İşveren Parmak İzi veya Yüz Tanımayla Mesai Takibi Yapabilir mi? KVKK İlke Kararı 2026/921

I. Giriş: Parmak Okutarak Başlayan Mesai

Pek çok işyerinde mesai, sabah bir cihaza parmak okutarak ya da yüzü kameraya göstererek başlar. İşveren için yöntem cazip görünür: Kart unutulmaz, başkasının yerine imza atılamaz, kayıt saniyesi saniyesine tutulur. Kişisel verilerin korunması hukuku ise bu kolaylığa uzun süredir mesafeli duruyor. Kişisel Verileri Koruma Kurulu 29.04.2026 tarihli ve 2026/921 sayılı ilke kararıyla bu mesafeyi kesin bir sonuca bağladı: Mesai takibi amacıyla biyometrik veri işlenmesi, geçerli bir açık rıza bulunsa dahi ölçülülük ilkesini karşılamaz; mesai takibi şifreli kart, PIN, RFID/NFC kart veya imza çizelgesi gibi alternatif yollarla yapılmalıdır.¹

İlke kararı 02.06.2026 tarihli Resmî Gazete'de yayımlandı. Kurul, Kişisel Verilerin Korunması Kanunu (KVKK) m.15/6 uyarınca ihlalin yaygın olduğunu tespit ettiği konularda ilke kararı alır. Karara uymayan veri sorumluları hakkında Kanun'un 18. maddesine göre işlem yapılacağını da açıkça duyurdu.¹ Bu nedenle karar, kamu kurumlarını olduğu kadar özel sektördeki bütün işverenleri doğrudan ilgilendiriyor.

Bu yazıda önce biyometrik verinin hukuki niteliğini ve 2024'te değişen KVKK m.6'yı, ardından ilke kararının gerekçesini ve onu besleyen Anayasa Mahkemesi, Danıştay ve Kurul kararlarını inceliyoruz. Son bölümlerde iki pratik soruya cevap arıyoruz: Parmak izi vermeyi reddeden işçi işten çıkarılabilir mi ve sistem kaldırıldığında giriş-çıkış kayıtları ne olacak? Sağlık ve sendika üyeliği gibi diğer özel nitelikli verilere ise kısaca değiniyoruz.

II. Biyometrik Veri Nedir, Neden Özel Nitelikli Sayılır?

KVKK m.6/1 özel nitelikli kişisel verileri sınırlı sayım yoluyla belirler: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.² Kurul'a göre bu kategoriler kıyas yoluyla genişletilemez.¹

Kanun biyometrik veriyi tanımlamaz. Kurul ilke kararında iki tanıma başvurdu. 5490 sayılı Nüfus Hizmetleri Kanunu biyometrik veriyi “elektronik sistemler aracılığı ile kimlik tespit ve kimlik doğrulama işlemlerinin gerçekleştirilmesini sağlamak amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler” olarak tanımlar. Avrupa Genel Veri Koruma Tüzüğü (GDPR) ise daha geniştir: Yüz görüntüleri veya daktiloskopik veriler gibi, bir gerçek kişinin özgün biçimde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik ya da davranışsal özelliklere ilişkin, spesifik teknik işlemeden kaynaklanan veriler.³ Kurul bu çerçevede parmak izi ve retina/iris verisini fizyolojik, yüz ve el geometrisini fiziksel; ses tınısını, imza dinamiklerini ve klavye kullanım alışkanlıklarını davranışsal biyometrik veri örneği olarak sayıyor.³

Bu verileri ayrı kılan, geri döndürülemez olmalarıdır. Çalınan bir şifre değiştirilir, kaybolan kart iptal edilir; ele geçirilen bir parmak izi ya da yüz şablonu ise değiştirilemez. Kurul bu özelliği özellikle vurguluyor.³ Anayasa Mahkemesi de parmak izinin, sadece o kişiye ait olan ve kişinin kimliğini doğrudan tanımlamaya yarayan fizyolojik bilgi içerdiği için biyometrik veri olduğunu kabul eder.⁴ Danıştay aynı değerlendirmeyi avuç içi damar izi için yaptı.⁵ Uygulamada sık duyulan “cihaz parmak izini değil, şifrelenmiş bir şablonu saklıyor” savunması bu nedenle verinin niteliğini değiştirmez. Kurul'un 2020 tarihli bir kararında veri sorumlusu tam olarak bunu ileri sürmüş, şablona dönüştürülen parmak izinin görüntüsünün bir daha alınamadığını açıklamıştı; Kurul yine ihlal tespit etti.⁶

