Kişisel Verileri Koruma Kurulu’nun Mesai Takibinde Biyometrik Veri Kullanımı İlke Kararı

yüz tanıma sistemi

Kişisel Verileri Koruma Kurulu (“Kurul”), 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile mesai takibi amacıyla biyometrik veri (parmak izi, yüz tanıma, avuç içi damar okuyucu vb.) kullanılmasına ilişkin uzun süredir tartışılan bir alanı önemli ölçüde netleştirdi.

Kararın en dikkat çekici yönü ise aslında yeni bir yasak getirmesinden çok, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (“KVKK”) yıllardır bulunan "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesini somut bir olaya uygulayarak emsal oluşturmasıdır.

Kurul açıkça şunu söylüyor:

Eğer aynı amaç, kartlı geçiş, PIN sistemi, RFID kartı veya imza çizelgesi gibi daha az müdahaleci yöntemlerle sağlanabiliyorsa, çalışanın açık rızası bulunsa bile biyometrik veri işlenmesi ölçülülük ilkesine aykırı olabilir.

Aslında veri koruma ve gizlilik alanında çalışan hukukçular açısından bu yorum sürpriz değil. Çünkü KVKK 4. maddesindeki ölçülülük ilkesi, yıllardır kişisel veri işleme faaliyetlerinin yalnızca hukuki sebebe değil, aynı zamanda amaca ulaşmak için en az müdahaleci yöntemin seçilip seçilmediğine göre de değerlendirilmesi gerektiğini söylüyordu. Ancak uygulamada şirketler açısından bu konu gri bir alan olarak görülüyor, "çalışanlardan açık rıza alıyoruz" yaklaşımı çoğu zaman yeterli kabul ediliyordu.

Yayımlanan İlke Kararı ise bu gri alanı önemli ölçüde ortadan kaldırdı.

Proaktif Uyum ve Danışmanlık

Bundan üç yıl önce KVKK ve gizlilik hukuku perspektifiyle kapsamlı bir danışmanlık alan bir şirket, sadece mevzuat metnini değil, ölçülülük ilkesinin olası yorumunu da değerlendirerek biyometrik mesai sistemlerinin ileride ciddi bir uyum riski yaratabileceğini öngörebilir ve bu alanlardaki yatırım kararlarını buna göre şekillendirebilirdi.

Bu nedenle söz konusu karar, yalnızca biyometrik veri işlenmesine ilişkin bir değerlendirme değil; aynı zamanda kişisel verilerin korunması alanında proaktif hukuki danışmanlığın şirketlere nasıl somut bir risk yönetimi avantajı sağladığını gösteren önemli bir örnek niteliği taşıyor.

Çünkü KVKK uyumu, çoğu zaman sadece bugünün mevzuatına uyum sağlamak değil; mevcut ilkelerin yarın nasıl yorumlanabileceğini doğru okuyabilmektir.

İlke Kararı’nda Vurgulanan Noktalar

• Mesai takibi amacıyla biyometrik veri işlenmesine ilişkin açık bir kanuni düzenleme bulunmamaktadır.

• İşçi-işveren ilişkisindeki güç dengesi nedeniyle açık rızanın özgür iradeyle verilmiş olduğu her zaman kabul edilemez.

• Alternatif yöntemler mevcutken biyometrik veri kullanılması, Kanun'un 4. maddesindeki ölçülülük ilkesini ihlal edebilir.

• Kurul, kartlı geçiş, PIN, RFID veya imza çizelgesi gibi alternatif sistemlerin tercih edilmesi gerektiğini vurgulamıştır.

Bu karar, KVKK uygulamasında bir kez daha şunu hatırlatıyor:

"Hukuken yapılabiliyor olmak" ile "KVKK bakımından ölçülü olmak" her zaman aynı şey değildir. Proaktif uyum çalışmaları da tam olarak bu farkın yönetilmesi için vardır.

Vision. Reason. Lex Nexus.