Mesai Takibi Amacıyla Parmak İzli Giriş-Çıkış Sistemi Kullanılmasına İlişkin KVKK İlke Kararı Yayınlandı
Kişisel Verileri Koruma Kurulu (“
Kurul”), 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanan 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile iş yerlerinde mesai takibi amacıyla biyometrik veri işlenmesine ilişkin önemli bir karar vermiştir. Kurul kararda, işverenlerin çalışanlardan aldığı açık rızanın, mesai takibinde parmak izi işlenmesi bakımından tek başına yeterli bir hukuki dayanak oluşturmadığını açık biçimde vurgulamıştır.
- İstihdam İlişkisinde Açık Rızanın Sakatlanması: İşçi ve işveren arasındaki yapısal güç dengesizliği nedeniyle, çalışanın verdiği rızanın her zaman "özgür iradeye" dayandığını kabul etmek hukuken mümkün değildir. Ayrıca açık rızanın her an geri alınabilir olması, kesintisiz çalışması gereken mesai takip sistemlerinin hukuki sürdülebilirliği ile bağdaşmamaktadır.
- Açık Rızayı Aşan Ölçülülük ve Alternatif Yöntem Denetimi: Kurul, çalışanın geçerli bir açık rızası olsa dahi, veri işleme faaliyetinin amaca uygunluk, elverişlilik ve ölçülülük kriterleri açısından denetlenmesi gerektiğini belirtmiştir.
- Kişilerin temel hak ve özgürlüklerine daha az müdahaleci nitelikte olan şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollar tüketilmeden biyometrik veri işlenmesi, ölçülülük ilkesine açıkça aykırılık teşkil eder.
- Menfaatler Dengesi ve Biyometrik Verinin Üstünlüğü: Parmak izi ve yüz tanıma gibi biyometrik veriler, ele geçirilmesi veya kötüye kullanılması halinde telafisi ve geri döndürülmesi imkânsız olan özel nitelikli kişisel verilerdir. Mesai takibi ise işveren açısından meşru olmakla birlikte, sınırlı ve sıradan bir idari amaçtır. Kurul, verinin korunmasındaki yüksek hukuki menfaati, mesai takibinin getireceği idari menfaatin üstünde tutmuştur.
Bu karar, biyometrik mesai takip sistemleri kullanan işverenler bakımından güçlü bir uyum uyarısı niteliğindedir. İşverenlerin yüksek idari para cezalarıyla ve hukuki yaptırımlarla karşılaşmaması adına; alternatif sistemlere geçiş planı oluşturması ve veri saklama ile imha süreçlerini KVKK yükümlülükleri çerçevesinde ele alması önem taşımaktadır.