Kişisel Verileri Koruma Kurulu (KVKK), 2 Haziran 2026 tarihinde Resmi Gazete’de yayımladığı yeni ilke kararı ile iş dünyasında milyonlarca ücretli çalışanı yakından ilgilendiren önemli bir düzenleme yaptı. Bu karar, işletmelerin mesai kontrolü adına çalışanların biyometrik verilerini kaydetme uygulamalarını detaylı bir şekilde ele aldı. Özellikle son yıllarda işverenlerin, çalışanların giriş ve çıkış takibini dijital sistemlere taşıyarak yüz tanıma, parmak izi okuma ve retina/iris tarama gibi biyometrik yöntemlere yöneldikleri vurgulandı.
Yapılan resmi incelemelerde, bu tür verilerin hassas kişisel veriler arasında yer aldığı ve geri dönüşü olmayan biyolojik unsurlar taşıdığı ifade edildi. Bu bağlamda, bu verilerin işlenmesinde yalnızca yasal bir dayanağın yeterli olmayacağı, aynı zamanda veri minimizasyonu, ölçülülük ve gereklilik ilkelerinin de göz önünde bulundurulması gerektiği belirtildi.
Mevcut İş Kanunu, işverenlere çalışanların çalışma sürelerini denetleme ve kayıt altına alma yükümlülüğü versede, bu denetimin biyometrik yöntemlerle yapılmasını zorunlu kılan açık bir yasal düzenlemenin olmadığını vurguladı. Böylece, iş yerlerinde günlük mesai takibinin biyometrik verilerle yapılmasının hukuki açıdan ciddi sorunlar doğurabileceği ifade edildi.
Kararın detaylarında, işçi ile işveren arasındaki güç dengesizliği nedeniyle çalışanların biyometrik takiplere vermiş oldukları rızanın ne denli özgür iradeye dayandığına dair endişeler dile getirildi. Ücretli çalışanların bu tür uygulamalara onay vermemesi veya daha önce verdikleri izni geri çekmeleri durumunda olumsuz sonuçlarla karşılaşma olasılıkları, rızanın yasal geçerliliğini zedeleyebileceği yönünde değerlendirildi. İşverenin işten çıkarma yetkisi, işçinin rızasının özgür olmadığını ortaya koyuyor.
KVKK, mesai kontrollerinin daha az müdahaleci alternatif yöntemlerle gerçekleştirilebileceğine dikkat çekti. Şifreli kart sistemleri, PIN kodlu cihazlar, ıslak imzalı çizelgeler ve RFID/NFC kart altyapıları gibi yöntemlerin kullanılabileceği vurgulandı. Bu alternatifler, işyerlerinde biyometrik veri toplamaya duyulan ihtiyacın gereksiz olduğunu ve hukuki ölçülülük kriterlerine uymadığını öne sürdü.
Kurul, ayrıca işletmelerdeki veri sorumlularının, toplanan kişisel bilgilerin yasalarla uyumlu bir şekilde saklanması ve işlenmesi için gerekli tüm teknik ve idari önlemleri almakla yükümlü olduğunu bir kez daha hatırlattı. Bu önemli ilke kararı, hem Resmi Gazete’de hem de KVKK’nın resmi web sitesinde yayımlanarak yürürlüğe girecek.
