- within Privacy, Criminal Law and Family and Matrimonial topic(s)
- in Turkey
Karar Türü: İlke Kararı
Karar No: 2026/921
Karar Tarihi: 29/04/2026
Resmî Gazete Yayımlanma Tarihi: 02/06/2026 (Sayı: 33268)
1. Kararın Özeti
Kişisel Verileri Koruma Kurulu (“Kurul”), işyerlerinde, çalışanların devam kontrolünün dijitalleştirilmesi ve güvenliğin artırılması amacıyla işyeri giriş çıkışlarında parmak izi, yüz tanıma, iris/retina taraması ve avuç içi damar okuma gibi biyometrik tanımlama sistemlerinin kullanımının yaygınlaştığı tespit etmiştir. Kurul, söz konusu uygulamaları, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında değerlendirerek 2026/921 sayılı İlke Kararı’nı (“İlke Kararı”) yayınlamıştır.
Kurul, İş Kanunu’nda işverenin çalışma sürelerini takip etme ve belgeleme yükümlülüğü bulunduğunu ancak takibin biyometrik veri işlenmesi suretiyle yapılmasını öngören açık bir kanuni düzenleme bulunmadığını; bu nedenle KVKK m.6/3’te sayılan “ kanunlarda açıkça öngörülme” şartına dayanılarak işleme yapılamayacağını kararında belirtmiştir. Kurul tarafından, uygulamada, veri işleme faaliyetinin açık rıza şartına dayandırıldığı görülmekle birlikte, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle rızanın özgür iradeye dayanıp dayanmadığının tartışmalı olduğu ve rızanın geri alınabilir niteliğinin sistemin sürekliliğini zedelediği gerekçesiyle, açık rızanın tek başına yeterli bir hukuki zemin oluşturmadığı sonucuna varılmıştır.
Kurul’un bu ilke kararı ile getirdiği en kritik standart, geçerli bir açık rıza bulunsa dahi, mesai takibi amacıyla biyometrik veri işlenmesi, KVKK m.4’te yer alan genel ilkeler özellikle ölçülülük ilkesi karşısında hukuka aykırı kabul edileceğidir. Alternatif ve daha az müdahaleci yöntemlerin (şifreli kart/PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları veya denetçi gözetiminde elle giriş) mevcudiyeti karşısında, mesai takibinin biyometrik tanımlama sistemleri yerine bu yollarla sağlanması gerektiği kamuoyunun bilgisine sunulmuştur.
2. Kurul’un Değerlendirmeleri ve Getirilen Standartlar
2.1. “Kanunlarda Açıkça Öngörülme” Şartının Sağlanamaması
Kurul, 4857 sayılı İş Kanunu’nun 63, 67 ve 75’inci maddeleri ile Çalışma Süreleri Yönetmeliği’nin 9’uncu maddesi uyarınca işverenin çalışma sürelerini takip ve belgeleme yükümlülüğü bulunduğunu; ancak bu takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık bir kanuni düzenleme bulunmadığını tespit etmiştir. Bu nedenle m.6/3’ün (b), (c), (ç), (d), (e), (f) ve (g) bentlerinde yer alan işleme şartlarından hiçbiri uygulama alanı bulamamakta, uygulamada söz konusu faaliyet zorunlu olarak (a) bendindeki açık rıza şartına dayandırılmaktadır. Ancak söz konusu uygulamanın doğru olmadığı İlke Kararı ile tespit edilmiştir.
2.2. Açık Rızanın Tek Başına Yeterli Hukuki Zemin Oluşturmaması
Açık rıza; KVKK m.3/1-a uyarınca belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder. Kurul, tarafların eşit konumda olmaması, güç dengesizliğinin bulunduğu istihdam ilişkilerinde çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin biçimde sunulmaması ya da rıza göstermemenin çalışan açısından olumsuz sonuç doğurabilmesi hallerinde, çalışanın gerçek bir seçeneğe sahip olmadığının ve dolayısıyla rızanın özgür iradeye dayandığının söylenemeyeceğini belirtmiştir. Ayrıca rızanın geri alınabilmesi biyometrik sistemin sürekliliğini ve uygulanabilirliğini zedeleyeceğinden, biyometrik verilerin yalnızca açık rızaya dayanılarak işlenmesinin kural olarak yeterli olmadığı sonucuna ulaşılmıştır.
