Kişisel Verileri Koruma Kurulu (KVKK), 2 Haziran 2026 tarihinde Resmi Gazete’de yayımlanan yeni ilke kararı ile iş hayatındaki milyonlarca çalışanı ilgilendiren önemli bir hukuki düzenleme gerçekleştirdi. Kurul, işletmelerde mesai takibi amacıyla personelin biyometrik verilerinin kaydedilmesi uygulamalarını detaylı bir şekilde değerlendirdi. Son yıllarda, işverenlerin çalışanlarının giriş ve çıkışlarını dijital sistemler aracılığıyla takip etmek için yüz tanıma, parmak izi okuma, retina ve iris tarama gibi biyometrik yöntemleri yaygın bir şekilde kullandığına dikkat çekildi. Resmi raporda, bu tür bilgilerin hassas kişisel veriler arasında yer aldığı ve biyolojik olarak geri dönüşü olmayan özellikler taşıdığı vurgulandı. Bu nedenle, bu verilerin işlenmesi sırasında yalnızca yasal bir dayanağa ihtiyaç duyulmadığı, aynı zamanda veri minimizasyonu, ölçülülük ve mutlak gereklilik ilkelerinin de titizlikle korunması gerektiği ifade edildi.
Mevcut İş Kanunu çerçevesinde, işverene çalışanlarının çalışma sürelerini denetleme ve kayıt altına alma yükümlüğü getirildiği belirtildi. Ancak, bu denetimlerin biyometrik yöntemlerle gerçekleştirilmesini zorunlu kılan açık bir yasal düzenlemenin bulunmadığı açıklandı. Bu durum, çalışanların biyometrik verilerinin kullanılarak günlük mesai takibinin yapılmasının hukuki olarak ciddi sorunlar doğurabileceğini ortaya koymaktadır.
Karar metninde, iş dünyasındaki işçi ile işveren arasındaki güç dengesizliği nedeniyle, çalışanlardan alınan açık rızanın ne kadar özgür bir iradeye dayandığı konusunun her zaman tartışmalı olduğu belirtildi. Ücretli çalışanların biyometrik takip sistemlerine onay vermemesi ya da daha önce verdikleri rızayı geri çekmeleri halinde, iş yerinde olumsuz sonuçlarla karşılaşma riskinin bulunması, bu rızanın yasal geçerliliğini zayıflatabileceği yönünde değerlendirildi. İşverenin işten çıkarma yetkisine karşı, çalışanın rızasının özgür olamayacağı tescil edilmiştir.
KVKK, mesai takibinin sorunsuz bir şekilde yapılabilmesi için çalışanların özel hayatına daha az müdahale eden birçok alternatif sistemin mevcut olduğunu hatırlattı. Giriş ve çıkışların kaydedilmesinde; şifreli kart sistemleri, PIN kodlu cihazlar, ıslak imzalı imza listeleri, RFID/NFC kart altyapıları veya doğrudan bir denetçi kontrolünde tutulan kayıtlar gibi yöntemlerin kullanılabileceği belirtildi. Bu alternatifler doğrultusunda, iş yerlerinde biyometrik veri toplamanın zorunlu bir ihtiyaç olmadığı ve hukukun ölçülülük kriterlerini karşılamayabileceği vurgulandı.
Kurul, işletmelerdeki veri sorumlularının, toplanan kişisel bilgilerin yasalara uygun bir şekilde saklanması ve işlenmesi için gerekli tüm idari ve teknik tedbirleri almakla yükümlü olduğunu yeniden ifade etti. Alınan bu tarihi ilke kararının, hem Resmi Gazete aracılığıyla hem de kurumun resmi web sitesi üzerinden yayımlanarak yürürlüğe gireceği belirtildi.
