İşverenler, çalışanların puantaj kayıtlarını tutabilmek, mesai takibini sağlayabilmek maksadıyla gelişen teknolojiyle birlikte birtakım araçlardan faydalanabilmektedir. Gelinen durum itibariyle çoğu iş yerinde çalışanların işe giriş-çıkış saatleri parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemleri ile takip edilmektedir. Ancak bu tür araçlar ile yapılan takiplerde çalışanların özel nitelikteki kişisel verilerinin işlenmesi gündeme gelmekte, bu araçlar vasıtası ile toplanan veriler açısından rıza, aydınlatma gibi hususlarda tartışmalar doğmaktadır.
Resmi Gazete’de 33268 sayılı, 02.06.2026 tarihli Kişisel Verileri Koruma Kurulu tarafından 29.04.2026 tarihli 2026/921 sayılı karar yayımlanmıştır. Kişisel Verileri Koruma Kurulu, mesai takibi amacıyla biyometrik veri işlenmesi hakkındaki bu kararını “ilke kararı” olarak kabul etmiştir. Söz konusu kararda salt mesai takibi amacıyla biyometrik veri işleme hususnadair önemli kararlar alınmıştır.
Biyometrik Verilerin Hukuki Niteliği
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında biyometrik veriler özel nitelikte kişisel verilerdir. Bu bağlamda parmak izin, yüz geometrisi, iris ve retina verileri gibi biyometrik veriler kişiye özel verilerdir. Söz konusu verilen işlenmesi için sıradan kişisel verilere kıyasla daha sıkı koruma tedbirlerinin alınması gerekmektedir. Zira bu veriler ele geçirildiğinde telafisi güç sorunlar doğurabilecek niteliktedir.
Kişisel Verileri Koruma Kurulu, işverenlerin iş hukuku kapsamında çalışanlarının çalışma sürelerini takip etme ve kayıt altına alma yükümlülüklerini kabul etmekle birlikte bu takibin muhakkak biyometrik veri ile sağlanması gerektiğine dair bir düzenleme bulunmadığına işaret etmektedir. Zira çalışanın mesai takibinin imzalı puantaj kaydı, kartlı geçiş sistemi vb. yollarla yapılması mümkün iken kişiye daha sıkı sıkıya bağlı nitelikteki biyometrik verilerin kullanılması sakınca doğurabilecektir.
Her ne kadar biyometrik verilerin işlenmesi için açık rıza alınması gerekiyor ise de somut durumdaki taraflar arasında işçi-işveren ilişkisi mevcuttur. Yargıtay’ın iş hukukuna dair emsal kararlarında da belirtildiği üzere işçi-işveren arasında bir güç dengesizliği bulunmakta olup işçi, işverene göre daha dezavantajlı konumdadır. Dolayısıyla verilen bu “açık rıza”nıngerçekten bir özgür iradeye dayanıp dayanmadığı belirsizdir. İşçinin böyle bir rızayı vermek istememesi ya da verdiği bir rızayı özgürce geri almak istemesi hallerinde iş akdinin akıbetinden şüphe etmesi pek tabi mümkündür. Bu nedenle alınan açık rızanın her zaman işçinin özgür iradesine dayandığından bahsetmek mümkün olmayacak, bu da rızanın geçerliliğinin tartışmasına yol açacaktır.
Ölçülülük İlkesi Ve Alternatif “Daha Az Müdahaleci” Yöntemler
Kişisel Verileri Koruma Kurulu’nun yayımladığı ilke kararında mesai takibi için başvurulan yöntemlerde ölçülülük ilkesine dikkat çekilmektedir. Bir şeyin ölçülü olup olmadığını söylemek için bunun zorunlu olup olmadığını irdelemek gerekir. Mesai takibi amacıyla biyometrik veri işlenmesinin amaca ulaşmak için zorunlu olup olmadığını bakmak gerekecektir. Diğer bir anlatımla mesai takibi amacıyla başka bir yöntem kullanılabiliyorsa işçilerden mutlaka biyometrik verilerinin istenmesi ölçüsüz olacaktır. İlke kararında bu durum “daha az müdahaleci yöntem” olarak ileri sürülmüştür.
