İş Yerlerinde KVKK Uygulamalarına Dair Güncel Gelişmeler

02 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de, çalışanların mesai takibinin biyometrik tanımlama sistemleri üzerinden yapılmasına ilişkin Kişisel Verileri Koruma Kurulu’nun (“Kurul“) 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı (“İlke Kararı“) yayımlanmıştır. 8 Haziran 2026 tarihinde ise, Kişisel Verileri Koruma Kurumu (“Kurum“) internet sitesinde yayımladığı kamuoyu duyurusuyla işyerlerinde güvenlik kamerası sistemlerinin kullanımında dikkat edilmesi gereken hususları kamuoyunun bilgisine sunmuştur.

MESAİ TAKİBİ AMACIYLA BİYOMETRİK VERİ İŞLENMESİ HAKKINDA İLKE KARARI

Kurul, İlke Kararı’nda, mesai takibini dijitalleştirme ve güvenliği artırma gerekçesiyle kurum ve kuruluşların giderek artan ölçüde parmak izi, yüz tanıma, iris/retina taraması gibi biyometrik tanımlama sistemlerine yöneldiğine ve bu konuda Kurum’a çok sayıda ihbar ve şikâyet ulaştığına dikkat çekmekte, biyometrik verilerin son derece hassas nitelikte olduğu ve özellikle işçi–işveren ilişkisindeki yapısal güç dengesizliği nedeniyle bu alandaki veri işleme faaliyetlerine özellikle önem verilmesi gerektiğini vurgulamaktadır. İlke Kararı’nda öne çıkan hususlar kısaca şu şekildedir:

• Biyometrik veri işleme faaliyetlerinin, yalnızca hukuki sebebe değil aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerekmektedir.
• Mevzuatta işverenin çalışma sürelerini takip etme ve belgeleme yükümlülüğüne dair hükümler bulunsa da mesai takibinin biyometrik tanımlama sistemleriyle yapılmasını zorunlu kılan veya öngören bir kanun hükmü bulunmamaktadır. Bu nedenle, biyometrik veri işlenmesinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK“) 6. maddesindeki “kanunlarda açıkça öngörülme” şartına dayanılarak meşrulaştırılması mümkün değildir. Dolayısıyla, mesai takibi amacıyla biyometrik veri işlenmesi mevcut haliyle hukuka aykırılık riski taşımaktadır.
• Uygulamada, KVKK’nın 6. maddesinin üçüncü fıkrasındaki diğer işleme şartları mesai takibi bakımından karşılanamadığı için çoğunlukla biyometrik veri işleme “açık rıza”ya dayandırılmaktadır. Ancak işçi–işveren ilişkisindeki güç dengesizliği, rıza vermeme veya rızayı geri çekme imkânının etkin şekilde sunulmaması ve rıza vermemenin olası olumsuz sonuçları nedeniyle çalışanın gerçek bir seçeneğe sahip olduğu söylenemeyeceğinden; bu durumda açık rızanın özgür iradeye dayandığı ve tek başına yeterli bir hukuki zemin oluşturduğu kabul edilemeyecektir.
• Ölçülülük ilkesi, kişisel veri işleme faaliyetlerinin değerlendirilmesinde belirleyici bir rol oynamakta, bu kapsamda daha az müdahaleci alternatif yöntemler (şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş vb.) mevcutken ilgili kişinin açık rızası bulunsa dahi mesai takibi amacıyla biyometrik veri işlenmesi, ölçülülük kriterini karşılamamaktadır.

Kısaca Kurul,

(i) Mesai takibi amacıyla biyometrik veri işlenmesinin KVKK’nın 6’ncı maddesinde yer alan işleme şartlarından herhangi birine dayanılmaksızın gerçekleştirildiğine,
(ii) Geçerli bir açık rıza bulunsa dahi söz konusu işleme faaliyetinin ölçülülük kriterini sağlamayacağına,
(iii) Mesai takibinin biyometrik tanımlama sistemleri yerine biyometrik veri toplanmasını gerektirmeyen da az müdahaleci alternatif yollar ile sağlanması gerektiğine,
(iv) Bu hususların, KVKK’nın 12. maddesi uyarınca veri sorumlularınca alınması gereken idari ve teknik tedbirler kapsamında olduğuna ve bunlara uyulmaması halinde KVKK’nın 18. maddesine göre yaptırım uygulanacağını belirtilerek bahsi geçen İlke Kararı’nı almıştır.

