Olay
Kâğıt üretimi yapan bir şirketin çalışanları Kuruma şikâyette bulundu. Şikâyetlere göre fabrikada işe giriş-çıkışlar yüz tanıma sistemiyle kontrol ediliyor, çalışanlara bu konuda genel bir aydınlatma ve açık rıza metni imzalatılıyordu. Çalışanlar ayrıca tuvalette geçirilen süreyi ölçmek için lavabo çevresine kamera yerleştirildiğini ileri sürdü. Şirket savunmasında tehlikeli sınıfta faaliyet gösterdiğini, kameraların ve giriş-çıkış kontrolünün iş sağlığı ve güvenliği yükümlülükleri ile işçileri gözetim ve denetim yükümlülüğü için gerekli olduğunu, İş Kanunu ve İş Sağlığı ve Güvenliği Kanunu'na dayandığını belirtti.
Hukuki soru
İşe giriş-çıkış kontrolü için yüz tanıma yoluyla biyometrik veri işlenmesi, iş ilişkisinde genel bir metinle alınan açık rızaya ya da iş sağlığı ve güvenliği mevzuatından doğan yükümlülüklere dayandırılabilir mi? 6698 sayılı Kanun'un 6. maddesi biyometrik verileri özel nitelikli kişisel veri sayar. Kurul ayrıca, daha az müdahaleci yöntemler varken biyometrik verinin kullanılmasının 4. maddedeki “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine uygun olup olmadığını inceledi.
Karar
Kurul, alınan açık rızanın belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış olma unsurlarını taşımadığına karar verdi. İş Kanunu ile iş sağlığı ve güvenliği mevzuatı biyometrik veri işlenmesini açıkça öngörmediğinden “kanunlarda öngörülme” şartı da gerçekleşmemişti. Kurul, geçerli bir rıza bulunsa dahi manyetik kart, RFID etiketi veya SMS gibi alternatifler varken yüz tanıma kullanılmasının ölçülülük ilkesine aykırı olduğunu belirtti. Şirkete Kanun'un 12. maddesinin birinci fıkrasına aykırılıktan 18. madde uyarınca 500.000 TL idari para cezası verildi. Biyometrik veri işlenmesinin durdurulması, toplanan verilerin imhası, kameraların yerinin düzeltilmesi ve metinlerin güncellenmesi için otuz günlük süre tanındı.
Neden önemli
Karar, iş ilişkisinde biyometrik verilere dayalı mesai takibinin açık rızayla meşrulaştırılamayacağına ilişkin Kurul yaklaşımının somut bir uygulamasıdır. Kurul burada rızanın geçerliliği ile ölçülülüğü birbirinden ayırmış ve ikincisini bağımsız bir engel olarak ele almıştır. İş sağlığı ve güvenliği gibi genel yükümlülüklerin özel nitelikli veri işlenmesi için yeterli kanuni dayanak sayılmaması da ayrıca önem taşıyor. Aynı gerekçe, 2026 yılında tüm veri sorumlularını bağlayan bir ilke kararına dönüştü.
İlgili aşamalar
Kurulun 29.04.2026 tarihli ve 2026/921 sayılı mesai takibinde biyometrik veri işlenmesine ilişkin ilke kararına bakınız.