Kişisel Verileri Koruma Kurulu, “daha az müdahaleci yöntem” olarak PIN tabanlı giriş sistemlerini, RFID/NFC kartları, imza çizelgelerini veya benzeri alternatif yöntemlerin kullanılabileceğini, mutlaka biyometrik veri işlenmesinin zorunlu olmadığını, açık rıza verilseya da verilmiş olsa da geri alınmasının iş akdinin akıbeti açısından olumsuz durumlar doğurabileceği hususu nazara alındığında bu durumun aralarında güç dengesizliği bulunan işçi-işveren açısından ölçülü bir yöntem olmayacağını belirtmiştir.
İşveren Açısından Gündeme Gelebilecek Sorunlar
Kişisel Verileri Koruma Kurulu’nun işbu ilke kararı, işverenler açısından önemli sonuçlar ve beraberinde sorunlar doğurmaktadır. Zira kararda her ne kadar işçi lehine olacak şekilde mesai takibi amacıyla kullanılan parmak izi, avuç içi okuma ve yüz tanıma sistemleri kapsamında biyometrik veri işlenmesinin ölçülü bir araç olmadığı belirtilmiş ise de veri sorumlularının Kanun’un 12. Maddesi kapsamında gerekli idari ve teknik tedbirleri almakla yükümlü olduğu, ilke kararına aykırı uygulamaların tespiti halinde ise Kanun’un 18. Maddesi kapsamında idari yaptırımların uygulanabileceği belirtilmiştir.
4857 sayılı İş Kanunu’nun 63. maddesinde genel çalışma süresine ilişkin düzenleme yapılmış olmakla aynı Kanun’un 67. maddesi ile işverence günlük çalışmanın başlama ve bitiş saatleri ile dinleme saatlerinin işyerlerinde işçilere duyurulacağı düzenlenmektedir. Yine aynı Kanun’un 75. maddesinde işverenin çalıştırdığı her işçi için bir özlük dosyası düzenleyeceği, kimlik bilgileri yanında bu Kanun ve diğer Kanunlar uyarınca düzenlemek zorunda olduğu her türlü belge ve kayıtları saklamak ve bunlar istendiği zaman yetkili mercilere göstermek zorunda olduğu belirtilmiştir. 06.04.2004 tarihli ve 25425 sayılı Resmi Gazete’de yayımlanan “İş Kanuna İlişkin Çalışma Süreleri Yönetmeliği”nin 9. maddesinde işverenin, işçilerin çalıma sürelerini uygun araçlarla belgelemek zorunda olduğu hüküm altına alınmıştır.
Anılan Kanuni düzenlemeler kapsamında işverenin mesai takibi yapması esasen Kanuni bir zorunluluk olduğu noktasında herhangi bir tartışma yoktur. Kurul, ilke kararında bu durumu kabul etmekle birlikte bunun mutlaka biyometrik veri ile sağlanmak zorunda olmadığına dikkat çekmektedir. Ancak Kurul kararında mesai takibi bakımından öneri olarak “daha az müdahaleci yöntem” kapsamında şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartı ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerin mevcut olduğu bu yöntemlerin kullanılabileceği belirtilmektedir.
İşverenlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında idari yaptırımlarla karşılaşmamak adına varsa biyometrik veriler ile temin edilen mesai takip sistemlerini kaldırmaları, bunun yerine Kurul’ca “daha az müdahaleci” ve “ölçülü” olarak gösterilen diğer alternatif sistemleri kullanmaları faydalı olacaktır. İşbu ilke kararına aykırı hareket eden işverenlerin hem idari yaptırımlarla hem de işçilerce verilmiş rızaların geri alınması ya da rıza verilmemesi hallerinde iş akdinin feshi ve tazminat süreçleri ile karşı karşıya kalmaları gündeme gelebilecektir.