Mesai Takibi Amacıyla Biyometrik Veri İşlenmesine İlişkin 29.04.2026 Tarihli Kurul İlke Kararı Hakkında

Kişisel Verileri Koruma Kurulu (Kurul), çalışanların mesai takibini dijitalleştirmek ve güvenliği artırmak amacıyla kurum ve kuruluşların giderek artan ölçüde biyometrik tanımlama sistemlerine yönelmesi üzerine tüm sektörleri ve işverenleri ilgilendiren önemli bir İlke Kararı almıştır. Resmî Gazete’nin 02/06/2026 tarihli ve 33268 sayılı nüshasında yayımlanan 29/04/2026 tarihli, 2026/921 sayılı Kurul kararı, özellikle işçi-işveren arasındaki yapısal güç dengesizliği nedeniyle biyometrik verilerin toplanması hususunda personellerden alınan açık rızanın özgür iradeye dayanıp dayanmadığı hususunda ciddi tereddütler doğduğuna dikkat çekerek; bu tür faaliyetlerin yalnızca hukuki sebebe değil, aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerektiğini vurgulamaktadır.

Mevcut yasal çerçeve incelendiğinde; 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinde düzenleme altına alınan özel nitelikli kişisel veri kategorilerinin yasa koyucu tarafından sınırlı sayma yoluyla belirlenmiş olduğu ve kıyas yoluyla genişletilebilmelerinin mümkün olmadığı, ulusal ve uluslararası mevzuatta farklı tanımları bulunan biyometrik verilerin, ele geçirilmeleri halinde değiştirilmesi veya geri alınması imkânsız olan geri döndürülemez bir yapıya sahip oldukları, bu benzersiz nitelikleri nedeniyle bu verilerin sızdırılmaları durumunda, ilgili kişilerin telafisi güç mağduriyetler yaşamasının kaçınılmaz olduğu değerlendirilmiştir.

Kanun’un 6. maddesi uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasak olup, ancak maddede sayılan sınırlı istisnaların varlığı halinde ve Kurul’un 31/01/2018 tarihli ve 2018/10 sayılı kararı ile belirlenen "Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler"in alınması kaydıyla mümkündür. Diğer taraftan, 4857 sayılı İş Kanunu ve ilgili yönetmelikler uyarınca işverenlerin de, işçilerin çalışma sürelerini uygun araçlarla belgeleme yükümlülüğü bulunmaktadır. Ancak mevzuatta takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık kanuni bir düzenleme bulunmadığından, uygulamada bu faaliyetlerin genellikle personellerden alınan açık rıza şartına dayalı olarak gerçekleştirildiği görülmektedir.

İlgili Kurul İlke Kararı’nda da açıkça ortaya konduğu üzere, Kanun’un 3. maddesinin 1. fıkrasının (a) bendi uyarınca, açık rızanın hukuken geçerli sayılabilmesi; belirli bir konuya ilişkin olmasına, bilgilendirmeye dayanmasına ve hiçbir baskı altında kalmadan tamamen "özgür iradeyle" açıklanmasına bağlıdır. İşverenin mutlak bir idari ve ekonomik üstünlüğe sahip olduğu işveren – işçi ilişkisinde, çalışana sunulan sisteme rıza göstermeme veya verdiği onayı sonradan geri çekme imkânı fiilen ve etkin bir şekilde tanınmıyorsa ya da rıza göstermemek personel açısından muhtemel olumsuzluklar doğurabilecekse, ortada özgür bir seçimden bahsedilemeyeceği değerlendirilmektedir. Ayrıca personelce verilen açık rızanın sonradan geri alınması durumunda ise işyerindeki biyometrik takip donanımlarının sürekliliği ve uygulanabilirliği sekteye uğrayacaktır. Bu durum muhtemel olumsuzluklar doğurabileceğinden ve çalışanın gerçek bir seçeneğe sahip olduğu söylenemeyeceğinden, rızanın özgür iradeye dayandığından da söz etmek mümkün olamayabilecektir. Nitekim Anayasa Mahkemesi’nin 2018/11988 sayılı başvuru üzerine verdiği 10/03/2022 tarihli kararında; temel esasları ve ilkeleri belirleyen bir düzenleme bulunmadığından, parmak izi kayıt sistemi ile mesai takibi yapılmasının kanunilik şartını sağlamadığı gerekçesiyle Anayasa'nın 20. maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkının ihlal edildiği açıkça hükme bağlanmıştır.

Kurul söz konusu İlke Kararında, açık rıza bulunsa dahi veri işleme faaliyetinin Kanun'un 4. maddesinde yer alan genel ilkelere, özellikle de "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" kriterine uymasının zorunlu olduğunu belirtmiştir. İşlendikleri amaçla bağlantılı ve sınırlı olma ilkesi, kişisel veri işleme faaliyetinin amacı gerçekleştirmeye yönelik "en az müdahaleci yöntem" olmasını gerektirir. Mesai takibi bakımından uygulamada şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif ve daha az müdahaleci yöntemlerin mevcut olması, biyometrik veri işlemenin zorunlu olmadığını ve ölçülülük ilkesinin ihlali anlamına geleceği İlke Kurul Kararı uyarınca ortaya konmaktadır. Danıştay İdari Dava Daireleri Kurulu da 2024/225 Esas ve 2024/2625 Sayılı Kararı ile Kurulun "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesi çerçevesinde yaptığı değerlendirmeleri referans alarak, mesai takibinde amaca yönelik olmayan ve alternatif yöntemlerin tüketilmediği bu tür özel nitelikli kişisel veri işleme faaliyetlerine karşı açılan iptal davasını hukuka uygun bulmuştur.

Sonuç olarak Kurul, mevcut durumda mesai takibi için biyometrik veri işlenmesi faaliyetinin kanunlarda açıkça öngörülme şartına dayalı olarak gerçekleştirilmesinin kabul edilemeyeceğini; personellerden alınan açık rızanın personelin gerçek iradesini ortaya koyup koymadığının her zaman tartışmalı olacağı ve geçerli bir açık rıza bulunsa dahi bu işleme faaliyetinin Kanun'un 4. maddesinde yer alan genel ilkeler kapsamında ölçülülük kriterini sağlamayacağını değerlendirmiştir. Bu nedenle mesai takibinin biyometrik tanımlama sistemleri yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollar ile sağlanması gerektiği belirtilmiştir. Kanun'un 12. maddesinin 1. fıkrası uyarınca bu hususta gerekli her türlü teknik ve idari tedbirleri almayan veri sorumluları hakkında; Kanun’un 18’inci maddesi hükümleri gereği işlem tesis edileceği kararda ilan edilmiştir.

Kararın tamamına buradan ulaşabilirsiniz.