İşçinin Rızası Alınsa da Biyometrik Veri Kullanarak Mesai Takibi Hukuka Uygun mu?

Biyometrik veri ile mesai takibi günümüzde hem özel sektörde hem de kamu kurumlarında yaygın şekilde uygulanıyor. Parmak izi okuma, yüz tanıma, retina tarama veya göz tarama gibi sistemler; Personel Devam Kontrol Sistemi (PDKS) yazılımlarının bir parçası haline geldi.

Ancak en çok sorulan ve birçok işyerinde yanlış yorumlanan soru şu:

“İşçinin açık rızası varsa biyometrik veri ile mesai takibi yapabilir miyiz?”

Bu sorunun cevabı her zaman hayır olabilir. Çünkü açık rıza tek başına yeterli değildir.

Biyometrik veri nedir ve neden özel olarak korunur?

Biyometrik veriler, kişiyi fiziksel ya da davranışsal olarak tanımlamaya yarayan; parmak izi, yüz tanıma, iris taraması, göz damar haritası gibi benzersiz ve geri döndürülemez verilerdir.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu verileri "özel nitelikli kişisel veri" olarak sınıflandırır.

Bu tür veriler ancak:

• Açık bir kanuni düzenleme varsa,

• Ya da kişinin özgür iradesiyle verdiği açık rıza mevcutsa işlenebilir.

Ama bunlar bile her durumda yeterli değildir.

Açık rıza alındıysa sorun kalmaz mı?

Hayır. Anayasa Mahkemesi’nin 2022 yılında verdiği karara göre:

"Açık rıza olsa dahi, eğer veri işleme yöntemi ölçüsüzse, daha az müdahaleci bir alternatif varsa ve bu yöntem mecburi değilse, uygulama hukuka aykırıdır."

Yani:

• İşyeri, giriş-çıkış takibini kartla ya da log sistemiyle yapabiliyorsa,

• Buna rağmen parmak izi veya yüz tanıma sistemi kullanıyorsa,

• Bu durum ölçüsüzlük oluşturur ve Anayasa ile KVKK’ya aykırılık doğurur.

Sık Sorulan Soru:

Parmak izi veya yüz tanıma ile mesai takibi yapmak için çalışandan rıza almak yeterli midir?

Cevap: Hayır, tek başına yeterli değildir.

Çünkü KVKK’ya göre özel nitelikli veriler işlenirken şu üç koşul birlikte aranır:

• Kanuni dayanak veya açık rıza,

• Ölçülülük ve zorunluluk,

• Amaca bağlılık ve sınırlılık.

Bu şartlardan biri eksikse, uygulama yasal kabul edilmez.

Hangi sistemler risklidir?

Aşağıdaki sistemler, açık rıza alınsa bile denetlenmesi gereken yüksek riskli uygulamalardır:

• Parmak izi ile PDKS takibi

• Yüz tanıma ile işe giriş-çıkış takibi

• Göz tarama sistemleri (retina/iris)

• Avuç içi damar haritası ile geçiş sistemleri

Neler yapılmalı?

İşverenlerin sadece açık rıza almaya değil, uygulamanın bütününe odaklanması gerekir:

• Daha az müdahaleci yöntemler tercih edilmeli (kartlı geçiş, manuel imza, turnike vs.)

• Biyometrik veri işleme kararı, zorunluluk testinden geçirilmeli

• Açık rıza, işveren-çalışan ilişkisi nedeniyle baskı altında alınmamalı

• Uygulama varsa, KVKK ve Anayasa Mahkemesi kararlarına uygun hale getirilmeli

Sonuç: Açık rıza, ölçüsüz uygulamaları haklı çıkarmaz ve sorumluğu ortadan kaldırmaz 

Çalışanınız size parmak izini vermiş olabilir. Ama bu, ölçüsüz bir uygulamayı meşrulaştırmaz.

Anayasa ve KVKK, sadece “izin verildiği için yapılan” uygulamaları değil, gerekli olup olmadığını da denetler.

Şirketinize uygun ve güvenilir bir PDKS arıyorsanız, ücretsiz olarak size yardımcı olabiliriz.