İşyerinde Parmak İzi Uygulaması - (Kişisel Verilerin Korunması Kanunu Uyarınca)
İşyerlerinde işçilerin parmak izlerinin alınması ve bu verilerin işlenmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde değerlendirilmesi gereken önemli bir konudur. Parmak izi gibi biyometrik veriler, kanun kapsamında "özel nitelikli kişisel veri" olarak tanımlanmıştır ve bu verilerin işlenmesi sıkı kurallara tabidir.
Öncelikle, KVKK’nın 5. ve 6. maddelerine göre kişisel verilerin işlenebilmesi için ilgili kişinin açık rızasının alınması gerekmektedir. Ancak, iş hukukunda işverenin yönetim hakkı çerçevesinde işçinin rızasının ne derece özgürce verilebildiği konusu tartışmalıdır. Bu nedenle, işverenin işçiden açık rıza alması yeterli olmayabilir. İşveren, parmak izi verilerini işlemenin gerçekten gerekli olduğunu ve başka bir alternatifin bulunmadığını kanıtlamak durumundadır.
Parmak izinin işlenmesi, işyerinde güvenliğin sağlanması ya da giriş-çıkış kontrolü gibi amaçlarla gerekçelendirilse de, bu amaçlara ulaşmak için daha az müdahaleci yöntemler tercih edilmelidir. Örneğin, kartlı geçiş sistemleri ya da şifreli erişim gibi yöntemler biyometrik veri işlenmesini gerektirmeyen alternatifler arasında sayılabilir. KVKK’nın "veri minimizasyonu" ilkesi gereği, işverenin bu tür alternatifleri değerlendirmesi bir zorunluluktur.
1-İşyerinde Parmak İzi Kullanımı KVKK'ya Uygun mu?
İşyerinde parmak izi kullanımı, biyometrik verilerin işlenmesini içerdiği için KVKK kapsamında hassas bir konu olarak değerlendirilir. KVKK'ya göre, biyometrik veriler, kişinin kimliğini belirlemeye yarayan özel nitelikli kişisel veriler arasında yer alır ve bu nedenle işlenmeleri için sıkı şartlar gerektirir. İşveren, parmak izi kullanımını ancak belirli hukuki dayanaklarla veya çalışanların açık rızasını alarak gerçekleştirebilir. Ancak bu rızanın geçerli sayılabilmesi için çalışanların özgür irade ile rıza vermesi, bu süreçte herhangi bir baskıya maruz kalmamış olmaları ve rızalarının belirli bir amaca yönelik olması şarttır.
Bununla birlikte, KVKK, işverenin veri minimizasyonu ilkesine uymasını zorunlu kılar. Bu ilkeye göre, işveren yalnızca belirttiği amaç için kesinlikle gerekli olan verileri işlemelidir. Eğer işyerinde giriş çıkış kontrolü için parmak izi yerine alternatif bir yöntem (örneğin manyetik kartlar veya şifreli giriş sistemleri) kullanılabiliyorsa, biyometrik veri işleme faaliyetleri gereksiz hale gelir. Bu durumda, parmak izi kullanımı KVKK'ya aykırı kabul edilebilir. Sonuç olarak, işyerinde parmak izi kullanımı ancak zorunlu bir ihtiyaç ve yasal bir dayanak bulunuyorsa KVKK’ya uygun olabilir; aksi takdirde ihlal riski taşır.
2-Açık Rızası Bulunan İşçinin Parmak İzi Verileri İşveren Tarafından İşlenebilir mi?
Bir işçinin hukuka uygun bir şekilde açık rıza verdiği varsayıldığında, işverenin bu rızaya dayanarak parmak izi verilerini işlemesi, KVKK’nın öngördüğü yükümlülüklerle sınırlıdır. Açık rızanın geçerli sayılabilmesi için, rızanın bilgilendirilmiş, özgür iradeyle verilmiş ve belirli bir amaca yönelik olması gerekmektedir. İşveren, parmak izi verisini işlemeden önce işçiyi hangi amaçla, ne kadar süreyle ve kimlerle paylaşılacağı konusunda açıkça bilgilendirmeli ve rızanın zorunluluk baskısı altında alınmadığını kanıtlayabilmelidir. Özellikle işçi-işveren ilişkilerinde güç dengesizliği nedeniyle, açık rızanın özgür irade ile verilmiş olduğu her zaman tartışma konusu olabilir.
