Mesai Takibinde Biyometrik Veri Kullanımına İlişkin KVKK İlke Kararı
Bilgi Bülteni | Yemci & Koç Hukuk
Parmak İzi ve Yüz Tanıma ile Personel Takibinde Yeni Dönem
Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 2 Haziran 2026 tarihinde yayımlanarak çalışanların giriş-çıkış ve mesai takibinde kullanılan biyometrik sistemler açısından önemli bir çerçeve ortaya koymuştur.
Kararda; parmak izi, yüz tanıma, iris ve retina taraması gibi yöntemlerle çalışanların mesai takibinin yapılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında değerlendirilmiştir. Kurul özellikle biyometrik verilerin hassas niteliği, çalışan-işveren ilişkisindeki güç dengesizliği ve daha az müdahaleci yöntemlerin bulunması üzerinde durmuştur.
Biyometrik Veri Nedir?
Biyometrik veriler, kişilerin fiziksel veya davranışsal özellikleri üzerinden kimliklerinin benzersiz biçimde belirlenmesine veya doğrulanmasına imkân sağlayan verilerdir.
Parmak izi, avuç içi veya damar izi, yüz tanıma, iris ve retina verileri bu kapsamda değerlendirilebilecek başlıca örnekler arasındadır.
6698 sayılı Kanun'un 6. maddesi uyarınca biyometrik veriler özel nitelikli kişisel veri niteliğindedir. Bu nedenle söz konusu verilerin işlenmesi sıradan kişisel verilere kıyasla daha sıkı hukuki şartlara tabidir.
Ayrıca biyometrik verinin doğrudan görüntü halinde saklanması zorunlu değildir. Parmak izi veya benzeri bir özelliğin matematiksel bir şablona ya da koda dönüştürülmesi, verinin belirli bir kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli olması halinde biyometrik veri niteliğini ortadan kaldırmaz.
İşveren Çalışanların Mesai Saatlerini Takip Edebilir mi?
İşverenlerin çalışanların çalışma ve dinlenme sürelerini takip etmesi ve gerekli kayıtları tutması hukuken mümkündür.
Ancak KVKK açısından tartışma, mesai takibinin yapılıp yapılamayacağından çok hangi yöntemle yapılabileceği noktasında ortaya çıkmaktadır.
Kurul, çalışma sürelerinin izlenmesine ilişkin hukuki yükümlülükler bulunmasına rağmen, bu takibin mutlaka biyometrik tanımlama sistemleri kullanılarak yapılmasını öngören açık bir kanuni düzenleme bulunmadığını belirtmiştir.
Dolayısıyla işverenin çalışan devam kontrolü yapma hakkı, kendiliğinden çalışanların parmak izi veya yüz verisini işleme yetkisi vermemektedir.
Parmak İziyle Mesai Takibi Yapılabilir mi?
Kurul'un İlke Kararı doğrultusunda, çalışanların yalnızca mesai giriş-çıkışlarının veya çalışma sürelerinin tespit edilmesi amacıyla parmak izi gibi biyometrik verilerinin işlenmesi hukuka uygun bir yöntem olarak kabul edilmemektedir.
Bunun temel nedenlerinden biri, aynı amaca biyometrik veri işlemeyi gerektirmeyen yöntemlerle ulaşılabilmesidir.
Örneğin personel kartları, PIN tabanlı sistemler, RFID veya NFC kimlik kartları, imza çizelgeleri veya kontrollü manuel giriş sistemleriyle de çalışanların işe giriş ve çıkışları kayıt altına alınabilmektedir.
Bu nedenle yalnızca mesai takibi amacı bakımından kişinin benzersiz biyolojik özelliklerinin işlenmesi gereklilik ve ölçülülük ilkeleri açısından ağır bir müdahale olarak değerlendirilmektedir.
Yüz Tanıma Sistemleri de Kararın Kapsamında mı?
Evet.
Karar yalnızca parmak izi okuyucularıyla sınırlı değildir. Çalışanın kimliğini benzersiz biçimde doğrulamak amacıyla kullanılan yüz tanıma, iris, retina ve benzeri biyometrik tanımlama sistemleri de aynı hukuki değerlendirmeye tabi olabilir.
