İş Yerinde Biyometrik Veri ile Mesai Takibi

İlgili çalışma alanı → Kişisel Verilerin Korunması: Çalışan verileri, biyometrik veri, açık rıza ve Kurul kararları için çalışma alanı.

Personel devam kontrol sistemlerinde parmak izi okuyucu, yüz tanıma terminali ve el geometrisi cihazı yaygın kullanılıyor. İşveren açısından bunlar teknik bir tercih gibi görünür: kart unutulur, kaybolur, başkasına okutulur; parmak izi ise unutulmaz. Hukuken ise bu tercih, sıradan bir kişisel veri işleme değil, 6698 sayılı Kanun'un en katı rejimine tabi bir faaliyettir. Kişisel Verileri Koruma Kurulu (KVKK Kurulu), bu alanda istikrarlı ve sert bir çizgi kurmuş durumda; sistemi kuran işverenlerin çoğu bu çizginin dışında kalıyor.

Biyometrik Verinin Hukuki Niteliği

6698 sayılı Kanun m. 6 uyarınca biyometrik veriler özel nitelikli kişisel veridir. Bu nitelendirme, verinin hassasiyetinden değil, kişiyi benzersiz biçimde ve değiştirilemez şekilde tanımlamasından kaynaklanır. Şifre değiştirilir, kart yenilenir; parmak izi ifşa olduğunda geri alınamaz.

Kurul, biyometrik yöntemi teknik ölçüte bağlar: ölçülebilir fizyolojik veya davranışsal özellik aracılığıyla gerçekleştirilen ve otomatik biçimde doğrulanabilen kimlik denetleme teknikleri biyometriktir. Parmak izi tanıma, avuç içi tarama, el geometrisi, iris, retina, yüz ve DNA tanıma bu kapsamdadır.¹ İşverenlerin sıkça başvurduğu iki savunma bu ölçüt karşısında sonuç doğurmaz. Birincisi, verinin şifrelenerek saklandığı savunmasıdır; Kurul, kriptografik yöntemle muhafazanın veriyi biyometrik olmaktan çıkarmadığı sonucuna varmıştır. İkincisi, el geometrisi gibi yöntemlerin parmak izi kadar ayırt edici olmadığı savunmasıdır; Kurul, elin otuz bini aşkın noktadan üç boyutlu taranmasıyla yapılan analizde eşleşme yanılma oranının matematiksel olarak çok düşük olduğunu belirleyerek bunu da biyometrik veri saymıştır.

Özel Nitelikli Veri Rejimi ve 2024 Değişikliği

7499 sayılı Kanun'un 33. maddesiyle 6698 sayılı Kanun m. 6 yeniden düzenlendi ve 1 Haziran 2024'te yürürlüğe girdi. Değişiklikten önce biyometrik veri, açık rıza ya da kanunlarda açıkça öngörülme dışında işlenemiyordu. Yeni metin işleme şartlarını genişletti: fiili imkânsızlık, alenileştirme, bir hakkın tesisi ve korunması, sır saklama yükümlülüğü altındaki kişilerce sağlık amaçlı işleme, vakıf ve dernek faaliyetleri ile istihdam ve iş sağlığı alanındaki yükümlülükler eklendi.

Bu genişleme, iş yerlerinde bir yanlış okumaya yol açıyor. 6698 sayılı Kanun m. 6/3-f, "istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması" halinde işlemeye izin verir. Hüküm, işverene istihdam alanında serbest bir işleme yetkisi tanımaz; somut bir hukuki yükümlülüğün varlığını ve o yükümlülüğün ancak biyometrik veriyle yerine getirilebilmesini arar.

Önemli: Mevzuatta işverene çalışanın mesaisini biyometrik yöntemle takip etme yükümlülüğü yükleyen bir hüküm bulunmuyor. 4857 sayılı Kanun ve iş sağlığı mevzuatı işverene gözetim ve denetim yetkisi tanır; ancak yetki, özel nitelikli veri işlemek için aranan "kanunlarda açıkça öngörülme" ölçütünü karşılamaz. Kurul, bu ölçütle kastedilenin ilgili sektöre ilişkin kanunlarda ayrıca ve açıkça düzenleme bulunması olduğunu belirtmiştir. Bu nedenle 2024 değişikliği, biyometrik mesai takibini meşrulaştırmaz.

Ayrıca 6698 sayılı Kanun m. 6/4, özel nitelikli veri işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınmasını ayrı bir geçerlilik şartı olarak arar. İşleme şartının varlığı tek başına yeterli değildir.

İş İlişkisinde Açık Rızanın Geçerliliği

Uygulamada işverenlerin başvurduğu yol açık rızadır. Sorun, iş ilişkisinin yapısındadır. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan beyandır. İşe girişte önüne konulan formu imzalamayan adayın işe alınmayacağını, imzalamayan çalışanın kapıdan giremeyeceğini bildiği bir düzende bu beyanın özgür iradeye dayandığını savunmak güçtür.

