İşyerlerinde Parmak İzi ve Biyometrik Veri ile Mesai Takibi: KVKK İlke Kararı ve Ölçülülük İlkesi

Kişisel Verileri Koruma Kurulu (KVKK), 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile çalışanların parmak izi, yüz tarama, iris okuma gibi biyometrik verilerinin mesai ve devam takibi amacıyla işlenmesinin hukuka aykırılığına karar vermiştir. Bu karar, iş hukuku ile kişisel verilerin korunması hukuku kesişiminde önemli bir dönüm noktası oluşturmaktadır.

Kararda öncelikle şu hususlar vurgulanmıştır: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 6. maddesinde biyometrik veriler özel nitelikli kişisel veri olarak sayılmış olup, işlenmesi ancak sınırlı hallerde mümkündür. Mevzuatta çalışma sürelerinin takibinin biyometrik veri işlenmesi suretiyle yapılması gerektiğine dair açık bir hüküm bulunmamaktadır. Dolayısıyla kanunlarda açıkça öngörülme şartına dayanılamaz.

Uygulamada sıklıkla açık rıza (KVKK m. 6/3-a) dayanağına başvurulmaktadır. Ancak işçi-işveren arasındaki yapısal güç dengesizliği nedeniyle rızanın özgür iradeye dayanıp dayanmadığı ciddi tereddütler yaratmaktadır. Çalışanın rıza göstermeme veya rızasını geri çekme imkânının etkin sunulmaması ya da olumsuz sonuçlar doğurması, rızanın geçerliliğini ortadan kaldırmaktadır. Ayrıca rızanın geri alınabilmesi, sistemin sürekliliğini zedeleyeceğinden tek başına yeterli hukuki zemin oluşturmamaktadır.

En kritik değerlendirme ise KVKK m. 4’teki genel ilkeler çerçevesinde ölçülülük ilkesidir. Kararda, alternatif ve daha az müdahaleci yöntemlerin (şifreli kart, PIN, RFID/NFC kart, kâğıt bazlı devam çizelgeleri, denetçi gözetiminde elle giriş) varlığı karşısında biyometrik veri işlemenin ölçülülük kriterini karşılamadığı açıkça belirtilmiştir. Biyometrik verilerin geri döndürülemez, hassas ve kötüye kullanım riski yüksek niteliği, mesai takibi gibi sınırlı idari amaç için aşırı müdahale oluşturmaktadır.

Anayasa Mahkemesi’nin 10.03.2022 tarihli 2018/11988 sayılı kararı da parmak izi ile mesai takibinin kanunilik şartını sağlamadığını belirterek kişisel verilerin korunması hakkının ihlal edildiğine hükmetmiştir. Danıştay 12. Daire’nin 2021/3870 E., 2023/2548 K. ve İdari Dava Daireleri Kurulu’nun 2024/225 E., 2024/2625 K. sayılı kararları da aynı doğrultudadır. Bu içtihatlar, KVKK İlke Kararının hukuki temelini güçlendirmektedir.

Karar, veri sorumlularına KVKK m. 12 uyarınca idari ve teknik tedbir alma yükümlülüğünü hatırlatmakta ve aykırılık halinde KVKK m. 18 uyarınca idari para cezası uygulanacağını belirtmektedir. Kurul, bu hususları ilke kararı olarak Resmi Gazete’de yayımlamıştır.

Avukatlar ve iş hukuku profesyonelleri açısından karar, işverenlerin mesai takip sistemlerini gözden geçirmelerini zorunlu kılmaktadır. Mevcut biyometrik sistemlerin alternatif yöntemlerle değiştirilmesi, aydınlatma metinlerinin ve rıza süreçlerinin yeniden düzenlenmesi gerekecektir. Özellikle çok uluslu şirketler ve büyük ölçekli işyerlerinde uyum sürecinin titizlikle yönetilmesi önem arz etmektedir.

Karar aynı zamanda veri minimizasyonu, amaç sınırlılığı ve ölçülülük ilkelerinin somut bir uygulama örneğini sunmaktadır. İşverenlerin, çalışanların özel nitelikli kişisel verilerini işlemeye yönelik her türlü uygulamada KVKK m. 4 ve m. 6 hükümlerini titizlikle değerlendirmesi zorunludur.

Sonuç olarak KVKK’nın 2026/921 sayılı İlke Kararı, biyometrik verilerin mesai takibi amacıyla kullanılmasının açık rıza bulunsa dahi hukuka aykırı olduğunu netleştirmiştir. Bu yaklaşım, çalışanların temel haklarının korunması ile işverenlerin idari yükümlülükleri arasında adil bir denge kurmakta ve kişisel verilerin korunması hukukunda önemli bir emsal teşkil etmektedir. Hukuk profesyonelleri, müvekkillerine bu karar doğrultusunda sistem değişikliği, risk analizi ve uyum danışmanlığı sunmalıdır.