Kişisel Verileri Koruma Kurulu (KVKK), işyerlerinde çalışanların parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik veriler kullanılarak mesai takibi yapılmasının hukuka aykırı olduğuna hükmetti.
Kararla birlikte işverenlerin personel devam kontrolünü biyometrik veri işleme yöntemiyle gerçekleştirmesinin önüne geçilmiş oldu.
Biyometrik veriler için kritik değerlendirme
Resmi Gazete’de yayımlanan ilke kararında, son yıllarda işyerlerinde çalışan giriş çıkışlarının takibi amacıyla biyometrik sistemlerin yaygınlaştığına dikkat çekildi.
Kurul, parmak izi, yüz tanıma, iris ve retina verilerinin hassas nitelikli kişisel veri kapsamında değerlendirildiğini belirterek, bu verilerin işlenmesinde yalnızca hukuki dayanağın değil, gereklilik, ölçülülük ve veri minimizasyonu ilkelerinin de dikkate alınması gerektiğini vurguladı.
“Açık yasal düzenleme bulunmuyor”
Kararda, İş Kanunu'nun işverenlere çalışma sürelerini kayıt altına alma yükümlülüğü getirdiği ancak bu yükümlülüğün biyometrik yöntemlerle yerine getirilmesini zorunlu kılan açık bir yasal düzenleme bulunmadığı ifade edildi. Bu nedenle mesai takibinin parmak izi veya yüz tanıma gibi yöntemlerle yapılmasının hukuki açıdan sorun oluşturabileceği kaydedildi.
Çalışanın rızası yeterli görülmedi
Kurul, işçi ile işveren arasındaki güç ilişkisinin çalışanların verdiği açık rızayı tartışmalı hale getirebileceğine de dikkat çekti. Kararda, çalışanın rıza vermemesi veya verdiği rızayı geri çekmesi durumunda iş hayatında olumsuz sonuçlarla karşılaşabileceği endişesinin bulunmasının, açık rızanın özgür iradeye dayanıp dayanmadığı konusunda soru işaretleri oluşturduğu belirtildi.
Alternatif yöntemler işaret edildi
KVKK, çalışan devam kontrolünün biyometrik veriler kullanılmadan da yapılabileceğini vurguladı. Kurul kararında şifreli kart sistemleri, PIN uygulamaları, imza çizelgeleri, RFID ve NFC kartlar ile denetçi gözetimindeki giriş çıkış kayıtlarının alternatif yöntemler arasında bulunduğu ifade edildi. Bu yöntemlerin daha az müdahaleci olduğu belirtilirken, biyometrik veri kullanımının zorunlu olmadığı ve ölçülülük ilkesini karşılamayabileceği değerlendirmesi yapıldı.
İşverenlere yükümlülük hatırlatması
Kurul ayrıca veri sorumlularının kişisel verilerin hukuka uygun işlenmesini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu hatırlattı. Resmi Gazete’de yayımlanan ilke kararının ardından, işyerlerinde kullanılan biyometrik mesai takip sistemlerinin yeniden değerlendirilmesi ve KVKK hükümlerine uygun hale getirilmesi bekleniyor.
