Dijitalleşmenin çalışma hayatına etkileri her geçen gün artarken, işverenlerin çalışanlarını takip etme ve denetleme yöntemleri de teknolojik gelişmelere paralel olarak çeşitlenmektedir.

Son yıllarda birçok işyerinde personelin işe giriş-çıkış saatlerinin belirlenmesi amacıyla parmak izi, yüz tanıma ve iris tarama gibi biyometrik sistemlerin kullanıldığı görülmektedir. Ancak Kişisel Verileri Koruma Kurulu'nun 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlanan kararı, bu uygulamalara önemli sınırlar getirmiştir.

Bilindiği üzere biyometrik veriler, kişiyi diğer bireylerden ayıran ve kimliğinin kesin olarak tespit edilmesini sağlayan özel nitelikli kişisel verilerdendir. Parmak izi, yüz geometrisi, retina veya iris bilgileri gibi veriler bir kez ele geçirildiğinde değiştirilmesi mümkün olmayan kişisel özelliklerdir. Bu nedenle hukukumuzda biyometrik verilerin korunmasına ilişkin çok daha sıkı kurallar uygulanmaktadır.

Kurul kararında dikkat çekilen en önemli hususlardan biri, çalışanların mesai ve devam durumlarının biyometrik yöntemlerle takip edilmesini zorunlu kılan açık bir yasal düzenlemenin bulunmamasıdır. Başka bir ifadeyle, işverenlerin yalnızca personel devam kontrolü amacıyla biyometrik veri işlemelerine imkan veren özel bir kanuni dayanak mevcut değildir.

Kararda ayrıca uygulamada sıklıkla başvurulan "açık rıza" konusuna da dikkat çekilmiştir. İşçi ile işveren arasındaki ekonomik ve hukuki ilişkinin doğası gereği taraflar arasında tam bir güç dengesi bulunmadığı açıktır. Bu nedenle çalışan tarafından verilen açık rızanın gerçekten özgür iradeye dayanıp dayanmadığı her zaman tartışma konusu olmaktadır. Kişisel Verileri Koruma Kurulu'nda bu nedenle çalışanlardan alınan açık rızanın tek başına yeterli görülmesinin mümkün olmayabileceğini vurgulamıştır.

Aslında kararın merkezinde KVKK'nın temel ilkelerinden biri olan "ölçülülük" ilkesi yer almaktadır. Ölçülülük; işlenen verinin amaçla bağlantılı, sınırlı ve gerekli olmasını ifade eder. İşverenin amacı personelin işe gelip gelmediğini veya çalışma süresini belirlemek ise bu amaca ulaşmak için daha az müdahaleci yöntemler bulunuyorsa biyometrik veri işlenmesine başvurulmaması gerekir.

Nitekim Kurul, çalışanların açık rızası bulunsa dahi yalnızca mesai takibi amacıyla parmak izi veya yüz tanıma sistemlerinin kullanılmasının KVKK'nın genel ilkeleriyle bağdaşmadığını değerlendirmiştir. Çünkü aynı sonuca ulaşabilecek alternatif yöntemler mevcuttur.

Kurul kararında alternatif yöntemler de açıkça sıralanmıştır. Şifre veya PIN tabanlı giriş sistemleri, personel kartları, RFID veya NFC teknolojisine sahip kimlik kartları, imza föyleri, devam çizelgeleri ve yetkili gözetiminde gerçekleştirilen manuel kayıt sistemleri mesai takibi için kullanılabilecek yöntemler arasında gösterilmiştir.

Bu karar yalnızca personel devam kontrol sistemlerini değil, işverenlerin veri işleme faaliyetlerine bakış açısını da etkileyecektir. Bundan sonra işverenlerin "yapabiliyorum, öyleyse kullanabilirim" anlayışı yerine, "bu veri gerçekten gerekli mi?" sorusunu sormaları gerekecektir.

Sonuç olarak kişisel verilerin korunması, teknolojik imkanların sınırlandırılması değil; teknolojinin insan haklarına uygun şekilde kullanılmasının sağlanmasıdır.

İşverenlerin verimlilik ve denetim ihtiyaçları ile çalışanların özel hayatının korunması arasında hassas bir denge kurulmalıdır. KVKK Kurulu'nun son kararı da bu dengenin korunması açısından önemli bir dönüm noktası niteliğindedir.