Kişisel Verileri Koruma Kurulu, mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik verilerin kullanılmasına ilişkin önemli bir ilke kararına imza attı. 2 Haziran 2026 tarihli Resmi Gazete’de yayımlanan 2026/921 sayılı karara göre, çalışanların biyometrik verileriyle mesai takibi yapılması hukuka aykırı kabul edildi.
Parmak izi ve yüz tanımayla mesai takibine sınır
KVKK’nın 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 2 Haziran 2026 tarihli ve 33268 sayılı Resmi Gazete’de yayımlandı. Karar, yalnızca özel sektör işyerlerini değil, kamu kurum ve kuruluşlarını da ilgilendiriyor.
Kurul kararında, çalışan devam takibinin dijitalleştirilmesi ve güvenliğin artırılması gerekçesiyle kullanılan biyometrik tanımlama sistemlerinin kişisel verilerin korunması açısından ciddi riskler barındırdığı belirtildi.
Çalışanın rızası tek başına yeterli görülmedi
İşverenlerin, parmak izi veya yüz tanıma gibi sistemleri çalışanların açık rızasına dayandırarak kullanmaya çalıştığına dikkat çekildi. Ancak KVKK, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle bu rızanın özgür iradeye dayanıp dayanmadığının tartışmalı olduğunu değerlendirdi.
Kararda, çalışanın biyometrik veri vermeyi reddetmesi veya verdiği rızayı geri çekmesi halinde olumsuz sonuçlarla karşılaşabileceği endişesinin açık rızayı geçersiz hale getirebileceği ifade edildi. Bu nedenle yalnızca çalışanın rızasının alınması, biyometrik mesai takibi için yeterli hukuki dayanak olarak kabul edilmedi.
AYM kararı da hatırlatıldı
KVKK kararında, bir belediyede görev yapan devlet memurunun parmak izi sistemiyle mesai takibine itirazı üzerine Anayasa Mahkemesi tarafından verilen karar da hatırlatıldı.
Anayasa Mahkemesi, 657 sayılı Devlet Memurları Kanunu ve 5393 sayılı Belediye Kanunu’nda mesai takibi amacıyla biyometrik veri işlenmesine ilişkin temel esasları belirleyen açık bir düzenleme bulunmadığı gerekçesiyle kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermişti.
KVKK’nın ilke kararı, bu yaklaşımı idari düzeyde de güçlendiren bir karar olarak değerlendiriliyor.
Ölçülülük ilkesi öne çıktı
Kurul, mesai takibi amacıyla biyometrik veri kullanılmasını ölçülülük ilkesi bakımından da değerlendirdi. Kararda, mesai takibi için daha az müdahaleci yöntemlerin bulunduğu vurgulandı.
Şifreli kart, PIN tabanlı giriş sistemleri, RFID veya NFC kartlar, geleneksel imza çizelgeleri, kağıt bazlı devam takip formları ve denetçi gözetiminde manuel giriş gibi yöntemlerin mümkün olduğu belirtildi.
Bu alternatiflerin varlığı nedeniyle biyometrik veri işlemenin zorunlu olmadığı, dolayısıyla ölçülülük şartının karşılanmadığı sonucuna ulaşıldı.
Biyometrik veri özel nitelikli kişisel veri sayılıyor
Parmak izi, yüz tanıma, iris ve retina taraması gibi veriler biyometrik veri kapsamında değerlendiriliyor. Bu veriler, kişiyi benzersiz biçimde tanımlayabilmesi nedeniyle özel nitelikli kişisel veri olarak kabul ediliyor.
Bu nedenle biyometrik verilerin işlenmesi, sıradan kişisel verilere kıyasla daha sıkı şartlara bağlı bulunuyor. KVKK, mesai takibi gibi daha basit yöntemlerle sağlanabilecek bir amaç için bu ölçüde hassas verilerin işlenmesini hukuka uygun bulmadı.
Kurallara uymayanlara yaptırım uygulanacak
KVKK, ilke kararına aykırı davranan veri sorumlularının 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi kapsamında yaptırımla karşılaşabileceğini duyurdu.
Bu kapsamda kamu kurumları ve özel sektör işverenlerinin, mesai takip sistemlerini karara uygun hale getirmesi gerekecek.
Danıştay içtihadı da kararla uyumlu
Daha önce Danıştay 12. Dairesi de avuç içi damar okuyucu sistemine ilişkin bir davada biyometrik veri işlemenin ölçülülük ilkesiyle bağdaşmadığı yönünde karar vermişti.
KVKK’nın yeni ilke kararı, yargı kararlarında öne çıkan kanunilik, açık rıza ve ölçülülük değerlendirmelerini idari düzeyde de açık hale getirmiş oldu.
İşyerlerinde mesai takip sistemleri değişebilir
Kararla birlikte işyerlerinde kullanılan parmak izi, yüz tanıma, iris taraması ve benzeri biyometrik sistemlerin mesai takibi amacıyla kullanılması hukuki risk oluşturacak.
İşverenlerin, çalışan devam kontrolü için daha az müdahaleci yöntemlere yönelmesi bekleniyor. Kartlı geçiş, şifreli sistemler veya imza çizelgeleri gibi alternatiflerin tercih edilmesi gündeme gelebilir.