MESAİ TAKİBİ AMACIYLA BİYOMETRİK VERİ İŞLENMESİ HAKKINDA İLKE KARARI RESMİ GAZETE’DE YAYIMLANDI
Kişisel Verileri Koruma Kurul’u (“Kurul”) tarafından Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı (“Karar”) 02/06/2026 tarihli ve 33268 sayılı Resmi Gazete’de yayımlandı. Karada, Mesai takibinde biyometrik veri kullanımının, çoğu durumda Kişisel Verileri Koruma Kanunu’nda (“Kanun”) düzenlenen gereklilik ve ölçülülük ilkeleriyle bağdaşmadığı; bu nedenle işverenlerin öncelikle kartlı geçiş sistemleri, PIN uygulamaları, imza veya benzeri daha az müdahaleci yöntemlere başvurmaları gerektiği belirtilmiştir. Son yıllarda çalışanların mesai takibinde kullanılan parmak izi ve yüz tanıma sistemlerine ilişkin olarak Kurul’a çok sayıda şikâyet ve ihbar ulaşmıştır. Kurul, uygulamada yeknesaklığın sağlanması ve işverenlerin konu hakkında bilgilendirilmesi amacıyla söz konusu ilke kararını yayımlamıştır.
Karara Göre Biyometrik Veri Tanımı
Kararda biyometrik veriler; parmak izi, yüz tanıma verisi, iris ve retina verileri ile avuç içi damar izi gibi kişiyi benzersiz şekilde tanımlamaya yarayan veriler olarak tanımlanmıştır. Bu veriler, diğer kişisel verilerden farklı olarak değiştirilemez niteliktedir. Ayrıca, çalınmaları veya kötüye kullanılmaları hâlinde geri alınmaları ya da yenilenmeleri mümkün olmadığından, kimlik hırsızlığı başta olmak üzere çeşitli ciddi hak ihlallerine ve güvenlik risklerine yol açabilmektedir. Bu nedenle biyometrik veriler, kişisel veriler arasında özel bir koruma gerektiren hassas veri kategorisi olarak değerlendirilmiştir.
Kararda ele alınan en önemli hususlardan biri, işverenin çalışanlardan aldığı açık rızaya dayanarak biyometrik veri işleyip işleyemeyeceği hususu olmuştur. Her ne kadar özel nitelikli kişisel verilerin işlenmesinde açık rıza hukuki dayanaklardan biri olarak kabul edilse de Kurul, işçi ve işveren arasındaki ilişkinin taraflar arasında eşit bir güç dengesi içermediğine dikkat çekmiştir. Çalışanlar işlerini kaybetme endişesi taşıyabilir, işveren karşısında baskı altında hissedebilir veya verdikleri rızayı geri çekmekte güçlük yaşayabilirler. Kurula göre, yalnızca çalışanın onay vermiş olması biyometrik verilerin işlenmesini meşru kılmak için tek başına yeterli bir güvence sağlamamaktadır.
Karara Göre Ölçülülük ve Gereklilik İlkelerinin Uygulanması
Kurulun bu konudaki temel değerlendirmesi, veri işlemenin ölçülülük ve gereklilik ilkelerine uygun olup olması hususudur. Mesai takibinin amacı, çalışanın işe giriş ve çıkış saatlerinin tespit edilmesinden ibarettir. Bu amaca ulaşmak için kartlı geçiş sistemleri, PIN kodları, RFID kartları, imza çizelgeleri veya güvenlik görevlisi kontrolü gibi daha az müdahaleci yöntemlerin kullanılmasının mümkün olduğu durumlarda, doğrudan parmak izi ya da yüz tanıma sistemlerine başvurulması ölçülülük ilkesine aykırı değerlendirilmiştir.
Kurul, kişisel veri işleme faaliyetlerinde “en az müdahale” anlayışının esas alınması gerektiğini vurgulamakta; bu kapsamda öncelikle daha hafif yöntemlerin neden yetersiz kaldığının ortaya konulmasını, ancak bunun mümkün olmadığı hâllerde biyometrik veri işlenmesinin değerlendirilmesini gerekli görmüştür. Başka bir ifadeyle, önce biyometrik sistem kurup sonradan gerekçe üretmek yerine, biyometrik veri kullanımının neden zorunlu olduğunun somut şekilde ortaya konulması gerekmektedir.
Yargı Yaklaşımı
Kurul, değerlendirmelerinde yalnızca Kişisel Verileri Koruma Kanunu hükümlerinden değil, aynı zamanda geçmiş yargı kararlarına da atıfta bulunmuştur. Bu kapsamda özellikle Anayasa Mahkemesi ve Danıştay kararlarında, biyometrik veri kullanımının ancak gerçekten zorunlu ve başka bir yöntemle gerçekleştirilemeyen durumlarda haklı görülebileceği vurgulanmıştır.
Kararda yer verilen örneklerden birinde, bir belediye çalışanının mesai takibinin parmak izi sistemi aracılığıyla yapılması incelenmiş ve bu uygulamanın özel hayatın korunması hakkına müdahale teşkil ettiği sonucuna ulaşılmıştır. İlgili değerlendirmede, mesai takibi amacına daha az müdahaleci yöntemlerle de ulaşılmasının mümkün olduğu, bu nedenle biyometrik veri kullanımının gerekli ve ölçülü olmadığı ifade edilmiştir.
Karara Göre İşverenlerin Dikkat Etmesi Gereken Hususlar
İşverenler açısından bu ilke kararının en önemli sonucu, biyometrik veri kullanımının tamamen yasaklanmaması; ancak belirli şartlar altında hukuka uygun kabul edilebilmesidir.
Bu kapsamda işverenlerin, biyometrik veri işleme faaliyetini gerekçelendirebilmek için bazı temel sorulara tatmin edici cevaplar verebilmeleri gerekmektedir. Öncelikle biyometrik verinin neden gerekli olduğu ve aynı amacın daha az müdahaleci yöntemlerle gerçekleştirilemeyeceği somut olarak ortaya konulmalıdır. Bunun yanı sıra işlenen veri miktarının amaçla sınırlı ve asgari düzeyde tutulup tutulmadığı, çalışanların hak ve özgürlüklerinin yeterli ölçüde korunup korunmadığı ve alınan açık rızanın gerçekten özgür iradeye dayanıp dayanmadığı da değerlendirilmelidir.
Kurulun yaklaşımına göre, bu hususların ikna edici şekilde açıklanamadığı durumlarda biyometrik veriler aracılığıyla gerçekleştirilen mesai takip uygulamalarının Kanun’a aykırı kabul edilmesi mümkündür.
Herhangi bir sorunuz olması halinde, bizimle iletişime geçebilirsiniz.