III. 7499 Sonrası KVKK m.6: Hangi Şartla İşlenebilir?

KVKK m.6, 7499 sayılı Kanun'la değiştirildi; değişiklik 01.06.2024'te yürürlüğe girdi.⁷ Eski metinde kural basitti: Özel nitelikli veriler ilgilinin açık rızası olmadan işlenemezdi; sağlık ve cinsel hayat dışındakiler ayrıca kanunlarda öngörülen hâllerde rıza aranmadan işlenebilirdi.⁸ Anayasa Mahkemesi ve Danıştay kararları bu eski metne göre verildi.

Yeni m.6/3 önce yasağı koyar: “Özel nitelikli kişisel verilerin işlenmesi yasaktır.” Ardından istisnaları sınırlı olarak sayar. Mesai takibi bakımından üç bent önemlidir: ilgili kişinin açık rızası (a), kanunlarda açıkça öngörülme (b) ve 2024'te eklenen istihdam bendi (f). Son bende göre işleme, “istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu” ise mümkündür. Hangi şarta dayanılırsa dayanılsın, Kurul'un belirlediği yeterli önlemlerin alınması da şarttır (m.6/4). Bu önlemler Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında sayılmıştır.⁹

Değişiklikten sonra işveren tarafında şu soru soruldu: İşveren çalışma sürelerini belgelemek zorunda olduğuna göre, (f) bendi biyometrik mesai takibine dayanak olamaz mı? Bent iki şart arar: Ortada kanundan doğan bir hukuki yükümlülük bulunmalı ve işleme bu yükümlülüğün yerine getirilmesi için zorunlu olmalıdır. İş ilişkisinde bu ölçüye Türk Borçlar Kanunu (TBK) m.419 da eşlik eder: İşveren işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir.¹⁰ İlke kararı bu sorunun cevabını da veriyor.

IV. Kurul'un 2026/921 Sayılı İlke Kararı Ne Diyor?

A. “Kanunlarda açıkça öngörülme” şartı yok

Kurul önce iş mevzuatına baktı. İş Kanunu m.63 genel çalışma süresini düzenler, m.67 günlük çalışmanın başlama ve bitiş saatleri ile dinlenme saatlerinin işçilere duyurulmasını ister, m.75 her işçi için özlük dosyası tutulmasını emreder. İş Kanununa İlişkin Çalışma Süreleri Yönetmeliği m.9 ise işverenin işçilerin çalışma sürelerini uygun araçlarla belgelemesini zorunlu kılar.¹¹ Kurul'a göre bu hükümler işverenin çalışma sürelerini takip etme ve belgeleme yükümlülüğünün çerçevesini çizer; ancak takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık bir kanun hükmü yoktur. Bu yüzden biyometrik mesai takibi “kanunlarda açıkça öngörülme” şartına dayandırılamaz.¹

B. İstihdam bendi dâhil diğer şartlar da uygulanmaz

Kurul'un sonucu (b) bendiyle sınırlı değil. Kararın sonuç bölümüne göre mesai takibi amacıyla biyometrik veri işlenmesinde m.6/3'ün (b), (c), (ç), (d), (e), (f) ve (g) bentlerinden hiçbiri uygulama alanı bulmaz; uygulamada bu yüzden (a) bendindeki açık rızaya başvurulur.¹ Kurul (f) bendi için ayrı bir paragraf yazmamış. Ancak gerekçenin iki parçası birlikte okunduğunda sonuç anlaşılır: Belgeleme yükümlülüğü yöntem belirtmez ve Kurul'a göre kart, PIN, imza çizelgesi, RFID/NFC kart gibi alternatiflerin varlığı “biyometrik veri işlemenin zorunlu olmadığını açıkça ortaya koymaktadır.”¹ (f) bendi zorunluluk aradığına göre, aynı yükümlülüğün biyometrik olmayan bir yolla yerine getirilebildiği yerde bu bende dayanmak mümkün değildir.

