Kişisel Verileri Koruma Kurulu (KVKK), iş dünyasında ve kamu kurumlarında uzun süredir tartışma konusu olan mesai takip sistemlerine ilişkin devrim niteliğinde bir karara imza atmıştır. 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanan 2026/921 sayılı İlke Kararı uyarınca, mesai takibi amacıyla parmak izi, yüz tanıma, avuç içi damar izi, iris ve retina taraması gibi biyometrik veri işleme faaliyetlerinin hukuka aykırı olduğu kesin olarak hükme bağlanmıştır. Bu karar, yalnızca özel sektördeki işçileri değil, kamu kurumlarında görev yapan devlet memurlarını da doğrudan kapsamaktadır. Yapılan düzenlemeyle birlikte, işverenlerin çalışanlardan yazılı onay almış olması dahi bu sistemlerin hukuka aykırı olmasını engellememektedir. Gaziantep yerelinde ve Türkiye genelinde faaliyet gösteren firmaların, bu yeni hukuki döneme hızla uyum sağlaması ve yasal yaptırımlarla karşılaşmamak adına biyometrik veri tabanlı cihazları ivedilikle terk etmesi yasal bir zorunluluk haline gelmiştir.
Biyometrik Veri İşleme Faaliyetlerinde Hukuki Sınırlar ve Açık Rızanın Geçersizliği
6688 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 6’ncı maddesinde, kişilerin biyometrik ve genetik verileri “özel nitelikli kişisel veri” (ifşa edilmesi durumunda kişinin mağduriyetine veya ayrımcılığa maruz kalmasına yol açabilecek nitelikteki hassas veriler) olarak sınıflandırılmıştır. Kanun koyucu, bu tür verilerin işlenmesini son derece sıkı şartlara bağlamış ve kıyas yoluyla genişletilmesini yasaklamıştır. Biyometrik veriler, insan vücudunun benzersiz özelliklerinden elde edildiği için geri döndürülemez ve değiştirilemez bir yapıya sahiptir. Dolayısıyla bu verilerin ele geçirilmesi halinde telafisi imkansız zararlar doğabilmektedir. İşverenler bugüne kadar söz konusu sistemleri meşrulaştırmak adına işçilerden açık rıza (belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza) formu toplama yoluna gitmekteydi. Ancak KVKK yayımladığı son ilke kararında bu uygulamayı kökten geçersiz kılmıştır.
TCK MADDE 135 KİŞİ VERİLERİNİN KAYDEDİLMESİ yazımızı okumak için
İşçi ile işveren arasındaki hukuki ilişkide yapısal bir güç dengesizliği mevcuttur. İşçinin, işini kaybetme korkusu, mobbinge maruz kalma endişesi veya işe alım sürecinde elenme riski varken işverenin sunduğu rıza formunu özgür iradesiyle imzaladığını kabul etmek hukukun temel ilkeleriyle bağdaşmamaktadır. Kurul, bu güç dengesizliğine ek olarak, rızanın her zaman geri alınabilir bir hukuki beyan olduğunu hatırlatmıştır. İşçi, verdiği rızayı geri aldığı takdirde biyometrik sistemlerin sürekliliği zedelenecektir. Bu nedenle, işçinin muvafakati bulunsa dahi, mesai takibi için parmak izi veya yüz tanıma sistemlerinin kullanılması hukuki bir zemin oluşturmamaktadır. Anayasa Mahkemesi Genel Kurulu’nun 10/03/2022 tarihli (Başvuru No: 2018/11988) emsal kararında da belirtildiği üzere, kanunlarda biyometrik veriyle mesai takibine izin veren açık bir düzenleme bulunmadığı sürece bu uygulamalar Anayasa’nın 20’nci maddesinde korunan kişisel verilerin korunmasını isteme hakkının ihlali anlamına gelmektedir.
Ölçülülük ve Veri Minimizasyonu İlkeleri Işığında Alternatif Mesai Takip Yöntemleri
Kişisel verilerin işlenmesinde Kanun’un 4’ncü maddesinde düzenlenen genel ilkelere uyulması zorunludur. Bu ilkelerin en başında verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gelmektedir. Ölçülülük ilkesi, bir amaca ulaşmak için seçilen aracın, o amaca ulaşmaya elverişli olmasını, gerekli olmasını ve bireyin haklarını en az zedeleyecek yöntem olmasını ifade eder. İşverenin amacı işçinin mesai saatlerine uyup uymadığını kontrol etmek, yani işe devam takibini sağlamaktır. Bu amaca ulaşmak için işçinin geri döndürülemez biyometrik verilerini kopyalamak kesinlikle ölçülü bir müdahale değildir. Sektörde çok daha az müdahaleci alternatif takip yöntemleri bulunmaktadır ve bu yöntemlerin varlığı, biyometrik sistemlerin zorunlu olmadığını açıkça ispatlamaktadır.
