Mesai takibinde biyometrik veri işlenmesine ilişkin 2026/921 sayılı İlke Kararı kafaları karıştırmış olacak ki KVK Kurulu, kamuoyu duyurusuyla bazı noktaları netleştirme gereği hissetti. İlgili duyuru için; KVK Kurulunun 2026/921 sayılı İlke Kararı hakkındaki resmî duyurusunu
Oysa AYM’nin Söke Belediyesi kararından bu yana çok şey değişmedi. Bu kararlar hiç olmasaydı da aynı noktada olurduk. Sahadaki her olay ilke kararına konu olmayacak; ama genel ilkeler ışığında mesele daha ilk basamakta çözülebilir.
Bir veri işleme faaliyetini değerlendirirken Anayasa’nın 13. maddesindeki sınırlama rejimini ve KVKK’nın 4. maddesini unutmamak gerekir. Meşru amaç ile izlenen yol arasında ölçülü bir denge olmalı.
Bu bağlamda, biyometrik veri işlemek tamamen yasak değil, elbette. KVKK kapsamında herhangi bir olgunun yasak ya da serbest olduğu gibi genel kanı içeren sonuçları elde edemeyiz de zaten, çünkü KVKK bir metodoloji sunar, uygulamada bize düşen bu metodolojiye yaslanıp muhakeme gücümüzü kullanarak bir sonuca varmaktır. Konuya dönersek;
Biyometrik veri, kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli fiziksel, fizyolojik ya da davranışsal özelliklerden elde edilir. Hassastır; ele geçirildiğinde değiştirilemez veya geri alınamaz.
İşveren açısından ise mesai takibi; işyerinin düzeni, işin devamı ve çalışanın hak ediş hesabı gibi İş Kanunu’nda karşılığı bulunan meşru bir beklenti. Ancak bu amaç günün sonunda maddi ve idari bir kaygıyla örtüşüyor. Yöntem ise sizi benzersiz biçimde tanımlayan ve ele geçirildiğinde hayat boyu olumsuz sonuçlar doğurabilecek biyometrik verilerinizin işlenmesi. Yani terazinin bir tarafında maddi&operasyonel bir süreç, öteki tarafında ise kişinin bedeninden elde edilen eşsiz bir parçası.
Bu cümleyi yüksek sesle okuduğumuzda, hiçbir hukuki tartışma yürütmesek bile zaten kulağımızı tırmalaması lazım.
KVK Kurulu, AYM’nin açtığı yoldan devamla özetle şunu söyledi: Çalışma sürelerinin takibi ve belgelenmesi bir yükümlülük olsa da bunun biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme mevcut değil. Daha az müdahaleci alternatifler varken mesai takibinde biyometrik veri işlenmesi ölçülülük kriterini sağlamaz; geçerli açık rıza bulunsa dahi hukuka uygun hâle gelmez. Takip; alternatif başka yollarla sağlanmalı, böylece ölçülülük kriteri ayakta kalmalı.
Alternatif yöntemler nedir? Parmak izi gibi eşsiz bir veri işlemeden de, ,ki bu izden bir id üreten teknoloji ile, o id sisteme kaydedilmiş de olsa, işlenen veri yine de biyometrik parmak izi verisidir, kişinin mahremiyetine daha az müdahalede bulunan ama yine aynı amaca hizmet eden yöntemler bulunabilir. Örneğin personele özgü bir kart sistemi ile PDKS sistemi kurularak, kişilerin kart okutma işlemlerinden giriş ve çıkış saatleri log kaydına alınabilir. Eğer bu kartların başkalarına verilerek yanıltıcı okutmalar yapıldığı düşünülüyor ise, cep telefonundan okutulan karekodlar da birer çözüm olabilir.
Fakat bu, biyometrik verinin hiçbir işverende hiçbir sebeple kullanılamayacağı anlamına gelmez. Kurul kamuoyu duyurusunda özetle şöyle diyor: İlke Kararı yalnızca mesai takibi amacıyla yapılan işlemlerle sınırlı. Mesai takibi dışındaki biyometrik veri işlemeyi veri sorumlusu; amaç, işin niteliği ve somut olaya göre değerlendirir. Güvenlik riski yüksek tesislerde biyometrik sistemler kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolünün parçası olabilir; ancak gerekli alan ve kişilerle sınırlı olmalı, alternatifler yetersiz kalmalı ve somut güvenlik ihtiyacıyla ölçülü olmalı.
Ölçülülük, her zaman için önemli bir konu; Ölçülülük tartışmasının işyerindeki ses ve görüntü kayıtlarına yansımasını, İstanbul Valiliğinin 7/24 kayıt uygulaması hakkındaki yazımda da ele almıştım.
Sonuç; mesai takibinde biyometrik veri kullanımı ile güvenlik amacıyla biyometrik erişim kontrolü birbirinden ayrılmalıdır. Güvenlik gereksinimi, hem çalışanların güvenliği hem de tesisin yerine getirdiği faliyetlerin kamusal önemi bakımından kritik olabilir. Böyle durumlarda biyometrik giriş-çıkış kontrolü ölçülülük terazisinde makul bir zemine oturabilir. Uygulamanın işyerinin en hassas bölümüyle sınırlı tutulması da ölçülülüğü güçlendirebilir.
Yani rotamız, “somut olaya göre değişir” demeye devam etmek olmalı!