C. İşçinin açık rızası neden yetmez?

Açık rıza, KVKK m.3/1-a'ya göre belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır.¹² İlke kararının belki en önemli kısmı bu tanımın iş ilişkisine uygulanmasıdır. Kurul'a göre tarafların eşit konumda olmadığı istihdam ilişkilerinde çalışana rıza göstermeme veya rızasını geri çekme imkânı etkin biçimde sunulmuyorsa ya da rıza göstermemek çalışan için olumsuz sonuçlar doğurabilecekse, çalışanın gerçek bir seçeneği yoktur ve rızanın özgür iradeye dayandığından söz edilemez.¹

Kurul ikinci bir gerekçe daha ekliyor: Rıza her zaman geri alınabilir. Rızasını geri alan her çalışan sistemin dışına çıkacağı için, biyometrik mesai takibini yalnız açık rızaya dayandırmak sistemin sürekliliğini zedeler ve kural olarak yeterli bir hukuki zemin oluşturmaz.¹ İşe girişte imzalatılan genel bir “KVKK açık rıza metni” bu nedenle işvereni korumaz. Kurul 2022 tarihli bir kararında, çok sayıda amacı topluca kapsayan ve aydınlatma metninde yüz tanımadan hiç söz edilmeyen bir rıza metnini geçersiz saymıştı.¹³

D. Ölçülülük: Rıza olsa bile hukuka aykırı

Kararın asıl ağırlığı ölçülülükte. KVKK m.4/2-ç kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Kurul bu ilkeyi üç soruya ayırdı: Yöntem amaca uygun mu, alternatif yöntemler tüketildi mi ve müdahale ne boyutta? Bu kriterleri karşılamayan bir uygulama, ilgili kişinin açık rızası bulunsa dahi hukuka aykırı kabul edilecek.¹⁴ Kurul'a göre mesai takibi sınırlı bir idari amaçtır ve bu denli yoğun bir veri işleme müdahalesini haklı kılmakta çoğu durumda yetersiz kalır. Verilerin başka işleme faaliyetleriyle birleştirilip farklı amaçlarla kullanılabilme ihtimali de hesaba katılınca biyometrik mesai takibi ölçülülük ilkesini ihlal eder.¹

Böylece işveren açısından tablo netleşiyor. Açık rıza alınmamışsa işleme şartı yoktur. Açık rıza alınmışsa rızanın özgürlüğü tartışmalıdır. Rıza tartışmasız olsa bile ölçülülük ilkesi aşılamaz. Kurul'un önerdiği çıkış yolu da kararda yazılı: şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş.¹

V. Yargı Kararları Aynı Çizgide mi?

İlke kararı yeni bir yaklaşım getirmedi; Kurul'un ve yüksek yargının on yılı aşan çizgisini tek metinde topladı. Kurul da gerekçesinde Anayasa Mahkemesi ile Danıştay kararlarına ayrıca yer verdi.¹ Aşağıdaki kararların hepsi 2024 değişikliğinden önce verildi. İlke kararı, (f) bendinin eklenmesinin bu çizgiyi değiştirmediğini göstermesi bakımından da önemlidir.

A. Anayasa Mahkemesi: Ramazan Şahin kararı (2022)

Başvurucu bir belediyede devlet memuruydu. İşyerinde parmak izi sistemiyle mesai takibine geçilince parmak izinin kaydedilmesine itiraz etti. İdare mahkemesi işlemi iptal etti; bölge idare mahkemesi ise mesaiye devam zorunluluğunu ve idarenin denetim yükümlülüğünü gerekçe göstererek davayı reddetti.⁴ Anayasa Mahkemesi Genel Kurulu oybirliğiyle ihlal kararı verdi. Mahkemeye göre Anayasa m.20/3 uyarınca kişisel veriler ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebilir; özel nitelikli veriler bakımından rıza aranmadan veri işleme nedenleri arasında “kurum veya kuruluşların mesai düzeni yer almamaktadır.” 657 sayılı Devlet Memurları Kanunu çalışma saatlerini, 5393 sayılı Belediye Kanunu belediye başkanının sevk ve idare yetkisini düzenler; ama hiçbiri mesai takibi amacıyla biyometrik veri işlenmesine ilişkin temel esasları belirlemez. Rıza da bulunmadığından müdahale kanunilik şartını sağlamadı.⁴

