El Geometrisiyle Kimlik Doğrulamaya İlişkin Uyuşmazlık Mahkemesi Kararı

Uyuşmazlık Mahkemesinin 13.04.2026 tarihli ve 2024/361 esas, 2026/211 sayılı kararı, 08.11.2026 tarihli ve 33424 sayılı Resmî Gazete'de yayımlanmıştır.

Karar, giriş kontrolünde el geometrisi okuyan ve biyometrik terminal kullanan bir işletme hakkında Kişisel Verileri Koruma Kurulu ("Kurul") tarafından uygulanan idari para cezasına ilişkindir. Aynı Kurul kararı hakkında idari yargı ile adli yargıda verilen ve birbiriyle çelişen iki kesin hükmün giderilmesi talebiyle konu Uyuşmazlık Mahkemesine taşınmıştır.

Bu yazımızda kararın konusu, mahkemelerin değerlendirmeleri ve düzenlemenin biyometrik veri kullanan işverenler bakımından doğurduğu sonuçlar ele alınmaktadır.

Olay ve Kurul Kararı

Davacı şirket, işlettiği tesise abonelerinin girişlerinde kimlik doğrulaması yapmak amacıyla el geometrisi okuyan bir biyometrik terminal kullanmıştır. Karar metninde yer alan teknik incelemeye göre cihaz, eli otuz bir bin noktadan üç boyutlu olarak taramakta, elin ve parmakların karakteristiklerini, parmak uzunluğunu, parmakların birleşme noktaları arasındaki uzaklıkları ve parmaklardaki oynak yerlerin geometrisini analiz etmektedir.

Bir abonenin şikâyeti üzerine Kurul, 07.07.2022 tarihli ve 2022/662 sayılı kararıyla şirket hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 12/1'deki yükümlülüğe aykırı davranıldığı gerekçesiyle, aynı Kanun'un 18'inci maddesinin 1'inci fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına karar vermiştir.

Kurul kararı yalnızca idari para cezasından ibaret değildir. Kurul ayrıca giriş çıkış amacıyla biyometrik veri işlenmesi uygulamasının Kanun'un 15/7 kapsamında durdurulmasına, işlenen ve muhafaza edilen el geometrisi verilerinin Kanun'un 7'nci maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak yok edilmesine ve bu verilerin üçüncü kişilere aktarılmış olması hâlinde aktarım yapılan kişilere ivedilikle bildirimde bulunulmasına karar vermiştir.

İki Ayrı Yargı Yoluna Başvurulması ve Ortaya Çıkan Çelişki

Davacı şirket, aynı Kurul kararına karşı iki ayrı yola başvurmuştur. Bir yandan idari yargıda kararın yürütmesinin durdurulması ve iptali istemiyle dava açmış, diğer yandan idari yaptırım kararına karşı Sulh Ceza Hâkimliğine itiraz etmiştir.

İdari yargı sürecinde Ankara 20. İdare Mahkemesi 16.11.2023 tarihli ve E.2023/495, K.2023/1523 sayılı kararıyla davayı esastan reddetmiş, bu karara karşı yapılan istinaf başvurusu Ankara Bölge İdare Mahkemesi 10. İdari Dava Dairesinin 16.04.2024 tarihli ve E.2024/1466, K.2024/2095 sayılı kararıyla reddedilerek hüküm kesinleşmiştir.

Adli yargı sürecinde ise Sakarya 1. Sulh Ceza Hâkimliği 08.03.2023 tarihli ve 2022/6842 değişik iş sayılı kararıyla itirazın kısmen kabulüne karar vermiştir. Hâkimlik, cezanın alt sınırdan uzaklaşılmasını gerektirecek bir hususun net olarak anlaşılamadığı gerekçesiyle tutarı yeniden değerleme oranına göre belirlenen alt sınır olan 27.037 TL'ye indirmiştir. Bu karara karşı yapılan itiraz Sakarya 2. Sulh Ceza Hâkimliğinin 07.04.2023 tarihli ve 2023/1821 değişik iş sayılı kararıyla reddedilerek karar kesinleşmiştir.

