Mesai İçin Parmak İzi Alınabilir mi? Çalışanın Rızası Neden Tek Başına Yetmiyor?

Çalışanların mesai başlangıç ve bitişlerinin parmak izi veya yüz tanıma sistemleriyle takibi, rıza bulunsa dahi Kişisel Verileri Koruma Kanunundaki ölçülülük ilkesine aykırılık teşkil edebilmektedir.

İşyerlerinde personelin çalışma saatlerini kontrol etmek amacıyla biyometrik veri işleyen sistemlerin kullanımı Kişisel Verileri Koruma Kurulunun ilke kararları doğrultusunda sıkı denetime tabi tutulmaktadır. Kurulun 2026/921 sayılı ilke kararı ve ilgili kamuoyu duyurusu, çalışan açık rıza vermiş olsa dahi genel mesai takibinde biyometrik yöntemlerin tercih edilmesini ölçülülük ve gereklilik ilkeleri yönünden hukuka aykırı bulmaktadır.

Uygulamada sıklıkla öne sürülen savunmalardan biri, parmak izi veya yüz görüntüsünün doğrudan saklanmayıp algoritmik şablonlara ya da matematiksel kodlara dönüştürüldüğü iddiasıdır. Ancak verinin teknik formatının değiştirilmesi veya şifrelenmesi, o verinin biyometrik ve özel nitelikli kişisel veri vasfını ortadan kaldırmaz; dolayısıyla kanuni kısıtlamalar aynı şekilde geçerliliğini korur.

Öte yandan tüm biyometrik veri uygulamalarının kategorik olarak yasaklandığı sonucuna varılmamalıdır. Mesai takibinden tamamen ayrı olarak, can güvenliği, yüksek ticari sır veya nükleer/laboratuvar gibi üst düzey hassasiyet gerektiren kritik alanlara fiziksel erişimlerde her somut olayın amacına göre değerlendirme yapılır. Rutin mesai takibinde ise kartlı geçiş gibi daha az müdahaleci yöntemler tercih edilmelidir.

Sık sorulan sorular

İşyerinde çalışanların mesai saatlerinin parmak izi veya yüz tanımayla izlenmesi hukuken geçerli midir?

Av. Gizem Gonce: Kişisel Verileri Koruma Kurulunun güncel kararları uyarınca, personelin rutin işe giriş ve çıkış saatlerinin takibi amacıyla biyometrik verilerin işlenmesi ölçülülük ilkesine aykırı kabul edilmektedir. Aynı amacın kart, imza veya manyetik anahtar gibi daha hafif müdahalelerle sağlanabilmesi mümkündür.

Çalışanın parmak izi veya yüz taramasına açık rıza göstermesi sistemi hukuka uygun hale getirir mi?

Av. Gizem Gonce: İş ilişkisindeki güç ve bağımlılık dengesi açık rızanın gerçekten serbest verilip verilmediğinin ayrıca incelenmesini gerektirir; her iş ilişkisi rızası otomatik geçersiz sayılmaz. Ancak rutin mesai takibinde biyometrik yöntemin ölçüsüz olması, rıza alınarak giderilemez. Çalışana bir form imzalatmak, daha az müdahaleci yöntemlerin mümkün olduğu bu kullanım için yeterli hukuki dayanak değildir.

Biyometrik verilerin doğrudan görüntü yerine matematiksel koda dönüştürülmesi hukuki durumu değiştirir mi?

Av. Gizem Gonce: Parmak izinin veya yüz geometrisinin cihaz içinde şablon, hash veya sayısal matrise dönüştürülmesi o verinin özel nitelikli biyometrik veri karakterini kaldırmaz. Kişiyi tekil olarak teşhis etme yeteneği devam ettiği sürece, verinin hangi algoritmik biçimde tutulduğu hukuki koruma gereğini etkilemez.

Tesis içindeki yüksek güvenlikli ve kritik bölgelere biyometrik verilerle giriş yapılması da yasak kapsamında mıdır?

Av. Gizem Gonce: Kurulun açıklaması bütün biyometrik kullanımları tek kalemde yasaklamaz. Gerçekten kritik bir alana erişim farklı amaç ve risklerle incelenebilir. Ancak “güvenlik” etiketi tek başına yeterli değildir; KVKK 6 kapsamında hukuki şart, gereklilik, ölçülülük ve yeterli tedbirler birlikte sağlanmalıdır. Rutin devam kontrolünü bu adla sürdürmek hukuka aykırılığı ortadan kaldırmaz.

İşverenler biyometrik sistemler yerine hangi alternatif mesai kontrol yöntemlerini uygulamalıdır?

Av. Gizem Gonce: İşverenler çipli personel kimlik kartları, manyetik anahtarlıklar, şifreli turnikeler veya geleneksel puantaj sistemleri gibi daha az müdahaleci yolları seçmelidir. Bu alternatif yöntemlerin de kişisel veri işleme faaliyeti teşkil ettiği unutulmamalı, aydınlatma ve veri güvenliği yükümlülükleri yerine getirilmelidir.

Hukuka aykırı biyometrik takibe maruz kalan bir çalışan haklarını aramak için hangi adımları izlemelidir?

Av. Gizem Gonce: Çalışan öncelikle veri sorumlusu sıfatını taşıyan işverene başvurarak biyometrik veri işlemenin durdurulmasını ve mevcut kayıtların imha edilmesini talep etmelidir. Başvurunun reddedilmesi, yetersiz bulunması veya yasal sürede cevap verilmemesi halinde çalışan Kurula şikayet yoluna başvurabilir.

Hukuki değerlendirme

Olağan mesai takibinde biyometrik veri yerine daha az müdahaleci yöntemler kullanılmalıdır. Kritik erişim kontrolü için de ayrı bir hukuki dayanak ve ölçülülük incelemesi gerekir. Hukuka aykırı toplanmış kayıtların işlenmesi durdurulmalı ve imha yükümlülükleri güvenli, belgelenebilir şekilde yerine getirilmelidir.