Kişisel Verileri Koruma Kurulu’nun 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 2 Haziran 2026 tarihli Resmi Gazete’de yayımlandı. Kararda, son yıllarda işyerlerinde yaygınlaşan parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik sistemlerin çalışan devam kontrolü amacıyla kullanılmasının kişisel verilerin korunması açısından ciddi riskler taşıdığı belirtildi.
KVKK, biyometrik verilerin 6698 sayılı Kanun kapsamında “özel nitelikli kişisel veri” olduğunu hatırlatarak, bu verilerin ele geçirilmesi halinde değiştirilememesi ve geri alınamaması nedeniyle yüksek hassasiyet taşıdığına dikkat çekti. Kurul, işverenlerin çalışma sürelerini takip etme yükümlülüğü bulunsa da mevcut mevzuatta mesai takibinin biyometrik veri işlenerek yapılmasını zorunlu kılan açık bir düzenleme bulunmadığını vurguladı.
Kararda özellikle işçi ve işveren arasındaki güç dengesizliğine işaret edildi. Çalışanın biyometrik veri vermeyi reddetmesi veya verdiği rızayı geri çekmesi halinde olumsuz sonuçlarla karşılaşabileceği endişesinin, “açık rızanın özgür iradeye dayanıp dayanmadığı” konusunda ciddi tereddüt oluşturduğu ifade edildi. Bu nedenle yalnızca çalışanın rızasının alınmasının yeterli hukuki dayanak oluşturmadığı belirtildi.
Kurul ayrıca, açık rıza verilmiş olsa bile mesai takibi amacıyla biyometrik veri işlenmesinin “ölçülülük”, “gereklilik” ve “veri minimizasyonu” ilkeleriyle bağdaşmayabileceğini kaydetti. Kararda, işyerlerinde mesai takibi için şifreli kart sistemleri, PIN kodları, geleneksel imza çizelgeleri, RFID/NFC kimlik kartları ve denetçi gözetiminde giriş-çıkış kayıtları gibi daha az müdahaleci yöntemlerin öncelikli olarak değerlendirilmesi gerektiği belirtildi.
KVKK’nın yayımladığı ilke kararı, Türkiye’de uzun yıllardır kullanılan parmak izi ve yüz tanıma tabanlı personel takip sistemlerine yönelik en net uyarılardan biri olarak değerlendirilirken, işverenlerin mevcut uygulamalarını yeniden gözden geçirmesini zorunlu hale getirebilecek bir düzenleme niteliği taşıyor. Kurul, belirlenen ilkelere aykırı uygulamalar tespit edilmesi halinde veri sorumluları hakkında KVKK kapsamında idari işlem uygulanabileceğini de duyurdu.
