Olay
Kuruma ulaşan ihbar ve şikâyetlerde en sık karşılaşılan konulardan biri, işverenlerin çalışan devam takibi için parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerine yönelmesiydi. Uygulamada bu işleme çoğunlukla çalışanların açık rızasına dayandırılıyordu. Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı kararla bu konuda bir ilke kararı aldı. Karar 02.06.2026 tarihli Resmî Gazete'de yayımlandı. Kurum, veri sorumlularından gelen görüş talepleri üzerine 27.08.2026'da kararın kapsamını açıklayan ikinci bir duyuru yaptı.
Hukuki soru
Mesai takibi amacıyla biyometrik veri işlenmesi, 6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrasında sayılan işleme şartlarından hangisine dayanabilir? Özellikle, işçi-işveren ilişkisindeki güç dengesizliği ve rızanın her an geri alınabilmesi karşısında çalışanın açık rızası geçerli ve yeterli bir hukuki sebep oluşturur mu? Kurul ayrıca, rıza geçerli olsa bile, daha az müdahaleci yöntemlerin varlığı karşısında biyometrik veri kullanımının 4. maddedeki ölçülülük ilkesini karşılayıp karşılamadığını değerlendirdi.
Karar
Kurul, çalışma sürelerinin takibini düzenleyen mevzuatta bu takibin biyometrik veriyle yapılmasını öngören açık bir hüküm bulunmadığını, dolayısıyla 6. maddenin üçüncü fıkrasının (b) ila (g) bentlerinin uygulanamayacağını belirtti. Güç dengesizliği ve rızanın geri alınabilmesi nedeniyle açık rıza tek başına yeterli bir hukuki zemin oluşturmuyordu. Kurul, geçerli bir açık rıza bulunsa dahi bu işlemenin ölçülülük kriterini sağlamayacağına ve mesai takibinin şifreli kart, PIN, kâğıt çizelge, RFID/NFC kart ya da denetçi gözetiminde elle giriş gibi yollarla yapılması gerektiğine karar verdi. Aykırılık hâlinde 18. madde uyarınca işlem yapılacak. 27.08.2026 tarihli duyuruya göre karar yalnızca mesai takibini kapsıyor; verinin matematiksel koda çevrilmesi biyometrik niteliğini ortadan kaldırmıyor.
Neden önemli
İlke kararı, önceki somut dosyalarda ortaya konan gerekçeyi tüm işverenler için bağlayıcı genel bir kurala dönüştürüyor. Açık rızanın iş ilişkisinde yetersiz kalacağı ve ölçülülüğün bağımsız bir engel olduğu açıkça tespit ediliyor. Duyuruda geçiş süresine yer verilmedi. Kritik güvenlik alanlarındaki biyometrik erişim kontrolü ise kapsam dışında tutulup somut olay bazında değerlendirilecek.
İlgili aşamalar
Kurulun yüz tanımayla işe giriş-çıkış takibine 500.000 TL ceza verdiği 04.08.2022 tarihli ve 2022/797 sayılı kararına bakınız.