Kurul, çalışanların açık rızası bulunsa dahi bu yöntemlerin ölçülülük ilkesine aykırı olabileceğini belirterek kartlı geçiş, PIN sistemi ve imza çizelgesi gibi alternatif uygulamaların tercih edilmesi gerektiğini açıkladı.
KVKK’dan Mesai Takibinde Biyometrik Veri Kullanımına İlişkin Yeni İlke Kararı
Kişisel Verileri Koruma Kurulu (KVKK), Resmi Gazete’de yayımlanan 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı ile çalışanların mesai ve devam kontrolünde biyometrik veri kullanımına ilişkin önemli değerlendirmelerde bulundu.
Kurul tarafından yapılan açıklamada, kurum ve kuruluşların son yıllarda çalışan devam takibini dijitalleştirmek amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerine yöneldiği belirtildi. Ancak bu uygulamaların kişisel verilerin korunması açısından ciddi hukuki riskler taşıdığı vurgulandı.
Açık Rıza Tek Başına Yeterli Görülmedi
KVKK, işçi ile işveren arasındaki güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın her zaman özgür iradeye dayanıp dayanmadığının tartışmalı olduğunu ifade etti.
Kurul değerlendirmesinde, çalışanın rıza vermemesi veya verdiği rızayı geri çekmesi halinde olumsuz sonuçlarla karşılaşabileceği durumlarda açık rızanın geçerli bir hukuki dayanak olarak kabul edilmesinin güç olduğu belirtildi.
Kanunlarda Biyometrik Takibi Zorunlu Kılan Düzenleme Bulunmuyor
Kararda, işverenlerin çalışma sürelerini takip etme yükümlülüğünün mevzuatta yer aldığı ancak bu takibin biyometrik veri işlenmesi yoluyla yapılmasını zorunlu kılan açık bir yasal düzenlemenin bulunmadığına dikkat çekildi.
Bu nedenle mesai takibinin biyometrik veriler kullanılarak gerçekleştirilmesinin, kanunlarda açıkça öngörülme şartına dayandırılamayacağı ifade edildi.
Ölçülülük İlkesi Ön Plana Çıktı
KVKK, kişisel veri işleme faaliyetlerinde ölçülülük ilkesinin temel kriterlerden biri olduğunu vurgulayarak, aynı amaca ulaşılabilecek daha az müdahaleci yöntemlerin bulunması halinde biyometrik veri kullanımının hukuka uygun kabul edilemeyeceğini belirtti.
Kurul, çalışanların açık rızası bulunsa bile mesai takibi amacıyla biyometrik veri işlenmesinin, Kişisel Verilerin Korunması Kanunu’nun genel ilkeleri kapsamında ölçülülük şartını karşılamadığı değerlendirmesinde bulundu.
Alternatif Sistemler Önerildi
İlke kararında, çalışanların giriş-çıkış ve devam kontrollerinin aşağıdaki yöntemlerle gerçekleştirilebileceği belirtildi:
Şifreli kart sistemleri,
PIN tabanlı giriş uygulamaları,
RFID ve NFC özellikli kimlik kartları,
Geleneksel imza föyleri ve devam çizelgeleri,
Denetçi gözetiminde manuel giriş kayıtları.
Kurallara Uymayan İşverenler Hakkında İşlem Yapılabilecek
KVKK, söz konusu hususların veri sorumlularının almakla yükümlü olduğu idari ve teknik tedbirler kapsamında değerlendirildiğini bildirdi.
Kurul, biyometrik veri işleme faaliyetlerinin hukuka uygun şekilde yürütülmediğinin tespit edilmesi halinde veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18’inci maddesi kapsamında idari yaptırımlar uygulanabileceğini duyurdu.
Yeni ilke kararıyla birlikte işverenlerin mesai takip sistemlerini gözden geçirmesi ve biyometrik veri kullanımına ilişkin uygulamalarını KVKK'nın belirlediği çerçeveye uygun hale getirmesi bekleniyor.
