Вход и выход по отпечатку пальца, турникет с распознаванием лица или считыватель ладони… В последние годы многие организации, стремящиеся перевести учёт посещаемости персонала в цифровой формат, обратились к биометрическим системам. Kişisel Verileri Koruma Kurulu (Совет по защите персональных данных, далее — Совет) принял в отношении этой практики принципиальное решение (ilke kararı) № 2026/921 от 29 апреля 2026 года. Решение опубликовано в Resmî Gazete (Официальная газета Турции) № 33268 от 2 июня 2026 года. Kişisel Verileri Koruma Kurumu (KVKK, Управление по защите персональных данных Турции), в свою очередь, 27 августа 2026 года опубликовало публичное объявление, в котором ответило на запросы о разъяснении решения.
В этой статье мы кратко излагаем, что говорится в решении и в объявлении, придерживаясь текстов первоисточников. Статья носит общий информационный характер и не заменяет юридическую консультацию. Оценку собственной практики вам необходимо получить у своего юридического консультанта.
Почему Совет принял принципиальное решение?
Согласно вводной части решения, одна из наиболее частых тем в сообщениях о нарушениях и жалобах, поступающих в KVKK, — то, что организации, желая перевести учёт посещаемости работников в цифровой формат и повысить безопасность, обращаются к системам биометрической идентификации. Совет опирается на часть шестую статьи 15 Закона о защите персональных данных (далее — Закон): эта норма предусматривает, что при установлении распространённого характера нарушения Совет принимает принципиальное решение и публикует его.
В качестве примеров биометрических данных решение называет отпечаток пальца, распознавание лица, сканирование радужной оболочки и сетчатки глаза. Оно обращает внимание и на важную особенность этих данных: если они попали в чужие руки, их невозможно ни изменить, ни вернуть. Если пароль утёк, его можно сменить; отпечаток пальца сменить нельзя.
Три основных вывода решения
В заключительной части текст решения выделяет три оценки.
1. Условие «прямо предусмотрено законами» не выполняется. Согласно решению, İş Kanunu (Закон о труде) и Çalışma Süreleri Yönetmeliği (Положение о рабочем времени) возлагают на работодателя обязанность отслеживать рабочее время и документировать его с помощью подходящих средств. Однако прямой нормы закона, которая предусматривала бы такой учёт с помощью биометрических систем, нет. Поэтому Совет отмечает, что биометрический учёт рабочего времени нельзя основывать на этом условии обработки.
2. Одного явного согласия недостаточно. В решении констатируется, что на практике такая деятельность чаще всего основывается на явном согласии работника. По мнению Совета, дисбаланс сил в отношениях между работником и работодателем вызывает серьёзные сомнения в том, основано ли согласие на свободном волеизъявлении. В случаях, когда отказ дать согласие может повлечь для работника неблагоприятные последствия, делается вывод, что о наличии у работника реального выбора говорить нельзя. Кроме того, решение указывает, что возможность в любой момент отозвать согласие ставит под удар непрерывность работы системы.
3. Принцип соразмерности не соблюдается. Пожалуй, это самый определяющий момент решения. Совет исходит из принципа «связанности с целью, ограниченности и соразмерности», закреплённого в статье 4 Закона. Согласно решению, существуют такие альтернативы, как системы на основе карт с паролем или PIN-кода, подпись и бумажные журналы посещаемости, идентификационные карты RFID/NFC или ручная регистрация под надзором проверяющего. Совет указывает, что само наличие этих альтернатив показывает: обработка биометрических данных не является необходимой. Учёт же рабочего времени в тексте решения характеризуется как ограниченная административная цель.
Вывод, к которому приводят эти три оценки, кратко изложен и в объявлении KVKK от 27 августа: обработка биометрических данных исключительно в целях учёта рабочего времени не опирается ни на одно из условий обработки, предусмотренных статьёй 6 Закона; даже при наличии действительного явного согласия она не удовлетворяет критерию соразмерности.