Bununla birlikte, açık rıza verilmiş olsa bile işverenin veri işleme faaliyetleri, veri minimizasyonu ve amaca bağlılık ilkeleri çerçevesinde değerlendirilir. Bu kapsamda, işveren, parmak izi yerine daha az müdahaleci yöntemlerle aynı güvenlik veya kontrol ihtiyacını karşılayıp karşılayamayacağını değerlendirmelidir. Örneğin, giriş çıkış kontrolü için kartlı geçiş sistemleri gibi alternatif yöntemler mevcutsa, biyometrik veri işlenmesi gereksiz hale gelebilir. Ayrıca, işveren, işlediği verilerin güvenliğini sağlamak ve sadece belirtilen amaç doğrultusunda kullanmakla yükümlüdür. Aksi takdirde, işçi rızası bulunsa bile işleme faaliyeti KVKK’ya aykırı hale gelebilir.
3-Şirketler Parmak İzi Kullanarak Mesai Takibi Yapabilir mi?
Şirketlerin parmak izi kullanarak mesai takibi yapması, biyometrik verilerin işlenmesi kapsamında değerlendirilir ve KVKK açısından bazı hukuki şartlara tabidir. Parmak izi gibi biyometrik veriler, özel nitelikli kişisel veriler arasında yer aldığından, işlenmesi için çalışanların açık rızası alınmalı veya yasal bir zorunluluk bulunmalıdır. Ancak, çalışanların açık rızasıyla dahi bu verilerin işlenebilmesi için verilerin işlenme amacının açıkça belirtilmiş olması ve bu amacın başka yöntemlerle karşılanamayacak kadar zorunlu olması gerekmektedir. Örneğin, alternatif bir yöntemle (kartlı sistemler veya şifreli giriş) mesai takibi yapılabiliyorsa, parmak izi kullanımı gereksiz hale gelebilir ve bu durum KVKK’ya aykırı sayılabilir.
Ayrıca, parmak izi ile mesai takibi yapılırken veri minimizasyonu ilkesi ve amaca uygunluk prensibi gözetilmelidir. Şirketlerin, yalnızca belirttikleri mesai takibi amacı doğrultusunda bu verileri işlemesi ve güvenliğini sağlaması zorunludur. Parmak izi verilerinin izinsiz kullanımı, paylaşımı veya başka amaçlarla işlenmesi, KVKK ihlaline yol açabilir ve şirket için ciddi yaptırımlar doğurabilir. Dolayısıyla, parmak izi ile mesai takibi yapmak isteyen şirketlerin, hem hukuki zemini sağlam bir şekilde oluşturması hem de çalışanları bu süreç hakkında detaylı bilgilendirmesi gerekmektedir.
4-Personelin Parmak İzi ve Yüz Tanıma Verileri ile Mesai Takibi Yapmak Hukuka Uygun mu?
Personelin parmak izi ve yüz tanıma verilerini işleyerek mesai takibi yapmak, KVKK ve ilgili mevzuatlar kapsamında hassas bir süreçtir ve yalnızca belirli şartlar altında hukuka uygun sayılabilir. Parmak izi ve yüz tanıma gibi biyometrik veriler, kişinin kimliğini belirlemeye yarayan özel nitelikli kişisel verilerdir. Bu nedenle, bu verilerin işlenmesi için çalışanların açık rızasının alınması veya hukuki bir zorunluluğun bulunması gerekmektedir. Ancak, açık rızanın geçerli olabilmesi için işçinin özgür irade ile bu rızayı vermesi ve alternatif bir yöntem sunulmadığı için baskı altında hissetmemesi önemlidir. Ayrıca, işverenin, biyometrik verilerin kullanımına ilişkin çalışanları bilgilendirmesi ve amaca yönelik bir gerekçe sunması şarttır.
