Mesai Takibinde Biyometrik Veri Kullanımına İlişkin KVKK İlke Kararının Değerlendirilmesi
Giriş
02.06.2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile çalışanların devam kontrolü ve mesai takibi amacıyla biyometrik verilerinin işlenmesine ilişkin Kurul yaklaşımı ilke kararı düzeyinde ortaya konulmuştur.
Kurul söz konusu kararı kapsamında; biyometrik verilerin mesai takibinde kullanımına ilişkin hem önceki kararlarında hem de yargı içtihadında uzun zamandır benimsenmiş olan ölçülülük, gereklilik ve veri minimizasyonu odaklı değerlendirmeyi bütüncül ve genel uygulanabilir nitelikte bir çerçeveye kavuşturmaktadır. Nitekim parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerinin özel nitelikli kişisel veri işleme faaliyeti doğurduğu; bu verilerin değiştirilmesi veya geri alınması mümkün olmayan niteliği nedeniyle yüksek risk taşıdığı Kurul ve yargı kararlarında daha önce de vurgulanmıştır.
Temel Değerlendirmeler
Kurul İlke Kararı’nda; parmak izi, retina veya yüz tanıma gibi verilerin “özel nitelikli kişisel veri” olduğunu hatırlatarak, bu verilerin ele geçirilmesi halinde değiştirilemez ve geri alınamaz yapısı nedeniyle yüksek risk barındırdığını vurgulamıştır.
İlke Kararı’nda, işverenlerin çalışma sürelerini takip etme ve belgeleme yönünde mevzuattan kaynaklanan yükümlülükleri bulunduğu kabul edilmekle birlikte, yürürlükteki mevzuatta bu takibin biyometrik veri işlenmesi suretiyle yapılmasını öngören açık bir hüküm bulunmadığı belirtilmiştir. Bu nedenle, mesai takibi amacıyla biyometrik veri işleme faaliyetinin “kanunlarda açıkça öngörülme” hukuki sebebine dayandırılamayacağı değerlendirilmiştir.
Kurul ayrıca, işçi ile işveren arasındaki yapısal güç dengesizliğine dikkat çekerek, istihdam ilişkilerinde açık rızanın özgür iradeye dayanıp dayanmadığının her durumda ayrıca değerlendirilmesi gerektiğini belirtmiştir. Çalışanın rıza göstermemesi veya rızasını geri çekmesi hâlinde olumsuz bir sonuçla karşılaşabileceği yönündeki kaygı, açık rızanın geçerliliğini tartışmalı hâle getirmektedir. Bununla birlikte İlke Kararı’nın asıl vurgusu, yalnızca açık rızanın geçerliliği meselesiyle sınırlı değildir. Kurul, geçerli bir açık rıza bulunduğu varsayımında dahi, mesai takibi gibi bir amaç bakımından biyometrik veri işlenmesinin Kanun’un 4. maddesinde yer alan genel ilkeler, özellikle ölçülülük ilkesi yönünden hukuka uygun kabul edilemeyeceğini ifade etmiştir.
Bu kapsamda Kurul, biyometrik veri işleme faaliyetinin yalnızca bir hukuki sebebe dayanmasının yeterli olmadığını; aynı zamanda işleme faaliyetinin amaçla bağlantılı, sınırlı ve ölçülü olması gerektiğini vurgulamıştır. Mesai takibi amacına, çalışanların özel nitelikli kişisel verilerinin işlenmesini gerektirmeyen daha az müdahaleci yöntemlerle ulaşılmasının mümkün olduğu dikkate alındığında, biyometrik sistemlerin kullanımı veri minimizasyonu ve ölçülülük ilkeleriyle bağdaşmamaktadır.
Bu doğrultuda biyometrik tanımlama sistemleri yerine şifreli kart veya PIN tabanlı sistemler, RFID/NFC kimlik kartları, geleneksel imza ve kâğıt bazlı devam çizelgeleri ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlere başvurulması gerektiği belirtilmiştir. Bu yönüyle karar, işverenlerin mesai takibini sürdürme yükümlülüğünü ortadan kaldırmamakta; ancak bu takibin çalışanların özel nitelikli kişisel verilerini işlemeyen, daha az müdahaleci yöntemlerle gerçekleştirilmesi gerektiğini ortaya koymaktadır..
Sonuç ve Değerlendirme
2026/921 sayılı İlke Kararı, mesai takibinde biyometrik veri kullanımına ilişkin mevcut Kurul ve yargı yaklaşımını teyit eden, bu yaklaşımı genel nitelikli ve bağlayıcı bir çerçeveye taşıyan önemli bir karardır. Kararın temel sonucu, çalışanların parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik verilerinin mesai takibi amacıyla işlenmesinin, açık rıza alınmış olsa dahi kural olarak hukuka uygun kabul edilmeyeceğidir.
Bu nedenle işverenlerin mevcut mesai takip uygulamalarını gözden geçirmesi, biyometrik veri işleyen sistemleri sonlandırması, bu sistemler aracılığıyla daha önce elde edilen verilerin imha süreçlerini ayrıca değerlendirmesi ve mesai takibini daha az müdahaleci alternatif yöntemlerle yürütmesi gerekmektedir. Aksi yöndeki uygulamalar, 6698 sayılı Kanun’un hukuka uygun işleme, ölçülülük, veri minimizasyonu ve veri güvenliğine ilişkin hükümleri kapsamında idari yaptırım riski doğurabilecektir.
Saygılarımızla,
Atabay Hukuk Bürosu