İŞYERLERİNDE GÜVENLİK KAMERASI KULLANIMI HAKKINDA DUYURU

Kurum, işyerlerinde güvenlik kameralarının hukuka aykırı veya amacı dışında kullanımına ilişkin artan şikâyetler üzerine, 8 Haziran 2026 tarihinde yeni bir kamuoyu duyurusu yayımlamıştır. Duyuruda, özellikle çalışanların dinlenme alanlarının izlenmesi, işyerinin tüm alanlarının “genel kontrol” amacıyla kameralarla kaplanması ve kayıtların gereğinden uzun süre saklanması eleştirilmektedir. Duyuruda dikkat edilmesi gerektiği belirtilen hususlar kısaca şu şekildedir:

• 6098 sayılı Türk Borçlar Kanunu m. 417 ve 6331 sayılı İş Sağlığı ve Güvenliği Kanunu uyarınca işverenin işçinin kişiliğini koruma ve iş sağlığı ve güvenliğini sağlama yükümlülükleri bulunmakla birlikte; bu yükümlülüklerin çalışanların sürekli ve ölçüsüz gözetimi yoluyla yerine getirilemeyeceği, güvenlik amacıyla gözetim ile disiplin veya performans denetimi arasında net bir ayrım yapılması gerektiği belirtilmektedir.
• İşyerinde güvenlik kamerası kurulmadan önce amacın somut ve açık şekilde belirlenmesi, bu amacın sonradan çalışanların devam veya performansının izlenmesi gibi ek hedeflerle genişletilmemesi ve veri minimizasyonu ilkesi gereği amaca ulaşmak için en az veri, en dar görüş açısı ve en sınırlı kapsama alanının tercih edilmesi gerektiği belirtilmekte; çalışanların verimli çalışıp çalışmadığını görmek, disiplini artırmak veya “genel kontrol” sağlamak gibi soyut denetim hedeflerinin meşru amaç olarak kabul edilmeyeceği ifade edilmektedir.
• Ölçülülük ilkesi çerçevesinde, giriş-çıkış, depo, kasa gibi güvenlik riski yüksek alanlarda kamera kullanımının daha kolay gerekçelendirilebileceği; buna karşılık tuvalet, soyunma odası, mescit ve dinlenme alanı gibi mahrem bölgelere kamera yerleştirilmemesi gerektiği, işyerinin tüm alanlarını kapsayan geniş açılı veya yüz odaklı kayıtların ve çalışanların makul mahremiyet beklentisini ortadan kaldıran yoğun gözetim uygulamalarının hukuka aykırı sayılacağı belirtilmektedir.
• Ses kaydının görüntü kaydına kıyasla çok daha ağır bir müdahale oluşturduğu, bu nedenle ancak son derece istisnai ve gerekliliği somut olarak ortaya konulmuş hallerde gündeme gelebileceği; işyerinin kamuya açık alanlarında ise gözetim ve denetim kapsamında olmayan bireylerin, özellikle de çocuklar gibi özel koruma gerektiren grupların kamera kayıtlarından nasıl etkileneceğinin ayrıca değerlendirilmesi gerektiği vurgulanmaktadır.
• Çalışanlar ve diğer ilgili kişilerin güvenlik kamerası ile izlenmesi/kaydedilmesine ilişkin olarak aydınlatılması, kayıtların saklama sürelerinin amaçla bağlantılı olarak mümkün olan en kısa süre ile sınırlandırılması, otomatik silme veya anonimleştirme mekanizmalarının kurulması, yalnızca yetkili kişilerce erişimi sağlayan bir yetki matrisi ve prosedürler oluşturulması ve kayıtların izinsiz olarak üçüncü kişilerle paylaşılmaması gerektiği vurgulanmaktadır.
• Bu yükümlülüklere aykırılığın tespiti halinde KVKK m. 18 kapsamında idari para cezası da dahil olmak üzere yaptırımlar uygulanabileceğini belirtilmektedir.

SONUÇ

Sonuç olarak hem İlke Kararı hem de kamuoyu duyurusu, işverenlerin işyerinde gözetim ve mesai takibi uygulamalarını yeniden gözden geçirmesine ve KVKK’nın genel ilkelerine sıkı sıkıya uyum sağlanmasına dikkat çekmektedir.

Her ne kadar işverenin iş hukuku prensipleri çerçevesinde işyeri kurallarını belirlemek adına yönetim hakkına sahip olduğu kabul edilse de, taraflar arasındaki hiyerarşik bir ilişki olduğu ve çalışanın bu tedbirlere ilişkin rızasının şüpheli olduğu dikkate alındığında işverenin “sürekli ve ölçüsüz gözetim” yöntemiyle elde ettiği bulgularla disiplin yaptırımları uygulaması hem kişisel verilerin korunmasına dair mevzuat hem de iş hukuku hükümleri çerçevesinde hukuka uygun değerlendirilmeyecektir.

Özellikle çalışanların makul mahremiyet beklentisinin bulunduğu alanlarda yapılan kayıtlar veya önceden usulüne uygun şekilde aydınlatma yapılmaksızın gerçekleştirilen gözetim faaliyetleri, işverenin yönetim hakkının sınırlarını aştığı iddialarına neden olabilecektir.

Bu nedenle işverenlerin, yalnızca KVKK uyumluluğunu değil, aynı zamanda işverenin yönetim hakkı ile çalışanın kişilik hakları arasındaki hassas dengeyi de gözeterek gözetim ve mesai takip sistemlerini yeniden değerlendirmeleri; iç politika ve prosedürlerini güncellemeleri önem arz etmektedir.

Bu çerçevede, biyometrik mesai takibi yerine daha az müdahaleci yöntemlerin tercih edilmesi ve iş yerlerindeki güvenlik kameralarının yalnızca meşru, açıkça belirlenmiş amaçlarla ve sınırlı şekilde kullanılması; aksi halde önemli idari yaptırımların gündeme gelebileceği unutulmamalıdır.