2 Haziran 2026’da Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” (“İlke Karar”) yayımlanmıştır. İlke Karar’da, çalışan devam takibini dijitalleştirme ve güvenliği artırma amacıyla kurum ve kuruluşlar tarafından biyometrik tanıma sistemlerine giderek daha fazla başvurulduğu; ancak biyometrik verilerin hassas niteliği ve işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle, bu tür veri işleme faaliyetlerinin yalnızca hukuki sebep bakımından değil, aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 4’üncü maddesindeki genel ilkeler yönünden de değerlendirilmesi gerektiği belirtilmektedir.

İlke Karar’da öne çıkan başlıca hususlar aşağıda özetlenmiştir:

    • Biyometrik veriler, Kanun’un 6’ncı maddesinde sınırlı sayma yoluyla belirlenmiş olan özel nitelikli kişisel veri niteliğindedir. Bu kapsamda, biyometrik verilerin işlenebilmeleri için Kanun’un 6. Maddesinde yer alan işleme sebeplerinden birinin bulunması gerekmektedir.
    • Parmak izi, yüz tanıma, iris ve retina verileri fizyolojik biyometrik verilere; ses tınısı, imza dinamikleri ve klavye kullanım alışkanlıkları ise davranışsal biyometrik verilere örnek olarak gösterilmektedir.
    • Çalışma sürelerinin takibi ve belgelendirilmesine ilişkin mevzuatta işverene belirli yükümlülükler getirilmiş olmakla birlikte, mesai takibinin biyometrik veri işlenmesi yoluyla yapılmasını açıkça öngören bir kanuni düzenleme bulunmamaktadır.
    • Bu nedenle, mesai takibi amacıyla biyometrik veri işlenmesi faaliyetinin “kanunlarda açıkça öngörülme” şartına dayandırılamayacağı değerlendirilmektedir.
    • Uygulamada, mesai takibi amacıyla biyometrik veri işleme faaliyetlerinin Kanun’un 6. Maddesinde yer alan diğer işleme şartlarına da dayanmadığından çoğunlukla açık rıza hukuki sebebine dayandırıldığı görülmektedir. Ancak işçi-işveren ilişkisindeki güç dengesizliği nedeniyle, açık rızanın özgür iradeye dayandığının kabulü mümkün olmamaktadır.
    • Biyometrik veri işleme faaliyetlerinde yalnızca hukuki sebebin varlığı yeterli değildir. Veri işleme faaliyetinin Kanun’un 4’üncü maddesinde yer alan genel ilkelere, özellikle işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine uygun olması gerekmektedir.
    • İşlendikleri amaçla bağlantılı ve sınırlı olma ilkesi, kişisel veri işleme faaliyetinde amaca ulaşmak için en az müdahaleci yöntemin tercih edilmesini gerektirmektedir. Kurum, mesai takibi süreçlerinde alternatif yöntemlerin mevcut olduğunu değerlendirmiştir.
    • Ölçülülük ilkesi bakımından ise Kurum, mesai takibi gibi sınırlı bir idari amaç için biyometrik veri işlenmesinin ölçüsüz bir müdahale olduğunu ve ölçülülük ilkesine aykırı olduğunu değerlendirmiştir.
    • Dolayısıyla, mesai takibi süreçlerinde şifreli kart, PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları veya denetçi gözetiminde elle giriş-çıkış gibi daha az müdahaleci alternatif yöntemlerin tercih edilmesi gerekmektedir.

Belirtilen hususlar, Kanun’un 12’nci maddesinin birinci fıkrası uyarınca kişisel verilerin hukuka uygun işlenmesini teminen veri sorumluları tarafından alınması gereken idari ve teknik tedbirler kapsamında değerlendirilmekte olup, bu hususlara uyulmadığının tespiti halinde veri sorumluları hakkında Kanun’un 18’inci maddesi uyarınca idari para cezasına hükmedilebilecektir.

Konuya ilişkin detaylı bilgi almak için ekibimiz ile iletişime geçebilirsiniz.

Batuhan Şahmay
Ortak Avukat | batuhan.sahmay@bener.com
Merve Atayurt
Avukat | merve.atayurt@bener.com
Çağla Özyavaş
Avukat | cagla.ozyavas@bener.com