Resmi Gazete'de yayımlanan ilke kararına göre, Kişisel Verileri Koruma Kurumu'na ulaşan ihbar ve şikayetlerde, çalışanların mesai takibinin biyometrik tanıma sistemleri aracılığıyla yapılmasına ilişkin başvuruların önemli bir yer tuttuğu belirtildi.
Kararda, parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik sistemlerin hızlı, doğru ve manipülasyona karşı dirençli olmaları nedeniyle tercih edildiği ifade edilirken, bu uygulamaların kişisel verilerin korunması açısından son derece hassas bir alan oluşturduğuna dikkat çekildi.
İşçi ve işveren arasındaki yapısal güç dengesizliğine işaret edilen kararda, çalışanlardan alınan “açık rızanın” özgür iradeye dayanıp dayanmadığı konusunda ciddi tereddütler bulunduğu kaydedildi.
KVKK, biyometrik veri işleme faaliyetlerinin yalnızca açık rıza şartına değil, aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerektiğini vurguladı. Kararda, işverenlerin çalışma sürelerini takip etme yükümlülüğünün yasal düzenlemelerle belirlendiği ancak bu takibin biyometrik sistemlerle yapılmasını zorunlu kılan açık bir kanuni düzenleme bulunmadığına dikkat çekildi.
Bu nedenle, mesai takibinin biyometrik verilerin işlenmesi yoluyla gerçekleştirilmesinin hukuka aykırılık oluşturabileceği belirtilirken, biyometrik verilerin yalnızca açık rızaya dayanılarak işlenmesinin de yeterli hukuki zemine sahip olmadığı ve ölçülülük ilkesine uygun düşmediği ifade edildi.
Alternatif yöntemler önerildi
KVKK, mesai takibinin biyometrik tanıma sistemleri yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza uygulamaları, kağıt bazlı devam çizelgeleri, RFID veya NFC kimlik kartları ile denetçi gözetiminde yapılan manuel kayıt yöntemleriyle sağlanabileceğini bildirdi.
Kararda ayrıca, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularının kişisel verilerin hukuka uygun şekilde işlenmesini sağlamakla yükümlü olduğu hatırlatılarak, yükümlülüklere aykırı hareket eden veri sorumluları hakkında gerekli işlemlerin uygulanacağı belirtildi.