Böylece aynı Kurul kararı hakkında, biri cezayı olduğu gibi yerinde bulan, diğeri ise tutarı yaklaşık dörtte birine indiren iki kesin hüküm ortaya çıkmıştır. Davacı şirket bu çelişkinin giderilmesi istemiyle Uyuşmazlık Mahkemesine başvurmuştur.

El Geometrisinin Biyometrik Veri Niteliği

Davacı şirket yargılama boyunca el geometrisinin biyometrik veri sayılamayacağını savunmuştur. Bu savunmaya göre cihazın üretim özelliği gereği herhangi bir veri toplanmamakta, cihaz yalnızca kimlik doğrulama amacıyla kullanılmakta, el geometrisi parmak izi veya avuç izi gibi kişiden kişiye değişmediğinden özel nitelikli kişisel veri niteliği taşımamakta ve işleme faaliyeti Kanun'un 5/2 kapsamında kalmaktadır.

İdare Mahkemesi bu savunmayı kabul etmemiştir. Mahkemeye göre bir verinin biyometrik veri kapsamında değerlendirilebilmesi için aranan ölçüt, o verinin yalnızca ilgili kişiyi tanımlayabilme ya da doğrulayabilme özelliğine sahip olmasıdır. El geometrisinin çıkarılması, kişinin fizyolojik özelliği aracılığıyla gerçekleştirilen ve otomatik şekilde doğrulanabilen bir kimlik denetleme yöntemi olduğundan, el geometrisi biyometrik veri olarak kabul edilmelidir şeklinde hüküm kurmuştur.

Mahkeme, karar metninde yer verilen teknik tespitlere de dayanmıştır. Buna göre el geometrisi her el için dokuz karakterlik bir kod üretmekte, bu dokuz karakterin her biri on rakam ve yirmi altı harften oluşan toplam otuz altı olasılık içermekte, dolayısıyla sistemin yanılma olasılığının matematiksel olarak çok düşük kalmakta olduğunu ifade etmiştir. Mahkeme bu nedenle verinin kişiyi eşleştirmeye elverişli olduğu sonucuna varmıştır.

Özel nitelikli kişisel veri olan biyometrik verinin ancak ilgili kişinin açık rızasının bulunması veya kanunlarda açıkça öngörülmesi hâlinde işlenebileceği dikkate alındığında, davacının açık rıza bulunmaksızın işleme yapması nedeniyle tesis edilen Kurul kararında hukuka aykırılık görülmemiştir.

Ceza Miktarının Belirlenmesi ve Ölçülülük Değerlendirmesi

Kararın uygulama bakımından en dikkat çekici bölümü, cezanın neden alt sınırdan ayrılarak belirlendiğine ilişkin değerlendirmedir.

Uyuşmazlık Mahkemesi, 5326 sayılı Kabahatler Kanunu'nun 17/2'ye göre idari para cezasının kanunda alt ve üst sınırı gösterilmek suretiyle belirlendiği durumlarda miktarın belirlenmesinde işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunun birlikte göz önünde bulundurulması gerektiğini belirtmiştir.

Mahkeme bu çerçevede iki unsuru öne çıkarmıştır. Birincisi, Kurumun internet sitesinde ilgilinin açık rızası olmaksızın el geometrisi bilgisinin işlenemeyeceği hususunda daha önce iki ayrı Kurul kararı özeti yayımlanarak kamuoyunun ve sektörün bilgilendirilmiş olmasıdır. İkincisi, davacının yalnızca şikâyetçinin değil tesise abone olanların tamamının kişisel verilerini rızaları olmadan işlemek suretiyle, veri güvenliğine ilişkin yükümlülükleri yerine getirmeme kabahatini birden çok kişiye karşı işlemiş olmasıdır.

Mahkeme, kusurun ağırlığı ve ekonomik durum birlikte değerlendirildiğinde yeniden değerleme oranına göre 27.037 TL olan alt sınırdan ayrılarak 100.000 TL idari para cezası verilmesine ilişkin işlemde ölçülülük ilkesine aykırılık bulunmadığı sonucuna varmıştır.