Bununla birlikte, KVKK’nın veri minimizasyonu ilkesi gereği, işveren yalnızca mesai takibini sağlamak için gerekli olan ve daha az müdahaleci yöntemlerle karşılanamayan veri işleme faaliyetlerini gerçekleştirebilir. Örneğin, kartlı geçiş sistemleri veya manuel kayıt yöntemleri yeterliyse, parmak izi veya yüz tanıma gibi biyometrik sistemlere başvurulması gereksiz ve hukuka aykırı olarak değerlendirilebilir. Sonuç olarak, bu yöntemlerle mesai takibi yapılması, yalnızca zorunluluk durumunda ve KVKK’ya uygun şekilde düzenlenmiş bir süreçte hukuka uygun sayılabilir. Aksi halde, bu tür uygulamalar hem çalışan haklarını ihlal eder hem de işvereni ciddi yasal sorumluluklarla karşı karşıya bırakabilir.
5-İşyerinde Parmak İzi Hangi Durumlarda Kullanılabilir
İş yerinde parmak izi kullanımı, son yıllarda biyometrik verilerin korunması konusundaki hassasiyet nedeniyle önemli bir tartışma konusu haline gelmiştir. Özellikle Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) gibi düzenlemeler, biyometrik verilerin işlenmesini sıkı kurallara bağlamaktadır. Bu düzenlemelere göre, parmak izi gibi biyometrik veriler, kişinin kimliğini doğrudan veya dolaylı olarak tanımlayabilen hassas veriler kategorisine girmektedir. Dolayısıyla, bu verilerin işlenebilmesi için çalışanların açık rızasının alınması veya kanuni bir zorunluluk olması gerekmektedir. İşverenler, parmak izi gibi yöntemleri kullanırken rıza alma sürecinde gönüllülüğün sağlandığını kanıtlamalıdır; aksi halde bu uygulamalar yasadışı kabul edilebilir.
Ancak, her durumda parmak izi kullanımının yasaklandığı anlamına gelmez. İş yerinde biyometrik verilerin kullanımı, iş sağlığı ve güvenliği gereklilikleri veya zorunlu bir işleme amacıyla meşru bir zemine dayandırılabilir. Örneğin, yüksek güvenlik gerektiren tesislere giriş kontrolü için parmak izi sistemi uygulanabilir. Fakat bu durumlarda dahi işverenin, veri minimizasyonu ilkesine uygun hareket etmesi ve biyometrik veri yerine daha az müdahaleci yöntemlerin (örneğin kartlı geçiş sistemleri) mümkün olup olmadığını değerlendirmesi gerekmektedir. Ayrıca, çalışanların verilerinin nasıl korunacağı, kimlerle paylaşılacağı ve ne kadar süreyle saklanacağı konularında şeffaf bir bilgilendirme yapılması zorunludur.
Ayrıca, işverenin biyometrik veri işlemesi durumunda, gerekli teknik ve idari tedbirleri alması gerekmektedir. Bu kapsamda, verilerin yetkisiz erişime karşı korunması, düzenli olarak denetim yapılması ve sadece belirtilen amaçlarla kullanılması büyük önem taşır. İşveren, kişisel veri işleme faaliyetlerine ilişkin olarak işçilere açık ve detaylı bir bilgilendirme yapmak zorundadır.
6-Parmak İzi Cihazlarının Kriptolama ve Loglama İşlemleri KVKK’ya Uygunluk Sağlar mı?
Parmak izi için kullanılan cihazların, parmak izlerini doğrudan depolamak yerine kriptolayıp loglara dönüştürmesi, KVKK’ya uygun hale getirme konusunda önemli bir adım olabilir ancak tek başına yeterli değildir. KVKK’ya göre, biyometrik verilerin işlenmesi için yasal bir dayanağın bulunması veya ilgili kişinin açık rızasının alınması gerekmektedir. Kriptolama, biyometrik verilerin güvenliğini artırarak veri ihlali risklerini azaltabilir, ancak bu işlem verilerin "anonimleştirilmesi" anlamına gelmez. Verilerin hâlâ bir kişiyi tanımlayabilecek nitelikte olması durumunda, KVKK’nın öngördüğü diğer yükümlülükler, örneğin veri minimizasyonu, şeffaf bilgilendirme ve amaçla sınırlı işleme gibi kurallar da geçerlidir. Dolayısıyla, cihazın teknik önlemlerle veriyi koruması önemli bir unsur olsa da, bu sürecin hukuki dayanağa uygun olarak yürütülmesi şarttır.
