Kişisel Verileri Koruma Kurulu (KVKK), işyerlerinde personel devam kontrol sistemleri (PDKS) kapsamında uygulanan biyometrik veri işleme faaliyetlerine ilişkin 2026/921 sayılı bağlayıcı İlke Kararı ve güncel denetim çerçevesiyle iş dünyasına kritik bir uyarıda bulundu. Kurul; parmak izi, yüz tanıma, retina ve iris taraması gibi biyometrik verilerin mesai takibi amacıyla kullanılmasını kural olarak hukuka aykırı kabul etti.
İşçi rızası geçersiz: Yapısal güç eşitsizliği ve ölçülülük ilkesi
KVKK’nın yayımladığı ilke kararında işyerlerindeki biyometrik uygulamalara dair şu temel hukuki tespitler yer alıyor:
- Ölçülülük ve gereklilik sınırının aşılması: İşverenlerin çalışanların mesai saatlerini denetleme meşru hakkı bulunmakla birlikte, bu amaca ulaşmak için biyometrik gibi geri döndürülemez özel nitelikli kişisel verilerin işlenmesi KVKK’nın 4. maddesindeki ölçülülük ilkesine açıkça aykırıdır.
- Açık rıza hukuken sakat: İşçi ile işveren arasındaki bağımlılık ilişkisi ve yapısal güç dengesizliği nedeniyle, personelden alınan “açık rıza”nın hür iradeye dayandığı kabul edilemez. Dolayısıyla tek başına rıza metinleri biyometrik takibi hukuka uygun hale getirmez.
- Hash ve şifreleme verinin niteliğini değiştirmez: Biyometrik verilerin doğrudan görüntü veya şablon yerine matematiksel algoritmalara (hash kodlarına) dönüştürülerek sunucularda saklanması, verinin biyometrik niteliğini ve özel koruma rejimini ortadan kaldırmaz.
İşverenler için acil uyum adımları ve yaptırımlar
Kurul, iş yerlerinde biyometrik sistem kullanan tüm veri sorumlularının ivedilikle alternatif sistemlere geçmesini zorunlu tutuyor:
- Biyometrik olmayan alternatiflere geçiş: İşyerlerinde giriş-çıkış takipleri derhal RFID kartlar, manyetik kartlar, PIN/şifreli paneller veya mobil imza/uygulama tabanlı yöntemlere dönüştürülmelidir.
- Mevcut verilerin güvenli imhası: Bugüne kadar toplanmış olan tüm yüz ve parmak izi verileri ile bunlara ait algoritmik şablonlar, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak imha edilmeli ve tutanak altına alınmalıdır.
- Ağır idari para cezaları: İlke kararına aykırı biçimde biyometrik PDKS kullanımına devam eden işletmeler hakkında veri güvenliği yükümlülüklerini ihlalden en üst baremden idari para cezaları tesis edilecektir.