Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarih ve 2026/921 sayılı kararı, 02.06.2026 Tarih ve 33268 sayılı Resmi Gazetede yayımlanarak kamuoyuna duyurulmuştur. İlgi karar, çalışanların mesai takibinde parmak izi, damar izi, el ayası, yüz tanıma, iris veya benzeri biyometrik sistemlerin kullanımını; uluslararası ve ulusal mevzuat, temel veri koruma ilkeleri ve içtihatlar yönünden irdelemektedir.

Kurul, çalışma sürelerinin takibine ilişkin mevzuatta, işverenlere bu amaca ulaşmak için biyometrik veri işleme yükümlülüğü veya zorunluluğu getirilmediğini, bu nedenle biyometrik veri kullanımının ancak 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndaki özel şartlar, özel nitelikli kişisel verilerin işlenmesine ilişkin rehberler ve ölçülülük ilkesi gözetilerek değerlendirilmesi gerektiğine işaret etmiştir.

Bu kapsamda ilgi tutulan kararda;

• Biyometrik verilerin özel nitelikli veri olması sebebiyle daha yüksek koruma gerektirdiği,
• Her ne kadar iş mevzuatında çalışanların çalışma sürelerinin kayıt altına alınması hükme bağlanmış ise de, mesai takibi için biyometrik veri kullanımını zorunlu kılan bir düzenleme bulunmadığı,
• Bu yönüyle sadece çalışma saatlerinin kaydedilmesi amacıyla biyometrik veri işlenmesinin hukuka aykırılık teşkil edebileceği,
• Özel nitelikli verilerin işlenme koşullarının 6698 sayılı Yasa’da sıralandığı ve fakat mesai takibi amacıyla biyometrik verilerin işlenmesine dair uygulamaların Yasa’nın 6/3.maddesinde belirtilen diğer özel şartlardan birine uymaması sebebiyle yoğun olarak “açık rıza” şartına dayalı olarak gerçekleştirildiği,
• Ancak iş ilişkilerinde taraflar arasında güç dengesizliği bulunduğu gözetildiğinde, çalışanların biyometrik verilerinin işlenmesine dair verdikleri rızanın özgür iradeye dayandığından söz etmenin mümkün olmayacağı, bilhassa çalışan üzerinde oluşan baskının, rızanın verilmemesi veya geri çekilmesi halinde çalışana bir alternatif sunulmamasının, açık rızanın geçerliliğini sorgulatacağı ifade edilmiştir.
• Kararda ayrıca “ölçülülük ilkesi” kapsamında değerlendirme yapılmış ve çalışanın rızası olsa dahi “amaç ile veri işleme yöntemi arasında makul bağlantı bulunup bulunmadığı”, “aynı sonuca daha az müdahaleci yöntemlerle ulaşılıp ulaşılamayacağı”, “alternatif yöntemlerin mevcut olup olmadığı”, “müdahalenin gerekli ve orantılı olup olmadığı” yönünden inceleme yapılması halinde işlemenin hukuka aykırı olacağı vurgulanmıştır.
• Kararda mesai takibi için biyometrik sistemler yerine kullanılabilecek alternatif yöntemlerede değinilmiş ve şifre kartı sistemleri, PIN tabanlı giriş sistemleri, imzalı puantaj çizelgeleri, RFID/NFC kimlik kartları, denetçi gözetiminde elle giriş-çıkış kayıtları şeklinde somut örneklendirmeler yapılarak, bu gibi daha az müdahaleci yöntemlerin mevcudiyetinin biyometrik veri işlemeyi ölçüsüz ve amaçsız kıldığı ifade edilmiştir.

Kurul değerlendirmelerini ayrıca Anayasa Mahkemesi ve Danıştay’ın biyometrik mesai takip sistemlerine mesafeli yaklaşan içtihatları ile de desteklemiştir.

Kurulun biyometrik veri işleme faaliyetlerine kısıtlayıcı yaklaştığı ve biyometrik veri ile mesai takibine olumsuz sonuç bağlayabildiği bilinen bir durum iken; gelinen noktada, çalışanların işyerine girişlerinin ve mesai takiplerinin parmak izi, yüz tanıma, iris/retina taraması gibi biyometrik sistemlerin kullanıldığı uygulamalar ile gerçekleştirilmesinin daha maruf şekilde yüksek riskli hale geldiği değerlendirilmektedir. Nitekim ilgi kararda da hukuka aykırılık tespiti halinde idari yaptırım uygulanacağı açıkça kamuoyunun bilgisine sunulmuştur.

Saygılarımızla,