KVKK 禁止为员工考勤处理生物识别数据

土耳其个人数据保护委员会（KVKK）作出2026年4月29日第2026/921号具有约束力的原则性决定，于2026年6月2日在《官方公报》（第33268期）公布，严格禁止将生物识别系统用于员工出勤跟踪。

在土耳其运营、目前使用指纹扫描、人脸识别或虹膜跟踪系统监控员工工时的所有外国及本土雇主，都须立即关注该决定。随着机构转向数字化，KVKK在收到大量相关通知及投诉后介入。

1. 法律定义与生物识别数据的性质

根据第6698号《个人数据保护法》（本法）第6条，生物识别数据严格归为“特殊类别个人数据”。特殊性质类别由立法者明确限定，不得通过类推扩展。同一数据最小化原则也适用于 酒店收集的客人身份数据.

该决定概述了不同法律框架对生物识别数据的定义：

• 本国立法（第5490号《人口服务法》）： 将生物识别数据定义为从指纹、静脉纹及掌纹取得、用于电子身份识别与核验的独特个人数据。
• 欧洲《通用数据保护条例》（GDPR）： 将定义扩展至经特定技术处理产生、可唯一识别自然人的身体、生理或行为特征。
• 生物识别实例： KVKK指出，指纹及视网膜/虹膜数据属于生理特征；面部及手形属于身体特征（可见）；音调、签名动态及键盘使用习惯则属于行为生物识别特征。

由于生物识别数据高度敏感且不可逆（一旦泄露便无法更改或收回），保护此类数据对于防止潜在安全泄露或个人受害至关重要。

2. 雇佣中“明确同意”的问题

本法第6条禁止处理特殊类别个人数据，除非满足特定条件，如法律明确规定或数据主体明确同意。雇主还必须采取委员会第2018/10号决定确定的充分安全措施。

由于没有特定雇佣法律强制要求生物识别考勤，雇主一直大量依赖获取员工“明确同意”。但KVKK基于以下理由认定该依据无效：

• 权力失衡： 明确同意必须知情、具体且基于自由意志。雇主与员工关系存在结构性权力失衡，损害同意的自愿性。
• 缺乏自由意志： 如果员工无法在不面临潜在不利后果的情况下有效拒绝或撤回同意，就没有真实选择。因此，同意并非基于自由意志。
• 运营冲突： 允许员工自由撤回同意，会破坏生物识别考勤系统的连续性及适用性。因此，仅依赖明确同意并非充分法律依据。

3. 缺乏劳动法依据

虽然第4857号《土耳其劳动法》（尤其是第63、67及75条）及相关法规依法要求雇主公布工时、保存人事档案并记录工作时间，但它们 并未 明确授权使用生物识别系统履行该义务。缺乏明确法定条款时，为该目的处理生物识别数据被视为违法。

4. 违反比例原则

即使明确同意以某种方式有效，KVKK仍认为生物识别考勤从根本上违反本法第4条所列“一般原则”。个人数据处理必须与处理目的相关、限于该目的并符合比例。

• 必要性与替代方案： 数据处理必须采用可能的最低侵入性方法。存在大量非生物识别替代方式，如加密/基于PIN码的卡片、传统签名、纸质表格、RFID/NFC身份卡，或在主管监督下手动录入。这些替代方式的存在证明生物识别处理并非必要。
• 不成比例的干预： 出勤跟踪是有限的行政目标。为单纯行政任务使用高度敏感、不可逆的生物识别数据，破坏了干预与合法目标之间的合理平衡。
• 滥用风险： 此类敏感数据可能与其他系统结合或被滥用，进一步证明生物识别考勤违反比例原则。

5. 高等法院判例

KVKK强调两项重要高等法院裁判，以支持其决定：

• 宪法法院（AYM）： 在2022年3月10日决定（申请编号2018/11988）中，一名公务员因指纹考勤起诉市政府。AYM认定，由于《国家人员法》及《市政法》均无生物识别考勤规定，该做法侵犯要求保护个人数据的权利。
• 最高行政法院（Danıştay）： 第12庭（决定2021/3870 E.、2023/2548 K.）及行政审判庭全体会议（决定2024/225 E.、2024/2625 K.）撤销了一家企业使用的掌静脉识别系统。该院援引此前KVKK决定，强调处理特殊类别数据必须严格遵循比例原则，并避免不必要的数据收集。

6. 最终决定与制裁

KVKK正式认定，出勤跟踪的生物识别数据处理缺乏有效法律依据、未通过比例检验，且无法以员工同意弥补。

强制行动： 雇主必须停止使用生物识别系统考勤，并转向PIN码系统、RFID/NFC卡或传统签名等替代方式。获认可的员工出勤监控替代方式包括：

• 基于PIN码或加密的卡片系统。
• RFID/NFC身份卡。
• 传统签名及纸质考勤表。
• 在主管监督下手动录入。

制裁： 根据第12条，数据控制者有义务确保数据安全并防止违法处理。由于违法普遍，委员会依据第15(6)条作出该原则性决定。不遵守这些规则的雇主，将面临本法第18条下的行政行动及处罚。

常见问题 (FAQ)

如果员工签署详细的书面同意表，我们能否继续使用指纹或人脸识别扫描设备？

不能。KVKK已明确认定，雇佣关系中的明确同意因权力失衡而存在结构性缺陷。员工可能担心拒绝会产生不利后果，意味着同意并非自由作出。此外，即使同意有效，该做法仍从根本上违反比例原则，不因同意而改变。

土耳其劳动法是否要求使用生物识别跟踪出勤？

不要求。虽然第4857号《劳动法》及相关法规要求雇主记录并跟踪工时、保存人事档案，但不存在明确法律条款，强制或授权通过生物识别系统进行。

该决定下究竟哪些属于“生物识别数据”？

生物识别数据包括生理数据（指纹、视网膜/虹膜扫描、静脉纹、掌纹）、身体特征数据（人脸识别、手形）及行为数据（音调、签名动态、击键习惯）。

我们使用人脸识别进行楼宇门禁及安保，而非仅作考勤。该决定是否适用？

该原则性决定专门针对以“出勤跟踪”（mesai takibi）为目的的生物识别数据处理。但委员会对比例原则的严格解释表明，将生物识别用于一般办公室门禁具有严重合规风险。土耳其法律要求采用侵入性最低的方法实现合法目标。

该规则是否有例外？

现行决定未规定考勤的行业特定例外。该决定根植于第6698号法律的基本原则，尤其是数据处理必须限于其目的、与目的相关且符合比例的要求。

哪些替代方法可合法用于跟踪员工出勤？

KVKK明确列出若干可接受、侵入性更低的替代方式，包括加密或基于PIN码的卡片系统、RFID/NFC身份卡、传统签名及纸质考勤表，或在监督人员监管下手动录入。

本地人力资源及合规团队必须立即采取哪些步骤？

雇主必须立即停止使用生物识别系统记录员工进出及工作时间。公司必须转向KVKK明确认可的替代考勤方法，如RFID卡或PIN码系统。

公司继续使用人脸识别或指纹扫描设备考勤会怎样？

未落实停止该做法所必需的管理及技术措施，违反第6698号法律第12条。KVKK已声明，不遵守的数据控制者将受到法律第18条下的执法行动及行政罚款。