Kişisel Verileri Koruma Kurumu’nun (“Kurum”) mesai takibi amacıyla biyometrik veri işlenmesi hakkındaki 2026/921 sayılı Kurul İlke Kararı 02 Haziran 2026 tarihli, 33268 sayılı Resmî Gazete’de yayımlanmıştır. İşbu bilgi notumuz kapsamında; biyometrik verilerin hukuki niteliği, iş ilişkilerinde açık rızanın geçerliliği, ölçülülük ilkesi ve veri sorumlularının uygulamada dikkat etmesi gereken hususlar ele alınmaktadır.
Kişisel veri kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi; ilgili kişi bu verisi işlenen gerçek kişiyi; veri sorumlusu ise kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişiyi ifade etmektedir.
Biyometrik veriler ise parmak izi, yüz tanıma, iris veya retina taraması gibi kişinin fiziksel, fizyolojik yahut davranışsal özelliklerinden hareketle kimliğinin doğrulanmasını veya tespit edilmesini sağlayan verilerdir. Bu veriler, kişiye özgü, değiştirilemez ve geri döndürülemez nitelikleri sebebiyle 6698 sayılı Kişisel Verilerin Korunması Kanunu (“6698 Sayılı Kanun”) kapsamında özel nitelikli kişisel veri olarak değerlendirilmektedir.
A. Mesai Takibinde Biyometrik Veri Kullanımı
İşverenler, çalışma düzeninin sağlanması, işe giriş-çıkış saatlerinin tespiti, fazla mesai sürelerinin belirlenmesi ve bordro süreçlerinin doğru yürütülmesi amacıyla çalışanların mesai takibini yapmaktadır. Bu takip uygulamada imza föyleri, puantaj cetvelleri, kartlı geçiş sistemleri, şifre/PIN kullanımı, turnike sistemleri veya personel devam kontrol sistemleri aracılığıyla gerçekleştirilebilmektedir.
Teknolojik gelişmelerle birlikte, mesai takibinin daha hızlı ve güvenli şekilde yapılması amacıyla parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik tanıma sistemlerine de başvurulmaya başlandığı görülmektedir. Bu sistemler, çalışanın fiziksel veya fizyolojik özellikleri üzerinden kimlik doğrulaması yaparak işe giriş ve çıkış saatlerini kayıt altına almaktadır.
Ancak biyometrik tanıma sistemleri, klasik mesai takip yöntemlerinden farklı olarak çalışanların biyometrik verilerinin işlenmesini gerektirmektedir. Parmak izi, yüz geometrisi, iris veya retina bilgisi gibi veriler kişiyi benzersiz şekilde ayırt etmeye elverişli olduğundan, 6698 Sayılı Kanun kapsamında özel nitelikli kişisel veri olarak kabul edilmektedir.
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 2026/921 sayılı İlke Kararı bu noktada, mesai takibinde biyometrik veri kullanılmasının kişisel verilerin korunması hukuku bakımından hangi şartlarda mümkün olabileceğini değerlendirmektedir. Kurul’a göre mesai takibi yapılması tek başına hukuka aykırı değildir; ancak bu takibin biyometrik veri işlenerek yapılması, verinin niteliği gereği çok daha sıkı şartlara tabidir.
B. Biyometrik Veriler Neden Daha Sıkı Korunmaktadır?
Biyometrik tanıma sistemleri, kimlik doğrulama bakımından hızlı ve pratik bir yöntem sunsa da bu verilerin hukuka aykırı şekilde işlenmesi veya üçüncü kişilerin eline geçmesi halinde doğabilecek zararlar sıradan kişisel verilere göre daha ağırdır. Zira şifre, kart veya PIN gibi unsurlar değiştirilebilirken parmak izi veya yüz geometrisi gibi biyometrik veriler kişinin bedensel özellikleriyle doğrudan bağlantılıdır ve çoğu durumda değiştirilemez niteliktedir.
Bu nedenle ilgili İlke Kararı’nda, biyometrik verilerin öğrenilmesi, elde edilmesi veya yetkisiz kişilerce kullanılması halinde ilgili kişilerin mağduriyet yaşayabileceği; bu sebeple söz konusu verilerin korunmasının özel önem taşıdığı vurgulanmıştır. Kurul, bu değerlendirmeyi yaparken hem 6698 Sayılı Kanun’un özel nitelikli kişisel verilere ilişkin hükümlerini hem de genel ilkeler ve veri güvenliği yükümlülüklerini esas almıştır.
C. Açık Rıza ve İş İlişkisinde Özgür İrade Hususu
6698 Sayılı Kanun uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. Bu veriler ancak 6698 Sayılı Kanun’da öngörülen işleme şartlarından birinin mevcut olması halinde işlenebilir. İlke Kararı’nda mesai takibi amacıyla biyometrik veri işlenmesi bakımından 6698 Sayılı Kanun’un 6’ncı maddesindeki diğer işleme şartlarının uygulanamadığı, bu nedenle uygulamada açık rızaya başvurulduğu belirtilmiştir.