Kararın iki tespiti bugün de yol gösterici. Birincisi rızaya ilişkin: Açık rızadan söz edebilmek için çalışanın işlenecek verinin kapsamı, amacı, sınırları ve sonuçları hakkında önceden yeterli biçimde bilgilendirilmesi elzemdir. İkincisi ölçülülüğe ilişkin: Bu yöntemler kural olarak meşru bir amacın varlığı, hak ve özgürlüklere daha az müdahale ile bu amacı gerçekleştirmeye elverişli başka bir yolun olmaması hâlinde ve amaçla sınırlı olmak üzere uygulanabilir.⁴ Mahkeme ayrıca Danıştay İdari Dava Daireleri Kurulu'nun 2015 tarihli kararına atıf yaptı. O kararda Danıştay, gerekli yasal düzenlemeye sahip olmayan bir idarenin “kişinin rızasını alsa dahi” işleminin hukuka uygunluğundan söz edilemeyeceğini belirtmişti.¹⁵

B. Danıştay: Avuç içi damar izi kararı (2023-2024)

Danıştay 12. Dairesi'nin 2023 tarihli kararına konu olayda bir kamu iktisadi teşebbüsü, memur, sözleşmeli ve hizmet alımı personelinin mesai takibi için avuç içi damar izi okuyucu sistemi kurmuş, tanımlama işlemine katılmayan personel hakkında disiplin işlemi yapılacağını bildirmişti. İdare, sistemin yalnız mesai takibine değil fiziksel mekân güvenliğine de hizmet ettiğini ve verilerin kurum içinde tutulmayıp yalnız personelin kartında şifreli olarak saklandığını savundu.⁵

Daire işlemi iptal etti. Gerekçeye göre avuç içi damar izi biyometrik veridir ve açık rıza aşırı miktarda veri toplanmasını meşrulaştırmaz. Kurul'un 2020 tarihli kararında vurgulandığı üzere, mesai takibinde çoğunlukla üstün güvenlik önlemi alınmasına ihtiyaç duyulan alanlarda kullanılan biyometrik yöntemlere başvurulması ölçülülük ilkesine aykırıdır. İdare güvenlik amacını ileri sürse de birimlerin tümünde üstün güvenlik önlemi gerektiğine dair somut bir veri sunmamıştır.⁵ Danıştay İdari Dava Daireleri Kurulu kararı 2024'te oyçokluğuyla onadı. Karşı oy, bilgilerin kurum içinde tutulmadığını ve uygulamanın özel hayatın gizliliğini ihlal etmediğini savundu; çoğunluk bu görüşe katılmadı.¹⁶ Böylece “veri yalnız kartta duruyor” savunması da sonucu değiştirmemiş oldu.

C. Kurul kararları ve para cezaları

Kurul'un ilk dönem kararları aynı yönde. 2020/915 sayılı kararda belediyede çalışan bir memurun parmak izinin silinmesi talebi reddedilmişti. Kurul, mesai kontrolünün ıslak imza gibi alternatif yollarla sağlanabildiğini ve üstün güvenlik önlemi gerektiren bir durum bulunmadığını belirterek parmak izi sisteminin ölçülülük ilkesine ve veri güvenliğine ilişkin m.12/1-a'ya aykırı olduğuna karar verdi.⁶ Bir spor salonuna ilişkin 2020/167 sayılı kararda ise el ve parmak izi taraması sisteminin, üyelerin açık rızası olsa bile minimum düzeyde veri talep etme ilkesiyle uyumlu olmadığını tespit etti.¹⁷

