Kurul'dan işyerlerine yönelik net bir sınır
Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı 'Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı', 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlandı. Karar, işverenlerin çalışan devam takibinde kullandığı parmak izi, yüz tanıma, iris ve retina taraması gibi sistemleri 6698 sayılı Kanun çerçevesinde değerlendiriyor.
Kurul, bu verilerin özel nitelikli kişisel veri sayıldığını ve ele geçirilmeleri hâlinde değiştirilemez/geri alınamaz nitelikleri nedeniyle yüksek risk taşıdığını vurguladı. Karara göre, sadece mesai takibi amacıyla biyometrik veri işlenmesi ölçülülük kriterini karşılamıyor.
Açık rıza tek başına yeterli görülmüyor
Kurul, işçi-işveren ilişkisindeki bağımlılık ilişkisi nedeniyle çalışandan alınan açık rızanın gerçekten özgür iradeyle verilip verilmediğinin her somut olayda ayrıca değerlendirilmesi gerektiğini belirtti; bu da açık rızanın tek başına biyometrik veri işlemeyi otomatik olarak hukuka uygun hâle getirmediği anlamına geliyor.
Kurul, ilkelere uymayan veri işleme faaliyetleri hakkında 6698 sayılı Kanun'un 18. maddesi uyarınca işlem başlatılacağını da açıkladı; bu da kararın sadece yol gösterici değil, yaptırım riski taşıyan bağlayıcı bir çerçeve olduğunu gösteriyor.
Önerilen alternatifler ve işverenler için sonraki adım
Karar, mesai takibi için şifreli kart veya PIN tabanlı sistemleri, geleneksel imza/kâğıt bazlı devam çizelgelerini, RFID/NFC kimlik kartlarını ve gözetim altında elle giriş yöntemlerini daha az müdahaleci alternatifler olarak sıralıyor.
Halihazırda parmak izi veya yüz tanıma sistemiyle personel devam kontrol sistemi (PDKS) kullanan işverenlerin, bu sistemleri sürdürmenin hukuki riskini gözden geçirmesi ve kart/PIN tabanlı sistemlere geçiş planı hazırlaması öneriliyor.
