İlgili kurul kararından önce de sonra da danışmanlık verdiğimiz neredeyse tüm firmalar personel mesai takibinde parmak izi, avuç içi ve yüz tarama gibi yöntemlerin KVKK’ya uygunluğunu sıklıkla danışmaktadır. Biz ise bu konudaki tartışmaların 6698 sayılı kanunun yürürlüğe girmesi ile birlikte sona erdiğini savunan taraftaydık. Bununla birlikte kanunun yürürlüğe girmesinden 29.04.2026 tarih ve 2026/921 sayılı Kurul kararı çıkana kadar Kuruma yüzlerce şikayet, görüş ve tavsiye talebi ulaşması nedeniyle söz konusu kurul kararıyla çerçeve tamamen belirlenmiş oldu.
Kurul kararına rağmen bize geldiği gibi Kişisel Verileri Koruma Kurumuna da konu ile ilgili görüş talepleri yoğun bir şekilde gelince Kurum tarafından yeni bir kamuoyu duyurusu yayımlandı.
Duyuru, özellikle uygulamada tereddüt yaratan bazı noktaları daha görünür hâle getiriyor. Bunlardan ilki, biyometrik verinin teknik olarak nasıl saklandığıyla ilgili. Parmak izi, avuç içi veya benzeri bir biyometrik verinin doğrudan görüntüsünün saklanmaması, bunun yerine matematiksel bir şablon, kod veya “template” üretilmesi verinin hukuki niteliğini değiştirmiyor. Eğer oluşturulan bu veri kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya imkân veriyorsa, KVKK bakımından biyometrik veri işlenmeye devam ediyor.
Bu ayrım önemli. Çünkü uygulamada zaman zaman “parmak izi saklanmıyor, yalnızca kod tutuluyor” yaklaşımıyla sistemin biyometrik veri işlemediği varsayılabiliyor. Kurumun açıklaması bu yaklaşımın isabetli olmadığını açık biçimde ortaya koyuyor.
Bir diğer konu ise biyometrik veri alınması sürecinde çalışanlardan açık rıza alınması hususu. Mesai takibi amacıyla biyometrik veri işlenmesinde çalışanın açık rızasının alınmış olması tek başına yeterli görülmüyor. Burada yalnızca bir veri işleme şartının bulunup bulunmadığına bakılmıyor. KVKK’nın 4. maddesinde yer alan “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesinin de sağlanması gerekiyor.
Dolayısıyla kart, personel numarası, şifre veya benzeri daha az müdahaleci yöntemlerle aynı amaca ulaşmak mümkünken çalışanlardan biyometrik veri alınması, açık rıza bulunsa dahi ölçülülük bakımından sorun yaratabiliyor.
Bu yaklaşım aslında biyometrik veri ile mesai takibi tartışmasını daha doğru bir zemine taşıyor. İşverenlerce konunun “Rıza alıyoruz, yine de KVKK'ya aykırı mı?” bağlamından Kanun ve Kurulu'un bu konuda ortaya koyduğu ölçülülük ilkesi dikkate alınarak "Biyometrik veriye gerek var mı?" bağlamına evrilmesi gerekiyor.
Kurumun açıklamasında dikkat edilmesi gereken bir başka ayrım ise mesai takibi ile güvenlik amacıyla kullanılan biyometrik sistemler arasında yapılıyor. Kritik tesislere giriş, özel güvenlik gerektiren alanlara erişim, kimlik doğrulama veya yetkilendirme gibi amaçlarla biyometrik veri işlenmesi, mesai takibinden farklı şekilde değerlendirilebiliyor.
Ancak burada da biyometrik veri kullanımı kendiliğinden hukuka uygun hâle gelmiyor. Gereklilik, alternatif yöntemlerin yeterliliği ve ölçülülük somut olay bakımından ayrıca değerlendirilmek zorunda. Bu nedenle özellikle fabrika, üretim tesisi, plaza ve çok sayıda çalışanın bulunduğu işletmeler açısından konu yalnızca kullanılan cihazın teknik özelliklerinden ibaret değil.
Mevcut sistemler için şu değerlendirmelerin yeniden yapılması gerekiyor:
- Hangi biyometrik veri işleniyor?
- Bu veri hangi amaçla kullanılıyor?
- Aynı amaca daha az müdahaleci bir yöntemle ulaşmak mümkün mü?
- Ve biyometrik veri kullanımı gerçekten gerekli mi?
Biyometrik sistemlerde hukuka uygunluk değerlendirmesini bu çerçevede değerlendirmek konu ile ilgili hukukilik ve KVKK'ya uygunluk zeminini sağlayacaktır.