Mesai Takibi Amacıyla Biyometrik Veri İşlenmesine İlişkin KVKK İlke Kararının İş Hukuku ve Kişisel Verilerin Korunması Hukuku Açısından Değerlendirilmesi

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı ile iş hayatında sıkça karşılaşılan bir sorunu ele almıştır. Bu karar, özellikle mesai takibi amacıyla parmak izi, yüz tanıma, iris veya retina tarama gibi biyometrik veri işleme faaliyetlerinin hukuki dayanaklarını yeniden değerlendirmekte ve işverenler açısından önemli riskler içerdiğini vurgulamaktadır.

Biyometrik veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 6. maddesi kapsamında özel nitelikli kişisel veri olarak nitelendirilmektedir. Bu veriler, kişinin fiziksel veya biyolojik özelliklerine dayandığından değiştirilemez niteliktedir ve hukuka aykırı işlenmesi halinde telafisi mümkün olmayan zararlara yol açabilmektedir. Kanun koyucu, bu hassasiyet nedeniyle biyometrik verilerin işlenmesini, diğer kişisel verilere göre daha katı şartlara bağlamıştır. İşverenlerin bu verileri mesai takibi amacıyla kullanabilmesi, ancak KVKK’da öngörülen veri işleme şartlarından birine dayanması halinde mümkündür.

İş Hukuku perspektifinden bakıldığında, 4857 sayılı İş Kanunu ve ilgili mevzuat, işverene çalışma sürelerini, fazla mesaiyi ve dinlenme sürelerini izleme ve ispat etme yükümlülüğü getirmektedir. İşveren, işçinin çalışma düzenini takip etmek ve gerektiğinde delil oluşturmak amacıyla çeşitli sistemler kullanabilir. Ancak bu zorunluluk, mesai takibinin mutlaka biyometrik yöntemlerle yapılması anlamına gelmemektedir. Kurul’un kararının temel argümanı da burada yatmaktadır: Mevcut mevzuatta, mesai takibinin biyometrik veri işlenmesi yoluyla yapılmasını zorunlu kılan veya açıkça izin veren herhangi bir özel düzenleme bulunmamaktadır.

Uygulamada işverenlerin sıkça başvurduğu yöntem, çalışanlardan alınan açık rızadır. Ne var ki Kurul, işçi-işveren ilişkisindeki yapısal güç dengesizliğini dikkate alarak, bu rızanın her zaman özgür iradeye dayandığının kabul edilemeyeceğini belirtmiştir. İşe alınma, sözleşmenin devamı veya terfi gibi kaygılar nedeniyle işçinin rıza göstermek zorunda kalabileceği durumlar, rızanın geçerliliğini ciddi şekilde zedelemektedir. Bu bağlamda, KVKK m. 11 ve m. 4’te düzenlenen aydınlatma yükümlülüğü ve genel ilkeler (hukuka ve dürüstlük kurallarına uygunluk, amaçla sınırlılık, veri minimizasyonu, doğruluk, saklama süresi sınırlaması ve hesap verebilirlik) de göz ardı edilemez.

Kararın en kritik unsurlarından biri, KVKK m. 4’te yer alan ölçülülük ilkesine yaptığı vurgudur. Ölçülülük, veri işleme faaliyetinin amaca elverişli, gerekli ve alternatif yöntemlere göre daha az müdahaleci olmasını gerektirir. Mesai takibi amacıyla şifreli kart sistemleri, PIN kodları, RFID/NFC tabanlı geçiş sistemleri, imza föyleri veya manuel kayıt tutma gibi yöntemler mevcuttur. Bu alternatifler, biyometrik veri işlenmesine gerek kalmadan aynı amaca ulaşmayı mümkün kılmaktadır. Dolayısıyla biyometrik veri kullanımı, amaca ulaşmak için zorunlu ve en az müdahaleci araç niteliğinde değildir. Kurul, açık rıza olsa dahi biyometrik veri işlemenin ölçülülük ilkesini karşılamayabileceğini açıkça ifade etmiştir.

Bu İlke Kararı, işverenlerin yönetim hakkını kullanırken çalışanların temel hak ve özgürlüklerini, özellikle özel hayatın gizliliği ve kişisel verilerin korunması hakkını (Anayasa m. 20 ve m. 13) gözetmesi gerektiğini hatırlatmaktadır. Teknolojik imkanlar ne kadar gelişmiş olursa olsun, bunlar anayasal ve yasal güvenceleri bertaraf edemez. İşverenler, veri işleme faaliyetlerini KVKK’nın veri minimizasyonu, gereklilik ve ölçülülük ilkelerine uygun hale getirmek zorundadır.

Karar doğrultusunda işverenlere önerilerimiz şunlardır: Mevcut biyometrik sistemleri gözden geçirmek, daha az müdahaleci alternatiflere (kartlı geçiş, mobil uygulamalar, yazılı kayıt sistemleri vb.) geçiş planlaması yapmak, çalışanlara etkili aydınlatma metinleri sunmak, veri envanterlerini güncellemek ve işleme faaliyetlerini veri koruma görevlisine (VKG) veya ilgili mevzuata uygun şekilde denetletmek. Aksi takdirde, KVKK m. 18 uyarınca idari para cezaları (2026 itibarıyla yüz binlerce TL’ye ulaşan tutarlar) ile karşılaşma riski oldukça yüksektir.

Sonuç olarak, 2026/921 sayılı İlke Kararı, iş hukuku ile kişisel verilerin korunması hukuku arasındaki dengeyi yeniden tesis eden önemli bir hukuki referanstır. Avukatlar ve hukuk profesyonelleri açısından, müvekkillerine bu karar ışığında risk analizi yapma, uyum programları oluşturma ve alternatif mesai takip yöntemleri önerme yükümlülüğü doğurmaktadır. İşverenlerin bu çerçevede proaktif adımlar atması, hem hukuki uyuşmazlıkları önleyecek hem de çalışanların temel haklarına saygılı bir kurumsal kültürün oluşmasına katkı sağlayacaktır.

Bu karar, aynı zamanda gelecekteki olası denetimlerde ve olası davalarda önemli bir emsal teşkil edecektir. İş hukuku uzmanları, KVKK uyum denetimleri sırasında bu İlke Kararını referans alarak müşterilerine kapsamlı hukuki danışmanlık sunmalıdır. Kararın uygulanmasında ortaya çıkabilecek yorum farklılıkları, ilerleyen dönemde idari yargı veya Anayasa Mahkemesi kararlarıyla da netleşebilir. Bu nedenle konunun yakından takip edilmesi, avukatlık mesleğinin gereği olarak önem arz etmektedir.