Kurul’un ilke kararında işverenlerin kullanabileceği ve hukuka uygun kabul edilen alternatif yöntemler şu şekilde sıralanmıştır:
- Şifreli kart sistemleri veya kişiye özel atanan PIN tabanlı cihazlar,
- RFID / NFC tabanlı temassız akıllı kimlik kartları,
- Geleneksel imza föyleri ve kağıt bazlı basılı devam çizelgeleri,
- Denetçi, vardiya şefi veya insan kaynakları görevlisi gözetiminde elle giriş kontrol sistemleri.
Danıştay 12. Daire Başkanlığı da geçmiş dönemde vermiş olduğu 2021/370 Esas ve 2023/2548 Karar sayılı ilamında, bir kurumda mesai takibi amacıyla avuç içi damar okuyucu sisteminin kullanılmasını hukuka aykırı bulmuş ve iptal etmiştir. Danıştay İdari Dava Daireleri Kurulu tarafından da onanan bu içtihatlar, KVKK’nın ilke kararıyla idari düzlemde de perçinlenmiştir. 4857 sayılı İş Kanunu’nun 63 ve 67’nci maddeleri ile ilgili yönetmelikler, işverene işçinin çalışma sürelerini belgeleme yükümlülüğü yüklemiştir; fakat bu belgelemenin mutlaka biyometrik veriyle yapılması gerektiğine dair hiçbir yasal düzenleme mevcut değildir. Dolayısıyla, amaca ulaşmak için hak ihlali yaratmayan yöntemler varken en ağır yöntemi seçmek yasa dışıdır.
Dövme Yaptıran İşçi İşten Çıkarılabilir mi? yazımızı okumak için
Uyuşmazlığın Konusu: Bir kamu kurumunda (Belediye Başkanlığı bünyesinde) devlet memuru olarak görev yapan kamu görevlisi, kurum amirliği tarafından mesai takip sisteminin dijitalleştirilmesi amacıyla parmak izi kayıt sistemine geçilmesi üzerine idari işlemin iptali talebiyle dava açmıştır. Yerel Bölge İdare Mahkemesi, idarenin bu işleminin iş disiplini ve güvenlik amacıyla yapıldığını belirterek davayı reddetmiştir. Bunun üzerine çalışan, hak arama hürriyeti kapsamında konuyu bireysel başvuru yoluyla Anayasa Mahkemesi’ne (AYM) taşımıştır.
Anayasa Mahkemesi ve Danıştay Karar Özeti: “657 sayılı Devlet Memurları Kanunu ve 5393 sayılı Belediye Kanunu incelendiğinde, kamu görevlilerinin mesai takibinin biyometrik veri tabanlı sistemlerle yapılacağına dair hiçbir yasal dayanak bulunmamaktadır. Anayasa’nın 20’nci maddesi uyarınca kişisel veriler ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kanun koyucu, özel nitelikli kişisel verilerin işlenmesini tahdidi (sınırlı) olarak sayarak sıkı kurallara bağlamıştır. İşlenme amacıyla bağlantılı ve ölçülü olmayan, alternatif yöntemler tüketilmeden doğrudan biyometrik verilerin işlenmesini zorunlu kılan bu müdahale, kanunilik şartını sağlamadığı için kişisel verilerin korunmasını isteme hakkının ihlalidir.”
Hukuki Analiz ve Sonuç: Bu vaka analizi göstermektedir ki yargı organları ve idari kurullar, işçi-işveren veya memur-idare ilişkisinde “güvenlik” veya “teknolojik kolaylık” gerekçelerinin arkasına sığınılarak temel hakların çiğnenmesine müsaade etmemektedir. Gaziantep İş Mahkemeleri de işçilerin parmak izi vermeyi reddettiği gerekçesiyle işten çıkarılması durumunda yapılan fesihleri haksız saymakta ve işçiye kıdem tazminatı, ihbar tazminatı ile işe iade haklarını teslim etmektedir. KVKK’nın 2026/921 sayılı ilke kararı, bu emsal kararları mutlak bir idari kural haline getirerek tartışmaları tamamen sonlandırmıştır.
Biyometrik Veri Kullanan İşverenlere Uygulanacak Cezai ve İdari Yaptırımlar
KVKK tarafından yayımlanan bu ilke kararına aykırı hareket etmeye devam eden, iş yerindeki parmak izi okuyucuları veya yüz tanıma kameralarını sökmeyen veri sorumluları (işverenler veya kurumlar) hakkında çok ağır yaptırımlar uygulanacaktır. Kanun’un 18’inci maddesi hükümleri gereğince, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyen, hukuka aykırı olarak özel nitelikli kişisel veri işleyen işverenlere yüksek miktarlarda idari para cezası kesilecektir. Ayrıca Kurul, ihlalin yaygın olduğunu tespit ettiği durumlarda resen (kendiliğinden) veya gelen şikayetler üzerine denetim başlatarak ilgili sistemlerin derhal durdurulmasına karar verme yetkisine sahiptir.