Özel sektör işverenleri için en çarpıcı örnek 2022/797 sayılı karardır. Bir kâğıt üretim şirketi işe giriş-çıkışlarda yüz tanıma sistemi kullanıyor, işçilere toplu bir açık rıza metni imzalatıyordu. Şirket, tehlikeli sınıfta üretim yaptığını ve iş sağlığı ve güvenliği yükümlülüklerini ileri sürdü. Kurul; İş Kanunu, İş Sağlığı ve Güvenliği Kanunu ve TBK'nın işverene yüklediği yükümlülüklerin biyometrik veri işlenmesi için yeterli yasal dayanak oluşturmadığını, işçi-işveren arasındaki güç dengesizliği nedeniyle rızanın geçerli olmadığını ve kart, RFID veya SMS gibi daha az müdahaleci yollar varken yüz tanımanın ölçüsüz olduğunu belirtti. Şirkete 500.000 TL idari para cezası verildi; yüz tanıma yoluyla elde edilen bütün verilerin imhası, uygulamanın durdurulması ve alternatif giriş-çıkış yöntemine geçilmesi talimatlandırıldı.¹³

Bu kararların bir ayrıntısı önemli. “Üstün güvenlik” ifadesi, belirli bir yüksek riskli bölüme giriş gibi mesai takibinden farklı ve dar bir amaç için kapıyı tamamen kapatmıyor; ilke kararı da yalnız mesai takibini konu alıyor. Ancak Danıştay güvenlik gerekçesinin somut veriyle gösterilmesini aradı, Kurul da fabrika kararında iş sağlığı ve güvenliği gerekçesini yeterli dayanak saymadı. Tehlikeli sınıfta faaliyet göstermek tek başına biyometrik sisteme izin vermiyor.

VI. Parmak İzi Vermeyen İşçi İşten Çıkarılabilir mi?

KVKK'dan önce bu soru Yargıtay'ın önüne birkaç kez geldi. Olaylar benzerdi: Bir ulaşım işletmesinin istasyonlarında alt işveren işçisi olarak çalışan güvenlik görevlileri, üst işverenin başlattığı parmak izi uygulamasına katılmadı ve işe başlatılmadı; iş sözleşmeleri devamsızlık ve talimata aykırılık gerekçesiyle feshedildi.¹⁸

Yargıtay 22. Hukuk Dairesi'nin ilk kararında çoğunluk feshin haklı nedene dayandığını kabul etti. Karşı oy yazan üyeler ise uygulamanın işçi bakımından esaslı değişiklik sayılabileceğini, ancak işçinin bu tutumunun işveren için geçerli fesih sebebi oluşturduğunu savundu.¹⁸ Daire üç ay sonra bu ikinci görüşe geçti: Çalışanların parmak izi verilerinin başkasının eline geçmesi kaygısıyla bu değişikliği çalışma şartlarında esaslı değişiklik olarak değerlendirmeleri “doğal karşılanmalıdır”; bu nedenle fesih haklı nedene dayanmaz. Ancak işyeri güvenliğini sağlamak amacıyla yapılan değişiklik geçerli olduğundan fesih geçerli sebebe dayanır ve işe iade davası reddedilir.¹⁹ Geçerli sebeple fesihte işçi kıdem ve ihbar tazminatını alır, ama işe dönüş yolu kapanır.

Bu kararların hiçbiri bugünkü hukuka göre verilmedi. 2014'te KVKK yoktu; Anayasa m.20/3 vardı ama ne Anayasa Mahkemesi'nin 2022 kararı ne de Kurul'un ilke kararı vardı. İlke kararından sonra aynı soruyu ele alan bir Yargıtay kararına rastlamadık. Kanaatimizce bugün sonuç değişmelidir, üç nedenle:

• İşçi, işverenin genel düzenlemelerine ve talimatlarına ancak dürüstlük kurallarının gerektirdiği ölçüde uymak zorundadır (TBK m.399/1).²⁰ Kurul'a göre mesai takibi amacıyla biyometrik veri işlenmesi hiçbir işleme şartına dayanmaz ve rıza olsa bile ölçülülük ilkesine aykırıdır. Hukuka aykırı bir veri işlemeye katılmayı reddetmek talimata aykırılık sayılamaz.
• Kurul, rıza göstermemenin çalışan açısından olumsuz sonuçlar doğurabildiği durumlarda rızanın özgür olmadığını söylüyor. Parmak izi vermeyeni işten çıkarmak bu olumsuz sonucun en ağır biçimidir; böyle bir fesih, işverenin dayandığı rızanın geçersizliğini de kendiliğinden ortaya koyar.
• Yargıtay'ın kendi kabulüne göre biyometrik sisteme geçiş çalışma koşullarında esaslı değişikliktir. İş Kanunu m.22'ye göre işçi değişikliği altı işgünü içinde yazılı olarak kabul etmezse işveren ancak değişikliğin geçerli bir nedene dayandığını yazılı olarak açıklayarak ve bildirim süresine uyarak feshedebilir.²⁰ Hukuka aykırı bir veri işleme yöntemine geçiş geçerli neden olamaz.

