İş Yerinde Yüz Tanıma Sistemi: KVKK Kurul Kararı

İş Yerinde Yüz Tanıma Sistemi: KVKK Kurul Kararı

İlgili çalışma alanı → Kişisel Verilerin Korunması: Çalışan verileri, biyometrik veri, açık rıza ve Kurul kararları için çalışma alanı.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 04.08.2022 tarihli ve 2022/797 sayılı kararıyla personel devam kontrolünde en tartışmalı uygulamayı denetledi: işe giriş çıkışta yüz tanıma sistemi. Karar, biyometrik mesai takibinde işverenin en çok güvendiği iki savunmayı da geçersiz kılması bakımından belirleyicidir.

Uyuşmazlığın Konusu

Kâğıt üretimi yapan bir şirketin çalışanları Kuruma başvurdu. İddialara göre fabrikada işe giriş çıkışlarda yüz tanıma sistemi uygulanıyor, çalışanlara açık rızaları bulunduğuna dair genel bir metin imzalatılıyordu. Başvuranlar bu metnin açık rızanın unsurlarını taşımadığını, aydınlatma ile rızanın ayrı ayrı alınmadığını, alternatif seçenekler varken yüz tanımanın ölçüsüz olduğunu ileri sürdü. Ayrıca güvenlik kameralarının lavabo alanlarına kadar konumlandırıldığı iddia edildi.

Veri sorumlusu, üretim faaliyetinin iş sağlığı ve güvenliği bakımından tehlikeli sınıfta yer aldığını, izlemenin iş kazalarını önleme ve gözetim yükümlülüğünü ispat amacı taşıdığını savundu.

Kararın Gerekçesi: Ölçülülük ve Alternatif Yöntem

Kurul, işverenin iş sağlığı ve güvenliği amacını meşru saydı; ancak amaca ulaşmak için seçilen aracı ölçüsüz buldu.

Sınırlı ve ilgili kişilerin kişilik haklarına daha az müdahale edecek nitelikteki kişisel verileri işlemek suretiyle amaca ulaşılabilecek ve yürütülebilecek işlemlerin, gereğinden fazla ve daha çok müdahaleci nitelikteki kişisel verinin işlenmesi suretiyle gerçekleştirilmesinin, Kanun'un 4'üncü maddesinin (2) numaralı fıkrasının (ç) bendinde düzenlenen kişisel verilerin işlenmesinde "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine uyulması zorunluluğuna aykırılık teşkil ettiği

Kişisel Verileri Koruma Kurulu, 04.08.2022, 2022/797

Kurul, alternatifleri somut olarak saydı: giriş çıkışta manyetik kart sistemi, RFID etiketi veya cep telefonuna gönderilecek bir doğrulama kodunun sisteme girilmesi. İşverenin "kart başkasına okutulabiliyor" itirazına verdiği cevap kararın en öğretici kısmıdır. Kurul, bu riskin çalışanların uyarılması, tespit halinde uygulanacak yaptırımların belirlenmesi ve bu konuda bilgilendirme yapılmasıyla, yani disiplin araçlarıyla karşılanabileceğini belirtti. Kötüye kullanım ihtimali, özel nitelikli veri işlemeyi gerekçelendirmez.

Açık Rıza ve Kanuni Yükümlülük Savunması

Kurul iki savunmayı ayrı ayrı çürüttü. Birincisi açık rızadır: çalışanlara imzalatılan metnin, 6698 sayılı Kanun m. 3'te tanımlanan "belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza" unsurlarını taşımadığı belirlendi.

İkincisi kanuni yükümlülük savunmasıdır. Kurul, biyometrik verinin açık rıza dışında yalnızca kanunlarda öngörülen hallerde işlenebileceğini; bu şartla kastedilenin ilgili faaliyet alanına veya sektöre ilişkin kanunlarda ayrıca ve açıkça düzenleme bulunması olduğunu vurguladı. Bu yorumda Anayasa Mahkemesi'nin parmak izi kayıt sistemiyle mesai takibine ilişkin kararına dayandı.¹

Önemli: Kurul, mesai takibi ve güvenlik amacıyla işverene 4857 sayılı Kanun, iş sağlığı ve güvenliği mevzuatı ve borçlar hukuku ile denetim yetkileri tanınabildiğini kabul eder. Ancak çalışanın mesai takibi amacıyla özel nitelikli kişisel verisinin işlenmesine ilişkin açık bir düzenleme bulunmadığını belirler. Genel denetim yetkisi, özel nitelikli veri işlemek için aranan açık kanuni dayanağın yerine geçmez.

Kararın üçüncü katmanı ise en önemlisidir: açık rıza usulüne uygun alınmış olsaydı dahi, işleme faaliyeti 6698 sayılı Kanun m. 4'teki genel ilkelere aykırı olduğu için hukuka aykırı sayılacaktı. Rıza, ölçüsüzlüğü gidermez.