Kurul, iş yerinde yüz tanıma uygulamasına ilişkin incelemesinde çalışanlara imzalatılan genel metnin açık rızanın unsurlarını taşımadığını belirledi; aydınlatma ile açık rızanın ayrı ayrı yerine getirilmemiş olmasını da ayrıca sakat buldu. Doktrinde de biyometrik veri işlemede açık rızanın tek başına yeterli bir meşruiyet kaynağı sayılamayacağı, ölçülülük denetiminin bağımsız biçimde yapılması gerektiği savunulur.²

İkinci ve daha belirleyici nokta şudur: açık rıza geçerli biçimde alınmış olsa dahi işleme faaliyeti 6698 sayılı Kanun m. 4'teki genel ilkelere uygun olmak zorundadır. Rıza, ölçüsüzlüğü hukuka uygun hale getirmez.

Ölçülülük Testi ve Alternatif Yöntem Ölçütü

Bu alandaki asıl kilit, 6698 sayılı Kanun m. 4/2-ç'de düzenlenen "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesidir. Kurul, amaca daha az müdahaleyle ulaşılabiliyorsa biyometrik yöntemin ölçüsüz olduğunu kabul eder ve işverenden alternatiflerin tüketildiğini göstermesini bekler.

Kurul, iş yerinde giriş çıkış takibi için manyetik kart sistemi, RFID etiketi ve cep telefonuna gönderilecek doğrulama kodu gibi yolları somut alternatif olarak sayar. İşverenin "kart başkasına okutuluyor" itirazına verdiği cevap ise dikkat çekicidir: bu risk, çalışanların uyarılması ve tespit halinde uygulanacak yaptırımların belirlenip duyurulmasıyla, yani disiplin hukuku araçlarıyla karşılanmalıdır. Kötüye kullanım ihtimali, özel nitelikli veri işlemeyi gerekçelendirmez.

Test pratikte üç soruyla yürür. Amaç meşru mu? Amaca biyometrik veri işlemeden ulaşılabilir mi? Ulaşılabiliyorsa biyometrik yöntem ölçüsüzdür ve rıza bulunsa dahi hukuka aykırıdır.

Kurul Uygulamasında Biyometrik Mesai Takibi

Kurul kararları bu çizgiyi tutarlı biçimde kuruyor. Bir belediyede memurların işe giriş çıkış takibinin parmak izi taranarak yapılması incelenmiş; faaliyet özel nitelikli veri işleme sayılmıştır. Bir başka incelemede işveren, tüm çalışanların parmak izini açık rıza almadan ve aydınlatma yapmadan işlemiş; verilerin kriptografik yöntemle saklandığı için biyometrik nitelik taşımadığı savunması kabul edilmemiştir. Spor salonu ve hizmet binası girişlerine ilişkin kararlarda da aynı ölçüt uygulanmış, biyometrik veriyle giriş çıkış işleminin durdurulması ve verilerin imhası talimatlandırılmıştır.

Anayasa Mahkemesi de parmak izi kayıt sistemiyle mesai takibi yapılması nedeniyle özel hayata saygı hakkı kapsamındaki kişisel verilerin korunmasını isteme hakkının ihlal edildiği sonucuna varmıştır.³ Yüz tanıma sistemine ilişkin en ayrıntılı çözümleme için iş yerinde yüz tanıma sistemi: KVKK Kurul kararı analizine bakılabilir.

Aydınlatma Yükümlülüğü ve İspat Yükü

Kurul, biyometrik sistem kuran işverenlerde tekrarlayan bir aydınlatma hatası tespit ediyor. Aydınlatma metninde kamera kaydından söz edilirken yüz tanıma yoluyla yapılan biyometrik veri işlemeye hiç değinilmemesi, o veriler yönünden yükümlülüğün hiç yerine getirilmemiş sayılmasına yol açar. Metinde hangi kişisel verinin hangi amaç ve hangi hukuki sebeple ilişkilendirildiğinin açıkça gösterilmemesi de ayrı bir eksikliktir.

Aydınlatma metninin kurgusu için KVKK aydınlatma metni rehberi aynı yapıyı izler. İspat yükü veri sorumlusundadır: aydınlatmanın yapıldığı, açık rızanın tarih ve kapsamıyla alındığı, alternatiflerin değerlendirildiği belgelenemiyorsa savunma sonuç doğurmaz.

Yaptırım ve Sorumluluk

İşleme şartı bulunmadan biyometrik veri işlemek, 6698 sayılı Kanun m. 12/1'deki veri güvenliği yükümlülüğüne aykırılık sayılır ve m. 18 uyarınca idari para cezasına bağlanır. Kurul, iş yerinde yüz tanıma uygulayan bir veri sorumlusuna 500.000 TL idari para cezası uygulamış; ayrıca sistemin durdurulmasını, toplanan tüm biyometrik verilerin ve doğrulama verilerinin imhasını ve otuz gün içinde bilgi verilmesini talimatlandırmıştır.

