Mesai Takibinde Biyometrik Veri İşlenmesi ve KVKK İdari Para Cezaları
Parmak izi veya yüz tanıma sistemiyle personel takibi yapan şirketlerin karşı karşıya olduğu ölçülülük ilkesi ihlali ve Kurulun "kamu güvenliği istisnaları" hakkındaki son duyurusu.
Şirketlerin, fabrikaların veya plazaların girişlerinde güvenlik ve mesai kontrolü amacıyla uzun yıllardır yaygın olarak kullanılan parmak izi okuyucuları ve yüz tanıma sistemleri, yeni KVKK mevzuatıyla birlikte hukuki bir mayın tarlasına dönüşmüştür. İşverenlerin "Personelimden imza aldım, onayları var" veya "Biz parmak izini değil, onun matematiksel kodunu tutuyoruz" savunmaları, veri mahremiyeti alanındaki en güncel ilke kararıyla tamamen geçersiz kılınmıştır.
Yasal Risk: 17.092.242 TL'ye Varan İdari Para Cezası
Kişisel Verileri Koruma Kurulu'nun yeni ilke kararında belirtilen alternatif sistemlere geçiş yapmayan ve personelin biyometrik verisini kopyalamaya devam eden şirketler (veri sorumluları) hakkında, 6698 sayılı Kanun'un 18'inci maddesi kapsamında 256.357 TL’den 17.092.242 TL’ye kadar ağır idari para cezası kesileceği hüküm altına alınmıştır. Bu ceza, olası bir çalışan şikayeti anında doğrudan şirketin mali bilançosuna yansıyacaktır.
Neden "Açık Rıza" Alınsa Bile Yasak? (Ölçülülük İlkesi)
İşverenlerin KVKK denetimlerinde en çok güvendikleri yasal kalkan olan "Personel Açık Rıza Beyanı", biyometrik veri işlenmesi söz konusu olduğunda Kurul tarafından yetersiz bulunmuştur. Bunun hukuki gerekçesi şudur:
KVKK Madde 4'te yer alan genel ilkelere göre, kişisel verilerin işlenmesi "amaçla bağlantılı, sınırlı ve ölçülü" olmak zorundadır. Bir personelin işe saat kaçta geldiğini tespit etmek (mesai takibi) nispeten basit bir idari işlemdir. Bu basit işlemi gerçekleştirmek için kişinin değiştirilemez, en mahrem ve genetik verisi olan parmak izini veya yüz haritasını kaydetmek "Ölçülülük İlkesine" doğrudan aykırıdır. Mevzuatta mesai takibinin biyometrik veriyle yapılmasına dair açık bir kanun hükmü bulunmadığından, bu eylem temel hakların ihlali olarak kabul edilmektedir.
Biyometrik Veri Nedir?
Parmak izi, yüz tanıma, iris, retina veya el ayası (damar izi) gibi kişiyi benzersiz ve kesin olarak tanımlayan genetik/fiziksel verilerin tamamı "özel nitelikli kişisel veri" statüsündedir.
Kodlama (Algoritma) Savunması
Avrupa Birliği Veri Koruma Tüzüğü (Recital 51) ile paralel olarak; alınan parmak veya damar izinin doğrudan değil de "matematiksel bir algoritmaya" çevrilerek sistemde saklanması, o verinin biyometrik olma özelliğini hukuken kaldırmaz.
KVKK Ceza Sınırları ve İdari Yaptırımlar
Şirketlerin karşı karşıya kaldığı finansal ceza riskinin yasal sınırları 2026 yılı güncellemelerine göre aşağıdaki tabloda özetlenmiştir:
| İhlal Türü | Ceza Sınırları (TL) |
|---|---|
| Veri Güvenliğine İlişkin Yükümlülüklerin İhlali (Biyometrik Veri) | 256.357 TL – 17.092.242 TL |
Güvenlik İstisnaları (Mesai Dışı Kullanım)
KVKK Kurulu, biyometrik verilerin tüm alanlarda yasaklanmadığını önemle vurgulamıştır. Milli savunma, kamu güvenliği veya ekonomik güvenliğin korunmasına yönelik alanlarda biyometrik kullanım (Kanun m.28 istisnaları) mümkündür. Özel sektörde ise; yüksek güvenlik riski taşıyan kritik tesislere, AR-GE laboratuvarlarına veya sunucu odalarına erişimde kimlik doğrulama veya yetkilendirme amacıyla biyometrik veri kullanılabilir. Ancak bu kullanım; genel personel giriş-çıkış (mesai) kapılarında değil, sadece o kritik alana girişte, yetkili kişilerle sınırlı ve alternatif yöntemlerin yetersiz kaldığı durumlar için ölçülü olmalıdır.
İK Departmanları Hangi Alternatif Yöntemleri Kullanmalı?
Söz konusu ilke kararında KVKK Kurulu, şirketlerin rutin mesai (PDKS) takibi yapmak için "daha az müdahaleci alternatif yöntemlere" geçmesi gerektiğini açıkça belirtmiştir. Şirketinizin ceza riskinden kurtulması için İnsan Kaynakları departmanınızın derhal geçiş yapabileceği yasal ve güvenli yöntemler şunlardır:
- Şifreli Kart ve Çip Sistemleri: RFID veya NFC teknolojisine sahip personel kimlik kartları okutularak yapılan geçişler.
- PIN Tabanlı Sistemler: Çalışana atanan özel rakamsal şifrelerin (PIN) tuşlanarak turnikelerden geçilmesi.
- Geleneksel İmza Çizelgeleri: Personelin giriş-çıkış saatlerini manuel olarak imzaladığı kâğıt bazlı puantaj formları.
- Denetçi Gözetiminde Manuel Giriş: Güvenlik veya denetçi personelin gözetimi altında yapılan elle giriş yöntemleri.
Geçmişte Toplanan Biyometrik Veriler Ne Olacak?
Sadece yeni sistemlere geçmek yeterli değildir. Şirket sunucularında veya PDKS yazılımlarının veri tabanlarında geçmişten bugüne kadar kaydedilmiş olan tüm parmak izi ve yüz tanıma verilerinin, Kişisel Verileri Koruma Kurumu'nun "Veri İmha Politikası" standartlarına uygun olarak derhal ve geri döndürülemez şekilde silinmesi (veya anonim hale getirilmesi) yasal bir zorunluluktur. Bu imha sürecinin bir tutanakla kayıt altına alınması, olası denetimlerde şirketinizi kurtaracak en önemli belgedir.
