Gelişen teknoloji, işyerlerinde işleyişi kolaylaştırma, süreçleri standardize etme ve verimliliği artırma adına işverenlere önemli imkânlar sunmaktadır. Bu imkânların başında da personelin işe devam durumunu, giriş-çıkış saatlerini ve çalışma sürelerini takip etmeye yarayan Personel Devam Kontrol Sistemleri (PDKS) gelmektedir. İnsan kaynakları ve operasyon süreçlerinin daha etkin yönetilmesini sağlayan bu sistemler; parmak izi, yüz tanıma, retina tarayıcı ve avuç içi damar okuma gibi biyometrik teknolojilerle birlikte uzun süredir hukuki ve etik tartışmaların odağında yer almaktadır.
Kişisel Verileri Koruma Kurulu, söz konusu tartışmalara ilişkin önemli bir değerlendirme ortaya koymuştur. Kurulun 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı, 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmiş; işyerlerinde mesai takibi amacıyla biyometrik veri işlenmesine ilişkin uygulamaların, kişisel verilerin korunmasına dair temel ilkeler çerçevesinde yeniden değerlendirilmesi gerektiğini ortaya koymuştur.
Bu karar, işverenlerin personel devam kontrol sistemlerini gözden geçirmeleri, veri işleme süreçlerini yeniden değerlendirmeleri ve biyometrik veri kullanımına ilişkin uygulamalarını KVKK’nın temel ilkeleri doğrultusunda ele almaları açısından önemli bir dönüm noktası niteliğindedir.
İlke Kararının Hukuki Gerekçeleri
İşverenler tarafından en sık dile getirilen değerlendirmelerden biri, çalışanlardan alınan “açık rıza” beyanının biyometrik veri işlenmesini tek başına hukuka uygun hâle getirdiği yönündeydi. Ancak KVKK, İlke Kararı’nda açık rızanın geçerliliğinin her somut olayın şartlarına göre değerlendirilmesi gerektiğini vurgulamış; özellikle işçi-işveren ilişkisinin niteliği nedeniyle biyometrik veri işlenmesinde daha hassas bir yaklaşım benimsenmesi gerektiğini ortaya koymuştur.
Yapısal Güç Dengesizliği ve Açık Rızanın Değerlendirilmesi
İşçi ile işveren arasındaki ilişki, ekonomik ve hiyerarşik açıdan tam anlamıyla eşit taraflar arasında kurulan bir ilişki değildir. İşe kabul edilme isteği veya işini kaybetme endişesi bulunan bir çalışanın verdiği açık rızanın gerçekten özgür iradeye dayanıp dayanmadığı her somut olay bakımından ayrıca değerlendirilmelidir. Bu nedenle, yalnızca çalışanın açık rızasının alınmış olması, biyometrik veri işlenmesini tek başına hukuka uygun hâle getiren mutlak bir hukuki dayanak olarak kabul edilmemektedir.
Ölçülülük ve Veri Minimizasyonu İlkesi (KVKK m.4)
KVKK’nın temel ilkelerinden biri olan ölçülülük ilkesi, işlenen kişisel verinin ulaşılmak istenen amaçla sınırlı ve gerekli olmasını ifade etmektedir. Biyometrik veriler ise kişinin değiştirilemeyen fiziksel özelliklerinden elde edilen ve özel nitelikli kişisel veri olarak kabul edilen verilerdir. Bu nedenle, yalnızca mesai takibi gibi idari bir amaca ulaşılabilmesi için biyometrik veri işlenmesinin gerekli olup olmadığı her somut olay bakımından ayrıca değerlendirilmelidir. Aynı sonuca kartlı geçiş, PIN kodu veya benzeri daha az müdahaleci yöntemlerle ulaşılabiliyorsa, veri minimizasyonu ilkesi gereği bu yöntemlerin tercih edilmesi veri koruma hukukunun temel yaklaşımıyla daha uyumludur.
Kanuni Düzenleme ve Hukuki Dayanak
4857 sayılı İş Kanunu, işverene çalışanların devam durumunu takip etme ve çalışma düzenini denetleme yetkisi tanımaktadır. Bununla birlikte, bu denetimin mutlaka biyometrik yöntemlerle yapılmasını zorunlu kılan açık bir kanuni düzenleme bulunmamaktadır. Özel nitelikli kişisel verilerin işlenmesinde yalnızca işverenin idari ihtiyaçları değil; KVKK’da düzenlenen hukuki şartlar, veri güvenliği yükümlülükleri ve temel veri işleme ilkeleri de birlikte değerlendirilmelidir.
