Teknolojik gelişmelerin iş yaşamına etkisiyle birlikte işverenler, çalışanların işe giriş-çıkış saatlerini ve mesai devam durumlarını kontrol etmek amacıyla parmak izi, yüz tanıma, iris, retina ve avuç içi damar izi gibi biyometrik tanımlama sistemlerini giderek daha yaygın şekilde kullanmaya başlamıştır. Her ne kadar bu sistemler işveren açısından hız, güvenlik ve operasyonel kolaylık sağlasa da, çalışanların en mahrem kişisel verilerinin işlenmesi nedeniyle temel hak ve özgürlükler bakımından ciddi hukuki tartışmaları da beraberinde getirmiştir.
Bu tartışmalar doğrultusunda Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararını 02.06.2026 tarihli ve 33268 sayılı Resmi Gazete'de yayımlayarak mesai takibi amacıyla biyometrik veri işlenmesine ilişkin önemli ilkeler ortaya koymuştur. Karar, yalnızca veri koruma hukukunu değil, aynı zamanda iş hukuku, anayasa hukuku, insan hakları hukuku ve işverenlerin yönetim hakkının sınırlarını da yeniden şekillendirecek niteliktedir.
Kurulun yaklaşımı, biyometrik verilerin sıradan bir kişisel veri olmadığı, kişinin fiziksel kimliğini kalıcı biçimde ortaya koyan, ele geçirilmesi halinde değiştirilmesi mümkün olmayan ve bu nedenle en yüksek koruma seviyesine ihtiyaç duyan özel nitelikli kişisel veriler arasında bulunduğu anlayışına dayanmaktadır. Bu nedenle biyometrik verilerin işlenmesi, yalnızca teknik güvenlik tedbirleriyle değil, hukuka uygunluk, gereklilik, ölçülülük ve veri minimizasyonu ilkeleri bakımından da ayrıca değerlendirilmelidir. Kurul kararının temel dayanağını 6698 sayılı Kişisel Verilerin Korunması Kanunu oluşturmaktadır. Kanunun 6'ncı maddesi biyometrik verileri özel nitelikli kişisel veri olarak kabul etmekte ve bu verilerin işlenmesini sıkı şartlara bağlamaktadır. Bunun yanında Kanun'un 4'üncü maddesinde yer alan hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç, veri minimizasyonu ile ölçülülük ilkeleri, kararın esasını oluşturmaktadır. Ayrıca veri sorumlularının gerekli idari ve teknik tedbirleri alma yükümlülüğünü düzenleyen 12'nci madde ile ihlaller halinde uygulanacak idari yaptırımları düzenleyen 18'inci madde de kararın hukuki çerçevesini tamamlamaktadır.
Kararın anayasal dayanağı ise Türkiye Cumhuriyeti Anayasası'nın 20'nci maddesinde güvence altına alınan özel hayatın gizliliği ve kişisel verilerin korunması hakkıdır. Bunun yanında temel hak ve özgürlüklerin yalnızca kanunla ve ölçülülük ilkesine uygun olarak sınırlandırılabileceğini düzenleyen 13'üncü madde ile kişinin maddi ve manevi varlığını koruma hakkını düzenleyen 17'nci madde de değerlendirmede önem taşımaktadır. Dolayısıyla Kurul, yalnızca KVKK hükümlerini değil, anayasal güvence altındaki temel hakları da esas alarak biyometrik veri kullanımını değerlendirmiştir.
İş hukuku bakımından ise 4857 sayılı İş Kanunu işverene çalışma sürelerini takip etme ve kayıt altına alma yükümlülüğü yüklemektedir. Ancak bu yükümlülük, işverenin istediği her yöntemi kullanabileceği anlamına gelmemektedir. Kurul, işverenin yönetim hakkının çalışanların kişilik hakları ve özel hayatın korunması hakkı karşısında sınırsız olmadığını açıkça ortaya koymuştur. İşverenin denetim yetkisi ile çalışanın temel hakları arasında makul bir denge kurulması gerektiği vurgulanmıştır.
İlke Kararının en dikkat çekici yönü, çalışanın açık rızasının bulunmasının tek başına biyometrik veri işlenmesini hukuka uygun hale getirmeyeceğinin açık biçimde ortaya konulmuş olmasıdır. Uygulamada birçok işveren, çalışanlardan imzalattığı açık rıza metinlerini biyometrik veri işlemenin yeterli hukuki dayanağı olarak görmekteydi. Ancak Kurul, işçi ile işveren arasındaki yapısal güç dengesizliği nedeniyle verilen rızanın çoğu durumda özgür iradeyi yansıtmayacağını değerlendirmiştir. İşini kaybetme korkusu taşıyan veya rıza vermediğinde olumsuz sonuçlarla karşılaşabileceğini düşünen bir çalışanın gerçek anlamda serbest iradesinden söz edilemeyeceği ifade edilmiştir.
Kararın belki de en önemli sonucu, geçerli bir açık rıza bulunsa dahi biyometrik veriyle mesai takibinin ölçülülük ilkesine aykırı kabul edilmesidir. Başka bir ifadeyle sorun yalnızca açık rızanın geçerliliği değildir. Aynı amaca kartlı geçiş sistemi, PIN kodu, RFID kartı, QR kod veya imza çizelgesi gibi daha hafif müdahale oluşturan yöntemlerle ulaşılabiliyorsa, biyometrik veri işlenmesi artık hukuken gerekli ve orantılı kabul edilmeyecektir. Böylece Kurul, veri koruma hukukunda en az müdahale ilkesini iş hayatına doğrudan uygulamıştır.
