Kişisel Verileri Koruma Kurulu, işyerlerinde biyometrik veriyle mesai takibini hukuka aykırı buldu. Resmî Gazete'de yayımlanan ilke kararıyla parmak izi, yüz tanıma ve benzeri yöntemlerle personel takibinin önüne geçildi. Kurul, çalışan devam takibinin dijitalleşmesiyle parmak izi, yüz tanıma, iris ve retina taraması gibi sistemlerin yaygınlaştığına dikkat çekti.
BİYOMETRİK VERİ HASSAS KABUL EDİLİYOR
Kurul, biyometrik verilerin niteliğine kararında özel olarak yer verdi. Biyometrik veriler, hassas nitelikte kişisel veri olarak değerlendiriliyor. Söz konusu veriler, değiştirilemez ve geri döndürülemez özellik taşıyor. Kararda, verilerin işlenmesinde gereklilik, ölçülülük ve veri minimizasyonu ilkelerinin gözetilmesi gerektiği vurgulandı.
MESAİ TAKİBİ İÇİN YASAL ZORUNLULUK VAR MI?
Kurul, mesai takibinin yasal dayanağını kararında değerlendirdi. İş Kanunu, işverenlere çalışma sürelerini takip etme ve kayıt altına alma yükümlülüğü getiriyor. Ancak takibin biyometrik yöntemlerle yapılmasını zorunlu kılan açık bir yasal düzenleme bulunmuyor. Kurula göre mesai takibinin biyometrik veriyle yapılması, hukuki açıdan sorun yaratabiliyor.
ÇALIŞANIN AÇIK RIZASI NEDEN TARTIŞMALI?
Karar, çalışandan alınan açık rızanın geçerliliğine de açıklık getirdi. Kurula göre işçi ile işveren arasındaki güç dengesizliği, rızanın özgür iradeye dayanıp dayanmadığını tartışmalı hale getiriyor. Çalışanın rıza vermemesi ya da rızasını geri çekmesi durumunda olumsuz sonuçlarla karşılaşma ihtimali bulunuyor. Söz konusu ihtimal, açık rızanın geçerliliğini zedeleyebiliyor.
MESAİ TAKİBİNDE HANGİ ALTERNATİF YÖNTEMLER VAR?
Kurul, biyometrik veriye gerek kalmadan kullanılabilecek yöntemleri hatırlattı. Daha az müdahaleci alternatif yöntemler şöyle sıralanıyor:
- Şifreli kartlar
- PIN kodu tabanlı sistemler
- İmza atma yöntemi
- RFID ve NFC kartlar
- Denetçi gözetiminde giriş çıkış kayıtları
Kurula göre biyometrik veri kullanımı zorunlu olmadığından ölçülülük ilkesini karşılamayabiliyor.
İŞVERENLERİN YÜKÜMLÜLÜĞÜ NE OLACAK?
Kurul, veri sorumlularına yönelik yükümlülükleri kararında hatırlattı. Veri sorumluları, kişisel verilerin hukuka uygun işlenmesini sağlamakla yükümlü tutuluyor. İşverenlerin bu kapsamda gerekli teknik ve idari tedbirleri alması gerekiyor. İlke kararının Resmî Gazete'de ve kurumun internet sitesinde yayımlanmasına karar verildi.
