Parmak izi, retina/iris taraması, yüz tanıma, ses kaydı gibi biyometrik veriler, KVKK m.6 kapsamında "özel nitelikli kişisel veri" sayılır ve özel rejime tabidir.
Hukuki Çerçeve
- KVKK m.6: Özel nitelikli veriler — genel verilerden farklı işleme şartları.
- KVKK m.6/2: İşleme için kural olarak açık rıza.
- İstisnalar: kanunda öngörülme, hayati menfaat, kamu sağlığı vb.
- Yeterli güvenlik tedbirleri şartı.
İşyerinde Biyometrik Sistem — Sınırlar
- Mesai takibi için zorunlu olarak parmak izi talebi orantısızdır; alternatif yöntemler (kart, PIN) varsa biyometrik veri talebi kişisel veriye orantısız müdahale sayılır.
- Açık rıza alınsa bile çalışmanın koşulu haline getirilirse rıza geçersizdir (gerçek özgür irade yok).
- "Veri ihtiyacı orantılılık" testi: amaca ulaşmak için en az müdahale yöntemi seçilmelidir.
Kurul Kararları
Kişisel Verileri Koruma Kurulu, parmak izi ile mesai takibinin "açık rıza" alınmış olsa bile genelde orantısız bulduğu, çalışan iradesinin gerçekten özgür olmadığı kararları vermiştir. Alternatif yöntemler önerilmelidir.
Yüz Tanıma Sistemleri
- İşyeri girişlerinde yüz tanıma — yine alternatif şart.
- AVM, banka, havalimanı uygulamaları için aydınlatma metni yeterli değil; özel KVKK denetimi.
- Sokakta yüz tanıma kameraları — kamu güvenliği çerçevesinde özel mevzuat.
Veri Sorumlusunun Yükümlülükleri
- Açık rıza belgesi (özel nitelikli için).
- Aydınlatma metni (KVKK m.10).
- VERBİS kaydı.
- Güvenlik tedbirleri (şifreleme, erişim logları).
- İhlal halinde 72 saat içinde bildirim (KVKK m.12/5).
- Veri sahibinin haklarına yanıt (KVKK m.11).
Yaptırımlar
- İdari para cezası: 100.000 - 5.000.000 TL bandı (yıllar itibariyle güncellenir).
- Maddi-manevi tazminat (TBK m.49, 56).
- TCK m.135-136 (kişisel verilerin hukuka aykırı işlenmesi/yayılması).
Pratik Tavsiyeler — İşveren İçin
- Alternatif yöntemler (kart, PIN, mobil) tercih edin.
- Biyometrik şart ise: sıkı açık rıza süreci + özel güvenlik tedbiri.
- VERBİS kaydı ve kayıt envanteri güncel tutulmalı.
- Aydınlatma + açık rıza belgeleri ayrı.
Çalışan Hakları
- Açık rıza vermeme hakkı.
- Verilen rızayı geri alma (KVKK m.11/1-c).
- Veri silme talebi (KVKK m.11/1-e).
- Kuruma şikâyet (KVKK m.13).
Biyometrik veri davaları artmaktadır; KVKK ve iş hukuku avukatı birlikte değerlendirme yapmalıdır.