Karar ne diyor?
Kurul, 29 Nisan 2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı"nı 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımladı. Kararın gerekçesinde, Kurum'a gelen ihbar ve şikâyetlerde en sık karşılaşılan konulardan birinin, işyerlerinin çalışan devam takibi için giderek daha fazla biyometrik tanımlama sistemine yönelmesi olduğu belirtiliyor.
Kararın sonucu açık: Mesai takibi amacıyla biyometrik veri işlenmesi, geçerli bir açık rıza bulunsa bile ölçülülük ilkesini sağlamaz. Bu nedenle mesai takibinin biyometrik sistemler yerine daha az müdahaleci alternatif yollarla yapılması gerekir.
Neden açık rıza yetmiyor?
Kurul'un gerekçesi dört noktada toplanıyor:
- Biyometrik veri, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesine göre özel nitelikli kişisel veridir. Bu tür verilerin işlenmesi kural olarak yasaktır, yalnızca kanunda sayılan hâllerde mümkündür.
- Mevzuat işverene çalışma sürelerini takip etme ve belgeleme yükümlülüğü verse de, takibin biyometrik sistemlerle yapılmasını öngören açık bir kanun hükmü yoktur. Bu yüzden "kanunlarda açıkça öngörülme" şartına dayanılamaz.
- Uygulamada işverenler çalışanın açık rızasına dayanıyor. Ancak işçi ile işveren arasındaki güç dengesizliği nedeniyle rızanın özgür iradeye dayandığı tartışmalıdır. Rıza her an geri alınabildiği için sistemin sürekliliği de sağlanamaz. Kurul'a göre açık rıza tek başına yeterli bir hukuki zemin oluşturmaz.
- Ölçülülük ilkesi en az müdahaleci yöntemin seçilmesini gerektirir. Daha az müdahaleci alternatifler varken biyometrik veri işlemek, açık rıza olsa bile bu ilkeyi ihlal eder.
Hangi veriler biyometrik sayılıyor?
Kararda biyometrik veriye şu örnekler veriliyor: parmak izi ve retina/iris verisi (fizyolojik), yüz ve el geometrisi (fiziksel), ses tınısı, imza dinamikleri ve klavye kullanım alışkanlıkları (davranışsal). Kararın atıf yaptığı Nüfus Hizmetleri Kanunu'ndaki tanım da parmak izi, damar izi ve el ayasından elde edilen verileri sayıyor.
Kurul hangi yöntemleri gösteriyor?
Kararda mesai takibi için mevcut olan, daha az müdahaleci alternatif yöntemler şöyle sayılıyor:
- Şifreli kart ya da PIN tabanlı sistemler
- Geleneksel imza ve kâğıt bazlı devam çizelgeleri
- RFID/NFC kimlik kartları
- Denetçi gözetiminde elle giriş
Mesai kaydı tutma zorunluluğu sürüyor
Karar yalnızca yöntemi sınırlıyor. Kararda da hatırlatıldığı gibi, İş Kanunu'na İlişkin Çalışma Süreleri Yönetmeliği'nin 9. maddesine göre işveren, işçilerin çalışma sürelerini uygun araçlarla belgelemek zorundadır.
Yargı kararları da aynı yönde
- Anayasa Mahkemesi, 10 Mart 2022 tarihli kararında (başvuru no. 2018/11988), bir belediyede parmak izi sistemiyle mesai takibi yapılmasının kanunilik şartını sağlamadığına ve kişisel verilerin korunmasını isteme hakkının ihlal edildiğine hükmetti.
- Danıştay, avuç içi damar okuyucuyla mesai takibine ilişkin bir davada, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerektiğine ve özel nitelikli verilerin daha sıkı koşullara bağlı olduğuna dikkat çekti (12. Daire 2021/3870 E., 2023/2548 K.; İdari Dava Daireleri Kurulu 2024/225 E., 2024/2625 K.).
İşyerleri şimdi ne yapmalı?
- Mesai takibinde parmak izi, yüz tanıma ya da avuç içi okuyucu kullanılıyorsa, Kurul'un gösterdiği alternatif yöntemlerden birine geçişi planlayın.
- Daha önce toplanmış biyometrik verilerin durumunu, yani nasıl saklandıklarını ve silinip silinmeyeceklerini, veri koruma danışmanınızla değerlendirin.
- Kararda, bu hususlara uymayan veri sorumluları hakkında 6698 sayılı Kanun'un 18. maddesi uyarınca işlem yapılacağı belirtiliyor.