Kişisel Verileri Koruma Kurulu, mesai takibi amacıyla biyometrik veri işlenmesine ilişkin 2026/921 sayılı ilke kararını 29 Nisan 2026’da aldı ve 2 Haziran’da kamuoyuna duyurdu. Karar, işverenin çalışma sürelerini izleme ihtiyacı ile çalışanların özel nitelikli verilerinin korunması arasındaki dengeyi değerlendirdi.
Kurula göre çalışma sürelerinin izlenmesine ilişkin hükümler, parmak izi veya yüz tanıma sistemi kullanılmasını kendiliğinden zorunlu kılmıyor. Mesai takibinde biyometrik veri kullanımını açıkça öngören bir kanuni düzenleme bulunmadığında, uygulamanın hukuki dayanağı, gerekliliği ve ölçülülüğü ayrıca incelenmek zorunda.
Biyometrik veri özel nitelikli veri sayılıyor
Kararda parmak izi, yüz, iris ve retina verilerinin özel nitelikli kişisel veri olduğu vurgulandı. Çalışan ile işveren arasındaki güç dengesizliği nedeniyle verilen açık rızanın her durumda özgür iradeye dayandığının kabul edilemeyeceği belirtildi. Bu nedenle açık rıza alınması, daha az müdahaleci bir yöntemin bulunup bulunmadığı incelemesini ortadan kaldırmıyor.
İşverenin mesai takibi amacını biyometrik veri kullanmadan gerçekleştirebildiği durumlarda alternatiflerin değerlendirilmesi gerekiyor. Kurulun yaklaşımı, işyerindeki uygulamanın kolaylığı ile veri sahibinin temel haklarına yapılan müdahale arasında ölçülü bir denge kurulmasını öngörüyor.
Şifreli kart, PIN ve çizelge alternatifleri
İlke kararında şifreli kart veya PIN, imza ve kâğıt çizelge, RFID/NFC kart ile denetçi gözetiminde elle giriş alternatif yöntemler arasında sayıldı. Bu yöntemlerin ortak özelliği, mesai takibi için çalışanların biyometrik verilerinin işlenmesini zorunlu kılmaması.
Kurul ayrıca 4857 sayılı İş Kanunu’nun mesai takibinin biçimini veya biyometrik veri kullanımını zorunlu olarak düzenlemediğini hatırlattı. Bu nedenle işverenlerin sistem seçerken yalnızca teknik işleyişi değil, hukuki dayanağı, veri minimizasyonunu, erişim yetkilerini ve saklama süresini de değerlendirmesi gerekiyor.
Mesai takibi ihtiyacı, biyometrik sistemin otomatik olarak gerekli veya ölçülü olduğu anlamına gelmiyor. İşveren, aynı amaca ulaşan kart, PIN, imza ya da çizelge gibi yöntemleri karşılaştırmalı; çalışan üzerinde daha ağır müdahale oluşturan yönteme hangi somut gerekçeyle ihtiyaç duyduğunu açıklayabilmeli.
Biyometrik verinin özel nitelikli niteliği, sistem kurulurken erişim yetkilerinin, saklama süresinin ve imha prosedürünün ayrıca düzenlenmesini gerektiriyor. Kurulun kararı, açık rıza alınsa bile alternatif yöntem ve güç dengesizliği değerlendirmesinin yapılması gerektiğini vurguluyor.
İşverenin denetim ihtiyacı ile çalışanın biyometrik verisinin korunması arasında kurulacak denge, işyerinin büyüklüğünden bağımsız olarak somut koşullara göre değerlendirilmeli. Daha düşük riskli bir yöntem aynı sonucu veriyorsa biyometrik sisteme yönelmek ölçülülük bakımından ayrıca gerekçelendirilmek zorunda.