Kişisel Verileri Koruma Kurumu (KVKK), işyerlerinde çalışanların mesai takibinde parmak izi, yüz tanıma gibi biyometrik yöntemlerin kullanılmasını yasaklayan bir ilke kararı aldı. Karar, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında, biyometrik verilerin özel nitelikli kişisel veri olması ve işlenmesi için açık rıza veya kanuni bir zorunluluk bulunmaması gerekçesine dayanıyor. KVKK, işverenlerin mesai takibini şifreli kart, PIN kodu veya geleneksel imza gibi daha az müdahaleci yöntemlerle yapması gerektiğini belirtti.
Biyometrik veri nedir ve neden sorun?
Biyometrik veriler, bir bireyi benzersiz şekilde tanımlayan fiziksel veya davranışsal özelliklerdir. Parmak izi, yüz şekli, iris deseni, ses tonu gibi veriler, değiştirilmesi mümkün olmayan ve bir kez ele geçirildiğinde bireyin kimliğinin sonsuza kadar tehlikeye girmesine neden olabilecek hassas bilgilerdir. KVKK, bu tür verilerin işlenmesinin ancak kanunlarda açıkça öngörülmesi veya kişinin açık rızasının alınması halinde mümkün olduğunu vurguluyor. Mesai takibi gibi bir amaç için biyometrik veri toplamanın ise ölçülülük ilkesine aykırı olduğu ifade ediliyor.
Kararın ayrıntıları
KVKK'nın ilke kararına göre, işverenler çalışanların mesai başlangıç ve bitiş saatlerini belirlemek için biyometrik tanıma sistemleri kuramayacak. Bunun yerine, çalışana özel şifreli kartlar, PIN kodları veya kağıt imza gibi yöntemler kullanılabilecek. Kurum, alternatif yöntemlerin yeterli olması durumunda biyometrik veri işlemenin orantısız olduğuna dikkat çekti. Karar, kamu ve özel sektördeki tüm işyerlerini kapsıyor. Uyum için işverenlere 6 aylık bir geçiş süresi tanındı.
Yaptırımlar ve uyum süreci
Karara uymayan işverenler, KVKK tarafından idari para cezası ile karşı karşıya kalabilir. 2024 yılı için öngörülen cezalar, ihlalin niteliğine göre 100 bin TL'den 5 milyon TL'ye kadar değişebiliyor. Ayrıca, biyometrik verilerin hukuka aykırı işlenmesi durumunda, Veri Sorumlusu Siciline kayıt yükümlülüğü ihlali de söz konusu olabiliyor. İşverenlerin mevcut biyometrik sistemleri kaldırarak yerine alternatif çözümler kurması gerekiyor. Bu dönüşümün maliyetinin küçük işletmeler için 5-10 bin TL, büyük işletmeler için ise yüz binlerce TL'yi bulabileceği tahmin ediliyor.
Bağlam ve değerlendirme
KVKK'nın bu kararı, Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) ile paralellik gösteriyor. AB'de de işverenlerin biyometrik veri işlemesi sıkı kurallara tabi. Türkiye'de ise özellikle pandemi sonrası artan uzaktan çalışma ve dijital takip uygulamaları, biyometrik verilerin yaygınlaşmasına yol açmıştı. Uzmanlar, kararın çalışanların mahremiyetini korumak açısından önemli olduğunu, ancak işverenlerin alternatif yöntemlere geçişte teknik ve mali zorluklar yaşayabileceğini belirtiyor. Öte yandan, sendikalar kararı memnuniyetle karşılarken, bazı işveren temsilcileri, özellikle güvenlik hassasiyeti yüksek sektörlerde biyometrik verinin zorunlu olabileceğini savunuyor.
