Kişisel Verileri Koruma Kurumu (KVKK), Resmi Gazete’de yayımlanan ilke kararıyla iş yerlerinde biyometrik tanıma sistemlerinin mesai takibi amacıyla kullanılmasına yönelik önemli bir düzenleme açıkladı. Kararda, parmak izi, yüz tanıma gibi sistemlerin çalışanların giriş-çıkış takibinde kullanılmasının hukuki açıdan sorunlar doğurabileceği ifade edildi.
Biyometrik sistemler hassas veri kapsamında değerlendirildi
Kararda; parmak izi, yüz tanıma sistemi gibi biyometrik yöntemlerin kişisel verilerin korunması hukuku açısından son derece hassas bir alan oluşturduğu vurgulandı. Bu tür sistemlerin hızlı ve güvenli görünmesine rağmen veri güvenliği ve kişisel mahremiyet açısından ciddi riskler barındırdığına dikkat çekildi.
Ayrıca çalışanların işveren karşısındaki konumuna işaret edilerek işçi-işveren ilişkilerinde güç dengesizliği bulunduğu ifade edildi. Bu nedenle açık rıza süreçlerinin özgür irade kapsamında değerlendirilmesinin her durumda mümkün olmadığına dikkat çekildi.
Açık rıza tek başına yeterli görülmedi
Kararda, biyometrik veri işleme faaliyetlerinin yalnızca açık rıza ile yürütülmesinin yeterli bir hukuki dayanak oluşturmadığı belirtildi. Açık rızanın yanı sıra ölçülülük, gereklilik ve veri minimizasyonu ilkelerinin de sağlanması gerektiği ifade edildi.
Mesai takibinde biyometrik sistemlerin kullanılmasına ilişkin açık bir yasal düzenleme bulunmadığına dikkat çekilerek, bu yöntemlerin uygulanmasının hukuka aykırılık riski taşıyabileceği kaydedildi. Bu kapsamda işverenlerin mevcut mevzuata uygun hareket etmesinin zorunlu olduğu vurgulandı.
Alternatif yöntemler önerildi
KVKK, mesai takibinin biyometrik sistemler yerine farklı yöntemlerle yapılabileceğini belirtti. Şifreli kart ve PIN tabanlı giriş sistemleri, geleneksel imza yöntemleri, kağıt bazlı devam çizelgeleri ve RFID/NFC kimlik kartları alternatifler arasında gösterildi.
Ayrıca denetçi gözetiminde manuel giriş yöntemlerinin de kullanılabileceği ifade edildi. Bu yöntemlerin hem çalışan verilerinin korunması hem de işleyişin sürdürülebilirliği açısından daha uygun olduğu değerlendirildi.
Veri sorumlularına yükümlülük hatırlatıldı
Kararda, kişisel verilerin hukuka uygun şekilde işlenmesinden veri sorumlularının sorumlu olduğu hatırlatıldı. Kurallara uygun hareket edilmemesi durumunda ilgili veri sorumluları hakkında işlem yapılabileceği belirtildi.
Düzenlemenin, iş yerlerinde kullanılan dijital takip sistemlerine yönelik uygulamaları doğrudan etkilemesi beklenirken, kararın özellikle insan kaynakları uygulamalarında yeni bir çerçeve oluşturduğu ifade edildi.
