KVK Kurulu’ndan Mesai Takibinde Biyometrik Veri Kullanımına İlişkin Önemli İlke Kararı
Kişisel Verileri Koruma Kurulu (KVK Kurulu), çalışanların mesai takibinde biyometrik veri kullanılmasına ilişkin önemli bir ilke kararı yayımladı. 29 Nisan 2026 tarihli ve 2026/921 sayılı karar, işverenler tarafından yaygın olarak kullanılan parmak izi, yüz tanıma ve benzeri biyometrik sistemlerin hukuki değerlendirmesine açıklık getiriyor.
Son yıllarda işyerlerinde personel devam kontrolünün sağlanması amacıyla biyometrik doğrulama sistemlerinin kullanımı giderek yaygınlaşmaktadır. Ancak biyometrik veriler, kişilerin fiziksel özelliklerinden elde edilen ve özel nitelikli kişisel veri olarak kabul edilen hassas bilgiler arasında yer almaktadır.
KVK Kurulu tarafından yayımlanan ilke kararında, çalışanların işe giriş-çıkış saatlerinin takibi amacıyla biyometrik veri işlenmesini zorunlu kılan açık bir yasal düzenleme bulunmadığına dikkat çekildi. Kurul, mevcut uygulamaların yalnızca teknolojik imkânlar veya operasyonel kolaylık gerekçesiyle değerlendirilmemesi gerektiğini vurguladı.
Açık Rıza Tek Başına Yeterli Görülmedi
Kararda özellikle işçi-işveren ilişkisindeki güç dengesizliğine dikkat çekildi. Çalışanlardan alınan açık rızanın her zaman özgür iradeye dayanıp dayanmadığının tartışmalı olabileceği belirtilirken, biyometrik veri işleme faaliyetlerinin yalnızca açık rızaya dayandırılmasının yeterli bir hukuki zemin oluşturmayabileceği ifade edildi.
Kurul ayrıca, açık rıza alınmış olsa bile veri işleme faaliyetlerinin Kanun'da yer alan hukuka uygunluk, gereklilik, veri minimizasyonu ve ölçülülük ilkelerine uygun olması gerektiğini değerlendirdi.
Ölçülülük İlkesi Ön Plana Çıktı
İlke kararında, mesai takibi amacıyla kullanılan yöntemlerin amaçla orantılı olması gerektiği vurgulandı. Aynı sonuca daha az müdahaleci yöntemlerle ulaşılabiliyorsa biyometrik veri kullanımının tercih edilmemesi gerektiği belirtildi.
Bu kapsamda;
· Kartlı geçiş sistemleri,
· PIN veya şifre tabanlı uygulamalar,
· RFID/NFC kimlik kartları,
· İmza çizelgeleri,
· Denetimli giriş kayıtları gibi alternatif yöntemlerin kullanılabileceği ifade edildi.
Veri Sorumlularını Neler Bekliyor?
Kurul kararında yer verilen değerlendirmeler doğrultusunda, veri sorumlularının mevcut personel devam kontrol sistemlerini gözden geçirmeleri önem taşıyor. Biyometrik veri işleme faaliyetlerinin hukuki dayanaklarının, ölçülülük ilkesinin ve alternatif yöntemlerin yeniden değerlendirilmesi gerekiyor.
Kararda ayrıca, belirtilen yükümlülüklere aykırı uygulamaların tespit edilmesi halinde veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında işlem tesis edilebileceği hatırlatıldı.
KVYD Değerlendirmesi
Kişisel Verilerin Yönetimi Derneği (KVYD) olarak, özel nitelikli kişisel verilerin işlenmesinde veri minimizasyonu ve ölçülülük ilkelerinin gözetilmesinin büyük önem taşıdığına inanıyoruz.
KVK Kurulu tarafından yayımlanan bu ilke kararının, hem çalışanların kişisel verilerinin korunmasına katkı sağlayacağı hem de veri sorumlularına uygulamalarını gözden geçirme konusunda önemli bir rehber sunacağı değerlendirilmektedir.
Kamu kurumları, özel sektör kuruluşları ve tüm veri sorumlularının mesai takibi süreçlerinde kullandıkları yöntemleri bu karar ışığında yeniden değerlendirmeleri tavsiye edilmektedir.