Bununla birlikte Kurul, işveren ile çalışan arasındaki ilişki bakımından açık rızanın özgür iradeye dayanıp dayanmadığını özellikle tartışmıştır. İş ilişkisinde tarafların eşit konumda olmaması, çalışanın rıza göstermemesi veya rızasını geri çekmesi halinde olumsuz sonuçlarla karşılaşabileceğini düşünmesi ve biyometrik sistemlerin devamlılık arz etmesi gibi nedenlerle, mesai takibinde biyometrik veri işlenmesinin yalnızca açık rızaya dayandırılması çoğu durumda yeterli ve sağlıklı bir hukuki zemin oluşturmamaktadır.
D. Ölçülülük İlkesi ve Alternatif Yöntemlerin Değerlendirilmesi
Kurul’un kararında öne çıkan temel hususlardan biri ölçülülük ilkesidir. Mesai takibi yapılmasında meşru ve belirli bir amaç olabilir; ancak bu amaca ulaşmak için seçilen yöntemin gerekli, elverişli ve ölçülü olması gerekir. Daha az müdahaleci yöntemlerle aynı sonuca ulaşılabiliyorsa biyometrik veri işlenmesi hukuka uygun kabul edilmeyecektir.
Bu kapsamda Kurul, şifreli veya PIN tabanlı sistemler, personele özgü kartlar, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerin mevcut olduğuna işaret etmektedir. Bu alternatif yöntemler mesai takibi amacını gerçekleştirebildiği ölçüde, doğrudan biyometrik veriye başvurulmasının veri minimizasyonu ve ölçülülük ilkeleriyle bağdaşmayacağı açıktır.
E. Veri Sorumlularının Dikkat Etmesi Gereken Hususlar
İlke Kararı sonrasında işverenlerin ve mesai takip sistemi kullanan tüm veri sorumlularının mevcut uygulamalarını gözden geçirmesi gerekmektedir. Bu kapsamda özellikle aşağıdaki hususlar önem taşımaktadır:
• Mesai takibi için biyometrik veri işlenmesinin zorunlu olup olmadığı somut olarak değerlendirilmelidir.
• Aynı amaca daha az müdahaleci yöntemlerle ulaşılabiliyorsa biyometrik sistem yerine alternatif yöntemler tercih edilmelidir.
• Biyometrik veri işleme faaliyeti bakımından 6698 Sayılı Kanun’un 4. maddesindeki genel ilkelere, özellikle ölçülülük ve veri minimizasyonu ilkelerine uyulmalıdır.
• Özel nitelikli kişisel veriler için 6698 Sayılı Kanun’un 6. maddesinde öngörülen şartlar ve Kurul kararlarında belirtilen teknik/idari tedbirler eksiksiz uygulanmalıdır.
• Veri işleme envanteri, aydınlatma metinleri, saklama-imha politikaları ve bilgi güvenliği prosedürleri bu karar doğrultusunda güncellenmelidir.
• Biyometrik verilerin güvenliğini sağlayacak erişim sınırlamaları, şifreleme, loglama, yetkilendirme, saklama süresi ve imha süreçleri açık şekilde belirlenmelidir.
F. Sonuç Olarak
Kurul’un yayımladığı 2026/921 sayılı İlke Kararı, çalışan devam kontrolü ve mesai takibi süreçlerinde biyometrik veri kullanımına ilişkin önemli bir sınır çizmiştir. Karar, işverenlerin yalnızca operasyonel kolaylık, güvenlik veya dijitalleşme gerekçeleriyle parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik yöntemlere başvuramayacağını ortaya koymaktadır.
Bu karar ile birlikte, mesai takibinde temel ölçütün “hangi yöntem daha pratik?” sorusu değil, “aynı amaca kişisel veriye daha az müdahale eden bir yöntemle ulaşılıp ulaşılamayacağı” sorusu olduğu netleşmiştir. Bu nedenle biyometrik sistem kullanan veri sorumlularının, mevcut uygulamalarını yalnızca açık rıza formları üzerinden değil, veri işleme faaliyetinin gerekliliği ve ölçülülüğü üzerinden de yeniden değerlendirmesi gerekmektedir.
Sonuç itibarıyla, mesai takibi amacıyla biyometrik veri işlenmesi istisnai bir yöntem olarak ele alınmalı; alternatif yöntemlerin yeterli olduğu durumlarda biyometrik veri işleme faaliyetinden kaçınılmalıdır. Aksi yöndeki uygulamalar, ilgili kişilerin temel hak ve özgürlüklerine ölçüsüz müdahale oluşturabileceği gibi veri sorumluları bakımından idari yaptırım ve hukuki sorumluluk risklerini de beraberinde getirebilecektir.