Dijitalleşen iş dünyasında kurum ve kuruluşların çalışan devam takibini otomatikleştirmek ve işyeri güvenliğini artırmak gerekçesiyle parmak izi, avuç izi, yüz tanıma veya iris tarama sistemleri gibi biyometrik sistemlere yönelmesi, Kişisel Verileri Koruma Kurulu’nun (KVKK) müdahalesiyle karşılaştı. Kişisel Verileri Koruma Kurumu’na iletilen yoğun ihbar ve şikâyetler üzerine alınan 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, 02.06.2026 tarihli Resmî Gazete’de yayımlanarak mesai takibinde biyometrik veri kullanımını hukuken sakat kılan esasları netleştirmişti. Bununla birlikte devam eden talepler nedeniyle 27 Ağustos 2026 günü yeni bir kamuoyu duyurusu kurumun web sayfasından paylaşıldı.

6698 sayılı Kanun uyarınca biyometrik veriler sınırlı sayıda sayılan özel nitelikli kişisel veri kategorisinde yer almakta ve bu halkanın kıyas yoluyla genişletilmesi veya daraltılması mümkün olmamaktadır. Uygulamada bazı veri sorumlularının, alınan biyometrik verileri sistemde ham görsel olarak değil, dönüştürülmüş matematiksel kodlar (hash) halinde saklandığı ve bu nedenle biyometrik veri niteliğini kaybettiği yönündeki savunmaları Kurul tarafından reddedilmişti. Avrupa Birliği Veri Koruma Tüzüğü (GDPR) ‘nde de durumu belirli bir teknik yöntem kullanılarak bir kişiyi benzersiz şekilde doğrulamaya elverişli hale getirilen her türlü veri biyometrik niteliğini korur; bu verinin matematiksel algoritmalar arkasına gizlenmesi hukuki statüsünü değiştirmez şeklinde ifade edilmektedir.

İşverenlerin çalışanların çalışma sürelerini belgeleme yükümlülüğü bulunsada, bu takibin biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme mevcut değil. Açık bir kanuni dayanağın yokluğunda başvurulan “açık rıza” mekanizması ise işçi-işveren arasındaki güç dengesizliği nedeniyle özgür irade şartını sakatlamaktadır. Çalışanın rıza göstermeme veya rızasını geri çekme özgürlüğünü baskı hissetmeden kullanamadığı bir istihdam ilişkisinde rızanın özgür iradeye dayanma ilkesinin tam olarak karşılanamayacağı belirtilmektedir. Bununla birlikte açık rızanın istendiğinde geri çekilebilir bir hukuki beyan olması, kesintisiz çalışması gereken teknik sistemlerin sürdürülebilirliğini de ortadan kaldıracaktır. Kartlı geçiş, imza cetveli veya mobil uygulamalar gibi çalışanın mahremiyetine daha az müdahale eden alternatif yöntemler varken sırf mesai takibi için biyometrik verilerin işlenmesi, Kanun’un temel taşı olan ölçülülük ve veri minimizasyonu ilkelerini açıkça ihlal eder.

Kurul, sadece mesai takibine hizmet eden uygulamalar ile yüksek güvenlik riskine sahip kritik alanların korunmasını birbirinden net bir şekilde ayırmıştır. Biyometrik sistemlerin mesai izleme amacını aşarak veri merkezleri, stratejik altyapılar veya yüksek güvenlikli laboratuvarlar gibi kritik alanlara erişim kontrolü, yetkilendirme ve doğrudan tesis güvenliğini sağlama amacıyla kullanılması durumunda işlem hukuka uygun görülebilir. Ancak bu tür istisnai hallerde dahi biyometrik veri işleme faaliyeti yalnızca sınırlı ve yetkili personeli kapsamalı, alternatif güvenlik yöntemlerinin yetersiz kaldığı somut olarak kanıtlanmalı ve müdahale güvenlik ihtiyacıyla tam bir orantı taşımalıdır. Nitekim milli güvenlik ve kamu düzenine ilişkin istisnalar dahi biyometrik sistemlerin sınırsız kullanımına izin vermemektedir.

Gelinen noktada, çalışan devam takibi amacıyla yürütülen tüm parmak izi, yüz tanıma ve avuç içi tarama sistemleri derhal durdurulmalı ve bu süreçte elde edilen tüm veri ile matematiksel kodlar silinmeli veya yok edilmelidir. Sadece kritik alan güvenliği maksadıyla biyometrik veri işlemeye devam edecek kurumların ise meşru amaç, zorunluluk ve ölçülülük değerlendirmelerini somut delillerle dokümante ederek olası Kurul denetimlerine hazır hale getirmeleri hukuki bir zorunluluktur.