指纹打卡、人脸识别闸机或掌纹识别器……近年来，许多希望将员工考勤数字化的组织转向了生物识别系统。Kişisel Verileri Koruma Kurulu（个人数据保护委员会，下称"委员会"）就这一做法通过了一项原则性决定，编号2026/921，日期为2026年4月29日。该决定刊登于2026年6月2日第33268号Resmî Gazete（土耳其《官方公报》）。2026年8月27日，Kişisel Verileri Koruma Kurumu（KVKK，土耳其个人数据保护局）也发布了一则公告，回应就该决定提出的意见请求。
本文紧扣原文，概述该决定和公告的内容。本文仅供一般参考，不构成法律意见。具体做法请征求您的法律顾问的评估意见。
委员会为何通过原则性决定？
根据决定的引言，在KVKK收到的报告和投诉中，最常见的问题之一是组织为实现员工考勤数字化和提升安全性而转向生物识别系统。委员会依据第6698号法律（土耳其《个人数据保护法》，下称"该法"）第15条第6款：该款规定，委员会认定违规行为较为普遍时，可通过并公布原则性决定。
该决定列举了指纹、人脸识别以及虹膜和视网膜扫描作为生物识别数据的示例。它还提请注意此类数据的一个重要特点：一旦泄露，既无法更改，也无法收回。密码泄露后可以更换；指纹却不能。
决定的三项关键认定
在结论部分，决定文本强调了三项评估。
1. 不满足"法律明确规定"条件。 根据决定，İş Kanunu（《劳动法》）和Çalışma Süreleri Yönetmeliği（《工作时间条例》）规定雇主有义务监督工作时间并以适当方式记录。但并无明确的法律条款要求以生物识别系统进行此类监督。因此委员会指出，生物识别考勤不能以这一处理条件为依据。
2. 明示同意本身不被视为充分依据。 决定认定，实践中这些活动大多以员工的明示同意为依据。委员会认为，雇主与雇员关系中的权力不对等，使人严重怀疑同意是否出于自由意志。如果拒绝同意可能给员工带来不利后果，决定认为不能说员工拥有真正的选择。决定还指出，同意可随时撤回，这将影响系统运行的连续性。
3. 不符合比例原则。 这或许是决定中最具决定性的一点。委员会依据该法第4条的原则，即数据处理必须"与目的相关、有限且相称"。根据决定，存在其他替代方案，如带密码的卡片或基于PIN码的系统、签名式和纸质考勤表、RFID/NFC身份卡，或在主管监督下手工录入。委员会指出，这些替代方案的存在表明处理生物识别数据并非必要。同时，决定文本将考勤描述为一项有限的行政目的。
KVKK 8月27日的公告也简要概括了这三项认定得出的结论：仅为考勤而进行的生物识别数据处理不符合该法第6条规定的任何处理条件，即使存在有效的明示同意，也不满足比例标准。
决定还援引了法院判决
该原则性决定的评估不仅依据法律文本，还依据法院判决。文本援引了Anayasa Mahkemesi（宪法法院）2022年3月10日就一起涉及指纹考勤的个人申诉作出的判决。根据决定，宪法法院认定请求保护个人数据的权利受到侵犯，理由是相关立法中没有规定生物识别跟踪系统基本原则的条款。决定还提及Danıştay（国务委员会）关于掌静脉识别考勤的一项判决及该判决的上诉阶段。
例外：需要多层安全的领域
KVKK 8月的公告就决定的适用范围作出了重要澄清。根据公告，某些设施和活动领域因其所带来的安全风险而被排除在一般评估之外。在这些领域，生物识别系统成为身份验证、授权和关键区域访问控制等多层安全流程的一部分。
但公告也为这一例外设定了条件。据KVKK称，即使在这些领域，处理也必须仅限于确有必要的关键区域和人员，替代方法必须被证明不足，且处理必须与具体的安全需求相称。
公告的结论部分作出了两点区分：
- 对于为考勤而进行的生物识别数据处理，数据控制者必须按照原则性决定行事。
- 考勤以外的生物识别数据处理活动不在原则性决定的评估范围内。数据控制者必须根据目的、工作性质和具体情况的特点自行评估其合法性；如有投诉，委员会将逐案审查。
公告还回应了意见请求中提出的一项异议。一些意见认为，数据如果被转换为数学代码后存储，就不应算作生物识别数据。据KVKK称，将数据转换为代码后存储并不能消除其生物识别数据的属性。
不遵守决定会怎样？
根据决定文本，委员会将其列出的要点纳入数据控制者依该法第12条必须采取的管理和技术措施之中。决定指出，如认定未遵守这些要点，将依据该法第18条采取行动。具体处罚如何，取决于对个案的评估。
企业可以审查哪些方面？
以下步骤是根据原文归纳的一般框架，不能替代法律评估。
- 建立清单。 列出组织内处理指纹、人脸识别、掌纹或类似生物识别数据的所有系统和地点。
- 明确目的。 针对每个系统，书面说明其主要目的是考勤还是关键区域的访问控制。根据KVKK公告，决定性因素在于处理是否超出了考勤目的。
- 规划替代方案。 评估将考勤转向决定所列的卡片、PIN码、NFC或基于记录的方法所需的时间和影响；从一开始就考虑与薪资和排班系统的集成。
- 处理已积累的数据。 与法务团队一起，规划删除或销毁将退役系统中所存生物识别记录的流程。
- 更新文件。 检查隐私告知、明示同意书和个人数据清单是否与新情况一致。
结论
将委员会第2026/921号原则性决定与KVKK 8月的公告结合阅读，传递的信息很明确：根据资料，仅为考勤而处理生物识别数据不被认为符合比例原则，而以安全为重点的例外范围狭窄且附有条件。
从Orient Global的角度看，这一决定不必被视为技术上的倒退。将考勤转向卡片或PIN码等侵入性较低的方法，也可以成为简化薪资和排班流程的契机。关键在于与法务团队一道、在系统和数据有据可查的前提下，有计划地完成过渡。
为何运营与物流经验在此很重要。 在仓库、运输网络和配送中心，考勤记录通常为多个站点和大型团队的排班与薪资提供数据，因此更换方法既是合规变更，也是运营变更。Orient Global的一位顾问在运营、物流和供应链领域拥有30多年经验，包括管理全国范围的仓储和运输运营，以及组建并带领100多人的团队。作为一名工业工程师，他如今通过人工智能与自动化，将这种运营管理纪律带给中小企业。了解我们的顾问。
#interimmanagement #forwarddeployedengineering