Решение ссылается и на судебные решения
Принципиальное решение основывает свою оценку не только на тексте Закона, но и на судебных решениях. В тексте приводится решение Конституционного суда Турции (Anayasa Mahkemesi) от 10 марта 2022 года по индивидуальной жалобе, касавшейся учёта рабочего времени с помощью системы отпечатков пальцев. Как излагается в принципиальном решении, Конституционный суд постановил, что право требовать защиты персональных данных было нарушено, поскольку в соответствующем законодательстве нет нормы, определяющей основные принципы применения биометрических систем учёта. Кроме того, принципиальное решение ссылается на решение Государственного совета Турции (Danıştay) об учёте рабочего времени с помощью считывателя вен ладони, а также на стадию обжалования этого решения.
Исключение: сферы, требующие многоуровневой безопасности
Августовское объявление KVKK содержит важное разъяснение о сфере действия решения. Согласно объявлению, некоторые объекты и сферы деятельности из-за свойственного им риска для безопасности выделяются из общей оценки. В этих сферах биометрические системы становятся частью многоуровневых процессов безопасности, таких как аутентификация, авторизация и контроль доступа в критически важные зоны.
Однако объявление ставит и это исключение в зависимость от условий. По мнению KVKK, и в этих сферах обработка должна ограничиваться лишь необходимыми критически важными зонами и лицами, альтернативные методы должны оказываться недостаточными, а сама обработка должна быть соразмерна конкретной потребности в безопасности.
Заключительная часть объявления проводит два разграничения:
- При обработке биометрических данных в целях учёта рабочего времени контролёры данных должны действовать в соответствии с принципиальным решением.
- Деятельность по обработке биометрических данных, не связанная с учётом рабочего времени, в рамках принципиального решения не оценивается. Правомерность такой обработки контролёр данных должен оценивать самостоятельно — с учётом цели, характера работы и особенностей конкретного случая; при поступлении жалобы Совет будет рассматривать каждый случай отдельно.
Объявление отвечает и на возражение, прозвучавшее в запросах. Некоторые обращения утверждали, что данные, которые преобразуются в математический код и хранятся в таком виде, не должны считаться биометрическими. По мнению KVKK, хранение данных в виде кода не лишает их биометрического характера.
Что будет при несоблюдении?
Согласно тексту решения, Совет относит указанные положения к административным и техническим мерам, которые контролёры данных обязаны принимать в соответствии со статьёй 12 Закона. Говорится, что при установлении несоблюдения этих положений в соответствии со статьёй 18 Закона будут приняты меры. Какой именно будет конкретная санкция, зависит от оценки каждого отдельного случая.
Что компании могут пересмотреть?
Приведённые ниже шаги — это общая рамка, выведенная из первоисточников; она не заменяет юридическую оценку.
- Проведите инвентаризацию. Составьте перечень всех систем и локаций в организации, где обрабатываются отпечатки пальцев, распознавание лица, данные ладони или другие подобные биометрические данные.
- Уточните цель. Для каждой системы зафиксируйте в письменной форме, является ли её основной целью учёт рабочего времени или же контроль доступа в критически важные зоны. Согласно объявлению KVKK, решающее значение имеет то, выходит ли обработка за пределы цели учёта рабочего времени.
- Спланируйте альтернативу. Оцените сроки и последствия перехода на перечисленные в решении методы учёта рабочего времени — карты, PIN-код, NFC или методы на основе записей; сразу продумайте интеграцию с системами расчёта заработной платы и планирования смен.
- Разберитесь с накопленными данными. Совместно с юридическим отделом спланируйте процесс удаления или уничтожения биометрических записей в системах, которые будут выведены из эксплуатации.
- Обновите документы. Проверьте, соответствуют ли новой ситуации информационные уведомления об обработке данных (aydınlatma metinleri), формы явного согласия и реестр персональных данных.
Заключение
Если читать принципиальное решение Совета № 2026/921 и августовское объявление KVKK вместе, вывод однозначен: обработка биометрических данных только для учёта рабочего времени, согласно источникам, соразмерной не признаётся; исключение, связанное с безопасностью, при этом узкое и действует лишь при соблюдении условий.
С точки зрения Orient Global, это решение необязательно воспринимать как технологический шаг назад. Перевод учёта посещаемости на менее инвазивные методы, например системы на основе карт или PIN-кода, может стать и возможностью упростить процессы расчёта заработной платы и организации смен. Важно провести переход планомерно: вместе с юридическим отделом, задокументировав системы и данные.
#interimmanagement #forwarddeployedengineering