İş hukuku ve ceza hukuku boyutunda ise durum şu şekildedir:
- İşçi Açısından Haklı Fesih Hakkı: İşverenin parmak izi veya yüz tanıma dayatmasında bulunması, işçi için 4857 sayılı İş Kanunu’nun 24/II maddesi uyarınca “ahlak ve iyi niyet kurallarına uymayan haller” kapsamında haklı fesih nedeni oluşturur. İşçi iş sözleşmesini derhal feshederek kıdem tazminatını talep edebilir.
- İşe İade Davası: Parmak izini vermediği gerekçesiyle işten çıkartılan bir işçinin açacağı işe iade davası doğrudan işçi lehine sonuçlanacaktır; çünkü fesih geçerli bir sebebe dayanmamaktadır.
- Türk Ceza Kanunu Kapsamında Suç: Hukuka aykırı olarak kişisel verileri kaydeden, depolayan veya işleyen işverenler ile insan kaynakları yöneticileri, TCK’nın 135 ve devamı maddeleri uyarınca hapis cezası istemiyle Asliye Ceza Mahkemelerinde yargılanma riskiyle karşı karşıya kalacaktır.
Gaziantep Adliyesi ve zorunlu arabuluculuk dairelerine intikal eden uyuşmazlıklarda, hukuk büromuzun 11 yıllık mesleki tecrübesiyle gözlemlediğimiz üzere, dijital sistemlerin hukuki altyapısını kurmayan firmalar büyük hak kayıpları yaşamaktadır. Bu nedenle işverenlerin acilen mevcut sistemlerini revize etmesi, işçilerin ise yasa dışı veri toplama uygulamalarına karşı haklarını araması gerekmektedir.
Sıkça Sorulan Sorular
1. Patronum parmak izimi vermezsem beni işten çıkaracağını söylüyor, ne yapmalıyım?
İşverenin mesai takibi için parmak izi istemesi ve bunu bir tehdit unsuru olarak kullanması tamamen hukuka aykırıdır. Parmak izinizi vermediğiniz gerekçesiyle işten çıkartılırsanız, kıdem ve ihbar tazminatınızı talep edebilir, şartlarınız oluşmuşsa işe iade davası açabilirsiniz. Bu süreçte hak kaybına uğramamak için 11 yıllık saha tecrübesine sahip hukuk büromuzdan profesyonel destek alabilirsiniz.
2. Kendi rızamla imzaladığım muvafakatname işvereni cezadan korur mu?
Hayır, korumaz. KVKK’nın 2026/921 sayılı ilke kararına göre, işçi ve işveren arasındaki ekonomik ve sosyal güç dengesizliği sebebiyle işçinin verdiği açık rıza sakatlanmış kabul edilir ve geçersiz sayılır. İşverenin elinde rıza formu olsa dahi biyometrik veri işlemesi durumunda idari para cezası uygulanacaktır.
3. İş yerindeki parmak izi uygulaması nasıl şikayet edilir?
Çalışanlar, e-Devlet üzerinden veya doğrudan Kişisel Verileri Koruma Kurumu’nun resmi internet sitesinde yer alan şikayet modülü üzerinden veri sorumlusu işvereni şikayet edebilirler. Ayrıca Cumhuriyet Başsavcılıklarına kişisel verilerin hukuka aykırı kaydedilmesi suçu kapsamında suç duyurusunda bulunulması da mümkündür.
4. Fabrikalarda kartlı sisteme geçiş yapmak zorunlu mu?
Evet, parmak izi, yüz tanıma veya avuç içi okuma kullanan tüm işletmeler bu sistemleri sökmek zorundadır. İşverenler işe devam takibini sağlamak amacıyla şifreli kapılar, barkodlu/NFC kartlar veya imza föyleri gibi kişisel hakları ihlal etmeyen alternatif yöntemlere geçiş yapmakla yükümlüdür.
İletişim Bilgileri
Avukat Abdulkadir Akıllar Hukuk Bürosu Telefon: 0532 167 09 13
Adres: Gaziantep
Web Elemanı: akillar.av.tr
Yasal Uyarı
Bu makale yalnızca bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. İş hukuku ve kişisel verilerin korunması hukukundaki uyuşmazlıklarda hak kaybına uğramamak, idari para cezalarıyla karşılaşmamak ve davaların takibini doğru yönetmek için uzman bir avukattan profesyonel destek almanız tavsiye edilir.
Kaynaklar
- 4857 Sayılı İş Kanunu mevzuat hükümleri
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu (Kanun) Madde 4, 6 ve 18
- Kişisel Verileri Koruma Kurulu (KVKK) 2 Haziran 2026 Tarihli ve 2026/921 Sayılı İlke Kararı
- Anayasa Mahkemesi Genel Kurulu’nun 10/03/2022 Tarihli ve 2018/11988 Başvuru Numaralı Kararı
- Danıştay 12. Daire Başkanlığı’nın 2021/370 Esas ve 2023/2548 Karar Sayılı İlamı
- Danıştay İdari Dava Daireleri Kurulu’nun 2024/225 Esas ve 2024/2625 Karar Sayılı Onama İlamı
Aklınıza takılan tüm soruları sorabilirsiniz. Yorum yapmaktan çekinmeyin.