土耳其个人数据保护委员会《第2026/921号原则决定——关于为考勤（工时跟踪）目的处理生物识别数据》（Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı）
简称：土耳其KVKK 2026/921号生物识别考勤原则决定
法规简介
土耳其个人数据保护委员会（KVKK）以2026年4月29日第2026/921号原则决定（İlke Kararı）认定：仅以员工考勤（工时跟踪）为目的处理生物识别数据，不构成第6698号《个人数据保护法》第6条所列举的任何一项处理条件；即便取得有效明示同意，该处理活动亦不满足第4条规定的比例性原则。该决定已于2026年6月2日公布于《官方公报》第33268号，其后因各行业数据控制者陆续提出释疑请求，KVKK于2026年8月27日再发公告澄清适用边界。公告要点：① 生物识别数据属该法第6条「特殊类别个人数据」，且该条列举不得类推扩张；② 援引GDPR第51条立法理由，凡借助特定技术手段可对自然人实现唯一识别或验证的数据即属生物识别数据，将其转换为数学代码存储于数据库并不消除其生物识别属性（明确否定「掌静脉／指纹仅作编码即非生物识别数据」的辩解）；③ 国家立法虽规定雇主有跟踪并记录工时的义务，但并无任何法律要求该义务必须以生物识别方式履行；④ 对安全风险突出的特定设施与活动领域（如关键基础设施），生物识别系统已非单纯考勤工具，而成为身份验证、授权与关键区域出入控制等多层安全流程的组成部分，此类处理须限于必要的关键区域与人员、无替代手段且与具体安全需求相称；⑤ 该法第28条第1款(ç)项关于国防、国家安全、公共安全、公共秩序或经济安全的数据处理豁免，并不使生物识别数据的使用无限化，仍须逐案评估安全风险权重、替代手段充分性与处理目的。限于考勤目的的生物识别处理必须依该原则决定执行；考勤之外的生物识别处理不适用该决定，其合法性由数据控制者自行逐案评估。
【土耳其个人数据保护委员会第2026/921号原则决定（Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı）——决定日 2026年4月29日，公布于《官方公报》2026年6月2日第33268号】
【说明】《官方公报》所载决定正文为扫描件（无文字层，6页），以下为 KVKK 官网就该决定发布的公告（2026年8月27日，https://www.kvkk.gov.tr/Icerik/8912/ ）原文，其内容完整复述了决定的认定逻辑与结论要点。
【土耳其文公告原文】
Bilindiği üzere, çalışan devam takibinin dijital ortamda gerçekleştirilmesi ve işyeri güvenliğinin artırılması amacıyla kurum ve kuruluşlar tarafından biyometrik tanımlama sistemlerinin kullanımının giderek yaygınlaştığı görülmektedir. Bu durumun Kişisel Verileri Koruma Kurumuna (Kurum) intikal eden ihbar ve şikâyetlerde en çok dile getirilen hukuka aykırılıklardan biri olduğu tespit edilmiştir. Bu doğrultuda uygulamada ortaya çıkan tereddütlerin giderilmesi ve veri sorumlularının hukuki yükümlülükleri hususunda kamuoyunun bilgilendirilmesi amacıyla Kişisel Verileri Koruma Kurulu (Kurul) tarafından 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” alınmış; söz konusu İlke Kararı 02.06.2026 tarihli Resmî Gazete’de yayımlanmıştır.
6698 sayılı Kanun’un 6’ncı maddesinde özel nitelikli kişisel veriler sınırlı sayıda düzenlenmiş olup biyometrik veriler de bu kapsamda yer almaktadır. Kanun kapsamında sayılan özel nitelikli kişisel veri kategorilerinin kıyas yoluyla genişletilmesi de mümkün değildir. Avrupa Birliği Veri Koruma Tüzüğü 51 numaralı gerekçesinde (Recital 51) ifade edildiği üzere, belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen veriler biyometrik veri niteliği taşımaktadır. Dolayısıyla, söz konusu verilerin matematiksel bir koda çevrilerek veri tabanında saklanması, biyometrik veri niteliğini ortadan kaldırmamaktadır. İşverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik tanımlama sistemleri kullanılarak yerine getirilmesini öngören açık kanuni bir düzenleme bulunmamaktadır. Bu nedenle, çalışanların mesai takibinin biyometrik veri işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir.
2026/921 sayılı İlke Kararı ile YALNIZCA mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin Kanun’un 6’ncı maddesinde öngörülen işleme şartlarından herhangi birine dayanmadığı, ayrıca geçerli bir açık rıza bulunsa dahi söz konusu işleme faaliyetinin Kanun’un 4’üncü maddesinde düzenlenen ölçülülük kriterini sağlamayacağı değerlendirilmiştir. Bununla birlikte, bazı tesis ve faaliyet alanları, taşıdıkları güvenlik riski ve olası ihlallerin doğurabileceği sonuçlar nedeniyle genel değerlendirmeden ayrılmaktadır. Bu alanlarda biyometrik tanımlama sistemleri, yalnızca mesai takibine hizmet eden bir araç olmaktan çıkmakta; kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin ayrılmaz bir parçası haline gelmektedir. Bu tür alanlarda biyometrik veri işlenmesinin de yalnızca gerekli kritik alanlarla ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işleme faaliyetinin somut güvenlik ihtiyacıyla da ölçülü olması gerekmektedir. Kanun’un 28’inci maddesinin birinci fıkrasının (ç) bendi uyarınca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik veri işleme faaliyetleri belirli şartlar altında Kanun kapsamı dışında kalabilmektedir; ancak bu istisna biyometrik veri kullanımını sınırsız hale getirmemektedir.
Sonuç olarak: Çalışan devam takibi (mesai takibi) amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleri bakımından veri sorumlularının 29.04.2026 tarih ve 2026/921 sayılı İlke Kararı doğrultusunda hareket etmeleri gerekmektedir. Mesai takibi dışında kalan biyometrik veri işleme faaliyetleri ise anılan İlke Kararı kapsamında değerlendirilmeyecek olup faaliyetin hukuka uygunluğu, veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumluları tarafından değerlendirilmelidir.
