Kişisel Verileri Koruma Kurumu, mesai takibi amacıyla biyometrik veri işlenmesine ilişkin İlke Kararı’nın ardından veri sorumlularından gelen görüş talepleri doğrultusunda konuyu açıklığa kavuşturan bir kamuoyu duyurusu yayımlamıştır. Çalışan devam takibinin dijital ortamda yapılması ve iş yeri güvenliğinin artırılması amacıyla biyometrik tanımlama sistemlerinin kullanımı giderek yaygınlaşmış; bu durum, Kuruma iletilen ihbar ve şikâyetlerde en sık dile getirilen hukuka aykırılıklardan biri hâline gelmiştir. Bu doğrultuda Kurul, 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”nı almış ve karar 02.06.2026 tarihli Resmî Gazete’de yayımlanmıştır.

Duyuruda öncelikle, 6698 sayılı Kanun’un 6. maddesinde özel nitelikli kişisel verilerin sınırlı sayıda düzenlendiği ve biyometrik verilerin de bu kapsamda yer aldığı; bu kategorilerin kıyas yoluyla genişletilemeyeceği hatırlatılmıştır. Kuruma iletilen bazı görüşlerde, avuç içi taraması veya parmak izi alınması gibi yöntemlerle elde edilen verilerin biyometrik veri sayılmaması gerektiği ileri sürülmüştür. Ancak Kurul, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün 51 numaralı gerekçesine (Recital 51) atıfla, belirli bir teknik yöntemle gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hâle getirilen verilerin biyometrik veri niteliği taşıdığını; bu verilerin matematiksel bir koda çevrilerek saklanmasının bu niteliği ortadan kaldırmadığını belirtmiştir.

Kurul, işverenlerin çalışma sürelerini takip etme ve belgeleme yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik tanımlama sistemleri kullanılarak yerine getirilmesini öngören açık bir kanuni düzenleme bulunmadığını vurgulamıştır. Bu nedenle mesai takibinin biyometrik veri işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir. İlke Kararı ile, yalnızca mesai takibi amacıyla yapılan biyometrik veri işleme faaliyetlerinin Kanun’un 6. maddesindeki işleme şartlarından hiçbirine dayanmadığı; geçerli bir açık rıza bulunsa dahi bu faaliyetin Kanun’un 4. maddesinde düzenlenen ölçülülük kriterini sağlamayacağı değerlendirilmiştir.

Bununla birlikte duyuruda, taşıdıkları güvenlik riski nedeniyle bazı tesis ve faaliyet alanlarının genel değerlendirmeden ayrıldığına dikkat çekilmiştir. Bu alanlarda biyometrik sistemler yalnızca mesai takibine hizmet eden bir araç olmaktan çıkarak; kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin ayrılmaz bir parçası hâline gelmektedir. Bu tür alanlarda dahi biyometrik veri işlemenin yalnızca gerekli kritik alan ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işlemenin somut güvenlik ihtiyacıyla ölçülü olması gerekmektedir. Ayrıca Kurul, Kanun’un 28. maddesinin birinci fıkrasının (ç) bendi uyarınca millî savunma, millî güvenlik, kamu güvenliği ve kamu düzeni gibi amaçlarla yürütülen işleme faaliyetlerinin belirli şartlarla Kanun kapsamı dışında kalabileceğini; ancak bu istisnanın biyometrik veri kullanımını sınırsız hâle getirmediğini ve her somut olayda ayrı değerlendirme gerektirdiğini belirtmiştir.

Sonuç olarak Kurul; çalışan devam takibi amacıyla yapılan biyometrik veri işleme faaliyetlerinde veri sorumlularının 2026/921 sayılı İlke Kararı doğrultusunda hareket etmesi gerektiğini ifade etmiştir. Mesai takibi dışında kalan biyometrik veri işleme faaliyetlerinin ise İlke Kararı kapsamında değerlendirilmeyeceği; bunların hukuka uygunluğunun veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumlularınca değerlendirilmesi gerektiği, Kuruma intikal edecek ihbar ve şikâyetlerin de her somut olay özelinde ayrıca ele alınacağı belirtilmiştir.