İŞYERİNDE PARMAK İZİ VE YÜZ TANIMA İLE MESAİ TAKİBİ HUKUKA AYKIRI MI ?

İşyerinde parmak izi ile mesai takibi ve yüz tanıma sistemi aracılığıyla giriş-çıkış kontrolü uygulamaları, son yıllarda pek çok işveren tarafından yaygın biçimde benimsenmektedir. Ancak bu uygulamalar, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında son derece hassas bir alanda yer almaktadır. Parmak izi, yüz görüntüsü, el geometrisi ve iris taraması gibi biyometrik veriler, Kanun'un 6. maddesi uyarınca özel nitelikli kişisel veri olarak sınıflandırılmakta ve işlenmesi genel nitelikteki kişisel verilere kıyasla çok daha sıkı koşullara bağlanmaktadır. Kişisel Verileri Koruma Kurulu (KVKK), 2019 yılından bu yana bu alanda verdiği kararlarla mesai takibi amacıyla biyometrik veri işlenmesinin hukuka uygun kabul edilemeyeceğini defalarca ortaya koymuş; 2026 yılında aldığı ilke kararıyla bu tutumunu tüm sektörü bağlayacak biçimde resmileştirmiştir.

Kurul'un biyometrik veri ile mesai takibine ilişkin içtihadı 2019 yılında spor salonlarında başlamış ve kısa sürede işyerlerini kapsayan kararlara evrilmiştir. 2019/81 ve 2019/165 sayılı kararlarında Kurul, üyelerin tesise girişinde el ve avuç izi taraması uygulanmasını incelemiş; bu yöntemin biyometrik veri niteliği taşıdığını ve manyetik kart ya da RFID gibi çok daha az müdahaleci alternatifler mevcutken tercih edilmesinin KVKK'nın ölçülülük ilkesini ihlal ettiğini tespit etmiştir. Üyelerin açık rızasının alınmış olmasının bu sonucu değiştirmediği özellikle vurgulanmış; açık rızanın aşırı miktarda veri toplanmasını meşrulaştırmayacağı açıkça ortaya konularak biyometrik veri işleme faaliyetinin durdurulmasına ve toplanan verilerin imha edilmesine hükmedilmiştir. 2020/167 sayılı kararında ise 31.000 nokta üzerinden üç boyutlu olarak taranan el geometrisi bilgisinin biyometrik veri teşkil ettiği belirlenerek üyeye seçimlik hak tanınmaksızın sistemin zorunlu tutulmasının özgür iradeyi ortadan kaldırdığı sonucuna varılmış ve idari para cezasına hükmedilmiştir.

İşyerinde parmak izi ile mesai takibi uygulamasına yönelik ilk kapsamlı değerlendirme 2020/404 sayılı kararda yapılmıştır. Söz konusu kararda tüm çalışanların aydınlatılmaksızın ve açık rızası alınmaksızın parmak izi vermek zorunda bırakıldığı tespit edilmiş; giriş-çıkış kartı gibi alternatiflerin mevcut olduğu bu koşullarda parmak izi uygulamasının hem ölçülülük ilkesine hem de aydınlatma yükümlülüğüne aykırı olduğu sonucuna ulaşılmıştır. 2020/915 sayılı kararda ise belediye bünyesinde çalışan personelin parmak iziyle mesai takibine tabi tutulduğu bir olay ele alınmış; Kurul, ölçülülük ilkesinin ihlal edildiğini saptayarak uygulamanın sona erdirilmesini ve toplanan biyometrik verilerin imha edilmesini emretmiştir. 2020/649 sayılı kararda Kurul, basınç, hız ve ritim gibi davranışsal biyometrik özellikleri barındıran biyometrik imzanın hukuki niteliğini incelemiş; TBK'nın 15. maddesindeki imza düzenlemesinin KVKK m.6/3 kapsamında aranan kanunlarda öngörülme şartını karşılamadığını belirlemiş ve biyometrik imzanın yalnızca geçerli bir açık rıza alınmak suretiyle kullanılabileceğine hükmetmiştir.