Parmak izi gibi biyometrik veriler, yalnızca işverenin gerçekten başka bir alternatifi olmadığı ve işlemenin meşru bir amaca hizmet ettiği durumlarda kullanılabilir. Örneğin, yüksek güvenlik gerektiren bir işyerinde giriş-çıkışların kesin olarak kontrol edilmesi zorunlu ise ve diğer yöntemler yetersiz kalıyorsa parmak izi uygulaması makul görülebilir. Ancak bu durumda dahi, işverenin KVKK'ya tam uyum sağlaması, açık rıza alması ve veri güvenliğini sağlamak adına gerekli tüm önlemleri alması şarttır.
Öte yandan, parmak izi kullanımı, sıradan işyerlerinde veya daha basit güvenlik ihtiyaçları olan alanlarda genellikle gereksiz ve aşırı bir uygulama olarak değerlendirilebilir. Bu tür durumlarda, kartlı geçiş veya şifreli sistemler gibi alternatifler tercih edilmelidir. İşçilerin temel haklarının korunması ve özel nitelikli kişisel verilerin işlenmesinde şeffaflık ilkesi, her zaman ön planda tutulmalıdır.
7-Yargı Kararları
Anayasa Mahkemesi’nin 2018/11988 numaralı bireysel başvuruya ilişkin olarak 10 Mart 2022 tarihinde verdiği karar, parmak izi kayıt sistemi ile mesai takibinin, bireylerin özel hayata saygı hakkı çerçevesinde kişisel verilerin korunmasını isteme hakkını ihlal ettiğini tespit etmiştir. Bu karar, biyometrik verilerin işlenmesi konusunda temel hakların ihlal edilmesine karşı anayasal koruma sağlanması gerektiğini vurgulamaktadır.
Aynı doğrultuda Danıştay 5. Dairesi’nin 2013/5342 E. ve 2013/9525 K. sayılı 10 Aralık 2013 tarihli kararında da personelin parmak izi tarama sistemiyle mesai kontrolünün, özel hayatın gizliliği ve kişisel verilerin korunması hakkı kapsamında değerlendirilmesi gerektiği belirtilmiş; mesai kontrol sistemi ile elde edilmek istenen yarar ile uygulamanın çalışan haklarına müdahalesi arasında bir orantısızlık bulunduğu vurgulanmıştır. Danıştay, bu sistemin anayasal ilke olan ölçülülük ilkesine aykırılık teşkil ettiğini belirterek hukuka uyarlık taşımadığına hükmetmiştir. Bu kararlar, işverenlerin biyometrik veri işleme faaliyetlerinde ölçülülük, gereklilik ve orantılılık ilkelerine uymaları gerektiğini açıkça ortaya koymaktadır.
Sonuç olarak, işyerinde işçilerin parmak izinin alınması ve bu verilerin işlenmesi, KVKK'ya uygun şekilde gerçekleştirilmelidir. İşveren, bu tür bir uygulamayı hayata geçirmeden önce hem hukuki hem de teknik açıdan kapsamlı bir değerlendirme yapmalı, gerekirse alternatif yöntemleri tercih etmelidir. Bu süreçte, işçilerin temel hak ve özgürlüklerinin korunmasına azami özen gösterilmelidir.
Anahtar kelimeler :
- İşyerinde parmak izi sistemi
- Mesai takibi
- Kişisel verilerin korunması
- Özel hayatın gizliliği
- KVKK biyometrik veri
- Anayasa Mahkemesi kararı
- Danıştay parmak izi kararı
- Ölçülülük ilkesi
