Kişisel Verileri Koruma Kurulu (Kurul), iş yerlerinde çalışan devam takibini dijitalleştirme ve güvenliği artırma gerekçesiyle turnike ve geçiş sistemlerinde sıkça uygulanan biyometrik tanımlama yöntemlerine ilişkin bağlayıcı bir hukuki çerçeve çizmiştir. 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanan 2026/921 Sayılı İlke Kararı ile mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik verilerin işlenmesi kural olarak hukuka aykırı addedilmiştir.
Kurum’a intikal eden yoğun ihbar ve şikâyetlerin tasnifi neticesinde ittihaz olunan bu İlke Kararı, gerek kamu kurumları gerekse özel sektör matrisindeki tüm veri sorumlusu işverenler yönünden uyulması zorunlu bir mülga kural niteliğindedir.
1. Biyometrik Verilerin Doktrinel Niteliği ve Sıkı Koruma Rejimi
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinde biyometrik veriler, tahdidi (numerus clausus) sayım ilkesine tabi olarak özel nitelikli kişisel veri statüsünde düzenlenmiştir. Kurul, mesai takibi gibi idari süreçlerde bu verilerin işlenmesini yasal risk zeminine oturturken iki temel maddi gerekçeye dayanmaktadır:
- Geri Döndürülemezlik ve Mağduriyet Riski: Biyometrik veriler, bireyin ikame edilemez, biyolojik olarak değiştirilemez ve yenilenemez özgün fiziksel, fizyolojik veya davranışsal öznitelikleridir. Olası bir veri ihlali neticesinde bu verilerin siber alana sızması, geleneksel kimlik doğrulama araçlarının (parola, şifre) aksine geri alınamaz bir nitelik taşımakta ve ilgili kişilerin ömür boyu sürebilecek telafisi imkânsız mağduriyetlerine sebebiyet verebilmektedir.
- İstihdam İlişkilerindeki Yapısal Asimetri: İşçi ve işveren arasındaki hukuki ve ekonomik bağımlılık ilişkisi, taraflar arasında yapısal bir güç dengesizliği doğurmaktadır. İşini kaybetme, kurumsal yaptırıma maruz kalma veya dezavantajlı konuma düşme endişesi altındaki çalışanın irade beyanı sakatlanmaktadır.
2. Asimetrik İrade Beyanlarında “Açık Rıza” Şartının Hukuki Geçersizliği
Veri sorumluları, uygulamada sıklıkla çalışanlardan temin edilen “muvafakatnameler” veya “açık rıza formları” vasıtasıyla veri işleme faaliyetine meşruiyet kazandırmayı hedeflemektedir. Kurul, Kanun’un 3. maddesindeki “özgür iradeyle açıklanma” kriterini referans alarak bu argümanı reddetmiştir:
“Tarafların eşit konumda olmadığı, taraflardan birinin diğeri üzerinde etkili olduğu veya taraflar arasında güç dengesizliğinin bulunduğu istihdam ilişkilerinde çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin bir biçimde sunulmaması ya da rıza göstermemenin çalışan açısından muhtemel olumsuzluklar doğurabilmesi durumunda çalışanın gerçek bir seçeneğe sahip olduğu söylenemeyeceğinden rızanın özgür iradeye dayandığından söz etmek mümkün olmayacaktır. Ayrıca rızanın geri alınabilmesi, biyometrik tanımlama sistemlerinin sürekliliğini ve uygulanabilirliğini zedeleyeceğinden biyometrik verilerin mesai takibi amacıyla yalnızca açık rıza şartına dayanılarak işlenmesi de kural olarak yeterli bir hukuki zemin oluşturmayacaktır.”
3. Yüksek Yargı İçtihatları ve Kanunilik İlkesi
Kurul, ihdas ettiği İlke Kararı’nın rasyonelini Anayasa Mahkemesi ve Danıştay’ın yerleşik içtihatlarıyla temellendirmiştir:
- Anayasa Mahkemesi Genel Kurulu Kararı (B. No: 2018/11988, T: 10/03/2022): AYM, kamu kurumunda uygulanan parmak izi ile mesai takip sistemini Anayasa’nın 20. maddesi bağlamında incelemiştir. Meri mevzuatta (657 sayılı DMK veya 5393 sayılı Belediye Kanunu) biyometrik veri temelli takip sistemlerinin kullanımına izin veren, temel esasları belirleyen açık bir kanuni düzenleme bulunmadığı gerekçesiyle müdahalenin “kanunilik” şartını sağlamadığına ve kişisel verilerin korunmasını isteme hakkının ihlal edildiğine hükmedilmiştir.