İşyerinde yüz tanıma sistemi kullanımı da Kurul'un inceleme kapsamına girmiştir. 2022/662 sayılı kararında el geometrisi bilgisinin açık rıza alınmaksızın hizmet binasına girişte kullanıldığı tespit edilerek hukuka aykırılık saptanmış ve idari yaptırım uygulanmıştır. 2022/797 sayılı kararda ise işyerinde yüz tanıma sistemi aracılığıyla giriş-çıkış kontrolü yapıldığı ve güvenlik kameralarının çalışanların mahremiyet beklentisini zedeleyecek noktalara konumlandırıldığı bir olay incelenmiştir. Kurul bu kararda, genel nitelikteki aydınlatma metninin biyometrik veri işleme faaliyetine ilişkin yeterli bilgi içermediğini; KVKK kapsamında aydınlatma yükümlülüğünün açık rıza beyanından bağımsız ve ayrı bir belgeyle yerine getirilmesi gerektiğini belirlemiş ve idari para cezasına hükmetmiştir. Bu kararlar; aydınlatma, rıza ve ölçülülük yükümlülüklerinin birbirini ikame etmediğini ve her birinin ayrıca yerine getirilmesi gerektiğini ortaya koymaktadır.

İşverenler tarafından sıkça başvurulan yöntemlerden biri, iş sözleşmesine eklenen açık rıza maddeleri aracılığıyla parmak izi veya yüz tanıma sistemi kullanımını meşrulaştırmaya çalışmaktır. Kurul bu yaklaşımı da kabul etmemektedir. Çalışan-işveren ilişkisindeki yapısal güç dengesizliğinin açık rızanın özgür iradeye dayandığı konusunda ciddi kuşku doğurduğu; özellikle iş sözleşmesini imzalamadan işe başlamak gibi bir alternatifin bulunmadığı ya da rızanın özlük dosyasına işlenmesinin zorunlu tutulduğu durumlarda bu kuşkunun somutlaştığı vurgulanmaktadır. Öte yandan İş Sağlığı ve Güvenliği mevzuatına dayanan savunmalar da kabul görmemektedir; kanunlarda öngörülme şartının karşılanabilmesi için sektöre özgü ve biyometrik veri işlemeye doğrudan cevaz veren açık bir düzenlemenin varlığı zorunludur.

Kurul'un bu alandaki bireysel kararları, 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararıyla kurumsal bir bütünlük kazanmış ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. KVKK ilke kararları, yalnızca önünde şikâyet bulunan veri sorumlularını değil tüm sektörü doğrudan bağlamaktadır. 2026/921 sayılı ilke kararında Kurul; işyerinde parmak izi ile mesai takibi ve yüz tanıma sistemi aracılığıyla giriş-çıkış kontrolü yapılmasını öngören açık bir kanuni düzenleme bulunmadığından bu yöntemlere başvurulmasının hukuka aykırılık teşkil edebileceğini; işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle çalışandan alınan açık rızanın özgür iradeye dayandığının kabul edilemeyeceğini; şifreli kart, PIN tabanlı sistem, RFID/NFC kimlik kartı ve imza çizelgesi gibi daha az müdahaleci alternatifler mevcutken biyometrik veri işlemenin ölçülülük, gereklilik ve veri minimizasyonu ilkeleriyle bağdaşmadığını açıkça ortaya koymuştur. Kararda ayrıca, rızanın geri alınabilir nitelikte olmasının biyometrik sistemlerin sürekliliğini zedeleyeceği ve bu nedenle açık rızanın tek başına yeterli bir hukuki zemin oluşturmayacağı da vurgulanmıştır.

2026/921 sayılı KVKK ilke kararı karşısında işyerinde biyometrik veri işleyen tüm veri sorumlularının uyum süreçlerini derhal başlatması gerekmektedir. Bu kapsamda mesai takibi ve giriş-çıkış kontrolünde kullanılan parmak izi okuyucu, yüz tanıma sistemi ve benzeri biyometrik uygulamaların durdurulması; Kanun'un 7. maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri çerçevesinde toplanan biyometrik verilerin imha edilmesi ve daha az müdahaleci bir sisteme geçilmesi zorunludur. Mevcut açık rıza metinlerinin ya da muvafakatnamelerin bu süreçte tek başına herhangi bir koruma sağlamayacağı da göz önünde bulundurulmalıdır. KVKK uyum sürecine ilişkin sorularınız için hukuki danışmanlık almanız önerilmektedir.