Kvkk'dan Emsal Karar: Mesai Takibinde Biyometrik Veri (Parmak İzi, Yüz Tanıma) Kullanımına Yasak

Kişisel Verileri Koruma Kurulu (KVKK), 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanan 2026/921 sayılı İlke Kararı ile işyerlerinde mesai takibi amacıyla biyometrik verilerin işlenmesine ilişkin kesin sınırları çizdi.

Karara göre; çalışanların mesai takibini yapmak amacıyla parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik sistemlerin kullanılması, çalışanın "açık rızası" alınmış olsa dahi hukuka aykırı kabul edilecektir.

İşte Kurul'un aldığı bu tarihi ilke kararının detayları, hukuki gerekçeleri ve işverenlerin atması gereken adımlar:

1. Biyometrik Veriler Neden Kullanılamaz? (Hukuki Gerekçeler)​

Kurul, mesai takibinde biyometrik sistemlerin kullanımının hukuka aykırı olmasını üç temel gerekçeye dayandırmaktadır:

• İşçi-İşveren İlişkisinde "Açık Rıza" Geçersizdir: KVKK'ya göre açık rızanın "özgür iradeye" dayanması şarttır. Ancak işçi ile işveren arasındaki güç dengesizliği nedeniyle, çalışanın rıza göstermemesi halinde yaşayabileceği muhtemel olumsuzluklar korkusu, bu rızayı sakatlamaktadır. Bu nedenle istihdam ilişkisinde alınan açık rıza geçerli bir hukuki zemin oluşturmamaktadır.
• Ölçülülük İlkesine Aykırılık: 6698 sayılı Kanun'un 4. maddesi gereği kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir. Mesai takibi gibi idari bir amaç için, geri döndürülemez ve son derece hassas olan biyometrik verilerin işlenmesi, amaca kıyasla aşırı ve orantısız bir müdahale olarak değerlendirilmiştir.
• Kanuni Bir Zorunluluk Bulunmaması: İş Kanunu (4857 sayılı) ve ilgili mevzuatlar işverene çalışma sürelerini takip ve kayıt etme yükümlülüğü getirse de, bu takibin "biyometrik yöntemlerle" yapılmasını emreden hiçbir kanuni düzenleme bulunmamaktadır.

2. Yüksek Mahkeme Kararları KVKK'yı Destekliyor​

İlke kararında, Anayasa Mahkemesi ve Danıştay'ın konuyla ilgili emsal kararlarına da atıf yapılmıştır:

• Anayasa Mahkemesi (10/03/2022 tarihli karar): Kanuni bir dayanak olmadan, mesai takibi amacıyla parmak izi sisteminin kullanılmasının Anayasa'nın 20. maddesinde güvence altına alınan "özel hayata saygı ve kişisel verilerin korunmasını isteme hakkını" ihlal ettiğine hükmetmiştir.
• Danıştay İdari Dava Daireleri Kurulu (2024/225 E. sayılı karar): Avuç içi damar okuyucu ile mesai takibi yapılmasının, amacın gerçekleştirilmesiyle ilgili olmayan aşırı bir veri işleme faaliyeti olduğuna ve "ölçülülük" ilkesine aykırı olduğuna karar vermiştir.

3. İşverenler Ne Yapmalı? Hangi Alternatifler Kullanılmalı?​

Kurul, biyometrik verilerin hassas yapısına (ele geçirildiklerinde değiştirilememesi veya geri alınamaması) dikkat çekerek telafisi imkansız mağduriyetler doğabileceğini belirtmektedir.

Bu doğrultuda işverenlerin acilen alması gereken aksiyonlar şunlardır:

• Mesai takibi amacıyla kullanılan tüm parmak izi, yüz tanıma veya retina tarama sistemleri kullanımdan kaldırılmalıdır.
• İşverenler; amaca ulaşmak için daha az müdahaleci olan alternatif yöntemlere geçiş yapmalıdır.
• KVKK'nın önerdiği hukuka uygun alternatif mesai takip yöntemleri şunlardır:
  • Şifreli kart veya PIN tabanlı sistemler.
  • RFID/NFC özellikli kimlik kartları (Personel giriş kartları).
  • Geleneksel imza ve kâğıt bazlı devam çizelgeleri.
  • Denetçi gözetiminde elle giriş yöntemleri.

Yaptırımlar Nelerdir?​

KVKK, bu ilke kararının 6698 sayılı Kanun'un 15. maddesinin 6. fıkrası uyarınca alındığını ve tüm veri sorumluları (işverenler) için bağlayıcı olduğunu duyurmuştur.

Alınması gereken teknik ve idari tedbirleri almayarak mesai takibinde biyometrik veri işlemeye devam eden kurum ve kuruluşlar hakkında, Kanun'un 18. maddesi uyarınca ciddi idari para cezaları (yaptırımlar) uygulanacaktır.