KVKK Kurulu'nun Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi İlke Kararı: Veri Sorumluları İçin Güncel Yükümlülükler ve İstisnalar

Kişisel Verileri Koruma Kurulu (Kurul), 29.04.2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı" ile önemli bir düzenlemeye imza atmıştır. Bu karar, 02.06.2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Kararın alınmasında, çalışan devam takibinin dijital ortamda yapılması ve işyeri güvenliğinin artırılması amacıyla biyometrik tanımlama sistemlerinin kullanımının giderek artması ve bu konuda Kuruma çok sayıda ihbar ile şikâyetin intikal etmesi etkili olmuştur.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesi özel nitelikli kişisel verileri sınırlı sayıda saymakta ve biyometrik verileri de bu kategoride düzenlemektedir. Kanunda sayılan özel nitelikli veri kategorilerinin kıyas yoluyla genişletilmesi mümkün değildir. Ulusal mevzuatta biyometrik veriye ilişkin kapsamlı bir tanım bulunmamakla birlikte, 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3. maddesinde biyometrik veri; elektronik sistemler aracılığı ile kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlanmıştır.

Kuruma iletilen görüş taleplerinde, avuç içi taraması veya parmak izi gibi yöntemlerle elde edilen verilerin biyometrik veri sayılmaması gerektiği ileri sürülmüştür. Ancak Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) 51 numaralı gerekçesinde belirtildiği üzere, belirli bir teknik yöntemle gerçek bir kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen her türlü veri biyometrik veri niteliği taşımaktadır. Bu verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanması, onların biyometrik veri niteliğini ortadan kaldırmaz.

İşverenlerin 4857 sayılı İş Kanunu ve ilgili mevzuat uyarınca çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik tanımlama sistemleri kullanılarak yerine getirilmesini zorunlu kılan herhangi bir açık kanuni düzenleme mevcut değildir. Bu nedenle, çalışanların mesai takibinin biyometrik veri işlenmesi yoluyla gerçekleştirilmesi, KVKK m. 6'da öngörülen işleme şartlarından herhangi birine dayanmadığı takdirde hukuka aykırılık teşkil edecektir.

Kurul, 2026/921 sayılı İlke Kararı ile yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin KVKK m. 6'da sayılan şartlardan hiçbirine dayanmadığını, ayrıca geçerli bir açık rıza alınsa dahi KVKK m. 4'te düzenlenen ölçülülük ilkesini karşılamadığını tespit etmiştir. Ölçülülük ilkesi, veri işlemenin amaca uygun, sınırlı ve ilgili olması gerekliliğini ifade eder. Mesai takibi gibi nispeten basit bir amacın gerçekleştirilmesi için biyometrik veri gibi en hassas veri kategorilerinden birinin kullanılması, bu ilkeyle bağdaşmamaktadır.

Bununla birlikte karar, bazı tesis ve faaliyet alanlarını genel kuraldan istisna tutmaktadır. Özellikle yüksek güvenlik riski taşıyan kritik altyapılar, millî güvenlik, kamu düzeni veya ekonomik güvenlikle ilgili alanlarda biyometrik sistemler, yalnızca mesai takibi aracı olmaktan çıkmakta; kimlik doğrulama, yetkilendirme, erişim kontrolü gibi çok katmanlı güvenlik süreçlerinin ayrılmaz parçası haline gelmektedir. Bu alanlarda biyometrik veri işlenmesinin asıl amacı personel çalışma saatlerinin izlenmesi değil, güvenliğin ve kritik altyapıların korunmasıdır.

Bu istisnai alanlarda biyometrik veri işleme faaliyetinin hukuka uygunluğu, şu üç kritere bağlıdır: (i) işleme faaliyetinin yalnızca gerekli kritik alanlar ve kişilerle sınırlı tutulması, (ii) alternatif yöntemlerin (kartlı sistem, şifre, RFID vb.) yetersiz kalması, (iii) işleme faaliyetinin somut güvenlik ihtiyacıyla ölçülü olması. Her somut olayda bu kriterlerin ayrı ayrı değerlendirilmesi zorunludur.

KVKK m. 28/1-ç bendi uyarınca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik veri işleme faaliyetleri, belirli şartlar altında Kanun kapsamı dışında kalabilmektedir. Ancak bu istisna, biyometrik veri kullanımını sınırsız hale getirmemekte; her olayda güvenlik riskinin ağırlığı, alternatif yöntemlerin yetersizliği ve işleme amacının somut olarak değerlendirilmesini gerektirmektedir. Kurul, bu istisnanın büyük ölçekli kamu güvenliği kurumları için önemli bir esneklik sağladığını, ancak keyfi veya orantısız kullanıma izin vermediğini vurgulamaktadır.

Sonuç olarak veri sorumluları şu noktalara dikkat etmelidir:

1. Çalışan devam takibi (mesai takibi) amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinde 2026/921 sayılı İlke Kararı'na tam uyum sağlanmalıdır.

2. Mesai takibi dışındaki biyometrik veri işleme faaliyetleri (güvenlik, erişim kontrolü vb.) bu İlke Kararı kapsamında değerlendirilmeyecek, her faaliyetin hukuka uygunluğu veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumlusu tarafından değerlendirilmelidir.

3. Kuruma intikal edecek ihbar veya şikâyetlerde Kurul, her somut olayı ayrı ayrı inceleyecek ve kararını buna göre verecektir.

Avukatlar ve KVKK uyum danışmanları, müvekkillerine bu İlke Kararı'nı titizlikle anlatmalı, mevcut biyometrik sistemlerini gözden geçirmelerini, alternatif yöntemleri (kartlı geçiş, parmak basmadan mesai takibi yazılımları vb.) değerlendirmelerini ve risk analizi yapmalarını tavsiye etmelidir. Özellikle kritik altyapı işleten müvekkiller için ise istisna hükümlerinin dar yorumlanması gerektiği, her uygulamanın gerekçelendirilebilir ve ölçülü olması gerektiği vurgulanmalıdır.

Bu İlke Kararı, KVKK uygulamasında biyometrik verilerin hassasiyetini bir kez daha ortaya koymakta ve veri sorumlularına önemli yükümlülükler getirmektedir. Avukatlar, müvekkillerinin olası idari para cezalarından korunması için uyum süreçlerini hızla gözden geçirmeli ve Kurul'un ileride vereceği olası kararları yakından takip etmelidir.

Konunun ilerleyen dönemde Yargı ve Kurul kararlarıyla daha da netleşmesi beklenmektedir. Bu süreçte özellikle ölçülülük ilkesi, açık rıza mekanizmasının sınırları ve güvenlik istisnasının kapsamı en çok tartışılacak hukuki meseleler arasında yer alacaktır.