Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında Kişisel Verileri Koruma Kurumu’nun 29.04.2026 Tarihli İlke Kararı Hakkında

I. Giriş

Kişisel Verileri Koruma Kurulu (“Kurul”), 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı (“Karar”) ile işyerlerinde mesai takibi amacıyla biyometrik veri işlenmesine ilişkin değerlendirmelerde bulunmuş ve biyometrik tanımlama sistemlerinin kullanımına yönelik önemli tespitler ortaya koymuştur.

Kurul, özellikle çalışanların giriş-çıkış saatlerinin takip edilmesi amacıyla kullanılan biyometrik doğrulama sistemlerinin, kişisel verilerin korunması hukuku bakımından ciddi riskler barındırdığını vurgulamıştır. Karar’da özetle, biyometrik verilerin özel nitelikli kişisel veri olması ve ihlal edilmesi halinde telafisi güç sonuçlar doğurabilmesi nedeniyle, bu tür veri işleme faaliyetlerinin yalnızca hukuki bir sebebe dayanmasının yeterli olmadığı; aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine uygun olması gerektiği belirtilmiştir.

Bu doğrultuda Karar, münferit bir veri ihlali veya başvuru değerlendirmesinden ziyade, işyerlerinde yaygınlaşan biyometrik devam kontrol sistemlerine ilişkin genel bir ilkesel yaklaşım ortaya koyması bakımından önem arz etmektedir. Bu yönüyle Kurul, işverenlerin çalışan devam kontrolünü sağlama yetkisini kabul etmekle birlikte, bu yetkinin kullanılmasında seçilen yöntemin çalışanın temel hak ve özgürlüklerine müdahale düzeyini ayrıca dikkate almaktadır.

II. Biyometrik Verilerin Niteliği

Biyometrik veriler; Genel Veri Koruma Tüzüğü (“GDPR”) kapsamında “bir gerçek kişinin fiziksel, fizyolojik veya davranışsal özellikleriyle ilgili belirli teknik işlemlerden elde edilen ve bu gerçek kişinin benzersiz bir şekilde tanımlanmasına olanak sağlayan veya bunu doğrulayan kişisel veriler anlamına gelir; örneğin yüz görüntüleri veya parmak izi verileri gibi” ifadeleriyle tanımlanmaktadır¹. Bu kapsamda parmak izi, yüz görüntüsü, retina veya iris verileri yanında ses tınısı, imza dinamikleri ve klavye kullanım alışkanlıkları gibi veriler de biyometrik veri niteliği taşımaktadır.

Bir kişinin şifresinin değiştirilmesi mümkün iken parmak izi veya yüz geometrisinin değiştirilmesi mümkün olmadığından, bu verilere yönelik ihlaller bireyler bakımından çok daha ağır sonuçlar doğurabilmektedir. Bu nedenle biyometrik veriler, 6698 Sayılı Kişisel Verileri Koruma Kanunu (“KVKK”) kapsamında özel nitelikli kişisel veri olarak kabul edilmekte ve diğer kişisel verilere kıyasla daha sıkı koruma mekanizmalarına tabi tutulmaktadır. Biyometrik veri işleme faaliyetlerinin hukuka uygunluğunun değerlendirilmesinde ise yalnızca bir veri işleme şartının varlığı yeterli görülmemekte; aynı zamanda veri işlemenin amacı bakımından gerekli, ölçülü ve ilgili amaçla sınırlı olup olmadığı da ayrıca önem taşımaktadır.

