KVKK KAMUOYU DUYURUSU IŞIĞINDA BİYOMETRİK VERİ İŞLEME SINIRLARI: İLKE KARARI SONRASI SEKTÖREL TEREDDÜTLER VE KRİTİK İSTİSNALAR
Yazar: Av. İrem Deniz ÇİÇEK
Kişisel Verileri Koruma Kurulunun 29/04/2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” yayımlandıktan sonra, iş dünyasında ve farklı sektörlerde faaliyet gösteren veri sorumluları bakımından ciddi hukuki tereddütler ve uygulama soruları ortaya çıkmıştır. Kurum, söz konusu tereddütleri gidermek amacıyla yeni bir “Kamuoyu Duyurusu” yayımlayarak uygulamanın sınırlarına ilişkin hayati açıklamalarda bulunmuştur. Önceki makalemizde İlke Kararı’nın genel ilkeler ve iş hukuku boyutuyla analizini yapmıştık. Bu devam yazımızda ise; Kurumun yeni duyurusu kapsamında ortaya çıkan kurumsal açıklama ihtiyacının nedenleri, biyometrik verilerin “matematiksel koda dönüştürülmesi” uygulamasının verinin hukuki niteliğini değiştirip değiştirmediği, mesai takibi ile “kritik altyapı ve fiziksel güvenlik” amaçlarının hukuki ayrımı ve KVKK m. 28/1-ç kapsamındaki kamu güvenliği istisnasının sınırları analitik bir perspektifle değerlendirilmektedir.
Önceki inceleme yazımızda (Kişisel Verileri Koruma Kurulunun İlke Kararı Işığında Çalışanların Mesai Takibinde Biyometrik Veri İşleme Faaliyetlerinin Hukuki Durumu) detaylarıyla ele aldığımız üzere; Kişisel Verileri Koruma Kurulu’nun 29/04/2026 tarihli ve 2026/921 sayılı İlke Kararı, 02/06/2026 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiş ve mesai takibi amacıyla biyometrik veri işlenmesini açık rıza bulunsa dahi “ölçülülük ilkesi” aykırılığı gerekçesiyle yasaklamıştır.
İlke Kararı’nın yayımlanmasını müteakip, farklı sektörlerde faaliyet gösteren çok sayıda veri sorumlusu şirket ve kamu kurumu tarafından Kişisel Verileri Koruma Kurumu’na yoğun biçimde görüş talepleri ve idari başvurular iletilmiştir.
Kurumun bu yeni Kamuoyu Duyurusu’nu yayımlama ihtiyacı temel olarak iki ana tereddütten doğmuştur:
- Veri sorumlularının, parmak izi veya avuç içi gibi fiziksel verilerin sistemlerde ham haliyle değil “matematiksel algoritmalara dönüştürülerek” saklandığı, bu durumun veriyi biyometrik veri olmaktan çıkardığı yönündeki teknik savunmaları,
- Mesai takibi dışında, tesis güvenliği, veri merkezi emniyeti veya kritik alanlara erişim amacıyla kullanılan biyometrik sistemlerin İlke Kararı karşısındaki hukuki durumuna ilişkin belirsizlikler.
İşbu devam makalemizde, Kurum’un yayımladığı bu açıklayıcı Kamuoyu Duyurusu çerçevesinde veri sorumlularının dikkat etmesi gereken yeni kriterleri ve istisnalarını inceleyeceğiz.
BİYOMETRİK VERİNİN MATEMATİKSEL KODA DÖNÜŞTÜRÜLMESİ
Sektörde veri sorumluları tarafından sıklıkla ileri sürülen ve Kurum’un görüş taleplerinde de en çok karşılaştığı argümanlardan biri; avuç içi taraması veya parmak izi okutulması esnasında elde edilen verilerin sistemde sayısal bir matrise veya matematiksel bir koda dönüştürülerek saklandığı, dolayısıyla veri tabanında kişiye ait görsel tutulmadığı için bu işlemenin “biyometrik veri işleme” olarak nitelendirilemeyeceği iddiasıdır.
