İşyerlerinde Mesai Takibi: KVKK Biyometrik Veriye Dur Dedi

Kişisel Verileri Koruma Kurumu (KVKK), işyerlerinde çalışanların mesai takibinde biyometrik veri kullanımına ilişkin önemli bir ilke kararı yayınladı. Kurum, Resmi Gazete'de yayımlanan kararında, biyometrik sistemlerin yaygınlaşmasının getirdiği risklere dikkat çekerken, bu tür veri işleme yöntemlerinin yasal dayanağını tartışmaya açtı.

Karar, parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik uygulamaların çalışan devam takibinde artan kullanımına değindi. KVKK, bu tür verilerin hassas kişisel veri niteliği taşıdığını ve geri döndürülemez özelliklere sahip olduğunu vurguladı. Bu nedenle, işlenmeleri sürecinde yalnızca hukuki dayanağın değil; gereklilik, ölçülülük ve veri minimizasyonu ilkelerinin de gözetilmesi gerektiğini belirtti.

Hukuki Dayanak ve Rıza Tartışması

Kurul, İş Kanunu'nun işverenlere çalışma sürelerini takip etme yükümlülüğü getirmesine rağmen, bu takibin biyometrik yöntemlerle yapılmasını zorunlu kılan açık bir yasal düzenlemenin bulunmadığını ifade etti. Bu boşluğun, biyometrik veri işleme yoluyla yapılan mesai takibinin hukuki açıdan sorunlu hale gelmesine neden olabileceği belirtildi.

Çalışanlardan bu tür verilerin işlenmesi için alınan açık rızanın geçerliliği de Kurul tarafından sorgulandı. İşçi ve işveren arasındaki güç dengesizliği nedeniyle, çalışandan alınan rızanın her zaman özgür iradeye dayanmayabileceği kaydedildi. Rıza vermeyen veya geri çeken çalışanın olumsuz sonuçlarla karşılaşma ihtimali, bu tür rızaların geçerliliğini zedeleyici bir faktör olarak değerlendirildi.

Alternatif Yöntemler ve Veri Sorumluluğu

KVKK, mesai takibi için biyometrik veriye alternatif olarak daha az müdahaleci yöntemlerin bulunduğuna da dikkat çekti. Şifreli kartlar, PIN tabanlı sistemler, imza çizelgeleri, RFID/NFC kartlar veya denetçi gözetiminde giriş-çıkış kayıtları gibi seçenekler, Kurul tarafından makul alternatifler olarak gösterildi.

Bu bağlamda KVKK, biyometrik veri kullanımının zorunlu olmadığı ve ölçülülük ilkesini karşılamayabileceği sonucuna varmıştır. Kurul, veri sorumlularının kişisel verilerin hukuka uygun şekilde işlenmesi için gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu hatırlattı. İlke kararının Resmi Gazete ile KVKK'nın internet sitesinde yayımlanmasına karar verildi. Bu karar, işyerlerinde kişisel veri güvenliği konusunda yeni bir dönemin başlangıcı olabilir.