Aydınlatma Yönünden Tespit

Kurul, veri sorumlusunun "Çalışan ve Çalışan Adayı Aydınlatma Metni"ni inceledi. Metinde fiziksel mekân güvenliği ile görsel ve işitsel kayıt verilerinden söz edildiği, ancak yüz tanıma sistemleri aracılığıyla yürütülen biyometrik veri işleme faaliyetine ilişkin hiçbir bilgi bulunmadığı belirlendi. Bu veriler yönünden aydınlatma yükümlülüğü hiç yerine getirilmemiş sayıldı. Ayrıca hangi kişisel verinin hangi işleme amacı ve hangi işleme şartıyla ilişkilendirildiğinin açıkça gösterilmemesi de eksiklik olarak tespit edildi.

Yaptırım ve Talimatlar

Kurul, yüz tanıma yoluyla biyometrik veri işlemenin 6698 sayılı Kanun m. 6 kapsamında herhangi bir işleme şartına dayanmadığı sonucuna vardı. Bunun m. 12/1'deki veri güvenliği yükümlülüğüne aykırılık oluşturması nedeniyle m. 18/1-b uyarınca 500.000 TL idari para cezası uyguladı.

Ceza tek başına verilmedi. Kurul ayrıca yüz tanıma sistemiyle elde edilen tüm kişisel verilerin ve doğrulama verilerinin imhasını, işe giriş çıkışın biyometrik veri işlemenin dışındaki alternatif yollarla sağlanmasını ve biyometrik veri işlemenin ivedilikle durdurulmasını talimatlandırdı. Kameraların çalışanların makul mahremiyet beklentisini zedelemeyecek biçimde yeniden konumlandırılması, aydınlatma ve açık rıza metinlerinin güncellenmesi ve tüm bu işlemler için otuz gün içinde Kurula bilgi verilmesi de kararda yer aldı.

Kararın Anlamı

Karar, biyometrik mesai takibinde tartışmayı rıza ekseninden ölçülülük eksenine taşır. Belirleyici soru, çalışanın imza atıp atmadığı değildir; işverenin amacına daha az müdahaleci bir yöntemle ulaşıp ulaşamayacağıdır. Kart, RFID veya doğrulama kodu yeterliyse yüz tanıma hukuka aykırıdır. Kurulun aynı ölçütü el geometrisi uygulamasında da işlettiği, elin üç boyutlu taranmasıyla yapılan kimlik doğrulamasını biyometrik veri işleme saydığı görülür.²

Karardan İlke Kararına

2022/797 sayılı karar, olay bazlı bir denetimdi; sonucu o veri sorumlusunu bağlıyordu. Kurul, aynı gerekçeyi 29.04.2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı" ile genel kural haline getirdi. İlke Kararı 02.06.2026 tarihli Resmî Gazete'de yayımlandı.

Önemli: İlke Kararı'na göre mesai takibi amacıyla parmak izi, yüz tanıma, iris, retina veya benzeri biyometrik veri işlenmesi, açık rıza bulunsa dahi ölçülülük, gereklilik ve veri minimizasyonu ilkeleri bakımından hukuka uygun kabul edilemez. Kurul, alternatif olarak şifreli kart sistemlerini, PIN tabanlı sistemleri, geleneksel imza ve kâğıt bazlı devam çizelgelerini, RFID veya NFC kimlik kartlarını ve denetçi gözetiminde elle girişi saydı. Aykırılık halinde 6698 sayılı Kanun m. 18 kapsamında işlem tesis edilebilir.

Bu nedenle 2022/797 sayılı karar bugün, yürürlükteki genel kuralın gerekçesini gösteren öncü karar olarak okunmalıdır.³

Uygulamada

İlke Kararı sonrasında işverenin yapması gereken sadeleşti. Mesai takibinde biyometrik veri işleyen bir sistem varsa durdurulmalı; toplanan biyometrik veriler ve doğrulama verileri 6698 sayılı Kanun m. 7 ile ilgili yönetmelik uyarınca imha edilmeli, imha işlemi log kaydı gibi belgelerle kanıtlanmalıdır. Devam kontrolü İlke Kararı'nda sayılan alternatiflerden biriyle sürdürülmelidir.

Rıza metnini iyileştirmeye çalışmak bu aşamada uyum sağlamaz; açık rıza tek başına meşruiyet üretmediğinden çözüm yöntem değişikliğidir. Yeni yöntemde de aydınlatma metni güncellenmeli, hangi verinin hangi amaç ve hukuki sebeple işlendiği açıkça gösterilmelidir.

Çalışan tarafında ise 6698 sayılı Kanun m. 11 kapsamında işverene başvurulur; yanıt yetersizse Kurula şikâyet yolu açıktır. Konunun bütünsel çerçevesi için iş yerinde biyometrik veri ile mesai takibi makalesi ile iş yerinde parmak izi ile mesai takibi yasal mı sayfası birlikte okunmalıdır.

İlgili içerikler için bkz. İş Yerinde Biyometrik Veri ile Mesai Takibi, Kişisel Verilerin Korunması Rehberi, Özel Nitelikli Kişisel Veri Nedir? ve Kişisel Verilerin Korunması.