III. Mesai Takibi İçin Biyometrik Veri İşlenmesinin Hukuki Dayanağı

İş Kanununa İlişkin Çalışma Süreleri Yönetmeliği m.9 uyarınca işverenin işçilerin çalışma sürelerini uygun araçlarla belgelemek zorunda olduğuna ilişkin bir hüküm yer almasına rağmen, söz konusu takibin özellikle biyometrik sistemler kullanılarak yapılmasını zorunlu veya gerekli kılan açık bir kanuni düzenleme bulunmamaktadır. İşverenin çalışma sürelerini takip etme yükümlülüğü, tek başına biyometrik veri işlenmesini meşru hale getirmemektedir. Başka bir ifadeyle, işverenin çalışma süresini kayıt altına alma ve işyerinde düzeni sağlama yükümlülüğü, işverene yöntem bakımından sınırsız bir takdir yetkisi tanımamaktadır. Bu yükümlülük, ancak amaca ulaşmak için gerekli, elverişli ve çalışanların kişisel verilerine en az müdahale eden araçlarla yerine getirildiği takdirde kanuna uygun olacaktır.

Bu noktada Kurul, uygulamada sıklıkla başvurulan “açık rıza” hukuki sebebini de ayrıntılı şekilde değerlendirmiştir. İşveren ile çalışan arasındaki ilişkinin niteliği gereği taraflar arasında yapısal bir güç dengesizliği bulunduğunu, çalışanların rızayı reddetme veya geri çekme konusunda fiilen özgür hareket edemeyebileceğini belirtmiştir. Bu nedenle mesai takibinin yalnızca çalışanın açık rızasına dayandırılmasının yeterli bir hukuki temel oluşturmayacağı sonucuna ulaşılmıştır.

Dolayısıyla, çalışanın açık rıza formunu imzalamış olması, biyometrik veri işleme faaliyetini kendiliğinden hukuka uygun hale getirmemektedir. Açık rızanın geçerli kabul edilebilmesi için çalışanın rızayı vermemesi halinde herhangi bir dezavantajla karşılaşmaması, alternatif bir devam kontrol yönteminden fiilen yararlanabilmesi ve rızasını geri çektiğinde aynı iş ilişkisini olumsuz etkilenmeden sürdürebilmesi gerekir. İş ilişkisindeki bağımlılık unsuru dikkate alındığında, bu şartların sağlanmadığı durumlarda açık rızanın özgür iradeye dayandığından söz edilmesi güçleşecektir.

IV. Ölçülülük Ve Veri Minimizasyonu İlkeleri

Kurul, biyolojik veri işleme faaliyetlerini KVKK’nın 4. maddesinde düzenlenen genel ilkelere uygunluk bakımından değerlendirmiş olup; bir veri işleme faaliyetinin hukuka uygun sayılabilmesi için yalnızca bir işleme şartına dayanmasının yeterli olmadığını; ayrıca veri işlemenin belirli, açık ve meşru amaçlarla gerçekleştirilmesi, amaçla bağlantılı ve sınırlı olması ve ölçülülük ilkesine uygun olması gerektiğini vurgulamıştır.

Mesai takibi bakımından değerlendirildiğinde, aynı sonucun daha az müdahaleci yöntemlerle elde edilmesinin mümkün olduğu belirtilmiştir. Şifre kartlar, PIN tabanlı sistemler, kart okutma yöntemleri, RFID/NFC kimlik kartları, imza çizelgeleri, kamera destekli giriş kontrol sistemleri veya denetçi gözetiminde elle giriş gibi alternatiflerin mevcut olduğu dikkate alındığında, doğrudan biyometrik veri kullanımının ölçülülük ilkesini karşılamayabileceği ifade edilmiştir. Daha hafif yöntemlerle aynı amaca ulaşılması mümkünken biyometrik veri kullanımına başvurulması, veri minimizasyonu ve ölçülülük ilkeleriyle bağdaşmayarak bu ilkelerin ihlali anlamına gelecektir.