2.3. Ölçülülük İlkesi ve Alternatif Yöntemlerin Önceliği
Kurul, KVKK m.4’teki genel ilkelere -özellikle “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine- her hâl ve şartta uyulmasının zorunlu olduğunu vurgulamıştır. Mesai takibinde biyometrik veri işlenmesi;
- yöntemin amaca uygunluğu,
- alternatif yöntemlerin tüketilip tüketilmediği ve
- müdahalenin boyutu açısından
ayrı ayrı değerlendirilmelidir.
Yukarıda sayılan kriterleri karşılamayan uygulamalar, ilgili kişinin açık rızası bulunsa dahi hukuka aykırı sayılacaktır.
Şifreli kart/PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerin varlığı, biyometrik veri
işlemenin zorunlu olmadığını açıkça ortaya koymaktadır. Mesai takibi sınırlı bir idari amaç olup bu denli yoğun bir veri işleme müdahalesini çoğu durumda haklı kılmamaktadır; verilerin başka işleme faaliyetleriyle birleştirilerek farklı amaçlarla kullanılma veya kötüye kullanılma ihtimali de dikkate alındığında, bu yöndeki bir uygulama ölçülülük ilkesinin ihlali anlamına gelecektir.
2.4. Kararı Destekleyen Yüksek Yargı Kararları
Kurul, değerlendirmesini yüksek yargı içtihatlarına dayandırmıştır. Anayasa Mahkemesi’nin 10/03/2022 tarihli ve 2018/11988 başvuru numaralı kararında, bir belediyede devlet memuru olarak çalışan başvurucunun parmak izi sistemiyle mesai takibine ilişkin başvurusu incelenmiş; 657 sayılı Devlet Memurları Kanunu ile 5393 sayılı Belediye Kanunu’nda biyometrik veri temelli takip sistemlerine dair temel esasları belirleyen bir düzenleme bulunmadığından müdahalenin kanunilik şartını sağlamadığı ve kişisel verilerin korunmasını isteme hakkının ihlal edildiği sonucuna varılmıştır.
3. Sonuç ve Yaptırım
İlke Kararı uyarınca, mesai takibi amacıyla işlenen biyometrik verilerin geçerli bir işleme şartından yoksun olduğu durumda, hâlihazırda toplanmış biyometrik veriler bakımından işlemenin hukuki dayanağı ortadan kalkmaktadır. Bu durumda veri sorumlularının, işlenmesini gerektiren sebep ortadan kalkan bu verileri silme, yok etme veya anonim hâle getirme yükümlülüğü gündeme gelecektir. Önemle belirtmek gerekir ki, mevcut açık rızaların yenilenmesi dahi ölçülülük ilkesi karşısında işlemeyi hukuka uygun hâle getirmeyecektir; çözüm, rızanın yenilenmesi değil, alternatif yöntemlerin devreye alınmasıdır.
Kurul, mesai takibi amacıyla biyometrik veri işlenmesini KVKK m.15/6 uyarınca ilke kararına bağlamış; bu hususların m.12/1 kapsamında alınması gereken idari ve teknik tedbirlerden olduğunu ve belirtilenlere uygun hareket edilmediğinin tespiti hâlinde ilgili veri sorumluları hakkında m.18 hükümleri gereği işlem tesis edileceğini açıkça belirtmiştir. Resmî Gazete’de yayımlanmasıyla birlikte derhâl uygulanabilir nitelik kazandığı değerlendirilen kararın gereği olarak, veri sorumlularının mesai takibine ilişkin biyometrik veri işleme faaliyetleri yerine alternatif yöntemlere geçiş için gerekli uyum çalışmalarını yürütmesi önerilmektedir.
Konu hakkında daha detaylı bilgi talep etmeniz hâlinde tarafımızla aşağıdaki irtibat numaraları üzerinden istediğiniz zaman iletişime geçebilirsiniz.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
