Mesai takibinde biyometrik veri yasağı ne zaman başladı
KVKK, 29 Nisan 2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı"nı 2 Haziran 2026 tarihli Resmi Gazete'de yayımlamıştı. Karar, işverenlerin çalışan devam takibini parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemleriyle yapmasının 6698 sayılı Kanun'un 4'üncü maddesindeki ölçülülük ilkesine aykırı olduğunu tespit etmiş, mesai takibinin şifreli kart, PIN, imza veya RFID/NFC gibi alternatif yöntemlerle yapılmasını istemişti. Kararın yayımlanmasının ardından farklı sektörlerden veri sorumluları KVKK'ya çeşitli görüş talepleri iletti; Kurum bu talepler üzerine bugünkü açıklamayı yayımladı.
Avuç içi taraması ve parmak izi biyometrik veri sayılıyor mu
Bazı veri sorumluları, avuç içi taraması veya parmak izi alınması yoluyla elde edilen verilerin biyometrik veri sayılmaması gerektiğini öne sürmüştü. KVKK bu görüşü kabul etmedi. Kurum, Avrupa Birliği Veri Koruma Tüzüğü'nün 51'inci gerekçesine atıfla, belirli bir teknik yöntemle bir kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen her verinin biyometrik veri niteliği taşıdığını belirtti. Verinin matematiksel bir koda çevrilerek veri tabanında saklanmasının da bu niteliği ortadan kaldırmadığını vurguladı. KVKK ayrıca 6698 sayılı Kanun'un 6'ncı maddesinde özel nitelikli kişisel verilerin sınırlı sayıda düzenlendiğini ve bu kategorilerin kıyas yoluyla genişletilemeyeceğini hatırlattı.
Kritik altyapı ve güvenlik alanlarında biyometrik veri şartları
Açıklamanın öne çıkan yönü, bazı tesis ve faaliyet alanlarının genel değerlendirmeden ayrı tutulması oldu. KVKK, taşıdıkları güvenlik riski ve olası ihlallerin doğurabileceği sonuçlar nedeniyle bu alanlarda biyometrik tanımlama sistemlerinin yalnızca mesai takibine hizmet eden bir araç olmaktan çıktığını, kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü gibi çok katmanlı güvenlik süreçlerinin parçası haline geldiğini belirtti. Kurum, bu tür alanlardaki biyometrik veri işlemenin amacının çalışma saatlerinin izlenmesi değil, doğrudan güvenliğin sağlanması olduğunu ifade etti. Ancak bu yol sınırsız değil: KVKK, söz konusu işlemenin yalnızca gerekli kritik alan ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve somut güvenlik ihtiyacıyla ölçülü olması gerektiğini şart koştu.
Milli güvenlik istisnası biyometrik veri kullanımını sınırsız kılmıyor
Duyuruda, 6698 sayılı Kanun'un 28'inci maddesinin birinci fıkrasının (ç) bendinde yer alan milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik veri işleme faaliyetlerinin belirli şartlarla Kanun kapsamı dışında kalabileceği de hatırlatıldı. KVKK, bu istisnanın büyük ölçekli kamu güvenliği kurumlarına önemli bir esneklik sağladığını, ancak biyometrik veri kullanımını sınırsız hale getirmediğini vurguladı. Kuruma göre belirleyici husus, biyometrik veri işlemenin "mesai takibi" amacını aşıp aşmadığı ve doğrudan kamu güvenliğine hizmet edip etmediği.
Mesai takibi dışındaki biyometrik veri işleme nasıl denetlenecek
KVKK açıklamasını iki maddede özetledi: Çalışan devam takibi amacıyla yapılan biyometrik veri işleme faaliyetlerinde veri sorumluları 2026/921 sayılı İlke Kararı doğrultusunda hareket etmek zorunda. Mesai takibi dışında kalan biyometrik veri işleme faaliyetleri ise bu İlke Kararı kapsamında değerlendirilmeyecek; bu faaliyetlerin hukuka uygunluğu veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumluları tarafından belirlenecek. KVKK, bu konuda kendisine intikal edecek ihbar ve şikayetleri her somut olay özelinde ayrıca değerlendireceğini bildirdi.
KVKK'nın biyometrik veri ihlallerinde yaptırım riski sürüyor
Haziran ayında yayımlanan orijinal İlke Kararı'nda KVKK, mesai takibinde biyometrik veri kullanımının Kanun'un 12'nci maddesi uyarınca alınması gereken idari ve teknik tedbirlere aykırılık teşkil edeceğini, buna uyulmadığının tespiti halinde ilgili veri sorumluları hakkında Kanun'un 18'inci maddesi gereğince işlem tesis edileceğini bildirmişti. Bugünkü açıklama bu yaptırım çerçevesini değiştirmiyor; yalnızca kapsam ve uygulama sınırlarını netleştiriyor.