KVKK: Biyometrik Verilerin Kullanımı Hukuka Aykırı
Kişisel Verileri Koruma Kurulu (KVKK), çalışanların devam takibini dijitalleştirmek ve güvenliği artırmak amacıyla kullanılan biyometrik tanımlama sistemleri hakkında önemli bir ilke kararı yayımladı. Kurul, 29.04.2026 tarihli ve 2026/921 sayılı kararıyla, iş yerlerinde mesai takibi için parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik verilerin işlenmesinin hukuka aykırı olabileceğini duyurdu.
Kararda, işçi ve işveren arasındaki güç dengesizliği nedeniyle alınan açık rızanın özgür iradeye dayanmadığı ve bu uygulamanın ölçülülük ilkesine aykırı olduğu ifade edildi. Kurallara uymayan veri sorumluları hakkında idari yaptırımlar uygulanacağı belirtildi.
Biyometrik Sistemlerin Hukuki Altyapısı ve Açık Rıza Sorunu
Mevzuatta çalışma sürelerinin takibine dair düzenlemeler bulunsa da, bu takibin biyometrik verilerle yapılmasına yönelik açık bir kanuni hüküm bulunmamaktadır. KVKK’nın incelemeleri, işverenlerin bu faaliyetleri genellikle çalışanların açık rızasına dayandırarak yürüttüğünü göstermektedir.
Ancak Kurul, istihdam ilişkisindeki eşitsizlik nedeniyle çalışanın rıza göstermeme veya rızasını geri çekme imkânının etkin bir biçimde bulunmadığını vurguladı. Bu durumlarda rızanın özgür iradeye dayanmasından söz edilemeyeceği, ayrıca rızanın geri alınmasının sistemin sürekliliğini zedeleyeceği için tek başına yeterli bir hukuki zemin oluşturamayacağı ifade edildi.
Ölçülülük İlkesi ve Alternatif Yöntemlerin Kullanımı
Kararda, mesai takibinde biyometrik veri işlenmesinin amaca uygunluğu, alternatif yöntemlerin tüketilip tüketilmediği ve müdahalenin boyutu açısından değerlendirilmesi gerektiği vurgulandı. Daha az müdahaleci yöntemlerin varlığı karşısında, ilgili kişinin açık rızası bulunsa bile biyometrik veri işlenmesinin Kanun‘un 4’üncü maddesinde yer alan genel ilkeler kapsamındaki ölçülülük kriterini sağlamadığı aktarıldı.
Kurul, mesai takibinin biyometrik sistemler yerine şu alternatif yollarla sağlanması gerektiğini bildirdi:
Uymayan Veri Sorumlularına İdari Yaptırım Uygulanacak
KVKK, belirlenen bu kuralların ve alternatif yöntemlerin tercih edilmesinin, veri sorumluları tarafından alınması gereken idari ve teknik tedbirler kapsamında olduğunu duyurdu. Yapılacak incelemelerde bu hususlara uygun hareket etmediği tespit edilen veri sorumluları hakkında Kanun‘un 18’inci maddesi hükümleri uyarınca yasal işlem tesis edileceği açıklandı.