Nitekim Kurul’un “Belediyede memur olarak görev yapan ilgili kişinin, veri sorumlusu bünyesinde işe giriş çıkış takibinin biyometrik veri işlenerek yapılması” hakkındaki 01.12.2020 tarihli ve 2020/915 sayılı Karar Özeti’nde² de mesai kontrolü amacıyla parmak izi işlenmesi değerlendirilmiş; üstün güvenlik önlemi alınmasını gerektiren özel bir durum bulunmadığı ve işe giriş-çıkış kontrollerinin sicil numarası-şifreli giriş veya ıslak imzalı form gibi alternatif yöntemlerle sağlanabildiği hallerde, parmak izi okutma sisteminin KVKK m.4/2-ç’de yer alan amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı olduğu kabul edilmiştir. Bu yönüyle Karar, Kurul’un önceki kararlarında benimsediği yaklaşımı somut olay bazındaki değerlendirmelerin ötesine taşıyarak genel ve yönlendirici bir ilkeye dönüştürmektedir.

V. Karar’ın Önemi Ve Uygulamaya Etkileri

Söz konusu Karar, işverenlerin çalışan devam kontrol sistemlerini tasarlarken yalnızca operasyonel ihtiyaçları değil, kişisel verilerin korunmasına ilişkin yasal yükümlülükleri de dikkate almaları gerektiğini açık biçimde ortaya koymaktadır.

Karar ile birlikte Kurul;

• Mesai takibinin tek başına biyometrik veri işlenmesini haklı göstermeyeceğini,
• Daha az müdahaleci yöntemlerin varlığı karşısında ilgili kişilerin açık rızası bulunsa dahi mesai takibi amacıyla biyometrik veri işlemenin ölçülülük kriterini sağlayamayacağını,
• Ölçülülük ve veri minimizasyonu ilkelerinin biyometrik veri işleme faaliyetlerinde son derece önemli olduğunu

açık şekilde ortaya koymuştur.

Bu nedenle işverenlerin, mevcut devam kontrol sistemlerini yalnızca açık rıza metni veya aydınlatma metni bulunup bulunmadığı yönünden değil; sistemin seçilme gerekçesi, alternatif yöntemlerin neden yeterli görülmediği, çalışanlara gerçek ve kullanılabilir bir alternatif sunulup sunulmadığı ve işlenen biyometrik verilerin saklama-imha süreçleri bakımından da değerlendirmesi gerekecektir.

Ayrıca veri sorumlularının, biyometrik sistem kullanımına devam edilmesi halinde veri işleme faaliyetini veri envanterine doğru şekilde yansıtması, özel nitelikli kişisel verilere ilişkin teknik ve idari tedbirleri alması, erişim yetkilerini sınırlaması, saklama sürelerini belirlemesi ve amacın ortadan kalkması halinde biyometrik verileri imha etmesi gerekecektir. Ancak bu tedbirlerin alınması dahi, biyometrik veri işleme faaliyetinin baştan ölçülü ve gerekli olmadığı hallerde hukuka aykırılığı tek başına gidermeyecektir.

VI. Karar’ın Avrupa Veri Koruma Uygulaması Açısından Değerlendirilmesi

Kurul’un yaklaşımı, Avrupa’daki veri koruma otoritelerinin çalışan biyometrik verilerine ilişkin kararlarıyla da paralellik göstermektedir. Örneğin Birleşik Krallık Veri Koruma Otoritesi (“ICO”), Serco Leisure kararında, çalışanların devam takibi ve ödeme süreçleri amacıyla yüz tanıma ve parmak izi sistemlerinin kullanılmasını hukuka aykırı bulmuştur³. ICO, 2.000’den fazla çalışanın çeşitli tesislerde biyometrik sistemler aracılığıyla takip edildiğini, çalışanlara açık ve yeterli bir alternatif sunulmadığını ve işverenin bu veri işlemeyi gerekli ve orantılı şekilde gerekçelendiremediğini belirtmiştir. Bu kapsamda Serco Leisure’ın söz konusu uygulamayı durdurmasına ve gerekli olmayan biyometrik verileri silmesine karar verilmiştir.