- Danıştay İdari Dava Daireleri Kurulu Kararı (E. 2024/225, K. 2024/2625): Danıştay 12. Dairesi’nin (E. 2021/3870, K. 2023/2548) “avuç içi damar okuyucu” sisteminin iptaline dair kararı, İDDK tarafından onanmıştır. İlgili yüksek yargı kararında, amaca ulaşmak için ihtiyaç duyulmayan veya amaca hizmet etmeyen yoğun veri işleme faaliyetlerinin Kanun’un genel ilkelerine aykırılık teşkil ettiği tescil edilmiştir.
4. Ölçülülük ve Veri Minimizasyonu İlkeleri Karşısında Alternatif Yöntemler
Kanun’un 4. maddesinde vazedilen genel ilkeler, her türlü veri işleme faaliyetinin kurucu unsurudur. Mesai takibi, doğası gereği sınırlı bir idari ve organizasyonel amaca matuftur. Bu amaca, ilgili kişinin temel haklarına daha az müdahale eden esnek ve hafif alternatif yöntemlerle ulaşılması teknik olarak mümkündür. Alternatif yöntemlerin varlığı, en ağır müdahale aracı olan biyometrik verilerin doğrudan işlenmesini ölçülülük, amaca bağlılık ve veri minimizasyonu ilkelerinin ihlali haline getirmektedir.
Kurul, veri sorumluları tarafından ikame edilmesi gereken hukuka uygun alternatif enstrümanları şu şekilde tasnif etmiştir:
- Şifreli ve PIN Tabanlı Kontrol Mekanizmaları: Personele tahsis edilen özgün dijital kodlar vasıtasıyla giriş-çıkış saatlerinin kayıt altına alınması.
- RFID / NFC Tabanlı Personel Kimlik Kartları: Turnike ve geçiş kontrol entegrasyonlarında akıllı kart teknolojilerinin kullanılması.
- Geleneksel ve Dijital Devam Çizelgeleri: İşKanununa İlişkin Çalışma Süreleri Yönetmeliği’nin 9. maddesindeki yasal yükümlülüğü karşılamaya elverişli imza föyleri ve dijital veri giriş tabloları.
- Manuel Denetim Usulleri: Yetkilendirilmiş personel veya birim amirleri gözetiminde yürütülen kontrol süreçleri.
5. Veri Sorumluları Açısından İdari ve Hukuki Risk Yönetimi
Kanun’un 15. maddesinin 6. fıkrası uyarınca tesis edilen bu İlke Kararı, veri sorumlularının takdir yetkisine bırakılmış bir tavsiye kararı olmayıp emredici bir hukuk normudur. Kanun’un 12. maddesi kapsamında gerekli teknik ve idari tedbirleri revize etmeyen veri sorumluları bakımından müteaddit riskler söz konusudur:
- İdari Yaptırımlar: Kurul’un bağlayıcı kararına rağmen iş yerlerinde biyometrik tabanlı turnike, kamera veya tarama sistemlerini aktif tutmaya devam eden veri sorumluları hakkında, Kanun’un 18. maddesi hükümleri uyarınca idari para cezası uygulanacaktır.
- İş Hukuku Riskleri: Hukuka aykırı ve ölçüsüz veri işleme faaliyeti, iş sözleşmesinin işçi tarafından haklı nedenle feshi ve akabinde maddi-manevi tazminat taleplerine yasal dayanak oluşturabilecektir.
Uyumluluk Sürecinde Atılması Gereken Esaslı Adımlar
2026/921 Sayılı İlke Kararı doğrultusunda, veri sorumlusu işverenlerin hukuki koruma sağlamak adına ivedilikle şu operasyonel adımları atması elzemdir:
- Organizasyon bünyesinde kurulu bulunan tüm biyometrik veri temelli Personel Devam Kontrol Sistemleri (PDKS) derhal durdurulmalı ve fiziki olarak devreden çıkarılmalıdır.
- Mesai takibi süreçleri, Kurul’un işaret ettiği şifreli veya RFID kartlı alternatif sistemlere entegre edilmelidir.
- Sistemlerde, sunucularda veya yerel depolama birimlerinde arşivlenen geçmiş dönem biyometrik veri şablonları, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak geri döndürülemeyecek şekilde imha edilmeli ve bu imha süreci yasal tutanak altına alınmalıdır.
- Veri Sorumlusu bünyesindeki Veri İşleme Envanteri (VERBİS), Çalışan Aydınlatma Metinleri, İK Politikaları ve Veri İmha Politikaları mevcut hukuki duruma tam uyumlu hale getirilerek güncellenmelidir.
İş yerinizdeki veri işleme faaliyetlerinin ve personel kontrol mekanizmalarının güncel KVKK düzenlemelerine uyumluluk süreçleri hakkında detaylı bilgi edinmek amacıyla bizimle iletişime geçebilirsiniz.