Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı

Kişisel Verileri Koruma Kurulunun 29.04.2026 Tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri (Yüz, Retina/İris, Avuç İçi Damar Yolu, Parmak İzi, v.b) İşlenmesi Hakkında İlke Kararı” Resmi Gazete ’de yayımlanmıştır.

Söz konusu karar doğrultusunda;

6698 sayılı Kişisel Verilerin İşlenmesi Kanunu’nun “Genel İlkeler” başlıklı 4.maddesinde, kişisel verilerin ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği ve kişisel verilerin işlenmesinde;

a) Hukuka ve dürüstlük kurallarına uygun olma,

b) Doğru ve gerektiğinde güncel olma,

c) Belirli, açık ve meşru amaçlar için işlenme,

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,

d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme, 

ilke kurallarına uyulmasının zorunlu olduğu belirtilmiştir.

Yine, 6698 sayılı Kişisel Verilerin İşlenmesi Kanunu’nun “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6.maddesininin 3.fıkrasında kişisel verilerin işlenmesinin yasak olduğu ancak, bu verilerin işlenebilmesi;

a) İlgili kişinin açık rızasının olması,

b) Kanunlarda açıkça öngörülmesi,

c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

hallerinden birinin olması halinde mümkün olduğu,

İş Kanunun’da işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğüne ilişkin hukuki çerçeve bulunmakla birlikte, bu takibin biyometrik tanımlama sistemleri aracılığıyla yapılmasını öngören açık bir kanuni düzenlemenin bulunmadığı,

Mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinde, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6’ncı maddesinin üçüncü fıkrasında düzenlenen diğer veri işleme şartlarının uygulama alanı bulmaması nedeniyle uygulamada çoğunlukla açık rıza şartına dayanıldığı, belirtilmiştir.

Bu kapsamda Kurul tarafından;

Mesai takibi amacıyla biyometrik veri işlenmesinin, Kanun’un 6’ncı maddesinde yer alan veri işleme şartlarından herhangi birine dayanmaksızın sadece açık rıza alınarak gerçekleştirilmesinin hukuka aykırı olduğu,

Geçerli bir açık rıza bulunsa dahi, söz konusu veri işleme faaliyetinin Kanun’un 4’üncü maddesinde düzenlenen genel ilkeler kapsamında ölçülülük ilkesini karşılamadığı,

Bu nedenle mesai takibinin biyometrik tanımlama sistemleri yerine; şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerle sağlanması gerektiği, değerlendirilmiştir.

Ayrıca, belirtilen hususların 6698 sayılı Kanun’un 12’nci maddesinin birinci fıkrası uyarınca veri sorumlularının almakla yükümlü olduğu idari ve teknik tedbirler kapsamında bulunduğu belirtilerek söz konusu ilkelere aykırı hareket edilerek mesai takibi amacıyla biyometrik veri işlendiğinin tespiti hâlinde ilgili veri sorumluları hakkında Kanun’un 18’inci maddesi uyarınca idari para cezası uygulanacağı belirtmiştir.