Bu nedenle bugün parmak izi veya yüz tanıma sistemine katılmadığı için iş sözleşmesi feshedilen işçinin işe iade davasında güçlü bir konumda olduğunu düşünüyoruz. İş güvencesi kapsamında olmayan işçi bakımından da fesih sebebinin hukuka aykırılığı, kötüniyet tazminatı ve kişilik hakkı ihlali yönünden tartışılabilir.

VII. Giriş-Çıkış Kayıtları da Silinmeli mi?

İlke kararına uyan işverenin ilk işi biyometrik sistemi durdurmak ve şablonları imha etmektir. KVKK m.7/1'e göre işlenmesini gerektiren sebepler ortadan kalkan kişisel veriler resen veya ilgilinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir.²¹ Kurul da 2022 tarihli kararında yüz tanıma yoluyla elde edilen bütün verilerin imhasını istemişti.¹³

Ancak burada sık yapılan bir hata var. Silinmesi gereken, kişinin parmak izinden, yüzünden ya da damar izinden üretilen şablondur. Hangi gün saat kaçta işe girildiğini gösteren zaman kaydı ise biyometrik veri değildir; genel nitelikli bir kişisel veridir ve işverenin belgeleme yükümlülüğünün ta kendisidir. Yargıtay 9. Hukuk Dairesi işçinin konum bilgisini ve çalışma sürelerini de kişisel veri saydı ve bu verilerin işlenmesinde KVKK m.4'teki ilkelerin uygulanacağını belirtti.²² Aynı Daire'ye göre fazla çalışmanın ispatında işyeri kayıtları, özellikle işyerine giriş çıkışı gösteren belgeler delil niteliğindedir; işverenin sunduğu parmak izi sistemi kayıtlarına müdahale edilip edilmediği uzman bilirkişi incelemesiyle araştırılmalıdır.²³

Kayıtları silmek işverenin aleyhine de döner. Bir davada işveren, işçi işten ayrıldığı için parmak izi giriş-çıkış kayıtlarının silindiğini bildirmişti. Yargıtay, işverenin kendi kusurundan kaynaklanan bir nedenle kayıtları sunmamasının işveren lehine değerlendirilmesini hatalı buldu ve işçinin sunduğu kayıtların bütün çalışma süresi için dikkate alınmasını istedi.²⁴ Doğru uygulama şudur: Biyometrik şablonlar imha edilir ve imha belgelenir; giriş-çıkış saatleri ise saklama ve imha politikasında yazılı süre boyunca, amaçla sınırlı olarak saklanır.

VIII. Sağlık ve Sendika Verisi: Kısa Bir Not

Biyometrik veri dışındaki özel nitelikli verilerde de aynı soru sorulur: Kanun işverene bir yükümlülük yüklemiş mi ve işleme bu yükümlülük için zorunlu mu? Sağlık verisinde cevap çoğu zaman olumludur. İş Sağlığı ve Güvenliği Kanunu m.15 işverene, çalışanların işe girişte, iş değişikliğinde ve düzenli aralıklarla sağlık muayenesinden geçirilmesini sağlama yükümlülüğü yükler; tehlikeli ve çok tehlikeli sınıftaki işlerde sağlık raporu olmadan işe başlatmak yasaktır. Bu, (f) bendindeki iş sağlığı ve güvenliği alanındaki hukuki yükümlülüğün tipik örneğidir; işyeri hekiminin yürüttüğü muayene için ayrıca sır saklama yükümlülüğü altındaki kişilere ilişkin (e) bendi gündeme gelir.²⁵ Ancak dayanak muayeneyle sınırlıdır. Aynı madde sağlık bilgilerinin gizli tutulmasını ister; İş Kanunu m.75/2 de işverenin işçi hakkında edindiği bilgileri dürüstlük kurallarına ve hukuka uygun olarak kullanmasını ve gizli kalmasında işçinin haklı çıkarı bulunan bilgileri açıklamamasını emreder.²⁶

