KVKK’dan mesai takibinde biyometrik veri kullanımına ilişkin açıklama

Kişisel Verileri Koruma Kurumu, 27 Ağustos 2026 tarihli kamuoyu duyurusunda, çalışan devam takibinde biyometrik verilerin kullanılmasına ilişkin görüş taleplerini değerlendirdi. Açıklama, Kişisel Verileri Koruma Kurulu tarafından 29 Nisan 2026 tarihinde alınan ve 02.06.2026 tarihli Resmî Gazete’de yayımlanan 2026/921 sayılı İlke Kararı kapsamında yapıldı.

Duyuruda, çalışanların mesai takibi amacıyla biyometrik veri işlenmesinin Kanun’un 6’ncı maddesinde öngörülen işleme şartlarından herhangi birine dayanmayabileceği ve geçerli açık rıza bulunsa dahi ölçülülük kriterini karşılamayabileceği ifade edildi.

Biyometrik verinin kapsamı geniş yorumlandı

Duyuruda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6’ncı maddesinde biyometrik verilerin özel nitelikli kişisel veri olarak düzenlendiği hatırlatıldı. Bu kategorilerin kıyas yoluyla genişletilemeyeceği belirtildi.

Avuç içi taraması veya parmak izi gibi yöntemlerle elde edilen verilerin matematiksel koda dönüştürülerek veri tabanında saklanmasının, bu verilerin biyometrik veri niteliğini ortadan kaldırmayacağı açıklandı. Bu değerlendirmede Avrupa Birliği Veri Koruma Tüzüğü’nün 51 numaralı gerekçesine de atıf yapıldı.

Mesai takibinde açık kanuni dayanak vurgusu

İşverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunduğu, ancak bu yükümlülüğün biyometrik tanımlama sistemleriyle yerine getirilmesini öngören açık bir kanuni düzenleme olmadığı belirtildi.

2026/921 sayılı İlke Kararı doğrultusunda, yalnızca çalışan devam takibi amacıyla yapılan biyometrik veri işleme faaliyetlerinin Kanun’un 6’ncı maddesindeki şartlardan herhangi birine dayanmadığı değerlendirildi. Duyuruya göre açık rıza alınması da bu faaliyetin Kanun’un 4’üncü maddesindeki ölçülülük kriterini karşılaması bakımından tek başına yeterli olmayacak.

Kritik güvenlik alanları ayrıca değerlendirilecek

Bazı tesis ve faaliyet alanlarında biyometrik sistemler, yalnızca mesai takibine değil; kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi güvenlik süreçlerine hizmet edebiliyor. Bu alanlarda değerlendirmenin amacı personelin çalışma saatlerini izlemekten çok güvenliğin veya kritik altyapıların güvenliğinin sağlanması olabiliyor.

Duyuruda, bu tür işleme faaliyetlerinin yalnızca gerekli kritik alanlar ve kişilerle sınırlı tutulması, alternatif yöntemlerin yetersiz kalması ve uygulamanın somut güvenlik ihtiyacıyla ölçülü olması gerektiği belirtildi. Mesai takibi dışındaki biyometrik veri işleme faaliyetlerinin hukuka uygunluğu ise işleme amacı, işin niteliği ve somut olayın özelliklerine göre veri sorumluları tarafından değerlendirilmelidir.

Veri sorumluları için uygulama çerçevesi

Kamuoyu duyurusuna göre veri sorumlularının, çalışan devam takibi amacıyla yapılan biyometrik veri işleme faaliyetlerinde 29.04.2026 tarih ve 2026/921 sayılı İlke Kararı doğrultusunda hareket etmesi gerekiyor. Mesai takibi dışındaki uygulamalar ise İlke Kararı kapsamında değerlendirilmeyecek; ancak her durumda amaç, gereklilik, alternatif yöntemlerin yeterliliği ve ölçülülük dikkate alınacak.

Kanun’un 28’inci maddesinin birinci fıkrasının (ç) bendindeki istisnanın da biyometrik veri kullanımını sınırsız hâle getirmediği açıklandı. Kuruma ulaşacak ihbar ve şikâyetlerin her somut olay bakımından ayrıca Kurul tarafından değerlendirileceği bildirildi.