Kişisel Verileri Koruma Kurulu’nun (Kurul) 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 02.06.2026 tarihli ve 33268 sayılı Resmi Gazete’de yayımlanmıştır. İlke Kararı’nda, işverenler tarafından mesai takibi amacıyla kullanılan parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında değerlendirilmesine ilişkin açıklamalara yer verilmiştir.
Kararda öne çıkan huşular şu şekildedir:
- Biyometrik verilerin özel nitelikli kişisel veri niteliğinde olduğu ve hassas yapıları ile geri döndürülemez özellikleri nedeniyle yüksek düzeyde koruma gerektirdiği belirtilmiştir.
- Mesai takibine ilişkin mevzuatta çalışma sürelerinin izlenmesi ve kayıt altına alınmasına yönelik düzenlemeler bulunmakla birlikte, bu yükümlülüğün biyometrik veri işlenmesi yoluyla yerine getirilmesini öngören açık bir kanuni düzenleme bulunmadığı ifade edilmiştir.
- Kurul tarafından mesai takibi amacıyla biyometrik veri işlenmesinde KVKK’nın 6. maddesinin üçüncü fıkrasının (b), (c), (ç), (d), (e), (f) ve (g) bentlerinde yer alan işleme şartlarının uygulama alanı bulmadığı, bu nedenle uygulamada söz konusu faaliyetlerin çoğunlukla açık rıza şartına dayandırıldığı değerlendirilmiştir.
- İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın her durumda özgür iradeye dayanıp dayanmadığı konusunda tereddüt bulunduğu, bu nedenle açık rızanın tek başına yeterli bir hukuki dayanak oluşturmayabileceği değerlendirilmiştir.
- Kurul, biyometrik tanımlama sistemlerinin sürekliliği bakımından rızanın geri alınabilmesinin uygulamayı etkileyebileceğini belirterek, biyometrik verilerin mesai takibi amacıyla yalnızca açık rızaya dayanılarak işlenmesinin kural olarak yeterli bir hukuki zemin oluşturmayacağını ifade etmiştir.
- Mesai takibi amacıyla biyometrik veri işlenmesinin, KVKK’nın genel ilkeleri kapsamında işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma kriterleri çerçevesinde değerlendirilmesi gerektiği vurgulanmıştır.
- Şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ve denetçi gözetiminde elle giriş gibi alternatif yöntemlerin mevcut olduğu belirtilmiştir.
- Alternatif ve daha az müdahaleci yöntemlerin bulunduğu durumlarda, ilgili kişinin açık rızası bulunsa dahi salt olarak mesai takibi amacıyla biyometrik veri işlenmesinin KVKK’nın 4. maddesinde yer alan genel ilkeler kapsamında ölçülülük kriterini karşılamadığı ve ölçülülük ilkesinin ihlali anlamına geldiği ifade edilmiştir.
- Kararda, Anayasa Mahkemesi’nin parmak izi sistemiyle mesai takibine ilişkin bireysel başvuru kararı ile Danıştay’ın avuç içi damar okuyucu sistemleriyle gerçekleştirilen mesai takibine ilişkin kararlarına da yer verilmiş; biyometrik veri işleme faaliyetlerinin KVKK’nın genel ilkeleri çerçevesinde değerlendirilmesi gerektiği yönündeki yargısal yaklaşımlar aktarılmıştır.
- İlke Kararı’nda belirtilen hususların veri sorumluları tarafından alınması gereken teknik ve idari tedbirler kapsamında değerlendirilmesi gerektiği, aykırı uygulamaların tespiti hâlinde KVKK’nın 18. maddesi uyarınca işlem tesis edilebileceği belirtilmiştir.
Stj. Şebnem CAMADAN
TARLAN AVUKATLIK BÜROSU
AV. AYLİN TARLAN
Tarlan Avukatlık Bürosu Bloğu 