Sendika üyeliği de özel nitelikli veridir. 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanunu m.25, işe almayı sendikaya üye olma veya olmama şartına bağlamayı ve üyelik nedeniyle ayrım yapmayı yasaklar; aykırılıkta işçinin bir yıllık ücret tutarından az olmamak üzere sendikal tazminata hükmedilir.²⁷ İşverenin üyelik bilgisini öğrenip bunu çalışma koşullarında veya fesihte kullanması hem KVKK hem de bu madde bakımından sonuç doğurur.

IX. İşveren ve İşçi Ne Yapmalı?

İşveren için. Mesai takibinde kullanılan parmak izi, yüz tanıma, damar izi ve benzeri sistemler durdurulmalı; Kurul'un saydığı kart, PIN, RFID/NFC veya imza çizelgesi gibi bir yönteme geçilmelidir. Mevcut biyometrik şablonlar cihazdan, yazılımdan ve yedeklerden imha edilmeli; imha bir tutanakla ve varsa sistem sağlayıcısının yazısıyla belgelenmelidir. Giriş-çıkış saat kayıtları ise silinmemeli; saklama süresi ve hukuki sebebi saklama ve imha politikasına yazılmalıdır. Aydınlatma metni yeni yönteme göre güncellenmeli, işe girişte imzalatılan genel açık rıza metinleri de gözden geçirilmelidir.

Bu adımların ihmali ağır sonuç doğurabilir. Kurul, ilke kararına uyulmasını KVKK m.12/1'deki teknik ve idari tedbir yükümlülüğünün bir parçası sayıyor.¹ Kanun bu yükümlülüğü yerine getirmeyenler için 15.000 TL'den 1.000.000 TL'ye kadar idari para cezası öngörür; bu tutarlar her takvim yılı yeniden değerleme oranında artırılarak uygulanır. 2024'ten beri Kurul'un idari para cezalarına karşı idare mahkemelerinde dava açılır. Kamu kurumlarında ise ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır.²⁸

İşçi için. Biyometrik sisteme katılmak istemeyen işçi önce işverene yazılı olarak başvurabilir. İşveren talebi en geç otuz gün içinde ücretsiz olarak sonuçlandırmak zorundadır. Başvuru reddedilir, cevap yetersiz kalır ya da süresinde cevap verilmezse işçi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir. Başvuru yolu tüketilmeden şikâyet yoluna gidilemez. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı ayrıca saklıdır.²⁹ İşten çıkarılan işçi için ise işe iade ve tazminat yolları VI. bölümde anlatıldığı gibi açıktır.

Sonuç

Kurul'un 2026/921 sayılı ilke kararıyla mesai takibinde biyometrik veri tartışması büyük ölçüde kapandı. Kanun bu yöntemi açıkça öngörmüyor. 2024'te eklenen istihdam bendi zorunluluk aradığı için alternatif yöntemlerin bulunduğu yerde işe yaramıyor. İşçinin açık rızası güç dengesizliği nedeniyle tartışmalı; rıza tartışmasız olsa bile ölçülülük ilkesi aşılamıyor. Anayasa Mahkemesi, Danıştay ve Kurul'un önceki kararları da aynı sonuca işaret ediyor.

Uygulayıcı iki ayrıntıyı akılda tutmalı. Birincisi, imha edilecek olan biyometrik şablondur, giriş-çıkış saat kayıtları değil; bu kayıtlar işçilik alacağı davalarında her iki tarafın da delilidir. İkincisi, Yargıtay'ın parmak izi vermeyen işçinin feshini geçerli saydığı 2014 kararları KVKK'dan önceye aittir. Bugün aynı gerekçeyle yapılan bir feshin işe iade davasında ayakta kalması kanaatimizce zordur.