Kişisel Verileri Koruma Kurumunun ("Kurum") internet sitesinde bugün tarihli “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında Kişisel Verileri Koruma Kurulunun ("Kurul") 29.04.2026 Tarihli ve 2026/921 Sayılı İlke Kararına İlişkin Kamuoyu Duyurusu” yayımlanmıştır.
Duyuru ile mesai takibi amacıyla biyometrik veri işlenmesine ilişkin olarak Kurum tarafından uygulamada benzer yönde benimsenen yaklaşım ilke kararı düzeyinde netleştirilmiştir. Bu doğrultuda, söz konusu duyuru ve ilke karar sonrasında bu kapsamdaki veri işleme faaliyetlerine yönelik ilgili kişi başvurularının artabileceği ve/veya Kurum tarafından resen incelemeler yürütülebileceği öngörülmektedir.
Karardaki önemli hususlar özetle aşağıdaki şekildedir:
- Mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerinin kullanılması, özel nitelikli kişisel veri işleme faaliyeti niteliğindedir ve bu nedenle yalnızca bir hukuki sebebe dayanılması yeterli görülmemekte; veri işleme faaliyetinin ayrıca ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerekmektedir.
- Mevzuatta işverenin çalışma sürelerini takip etmesi ve belgelemesine ilişkin düzenlemeler bulunmakla birlikte, bu takibin biyometrik veri işlenmesi suretiyle yapılmasını öngören açık bir kanuni düzenleme bulunmamaktadır. Bu nedenle, mevcut durumda mesai takibi amacıyla biyometrik veri işlenmesinin “kanunlarda açıkça öngörülme” işleme şartına dayandırılması mümkün görülmemektedir.
- Kurul, mesai takibi amacıyla biyometrik veri işlenmesi bakımından Kanun’un 6’ncı maddesinin üçüncü fıkrasında yer alan açık rıza dışındaki diğer işleme şartlarının uygulama alanı bulmadığını değerlendirmiştir. Bu nedenle uygulamada söz konusu faaliyetlerin açık rıza şartına dayandırılmasının tercih edildiği belirtilmiştir.
- Bununla birlikte, işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle çalışanın açık rızasının özgür iradeye dayanıp dayanmadığı hususunda ciddi tereddütler bulunduğu vurgulanmıştır. Özellikle çalışana rıza göstermeme veya rızasını geri çekme imkanının etkin şekilde sunulmaması ya da rıza göstermemenin çalışan açısından olumsuz sonuçlar doğurabilecek olması halinde, açık rızanın geçerli olduğundan söz edilmesi güçtür.
- Ayrıca açık rızanın her zaman geri alınabilir nitelikte olması, biyometrik tanımlama sistemlerinin sürekliliğini ve uygulanabilirliğini zedeleyebileceğinden, mesai takibi amacıyla biyometrik veri işlenmesinin yalnızca açık rızaya dayandırılması da kural olarak yeterli bir hukuki zemin oluşturmamaktadır.
- Kurul, mesai takibi kapsamında biyometrik veri işlenmesinin; yöntemin amaca uygunluğu, alternatif ve daha az müdahaleci yöntemlerin bulunup bulunmadığı ve müdahalenin boyutu bakımından ayrıca değerlendirilmesi gerektiğini belirtmiştir. Bu kriterleri karşılamayan bir uygulama, ilgili kişinin açık rızası bulunsa dahi hukuka aykırı kabul edilebilecektir.
Alternatif Çözümler
Bu doğrultuda Kurul, mesai takibinin biyometrik tanımlama sistemleri yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kağıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları veya denetçi gözetiminde elle giriş gibi alternatif yollarla sağlanması gerektiğini ifade etmiştir.
Olası Yaptırımlar
Kurul ilgili kararda belirtilen hususların, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12’nci maddesi kapsamında veri sorumluları tarafından alınması gereken idari ve teknik tedbirler arasında değerlendirileceğini belirtmiştir. Bu doğrultuda karara uygun hareket edilmediğinin tespiti halinde ilgili veri sorumluları hakkında yaklaşık 17 milyon Türk Lirasına kadar idari para cezaları ve talimatlandırmalar söz konusu olabilecektir. Duyuru ve söz konusu ilke kararın tamamına işbu link üzerinden ulaşabilirsiniz.
3.6.2026
