İşe giriş-çıkışlarda parmak izi okutmak ya da yüz tanıma sistemi kullanmak artık yalnızca bir teknoloji tercihi olarak değerlendirilmiyor, işverenler açısından ciddi hukuki riskler barındırıyor. Çalışanların mesai takibinde biyometrik veri kullanımına ilişkin önemli sınırlamalar getiren Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı, işverenlere güçlü bir uyarı niteliği taşıyor. Karar, çalışanların biyometrik verilerinin mesai kontrolü amacıyla kullanılmasına ilişkin şimdiye kadarki en açık ve kapsamlı çerçeveyi çiziyor.
Kurulun temel tespiti açık: İşverenlerin çalışma sürelerini takip etme yükümlülüğü bulunmakla birlikte, bu yükümlülüğü biyometrik veri işleyerek yerine getirmelerini zorunlu kılan herhangi bir kanuni düzenleme mevcut değildir. Bu nedenle mesai takibi amacıyla biyometrik veri işlenmesi, kural olarak KVKK’ya aykırılık riski taşımaktadır.
KVKK’dan “kanunilik, açık rızanın geçerliliği ve ölçülülük” vurgusu
Kararın merkezinde üç temel ilke bulunuyor: Kanunilik, açık rızanın geçerliliği ve ölçülülük. Kurul, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın çoğu durumda özgür iradeye dayanmadığını; ayrıca PIN, kartlı geçiş, RFID/NFC kartları veya imza çizelgeleri gibi daha az müdahaleci alternatifler varken biyometrik veri kullanımının ölçülülük ilkesini ihlal ettiğini vurguluyor.
Kurulun yaklaşımı, Anayasa Mahkemesinin parmak iziyle mesai takibini hukuka aykırı bulan kararı ile Danıştay’ın avuç içi damar izi sistemlerine ilişkin kararının uygulamadaki yansıması niteliğinde görünüyor.
Kararın amacının yalnızca çalışan mahremiyetini korumak olmadığı görülüyor. Kurul’un, ‘özel nitelikli kişisel veri’ olan, ele geçirildiğinde değiştirilemeyen ve geri alınamayan biyometrik verilerin yaratacağı kalıcı riskleri önlemeyi hedeflediği anlaşılıyor. Örneğin bir şifre değiştirilebilir; ancak bir kişinin parmak izi veya yüz geometrisi değiştirilemez. Biyometrik veriler bu nedenle KVKK bakımından en yüksek koruma düzeyine sahip veri kategorileri arasında yer alıyor.
Biyometrik verinin işlenmesine KVKK engeli hangi riskleri getirebilir?
Bununla birlikte ilke kararının bazı tartışmaları da beraberinde getirmesi kaçınılmaz olacaktır. Özellikle yüksek güvenlik gerektiren tesislerde, kritik altyapılarda veya personel yerine başkasının giriş yapmasının ciddi risk doğurduğu sektörlerde işverenler, biyometrik doğrulamanın güvenlik ve denetim açısından vazgeçilmez olduğunu ileri sürebilecektir. Bu aşamada Kurul’un mevzubahis kararla güvenlik ihtiyacından ziyade veri minimizasyonu ve ölçülülük ilkelerine öncelik verdiği görülüyor.
İlke kararının uluslararası mukayesesi
Kurulun kararı, biyometrik verilerin işlenmesinde Türkiye’yi Avrupa Birliği çizgisine daha da yaklaştırıyor. GDPR kapsamında biyometrik veriler “özel nitelikli kişisel veri” olarak kabul edilirken, Avrupa veri koruma otoriteleri de işveren-çalışan ilişkisindeki güç dengesizliği nedeniyle çalışan rızasına temkinli yaklaşıyor. Nitekim Avrupa’da birçok veri koruma kurumu, yalnızca mesai takibi amacıyla parmak izi veya yüz tanıma kullanılmasını gereklilik ve ölçülülük ilkeleriyle bağdaşmayan bir uygulama olarak değerlendiriyor. Türkiye’deki ilke kararı da benzer şekilde, aynı sonuca daha az müdahaleci yöntemlerle ulaşılabiliyorsa biyometrik veri kullanımının hukuken haklı gösterilemeyeceği anlayışına dayanıyor.
ABD’de ise tek bir federal veri koruma rejimi bulunmadığından yaklaşım eyaletlere göre değişiyor. Örneğin Illinois’in BIPA yasasına istinaden biyometrik verilerin izinsiz toplanması ve saklanması nedeniyle şirketlere karşı açılan yüksek tutarlı davalarla dikkat çekerken, bazı eyaletlerde işverenler daha geniş hareket alanına sahip olabiliyor. Çin’de son yıllarda yüz tanıma teknolojilerine ilişkin sınırlamalar getirilmiş olsa da, kamu güvenliği ve kamu düzeni gerekçeleriyle biyometrik teknolojilerin kullanım alanı Avrupa ve Türkiye’ye kıyasla daha geniş kalmayı sürdürüyor. Bu yönüyle KVKK’nın son kararı, biyometrik verilerin ancak zorunlu ve istisnai durumlarda işlenebileceği yönündeki Avrupa merkezli veri koruma yaklaşımını açık biçimde benimsediğini gösteriyor.
KVKK kararının artısı eksisi
Kararın en önemli avantajı çalışanların temel hak ve özgürlüklerini güçlendirmesi, veri ihlali risklerini azaltması ve işverenleri daha az müdahaleci yöntemlere yönlendirmesi olacaktır. Buna karşılık, kimlik doğrulama güvenliğinin zayıflayabileceği ve bazı sektörlerde operasyonel maliyetlerin artabileceği yönünde eleştiriler de gündeme gelebilecektir.
Taraflar arasındaki güç dengesizliğinin belirgin olduğu işçi-işveren ilişkisinde, Kurulun yazılı şekilde beyan edilmiş olsa dahi açık rızanın her durumda özgür iradeye dayanmayabileceğini kabul etmesi, veri koruma hukukunun özünü oluşturan bireyin korunması amacına uygun düşmektedir. Bu yaklaşım, hakkaniyet odaklı bir yorum anlayışını yansıtmasının yanı sıra Kurulun gelecekteki uygulama ve düzenlemelerine ilişkin olumlu işaretler vermektedir.
Sonuç olarak Kurul, işverenlere açık bir mesaj vermiş: Çalışanların işe giriş-çıkış saatlerini takip etmek meşru bir amaçtır; ancak bu amaç, çalışanların en hassas kişisel verilerinin işlenmesini haklı kılmamaktadır. Bundan sonra mesai takibinde biyometrik sistem kullanmaya devam eden veri sorumluları, yalnızca açık rıza aldıklarını ileri sürerek hukuka uygunluk savunması yapamayacak; KVKK’nın ölçülülük, gereklilik ve veri minimizasyonu ilkeleri bakımından da ciddi bir denetimle karşı karşıya kalacaktır.
İlke kararına buradan ulaşabilirsiniz.