Benzer şekilde, İtalya Veri Koruma Otoritesi’nin 27.03.2025 tarihli kararında⁴ da bir lisenin idari personelin devam kontrolü amacıyla parmak izi sistemi kullanması hukuka aykırı değerlendirilmiştir. İlgili kararda, biyometrik verilerin çalışan devam takibi amacıyla işlenebilmesi için açık ve yeterli bir hukuki dayanağın bulunması gerektiği; işçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışan rızasının tek başına geçerli bir dayanak oluşturmayacağı vurgulanmıştır.

Özetle bahsi geçen kararlar, çalışanların mesai takibi bakımından biyometrik veri işlenmesine ilişkin yaklaşımın yalnızca Türkiye’ye özgü olmadığını; GDPR uygulamasında da benzer şekilde “zorunluluk”, “orantılılık” ve “alternatif yöntemlerin varlığı” kriterleri üzerinden dar yorumlandığını göstermektedir. Bu nedenle Kurul’un Karar’ı, Avrupa veri koruma pratiğiyle uyumlu biçimde, işyerinde biyometrik gözetimin olağan bir devam kontrol yöntemi haline getirilmesine karşı sınırlayıcı bir yaklaşım benimsemektedir.

VII. Sonuç ve Değerlendirme

Sonuç olarak; Karar, işyerlerinde mesai takibi amacıyla biyometrik veri işlenmesine ilişkin uygulamaların istisnai ve dar yorumlanması gerektiğini açıkça ortaya koymaktadır. Kurul’un yaklaşımı uyarınca, işverenin çalışma sürelerini takip etme yükümlülüğü veya işyerindeki operasyonel denetim ihtiyacı, tek başına parmak izi, yüz tanıma veya benzeri biyometrik sistemlerin kullanılmasını hukuka uygun hale getirmemektedir. Bu kapsamda, açık rıza alınmış olsa dahi, aynı amaca kartlı geçiş, puantaj yazılımı veya benzeri daha az müdahaleci yöntemlerle ulaşılabiliyorsa biyometrik veri işlenmesi ölçülülük ve veri minimizasyonu ilkeleriyle bağdaşmayacaktır. Dolayısıyla biyometrik devam kontrol sistemi kullanan veya kullanmayı planlayan veri sorumlularının, mevcut uygulamalarını KVKK m.4, m.6 ve m.12 kapsamında yeniden değerlendirmesi; biyometrik veri kullanımını zorunlu kılan somut ve belgelenebilir bir ihtiyaç bulunmadığı hallerde alternatif yöntemlere yönelmesi gerekmektedir. Aksi yöndeki uygulamalar, Kurul’un önceki kararları ve Avrupa veri koruma otoritelerinin benzer yaklaşımı da dikkate alındığında, idari yaptırım riski doğurabilecek niteliktedir

Footnotes

1 Biyometrik veri tanımı için bkz. Avrupa Parlamentosu ve Konsey Tüzüğü (AB) 2016/679, Genel Veri Koruma Tüzüğü, m. 4/14. https://gdpr-info.eu/art-4-gdpr/

2 Kişisel Verileri Koruma Kurulu, “Belediyede memur olarak görev yapan ilgili kişinin, veri sorumlusu bünyesinde işe giriş çıkış takibinin biyometrik veri işlenerek yapılması”, 01.12.2020, https://www.kvkk.gov.tr/Icerik/6872/2020-915

3 Information Commissioner’s Office, “Serco Leisure Operating Limited and relevant associated Trusts”, Enforcement Notices, 23.02.2024, https://ico.org.uk/media2/woalogoc/20240219-serco-leisure-operating-limited-en.pdf

4 European Data Protection Board, “Biometrics for attendance recording. The Italian SA fines a high school”, English summary of the Italian Supervisory Authority’s decision concerning Istituto di Istruzione Superiore “P. Galluppi” Tropea, final decision date: 27.03.2025, publication date: 15.07.2025, https://www.edpb.europa.eu/news/national-news/2025/biometrics-attendance-recording-italian-sa-fines-high-school_en