Biyometrik PDKS Sistemleri ve Alternatif Uygulamalar
Karar çerçevesinde, mesai takibinde kullanılan yöntemler bakımından aşağıdaki değerlendirmeler öne çıkmaktadır:
| PDKS Sistemi | 2026 Durumu | Hukuki Değerlendirme |
| Parmak İzi Tarayıcıları | Risk Taşımaktadır | Özel nitelikli biyometrik veri içerdiğinden, KVKK’nın ölçülülük ve veri minimizasyonu ilkeleri bakımından ayrıca değerlendirilmelidir. |
| Yüz Tanıma Sistemleri | Risk Taşımaktadır | Özel nitelikli biyometrik veri kapsamındadır. Kurul ilkelerine göre mesai takibinde kullanımı uygun bulunmamaktadır. |
| Retina / İris Taramaları | Risk Taşımaktadır | Özel nitelikli biyometrik veri kapsamındadır. Alternatif yöntemlerin varlığı nedeniyle ölçüsüz kabul edilmektedir. |
| Avuç İçi Damar Okuma | Risk Taşımaktadır | Özel nitelikli biyometrik veri kapsamındadır. Değiştirilemez niteliği nedeniyle yüksek risk barındırır. |
| Kartlı Geçiş (RFID / NFC) | Kullanılabilir | Biyometrik veri işlemediği için ölçülülük ilkesine uygun alternatif yöntemlerden biridir. |
| Şifre / PIN Kodlu Terminaller | Kullanılabilir | Biyometrik veri içermeyen, veri minimizasyonuna uygun güvenli alternatif yöntemlerdendir. |
| Dinamik QR Kod Uygulamaları | Kullanılabilir | Uygun teknik ve idari tedbirlerle tercih edilebilecek modern çözümler arasındadır. |
| Mobil Konum (GPS) Eşlemesi | Sınırlı Kullanım | Sürekli konum takibi yerine yalnızca gerekli olduğu ölçüde ve amaca uygun veri işlenmesi esas alınmalıdır. |
Not: Yukarıdaki değerlendirmeler, 2026/921 sayılı KVKK İlke Kararı’nın mesai takibi amacıyla biyometrik veri işlenmesine ilişkin yaklaşımı esas alınarak hazırlanmıştır. Her somut olayın kendi koşulları içerisinde ayrıca değerlendirilmesi gerekebilir.
Şirketleri Bekleyen Hukuki Riskler
İşverenlerin personel devam kontrol sistemlerini KVKK’nın temel ilkeleri doğrultusunda gözden geçirmemeleri hâlinde, somut olayın özelliklerine bağlı olarak idari ve hukuki sonuçlarla karşılaşmaları söz konusu olabilecektir.
İdari Para Cezaları
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi hâlinde her yıl yeniden değerleme oranına göre güncellenen idari para cezaları uygulanabilmektedir. Uygulanacak cezanın miktarı; ihlalin niteliği, kapsamı ve somut olayın özelliklerine göre belirlenmektedir.
Tazminat ve İş Hukuku Bakımından Doğabilecek Sonuçlar
Kişisel verilerin hukuka aykırı şekilde işlendiğinin tespit edilmesi hâlinde, olayın özelliklerine göre çalışan ile işveren arasında çeşitli hukuki uyuşmazlıklar gündeme gelebilir. Çalışanlar, şartlarının oluştuğunu düşündükleri durumlarda kıdem tazminatı, maddi ve manevi tazminat gibi taleplerde bulunabilirler. Bu tür uyuşmazlıklarda nihai değerlendirme ise ilgili yargı mercileri tarafından somut olayın özellikleri dikkate alınarak yapılmaktadır.
Sonuç
Dijitalleşme, işverenlere insan kaynakları süreçlerini daha etkin yönetme konusunda önemli kolaylıklar sağlamaktadır. Ancak teknolojinin sunduğu imkânlar, kişisel verilerin korunmasına ilişkin temel hak ve özgürlüklerin önüne geçmemelidir.
Bu karar, biyometrik verilerin işlenmesinde ölçülülük, veri minimizasyonu ve hukuki dayanak ilkelerinin önemini bir kez daha ortaya koymuştur. Bu nedenle işverenlerin yalnızca teknik altyapılarını değil, veri işleme politikalarını ve personel devam kontrol sistemlerini de güncel mevzuat ve KVKK uygulamaları doğrultusunda gözden geçirmeleri büyük önem taşımaktadır.
Günümüzde personel devamının takip edilmesi işverenin doğal yönetim hakkının bir parçasıdır. Ancak bu hakkın kullanımı sırasında tercih edilen yöntemlerin, çalışanların temel hak ve özgürlüklerine en az müdahaleyi sağlayacak nitelikte olması; hem hukuki güvenliğin hem de kurumsal güven kültürünün sürdürülebilirliği açısından önemli bir gerekliliktir.
Hukuki Uyarı: Bu makale, yayımlandığı tarih itibarıyla yürürlükte bulunan mevzuat, Kişisel Verileri Koruma Kurulu kararları ve genel hukuki ilkeler esas alınarak hazırlanmıştır. Mevzuat, idari uygulamalar ve yargı kararları zaman içerisinde değişebileceğinden, somut olaylara ilişkin değerlendirmelerde güncel düzenlemelerin ayrıca incelenmesi ve gerektiğinde uzman hukuk görüşü alınması tavsiye edilir.
Faydalı olması dileğiyle.
— Doğrusunu Öğren —