Kişisel Verileri Koruma Kurumu İlke Kararının Değerlendirilmesi

Kişisel Verileri Koruma Kurulu’nun çalışanların mesai takibinin sağlanması amacıyla yüz tanıma, parmak izi, retina taraması ve benzeri biyometrik tanımlama sistemlerinin kullanılmasına ilişkin 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, 02.06.2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir.

Anılan Kararda, biyometrik tanımlama sistemlerinin mesai takibi amacıyla kullanılmasının işverenler bakımından çeşitli avantajlar sağlamakla birlikte, kişisel verilerin korunması hukuku açısından son derece hassas bir alan teşkil ettiği vurgulanmıştır. Özellikle biyometrik verilerin, taraflar arasında yapısal bir güç dengesizliğinin bulunduğu işçi-işveren ilişkisi kapsamında işlenmesinin, söz konusu hassasiyeti daha da artıracağı belirtilmiştir. Kurul, meseleyi yalnızca biyometrik veri işleme faaliyetinin bir hukuki işleme şartına dayanıp dayanmadığı yönünden değil; aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkeleri bakımından da değerlendirmektedir.

İlgili mevzuat hükümlerinin incelenmesi neticesinde, biyometrik veri işleme faaliyetlerinin Kanun’da öngörülen işleme şartlarından birine dayanmasının zorunlu olduğu; ancak işçi-işveren ilişkisi kapsamında mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleri bakımından bu şartların büyük ölçüde uygulanabilir olmadığı tespit edilmiştir. Bu kapsamda, yalnızca 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesinde düzenlenen açık rıza hukuki sebebine dayanılarak biyometrik verilerin mesai takibi amacıyla işlenmesinin teorik olarak mümkün olduğu ifade edilmektedir.

Bununla birlikte, işçi ve işveren arasındaki ilişkinin doğası gereği tarafların eşit konumda bulunmaması, işverenin çalışan üzerinde belirli ölçüde otorite ve etkiye sahip olması nedeniyle, çalışan tarafından verilen açık rızanın özgür iradeye dayanıp dayanmadığı hususu ciddi tereddütler doğurmaktadır. Nitekim Kurul da, istihdam ilişkilerinde verilen açık rızanın her somut olay bakımından özgür irade unsuru yönünden ayrıca değerlendirilmesi gerektiğini belirtmektedir.

Öte yandan, 6698 sayılı Kanun’un 4. maddesinde kişisel verilerin işlenmesine ilişkin genel ilkeler arasında yer alan ölçülülük ilkesi, veri işleme faaliyetinin amaçla bağlantılı, sınırlı ve gerekli olmasını zorunlu kılmaktadır. Bu doğrultuda, mesai takibinin sağlanması amacıyla biyometrik veri işlenmesinin gerçekten gerekli olup olmadığı, aynı amaca ulaşılmasını sağlayabilecek daha az müdahaleci yöntemlerin bulunup bulunmadığı her somut olay özelinde değerlendirilmelidir.

Dolayısıyla, çalışanlardan açık rıza alınmış olması tek başına biyometrik veri işleme faaliyetini hukuka uygun hale getirmemektedir. Açık rızanın geçerli olması yanında, veri işleme faaliyetinin ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerekmektedir. Aksi halde, açık rızaya dayanılmış olsa dahi biyometrik veri işleme faaliyetinin hukuka aykırı kabul edilmesi ve ilgili veri sorumlusu hakkında idari yaptırımlar uygulanması söz konusu olabilecektir.

Sonuç olarak Kurul, mesai takibi amacıyla biyometrik veri işlenmesinin ancak istisnai durumlarda değerlendirilebileceğini, açık rızanın varlığının tek başına yeterli olmadığını ve veri işleme faaliyetinin her hâlükârda gereklilik, ölçülülük ve veri minimizasyonu ilkeleri çerçevesinde ayrıca incelenmesi gerektiğini ortaya koymuştur. Bu yönüyle İlke Kararı, işverenlerin mesai kontrolüne ilişkin uygulamalarında daha az müdahaleci yöntemleri tercih etmeleri gerektiğini vurgulamakta ve çalışanların özel hayatının korunmasına yönelik önemli bir güvence niteliği taşımaktadır.