Kurul'un gerekçesi ölçülülük ilkesine dayanıyor. Biyometrik veri, KVKK'nın 6. maddesinde tanımlanan özel nitelikli kişisel veri kategorisinde yer alıyor ve işlenmesi için daha sıkı koşullar arıyor. Kurul'a göre mesai takibi gibi bir amaç için kart, PIN kodu, QR kod ya da imza gibi çok daha az invaziv alternatifler zaten mevcutken, parmak izi veya yüz verisi gibi geri döndürülemez bir veriyi işlemek orantısız bir müdahale oluşturuyor. Kurul ayrıca istihdam ilişkisinin doğasındaki güç dengesizliğine de dikkat çekiyor: çalışan, rızasını reddettiğinde işveren nezdinde olumsuz bir sonuçla karşılaşabileceğini düşünüyorsa, verdiği rıza özgür iradeyle verilmiş sayılmıyor.
Kararın üzerinden dört ay geçtikten sonra, Ağustos 2026'da Kurul'un gündemine yeni bir tartışma girdi. Çok sayıda veri sorumlusu, parmak izi ya da yüz görüntüsünün cihaz tarafından doğrudan saklanmadığını, bunun yerine matematiksel bir koda (şablona) dönüştürülüp saklandığını, dolayısıyla bu halin biyometrik veri sayılmaması gerektiğini öne sürerek Kurul'dan görüş talep etti. Kurul, 2026/921 sayılı kararına ilişkin yayımladığı ek kamuoyu duyurusunda bu argümanı doğrudan reddetti: ham görüntünün matematiksel bir koda dönüştürülmesi, verinin kaynağının hala bir kişinin biyometrik özelliği olması nedeniyle onun özel nitelikli veri sınıfından çıkmasını sağlamıyor. Kısacası, "şifreliyoruz, artık biyometrik değil" savunması Kurul nezdinde karşılık bulmadı.
Kararın tamamen bir yasaktan ibaret olmadığını da belirtmek gerekiyor. Kurul, nükleer tesisler ya da kritik altyapı gibi yüksek güvenlik gerektiren alanlarda, yalnızca gerekli personel ve alanlarla sınırlı, başka bir yöntemin yeterli olmadığı ve orantılı kaldığı durumlarda biyometrik erişim kontrolüne izin veriyor. Ancak bu istisna dar yorumlanıyor; sıradan bir ofis binasının giriş turnikesi veya rutin mesai takibi bu kapsamın açıkça dışında.
İşverenler için sonuç pratik ve zaman baskılı: mevcut parmak izi/yüz tanıma tabanlı mesai takip sistemlerinin devre dışı bırakılması, kart, PIN kodu veya benzeri alternatiflere geçilmesi ve arşivlenmiş biyometrik şablonların silinmesi gerekiyor. Uyumsuzluk hâlinde Kanun'un 18. maddesi kapsamında idari para cezası riski söz konusu; buna ek olarak, çalışanın rızasının geçersiz sayıldığı bir uygulamadan dolayı işten ayrılması durumunda işveren, iş hukuku cephesinden de tazminat taleplerine maruz kalabiliyor. Yani bu karar sadece bir veri koruma meselesi değil, aynı zamanda insan kaynakları ve hukuk birimlerinin birlikte ele alması gereken bir uyum riski.
Kaynak: KVKK – 2026/921 Sayılı İlke Kararına İlişkin Kamuoyu Duyurusu | KVKK – Görüş Talepleri Hakkında Ek Duyuru |