Kişisel Verileri Koruma Kurulu (KVKK), iş yerlerinde çalışanların mesai takibinde biyometrik veri kullanımına ilişkin ilke kararını Resmi Gazete'de yayımladı. Kararda, parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik yöntemlerle yapılan mesai takibinin ölçülülük ve veri minimizasyonu ilkeleri açısından hukuka aykırı sonuçlar doğurabileceği vurgulandı.
Kurul, son yıllarda çalışan devam takibinin dijitalleştirilmesi amacıyla biyometrik sistemlerin yaygın şekilde kullanılmaya başlandığını belirtti. Ancak biyometrik verilerin hassas nitelikte kişisel veri olduğu ve geri döndürülemez özellik taşıdığı hatırlatılarak, bu verilerin işlenmesinde yalnızca hukuki dayanağın yeterli olmadığı ifade edildi. Kararda, gereklilik, ölçülülük ve veri minimizasyonu ilkelerinin de dikkate alınması gerektiği kaydedildi.
Açık yasal zorunluluk bulunmuyor
KVKK, İş Kanunu kapsamında işverenlerin çalışma sürelerini takip etme ve kayıt altına alma yükümlülüğü bulunduğunu ancak bu yükümlülüğün biyometrik yöntemlerle yerine getirilmesini zorunlu kılan açık bir yasal düzenleme olmadığını belirtti. Bu nedenle mesai takibinin biyometrik veri işlenerek yapılmasının hukuki sorunlara yol açabileceği değerlendirildi.
Açık rızanın geçerliliği sorgulanabilir
Kararda, işçi ile işveren arasındaki güç dengesizliğine dikkat çekilerek çalışanlardan alınan açık rızanın her zaman özgür iradeyle verilip verilmediğinin tartışmalı olabileceği ifade edildi. Çalışanın rıza vermemesi ya da verdiği rızayı geri çekmesi durumunda olumsuz sonuçlarla karşılaşabileceği ihtimalinin, açık rızanın geçerliliğini zayıflatabileceği belirtildi.
Alternatif yöntemler öne çıktı
Kurul, mesai takibinde şifreli kartlar, PIN tabanlı sistemler, imza çizelgeleri, RFID ve NFC kartlar ile denetçi gözetiminde tutulan giriş-çıkış kayıtları gibi daha az müdahaleci yöntemlerin kullanılabileceğini hatırlattı. Bu nedenle biyometrik veri kullanımının zorunlu olmadığı ve ölçülülük ilkesini karşılamayabileceği değerlendirildi.
Veri sorumlularına yükümlülük hatırlatıldı
KVKK, veri sorumlularının kişisel verilerin hukuka uygun şekilde işlenmesini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu vurguladı. Kurul, ilke kararının Resmi Gazete'de ve KVKK'nın resmi internet sitesinde yayımlanmasına karar verdi.