Hüküm

Uyuşmazlık Mahkemesi, Sakarya 1. Sulh Ceza Hâkimliğinin 08.03.2023 tarihli kararının kaldırılmasına ve hukuk ile usule uygun bulunan Ankara 20. İdare Mahkemesinin 16.11.2023 tarihli kararının kabulüne, bu suretle hüküm uyuşmazlığının giderilmesine karar vermiştir.

Böylece Kurul tarafından uygulanan 100.000 TL tutarındaki idari para cezası olduğu gibi ayakta kalmıştır.

Yargı Yolu Bakımından Değerlendirme

Uyuşmazlığın kaynağında, Kurul kararlarına karşı hangi yargı yoluna başvurulacağı konusunda geçmişte yaşanan belirsizlik bulunmaktadır. Davacı şirket bu belirsizlik nedeniyle hem idari yargıya hem de Sulh Ceza Hâkimliğine başvurmuş, iki yoldan farklı sonuçlar çıkmıştır.

7499 sayılı Kanun ile 6698 sayılı Kanun'da yapılan ve 2024 yılında yürürlüğe giren değişiklikle, Kurul tarafından verilen idari para cezalarına karşı idare mahkemesinde dava açılacağı açıkça düzenlenmiştir. Bu nedenle değişiklik sonrasında tesis edilen Kurul kararları bakımından yargı yolu tartışması bulunmamaktadır.

Buna karşılık karar, değişiklik öncesinde Sulh Ceza Hâkimliği yoluna başvurulmuş ve bu yoldan ceza indirimi elde edilmiş dosyalar bakımından anlam taşımaktadır. Uyuşmazlık Mahkemesinin idari yargı kararını benimseyen yaklaşımının, benzer nitelikteki çelişkili hükümler bakımından yön gösterici olabileceği değerlendirilebilecektir.

İşverenler Bakımından Çıkarılabilecek Sonuçlar

Karar bir spor tesisi işletmecisi hakkında verilmiş olmakla, ulaştığı sonuçlar iş yerlerinde geçiş kontrolü ve mesai takibi amacıyla biyometrik sistem kullanan işverenler bakımından da değerlendirilmelidir.

Öncelikle, biyometrik veri tartışmasının parmak izi ile sınırlı olmadığı görülmektedir. El geometrisi, yüz tanıma, avuç içi damar izi ve benzeri yöntemler de kişiyi tanımlayabilme veya doğrulayabilme özelliği taşıdıkları ölçüde aynı rejime tabi olacaktır. Bu nedenle sistemin teknik adının veya üreticinin yaptığı nitelendirmenin belirleyici olmadığı, belirleyici olanın verinin kişiyi eşleştirmeye elverişli olup olmadığı söylenebilir.

İkinci olarak, cihazın veriyi saklamadığı yönündeki savunmanın tek başına sonuç doğurmadığı anlaşılmaktadır. Davacı şirket cihazın veri toplamadığını ileri sürmüş, ancak mahkeme kimlik doğrulamanın kendisinin bir işleme faaliyeti olduğu değerlendirmesinden hareket etmiştir.

Üçüncü olarak, Kurumun yayımlanmış karar özetlerinin cezayı ağırlaştırıcı bir unsur olarak kullanılması dikkat çekicidir. Kurumun bir konuda ilke niteliğinde değerlendirme yayımlamış olması, veri sorumlusunun bilgisizlik savunmasını zayıflatabilecektir. Bu durumun, Kurumun yayımlarının düzenli olarak takip edilmesini bir uyum yükümlülüğü hâline getirdiği düşünülebilecektir.

Dördüncü olarak, ihlalin kaç kişiyi etkilediği ceza miktarını doğrudan etkilemektedir. Şikâyet tek bir kişiden gelse dahi, aynı uygulamanın tüm çalışan veya müşteri kitlesine uygulanmış olması cezanın alt sınırdan ayrılmasının gerekçesi yapılabilmektedir.

Son olarak, Kurul kararının yalnızca para cezasından ibaret olmadığı hatırlanmalıdır. Somut olayda işleme faaliyetinin durdurulmasına, mevcut verilerin yok edilmesine ve aktarım yapılan üçüncü kişilere bildirimde bulunulmasına da karar verilmiştir. Bu yükümlülükler, işletmenin geçiş kontrol altyapısının yeniden kurgulanmasını gerektirebilecek niteliktedir.

