Kişisel Verileri Koruma Kurumu Mesai Takibinde Biyometrik Sistem Kullanımını Yasakladı

Kişisel Verileri Koruma Kurumu (KVKK), Resmi Gazete'de yayımlanan ilke kararıyla işyerlerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik sistemlerin kullanılmasını hukuka aykırı buldu. Kararda, bu sistemlerin çalışanlardan alınan rıza olmasa bile güvenli bir hukuki zemin oluşturmadığı vurgulandı. Kurul, yapılan şikayetleri inceledikten sonra alternatif takip yöntemlerinin bulunduğunu ve biyometrik veri işlemenin zorunlu olmadığını belirtti.

Biyometrik Verilerin Neden Tehlikeli Olduğu

KVKK, parmak izi, yüz görüntüsü ve göz yapısı gibi biyometrik verilerin sıradan bilgiler olmadığını, "özel nitelikli kişisel veri" kategorisinde yer aldığını açıkladı. Bu verilerin en kritik özelliği geri döndürülemez olmasıdır. Bir şirketin veri tabanı siber saldırıya uğrar ve parmak iziniz çalınırsa, bunu banka şifresi gibi değiştirmek veya iptal etmek imkansız hale gelir. Böyle bir durumda çalışan ömür boyu bu riskle yaşamak zorunda kalır.

Kurul, biyometrik sistemlerin hızlı, doğru ve manipülasyona dirençli özellikleriyle cazip görünse de, kişisel verilerin korunması hukuku bağlamında son derece hassas bir alan oluşturduğu değerlendirmesinde bulundu.

İşçi-İşveren Güç Dengesizliği Sorunu

Kararda, işçinin rızasını vermemesi veya geri çekmesi halinde olumsuz sonuçlarla karşılaşma ihtimalinin açık rızanın geçerliliğini zedelediği belirtildi. İşveren-çalışan ilişkisindeki yapısal güç dengesizliği nedeniyle, çalışan işini kaybetme korkusuyla bu sisteme boyun eğmek zorunda kalabiliyor. KVKK, bu nedenle "açık rıza" kapsamında biyometrik veri işlemenin özgür iradeye dayanmadığını ifade etti.

İş Kanunu'na göre patronlar personelinin çalışma saatlerini takip etme ve belgelemek zorundadır. Ancak kanunlarda bu takibin mutlaka biyometrik yöntemlerle yapılması gerektiğine dair açık bir düzenleme bulunmamaktadır. Dolayısıyla, sadece mesai takibi yapmak gibi basit bir idari amaç için bu kadar ağır ve riskli bir yöntemi seçmek hukuka aykırı bulunmuştur.

Zorunlu Alternatif Yöntemler

KVKK, mesai takibinin daha az müdahaleci yollarla sağlanabileceğini vurguladı. Kurul tarafından uygun görülen alternatif yöntemler şunlardır:

• Şifreli kart sistemleri — Dijital ancak kişiye özel olmayan veri kullanımı
• PIN tabanlı giriş-çıkış — Şifreli erişim kontrol yöntemi
• RFID/NFC kimlik kartları — Akıllı kartlar ile tespit
• Geleneksel imza çizelgeleri — Kağıt bazlı kaydı sistemi
• Denetçi gözetiminde elle giriş — İnsan kontrollü takip

Kurul, bu yöntemlerin hukuki çerçevenin çizildiğini, biyometrik verilerin işlenmesine olan zorunluluğu ortadan kaldırdığını belirtti. Ölçülülük ilkesi gereği, aynı amaç daha az riskli yollarla sağlanabiliyorsa biyometrik sistemin seçilmesi hukuka uygun değildir.

Yüksek Mahkemelerden Destek

KVKK kararı, Türkiye'nin en üst hukuk mercileri tarafından daha önceden alınan kararlarla tutarlıdır. Anayasa Mahkemesi, bir belediyede çalışan devlet memurunun iş yerindeki parmak iziyle mesai takibi uygulamasına karşı açtığı davada kanunda açık bir zorunluluk olmadığı için memuru haklı bulmuş ve hak ihlali kararı vermişti. Danıştay da benzer uygulamalara karşı olumsuz kararlar vermiş, bu tür biyometrik sistemlerin hukuki dayanağının eksik olduğunu belirtmişti.

Milyonlarca Çalışanı Etkileyen Uygulama

Son dönemde birçok özel şirket, kamu kurumu ve endüstriyel işletme, çalışan devam takibinin dijitalleştirilmesi gerekçesiyle biyometrik sistemleri yoğun şekilde kurmaya başlamıştı. Bu karar, özellikle bankacılık, perakende, üretim ve finans sektörlerinde geniş kapsamlı değişiklikleri zorunlu kılacaktır. İşverenlerin mevcut biyometrik sistemlerini derhal devre dışı bırakması ve alternatif yöntemlere geçiş yapması beklenmektedir.

KVKK, veri sorumlularının kişisel verilerin hukuka uygun işlenmesini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu hatırlatmıştır. İlke kararı, kurumun internet sitesi ve Resmi Gazete aracılığıyla yayımlandığında bütün işverenler için bağlayıcı bir rehber niteliğinde olacaktır.