Kurum yayımladığı Kamuoyu Duyurusu ile bu argümanı tamamen reddetmiş ve uluslararası standartlara uygun net bir yaklaşım ortaya koymuştur. Duyuruda, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün 51 numaralı gerekçesine atıf yapılarak; belirli bir teknik işlem veya yöntem kullanılarak gerçek kişiyi özgün bir şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen tüm verilerin biyometrik veri niteliği taşıdığı vurgulanmıştır.
Bir verinin dönüştürülerek matematiksel bir koda veya algoritmaya çevrilmiş olması, o verinin kişiyi benzersiz şekilde teyit etme kapasitesini ortadan kaldırmaz. Amaç ve işlev kişiyi doğrulamak olduğu sürece, saklama biçimi ne olursa olsun veri KVKK m. 6 anlamında özel nitelikli kişisel yani biyometrik veri olmaya devam eder.
MESAİ TAKİBİNDE DEĞİŞMEYEN UYGULAMA VE ÖLÇÜLÜLÜK ENGELİ
Kamuoyu Duyurusu’nda Kurum, ilk yazımızda da vurguladığımız 2026/921 sayılı İlke Kararı’ndaki duruşunu aynen koruduğunu teyit etmiştir:
İşverenlerin İş Kanunu uyarınca çalışma sürelerini takip etme yükümlülüğü bulunsa da, bu takibin biyometrik veri işlenerek yapılmasını öngören açık bir kanuni düzenleme bulunmamaktadır. Yalnızca mesai takibi amacıyla biyometrik veri işlenmesi KVKK m. 6’daki işleme şartlarından hiçbirine dayanmamaktadır.
İşçi-işveren arasındaki bağımlılık ilişkisi nedeniyle rızanın özgür iradeye dayanmaması riski bir yana; çalışandan açık rıza alınsa dahi, mesai takibinde biyometrik veri kullanılması KVKK m. 4’teki “ölçülülük” ilkesini ihlal etmektedir. RFID kart, şifre, PIN veya imza gibi daha az müdahaleci alternatifler bulunduğu sürece biyometrik mesai takibi hukuka aykırıdır.
İSTİSNA: KRİTİK ALTYAPILAR VE ÇOK KATMANLI GÜVENLİK
Kurum’un yayımladığı Kamuoyu Duyurusu’nun getirdiği en önemli yenilik ve açıklık; mesai takibi ile “güvenlik” amaçlı biyometrik veri işlemenin net bir biçimde ayrıştırılmasıdır. Kurul, bazı tesis ve faaliyet alanlarının bünyesinde barındırdığı yüksek güvenlik riskleri nedeniyle genel mesai takibi değerlendirmesinden ayrıldığını belirtmiştir. Dolayısıyla, veri işleme amacının personelin çalışma saatlerini izlemek değil; doğrudan kritik altyapıların, veri merkezlerinin, Ar-Ge laboratuvarlarının veya yüksek riskli tesislerin güvenliğini sağlamak olduğu hallerde biyometrik sistemler kullanılabilir. Bu alanlarda biyometrik tanımlama; kimlik doğrulama, yetkilendirme ve çok katmanlı erişim denetiminin zorunlu bir parçası olarak kabul edilebilecektir.
- Uygulama tüm tesise veya tüm personele değil; yalnızca yüksek güvenlik riski taşıyan belirli ve gerekli kritik alanlarla ve bu alana girmeye yetkili kişilerle sınırlandırılmalıdır.
- Kart veya şifre gibi geleneksel yöntemlerin (kartın başkasına devredilebilmesi, kopyalanabilmesi vb. riskler nedeniyle) somut güvenlik ihtiyacı karşısında yetersiz kaldığı ispatlanmalıdır.
- İşleme faaliyeti, hedeflenen güvenlik riskinin ağırlığı ile tamamen orantılı olmalıdır.