Yaptırım tek katmanlı değildir. Hukuka aykırı işleme, çalışan yönünden kişilik hakkı ihlaline dayalı tazminat talebine konu olabilir; iş hukuku boyutunda ise çalışanın biyometrik veri vermeyi reddetmesi nedeniyle uygulanan işlemler geçersizlik tartışması doğurur.

Uygulamada

İşveren tarafında sıralama nettir. Sistem satın alınmadan önce ölçülülük değerlendirmesi yazılı olarak yapılmalı; kart, RFID ve mobil doğrulama gibi alternatiflerin neden yetersiz kaldığı somut olgularla gösterilmelidir. Bu gösterilemiyorsa biyometrik sistem kurulmamalıdır; kurulmuşsa durdurulmalı ve toplanan veriler imha edilmelidir. Biyometrik yöntem gerçekten zorunluysa açık rıza, aydınlatmadan ayrı bir metinle, reddetme halinde alternatif yöntem sunulacağı belirtilerek alınmalı; alternatifi olmayan rıza özgür sayılmaz. Aydınlatma metni biyometrik veriyi ismen anmalı, saklama süresi ve imha usulü belirlenmelidir.

Çalışan tarafında ise 6698 sayılı Kanun m. 11 kapsamında işverene başvurularak hangi verinin hangi hukuki sebeple işlendiği sorulur. Yanıt yetersizse Kurula şikâyet yolu açıktır. Biyometrik veri vermeyi reddetmek başlı başına bir disiplin gerekçesi oluşturmaz; işveren alternatif bir devam kontrol yöntemi sunmakla yükümlüdür. Çalışan verilerinin genel çerçevesi için çalışan kişisel verileri nasıl işlenir ve iş yerinde görüntü izlemenin sınırları için iş yerinde güvenlik kamerası ile izleme yasal mı sayfaları birlikte okunmalıdır.

Sonuç

Biyometrik mesai takibinde belirleyici soru, çalışanın rıza verip vermediği değildir. Belirleyici olan, işverenin amacına parmak izi ya da yüz verisi işlemeden ulaşıp ulaşamayacağıdır. Ulaşabiliyorsa, alınan rıza ne kadar usulüne uygun olursa olsun işleme hukuka aykırıdır. 2024 değişikliğiyle genişleyen işleme şartları da bu sonucu değiştirmez; istihdam alanındaki yükümlülük ölçütü, somut ve açık bir kanuni düzenleme arar. Kurul uygulaması bu noktada kararlıdır ve yaptırım sistemin durdurulmasıyla birlikte uygulanmaktadır.

İlgili içerikler için bkz. Kişisel Verilerin Korunması Rehberi, İş Yerinde Yüz Tanıma Sistemi: KVKK Kurul Kararı, Özel Nitelikli Kişisel Veri Nedir? ve Kişisel Verilerin Korunması.

6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, m. 4, m. 6, m. 11, m. 12 ve m. 18. Madde 6, 2/3/2024 tarihli ve 7499 sayılı Kanun'un 33. maddesiyle değiştirilmiş olup 1 Haziran 2024'te yürürlüğe girmiştir. Biyometrik yöntemlerin kapsamı için ayrıca bkz. Kişisel Verileri Koruma Kurulu, 27.02.2020, 2020/167; 01.12.2020, 2020/915; 20.05.2020, 2020/404; 07.07.2022, 2022/662. ↩
ERDİNÇ, Göksu Hazar, "Ölçülülük İlkesi ve Açık Rıza Kapsamında Biyometrik Verilerin İşlenmesi", Kişisel Verileri Koruma Dergisi, 2020, C. 2, S. 1, s. 1-19. Yüz tanıma teknolojisinin veri koruma hukuku bakımından değerlendirilmesi için bkz. ŞIRACI, Sertel, "Yüz Tanıma Teknolojilerinin Kişisel Verilerin Korunması Hukuku Açısından İncelenmesi", Kişisel Verileri Koruma Dergisi, 2023, C. 5, S. 1, s. 23-46. İş yerinde elektronik gözetleme ile mahremiyet beklentisi arasındaki denge için bkz. OKUR, Zeki, İş Hukuku'nda Elektronik Gözetleme, İstanbul, 2013, s. 87. ↩
Anayasa Mahkemesi, B. No: 2018/11988, 10.03.2022 (RG 19.04.2022). Karara, Kişisel Verileri Koruma Kurulu'nun 04.08.2022 tarihli ve 2022/797 sayılı kararında "kanunlarda öngörülme" şartının yorumu bakımından atıf yapılmıştır. ↩

İş Yerinde Biyometrik Veri ile Mesai Takibi