Kişisel Verileri Koruma Kurulu (“Kurul”), 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile mesai takibi amacıyla biyometrik veri işlenmesine ilişkin değerlendirmelerini ve konuya yaklaşımını ilke kararı (“İlke Kararı”) altında toplamıştır. İlgili İlke Kararı 02.06.2026 tarihli ve 33268 sayılı Resmi Gazete’de ve Kişisel Verileri Koruma Kurumu internet sitesinde yayımlanmıştır.
İlke Kararında Öne Çıkan Değerlendirmeler
Biyometrik veriler, kişilerin benzersiz şekilde tanımlanmasını sağlayan özel nitelikli kişisel verilerdir. Bu verilerin hassas niteliği ile ihlal edilmeleri halinde değiştirilememeleri veya geri alınamamaları nedeniyle korunmaları büyük önem taşımakta olup, Kurul da İlke Kararı'nda bu hususa özellikle dikkat çekmiştir.
İlke Kararı’nda, işverenler tarafından parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik verilerin kullanılmasına yönelik önemli değerlendirmelere yer verilmiştir. Kurul, biyometrik verilerin işlenmesinin yalnızca bir hukuki işleme şartına dayanmasının yeterli olmadığını, ayrıca gereklilik, ölçülülük ve veri minimizasyonu ilkeleri bakımından da değerlendirilmesi gerektiğini vurgulamıştır. Bu kapsamda aşağıdaki gerekçelere yer verilmiştir.
- Özel nitelikli kişisel veriler ancak 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (“Kanun”) 6'ncı maddesinde sınırlı olarak sayılan işleme şartlarından birinin varlığı halinde işlenebilmektedir. Mesai takibi amacıyla biyometrik veri işlenmesi bakımından ise söz konusu maddede yer alan açık rıza dışındaki işleme şartlarının uygulama alanı bulmadığı görülmektedir. Bununla birlikte, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışan tarafından verilen açık rızanın özgür iradeye dayanıp dayanmadığı tartışmalı hale gelmektedir. Bu nedenle Kurul, mesai takibi amacıyla biyometrik veri işlenmesinin açık rızaya dayandırılmasına ihtiyatla yaklaşmakta ve açık rızanın tek başına yeterli bir dayanak olarak değerlendirilmemesi gerektiğini ortaya koymaktadır.
- Kurul kararında özellikle ölçülülük ilkesine vurgu yapılmakta ve mesai takibi amacıyla gerçekleştirilen veri işleme faaliyetlerinde amaca ulaşmak için en az müdahaleci yöntemin tercih edilmesi gerektiği belirtilmektedir. Bu kapsamda, aynı sonucun daha az veri işlenerek elde edilmesinin mümkün olduğu durumlarda biyometrik veri kullanımına başvurulması ölçülülük ilkesine uygun görülmemektedir. Nitekim mesai takibi bakımından şifreli kart veya PIN tabanlı sistemler, RFID/NFC kartları, geleneksel imza çizelgeleri ya da denetçi gözetiminde giriş-çıkış kontrolü gibi alternatif yöntemlerin mevcut olduğu dikkate alındığında, biyometrik veri işlenmesinin gerekli ve ölçülü bir yöntem olarak değerlendirilmesi güçleşmektedir. Kurul da söz konusu alternatiflerin varlığı karşısında, ilgili kişinin açık rızası bulunsa dahi mesai takibi amacıyla biyometrik veri işlenmesinin Kanun'un genel ilkeleri kapsamında ölçülülük kriterini sağlamayacağını belirtmektedir.
Sonuç olarak Kurul, çalışma sürelerinin takibine ilişkin mevzuatta düzenlemeler bulunmakla birlikte, bu takibin biyometrik veri işlenmesi suretiyle gerçekleştirilmesini gerektiren açık bir hükmün bulunmadığını belirtmiştir. Bu kapsamda, mesai takibi amacıyla biyometrik veri işlenmesinin açık rızaya dayandırılması mümkün görülmemiş; ayrıca söz konusu veri işleme faaliyetinin Kanun'un genel ilkeleri çerçevesinde gereklilik, ölçülülük ve veri minimizasyonu ilkeleri bakımından da değerlendirilmesi gerektiği vurgulanmıştır.