın bulunması veya kanunlarda açıkça öngörülmesi gibi maddede sayılan şartlardan birinin varlığı halinde işlenmesinin mümkün olduğu hatırlatıldı. Kurul, biyometrik verilerin hassas nitelikte ve geri döndürülemez bir yapıya sahip olması nedeniyle, bu verilerin işlenmesinin yalnızca hukuki sebebe değil, aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerektiğini vurguladı.Kararda, mevzuatta işverenin çalışma sürelerini takip etmesi ve belgelemesine ilişkin hukuki çerçeve bulunmakla birlikte, takibin biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme bulunmadığı belirtildi. Bu nedenle mesai takibi amacıyla biyometrik veri işlenmesinde, açık rıza dışındaki işleme şartlarının uygulama alanı bulamadığı ifade edildi. İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle açık rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddüt bulunduğunu belirten Kurul, rızanın geri alınmasının biyometrik sistemlerin sürekliliğini zedeleyeceğini, bu nedenle açık rızanın tek başına yeterli bir hukuki zemin oluşturmayacağını kaydetti. Kararda, şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerin varlığının, biyometrik veri işlemenin zorunlu olmadığını açıkça ortaya koyduğu ifade edildi. Mesai takibinin sınırlı bir idari amaç olduğu ve bu denli yoğun bir veri işleme müdahalesini haklı kılmakta çoğu durumda yetersiz kaldığı belirtildi. Anayasa Mahkemesi ve Danıştay kararlarına da atıf yapılan ilke kararında, mesai ta kibi amacıyla biyometrik veri işlenmesinin, geçerli bir açık rıza bulunsa dahi Kanun'un 4'üncü maddesinde yer alan genel ilkeler kapsamında ölçülülük kriterini sağlamayacağı değerlendirildi. Kurul, belirtilen hususlara uygun hareket edilmediğinin tespiti halinde ilgili veri sorumluları hakkında Kanun'un 18'inci maddesi hükümleri gereği işlem tesis edileceğini bildirdi.