KAMU GÜVENLİĞİ İSTİSNASI (KVKK m. 28/1-ç) VE SINIRLARI
Duyuruda değinilen bir diğer önemli husus ise Kanun’un 28’inci maddesinin birinci fıkrasının (ç) bendinde düzenlenen muafiyet hükmüdür. Millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik veri işleme faaliyetleri belirli şartlar altında Kanun kapsamı dışında tutulabilmektedir.
Kurum, bu istisnanın büyük ölçekli kamu güvenliği kurumları açısından önemli bir esneklik sağladığını doğrulamakla birlikte; bu durumun biyometrik veri kullanımını “sınırsız veya denetimsiz” hale getirmediğini açıkça ihtar etmiştir. Her somut olayda güvenlik riskinin ağırlığı, işleme amacı ve alternatif yöntemlerin imkansızlığı yine de değerlendirilmek zorundadır. Belirleyici husus, biyometrik veri işlemenin mesai takibi amacını aşarak doğrudan kamu güvenliğinin sağlanmasına hizmet edip etmediğidir.
SONUÇ
Kişisel Verileri Koruma Kurumunun yayımladığı Kamuoyu Duyurusu, 2026/921 sayılı İlke Kararı’nın uygulanmasına dair sektördeki tereddütleri gidermiştir. İlk makalemizde belirttiğimiz hukuki esaslar geçerliliğini korumakla birlikte, veri sorumlularının şu adımları atması gerekmektedir:
- Amacı yalnızca çalışanların işe giriş-çıkış ve mesai saatlerini denetlemek olan tüm biyometrik sistemler (matematiksel koda dönüştürülse dahi) derhal kapatılmalı ve alternatif yöntemlere geçilmelidir.
- Biyometrik sistemler yalnızca yüksek güvenlik gerektiren spesifik kritik alanlarda (Veri merkezi, kasa dairesi, Ar-Ge vb.), doğrudan erişim yetkilendirmesi ve fiziksel güvenlik amacıyla muhafaza edilebilir.
- Güvenlik amaçlı biyometrik veri kullanımında veri sorumluları; alternatif yöntemlerin neden yetersiz kaldığını açıklayan teknik raporlar hazırlamalıdır. İlgili Kamuoyu Duyurusu’nda belirtildiği üzere Kurumun olası ihbar ve şikayetlerde her somut olayı kendi özelinde inceleyeceği unutulmamalıdır.
- Teknoloji ve yazılım alanındaki tüm yazılarımız için bağlantıya tıklayınız.
Hukuk ve Bilişim Dergisi’nin “Kripto Varlık Özel Sayısı”na ulaşmak için bağlantıya tıklayınız.
Yazar: Av. İrem Deniz ÇİÇEK
KAYNAKÇA
- Kişisel Verileri Koruma Kurulu İlke Kararı, “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, Karar No: 2026/921, Karar Tarihi: 29/04/2026, T.C. Resmî Gazete, Sayı: 33268, Yayın Tarihi: 02/06/2026.
- Kişisel Verileri Koruma Kurumu Kamuoyu Duyurusu, “29.04.2026 Tarihli ve 2026/921 Sayılı ‘Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı’na İlişkin Görüş Talepleri Hakkında Kamuoyu Duyurusu”, Yayın Tarihi: 2026.
- Anayasa Mahkemesi Genel Kurulu Kararı, Başvuru No: 2018/11988, Karar Tarihi: 10/03/2022.
- Kişisel Verileri Koruma Kurulu Kararı, Karar No: 2020/915, Karar Tarihi: 01/12/2020.
- Kişisel Verileri Koruma Kurulu Kararı, “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”, Karar No: 2018/10, Karar Tarihi: 31/01/2018.
Hukuk ve Bilişim Dergisi ve Blog kısmımızda,
Bilişim Suçları
Blockchain ve Dijital Paralar
Yapay Zekâ ve Robot Hukuku
Elektronik Ticaret Hukuku
İnternet Hukuku
Kişisel Verilerin Korunması Hukuku
Start-Up Hukuku
E-Spor Hukuku
Fikri Mülkiyet Hukuku ve benzer teknoloji hukuku alanlarında yazılar okuyucularımıza sunulmaktadır.