İşverenler Bakımından Yapılması Gerekenler

Karar sonrasında biyometrik sistem kullanan veya kullanmayı planlayan işverenlerin aşağıdaki başlıkları gözden geçirmesi önem taşımaktadır:

• Hâlihazırda kullanılan geçiş kontrol ve mesai takip sistemlerinin biyometrik veri işleyip işlemediğinin teknik olarak tespit edilmesi. Parmak izi dışında el geometrisi, yüz tanıma ve damar izi gibi yöntemlerin de kapsama girebileceği gözetilmelidir.
• Tedarikçiden alınan, cihazın veri saklamadığı veya şablon ürettiği yönündeki beyanların tek başına yeterli kabul edilmemesi ve cihazın ürettiği verinin kişiyi eşleştirmeye elverişli olup olmadığının ayrıca değerlendirilmesi.
• Biyometrik veri işlemenin hukuki sebebinin belirlenmesi ve açık rızaya dayanılıyorsa rızanın özgür iradeyle verilip verilmediğinin değerlendirilmesi. İş ilişkisindeki bağımlılık nedeniyle çalışan rızasının geçerliliği tartışmalı olduğundan, alternatif yöntem sunulup sunulmadığı önem taşımaktadır.
• Biyometrik yöntem kullanılacaksa çalışana kart, şifre veya benzeri eşdeğer bir alternatifin fiilen sunulması ve bu alternatifi seçen çalışanın herhangi bir dezavantaja uğramamasının sağlanması.
• İşleme faaliyetinin ölçülülük bakımından değerlendirilmesi ve aynı amaca daha az müdahaleci bir yöntemle ulaşılıp ulaşılamayacağının belgelendirilmesi.
• Kanun'un 6'ncı maddesi uyarınca Kurulun belirlediği yeterli önlemlerin alınması ve bu kapsamda 31.01.2018 tarihli ve 2018/10 sayılı Kurul kararında sayılan tedbirlerin uygulanması.
• Çalışan aydınlatma metinleri, açık rıza beyanları, kişisel veri işleme envanteri ve VERBİS kayıtlarının biyometrik veri işleme faaliyetini yansıtacak şekilde güncellenmesi.
• Biyometrik verilerin saklama süresinin belirlenmesi ve saklama ile imha politikasına işlenmesi, çalışanın işten ayrılması hâlinde verinin imha sürecinin tanımlanması.
• Kurumun yayımladığı ilke kararlarının ve karar özetlerinin düzenli olarak takip edilmesi ve takip edildiğinin kayıt altına alınması.

Sonuç ve Değerlendirme

Karar, biyometrik veri alanında iki noktayı pekiştirmektedir. El geometrisi de dâhil olmak üzere kişiyi tanımlayabilen veya doğrulayabilen fizyolojik özelliklerin biyometrik veri sayılacağı ve bu verilerin açık rıza bulunmaksızın işlenemeyeceği, yargı kararıyla teyit edilmiştir. Ceza miktarının belirlenmesinde ise Kurumun önceki yayımları ile ihlalin etkilediği kişi sayısının birer ağırlaştırıcı unsur olarak kullanıldığı görülmektedir.

İşverenlerin temel kontrol sorusunun şu şekilde kurulması önerilebilir: “İş yerinde kullanılan geçiş kontrol veya mesai takip sistemi biyometrik veri işliyor mu, işliyorsa hukuki sebebimiz nedir, çalışanlara eşdeğer bir alternatif fiilen sunulmakta mıdır ve bu faaliyet aydınlatma metinlerimize, envanterimize ve VERBİS kayıtlarımıza işlenmiş midir?"

Bu sorulara net bir cevap bulunmuyorsa, kullanılan sistemin teknik olarak hangi veriyi ürettiğinin tespit edilmesi öncelikli adım olacaktır.

Konuya ilişkin detaylara Resmî Gazete'de yayımlanan "Uyuşmazlık Mahkemesi Kararı" üzerinden ulaşabilirsiniz.