Kişisel Verileri Koruma Kurulu, 2 Haziran 2026’da Resmî Gazete’de yayımlanan ilke kararıyla, çalışanların mesai takibi amacıyla biyometrik verilerinin işlenmesini hukuka uygun görmediğini ortaya koydu.Yani işveren, “çalışanın giriş çıkışını takip ediyorum” diyerek parmak izi, yüz tanıma, iris veya retina taraması gibi yöntemleri kolayca kullanamayacak.Peki neden?Çünkü biyometrik veriler, sıradan kişisel veri değil; özel nitelikli ve geri alınması neredeyse imkânsız verilerdir. Şifrenizi değiştirirsiniz, kartınızı yenilersiniz ama parmak izinizi ya da yüzünüzü değiştiremezsiniz.
Kurulun dayandığı temel noktalardan biri de Anayasa Mahkemesi’nin yaklaşımıdır. AYM, kamu personeli bakımından mesai takibinde biyometrik veri kullanımına ilişkin açık, belirli ve yeterli bir kanuni düzenleme bulunmadığını daha önce tespit etmişti. KVKK da bu yaklaşımı kişisel verilerin korunması hukuku bakımından idari düzeyde teyit etmiş oldu.
Burada önemli bir nokta daha var: Çalışanın açık rıza vermesi de tek başına yeterli görülmüyor.
Çünkü işçi–işveren ilişkisinde çalışan çoğu zaman gerçek anlamda özgür bir konumda değildir. “Rıza verdim” dese bile, bu rızanın baskıdan tamamen bağımsız olup olmadığı tartışmalıdır. Ayrıca KVKK’ya göre, mesai takibi için daha az müdahaleci yöntemler zaten mevcutken biyometrik veri kullanımı ölçülü kabul edilmiyor.
Dolayısıyla kararın mesajı şu:İşverenin mesai takibi yapma hakkı var.Ama bunu çalışanın en hassas kişisel verilerini işleyerek yapması, mevcut hukuk düzeninde kabul edilmiyor.Bu karara aykırı hareket eden veri sorumluları hakkında ise KVKK’nın 18. maddesi kapsamında idari yaptırım uygulanabilecek.