Dolayısıyla bir işyerinin fiziksel kart yerine kameradan yüz tanıma yoluyla “personel geldi-gitti” kaydı tutması, kullanılan teknoloji farklı olsa bile KVKK açısından benzer sorunları gündeme getirebilir.
Çalışandan Açık Rıza Alınması Yeterli mi?
İlke Kararı'nın en önemli sonuçlarından biri de bu noktadadır.
Çalışanın açık rıza vermesi, mesai takibi amacıyla biyometrik veri kullanımını tek başına hukuka uygun hale getirmemektedir.
İşçi ile işveren arasındaki ilişkide doğal bir güç dengesizliği bulunmaktadır. Çalışan, rıza vermediğinde işini kaybetmekten, çalışma koşullarının olumsuz etkilenmesinden veya işyerinde sorun yaşamaktan endişe ediyorsa verdiği rızanın gerçekten özgür iradeye dayanıp dayanmadığı tartışmalı hale gelebilir.
Üstelik Kurul'un değerlendirmesi bununla da sınırlı değildir.
Geçerli bir açık rıza bulunduğu varsayılsa dahi, daha az müdahaleci yöntemlerle mesai takibinin yapılabilmesi mümkünse biyometrik veri kullanılması ölçülülük ilkesini sağlamayabilir.
Bu nedenle yalnızca personele bir “biyometrik veri açık rıza formu” imzalatılması sorunu ortadan kaldırmamaktadır.
Çalışan Rıza Vermek İstemezse Ne Olur?
Açık rızanın geçerli olabilmesi için kişinin gerçek ve özgür bir seçim hakkının bulunması gerekir.
Çalışanın parmak izi veya yüz tanıma sistemini kabul etmemesi halinde işyerine girişinin engellenmesi, farklı bir yöntem sunulmaması veya çalışan üzerinde olumsuz sonuç doğurabilecek bir baskının bulunması, rızanın özgür iradeyle verilmiş olup olmadığı konusunda ciddi tereddüt yaratabilir.
Bu nedenle veri sorumlularının biyometrik sistemi kullanmak istemeyen çalışanlara yalnızca görünüşte değil, fiilen uygulanabilir bir alternatif sunması konusu da önem taşımaktadır.
Ancak İlke Kararı'nın geldiği noktada, konu yalnızca alternatif sunmakla da çözülememektedir. Mesai takibi amacıyla biyometrik veri işlenmesi, daha az müdahaleci yöntemlerin mevcut olması nedeniyle ölçülülük açısından ayrıca sorunlu görülmektedir.
Mesai Takibi İçin Hangi Sistemler Kullanılabilir?
Kurul, işverenlerin çalışan devam kontrolünü gerçekleştirirken biyometrik tanımlama yerine daha az müdahaleci yöntemlere yönelmesi gerektiğini belirtmiştir.
Bu kapsamda şifre veya PIN ile çalışan sistemler, personel kartları, RFID/NFC tabanlı giriş sistemleri, klasik imza ve devam çizelgeleri veya kontrollü manuel giriş yöntemleri kullanılabilecek alternatifler arasında gösterilmiştir.
Buradaki temel yaklaşım şudur:
İşverenin meşru amacı çalışanların mesai durumunu belirlemekse, aynı amaca kişilerin hassas biyometrik verilerini toplamadan ulaşılabilecek bir sistem tercih edilmelidir.
Biyometrik Sistemlerin Tamamı Yasaklandı mı?
Hayır.
Bu noktada 27 Ağustos 2026 tarihinde KVKK tarafından yapılan ek açıklama özellikle önemlidir.
Kurul, 2026/921 sayılı İlke Kararı'nın esas olarak çalışan devam ve mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerine ilişkin olduğunu açıklığa kavuşturmuştur.
Bazı tesisler ve faaliyet alanları taşıdıkları güvenlik riski nedeniyle farklı değerlendirilebilir.
Örneğin kritik altyapılar, yüksek güvenlik gerektiren bölümler veya erişimin özel olarak sınırlandırılması gereken alanlarda biyometrik sistemin amacı personelin çalışma süresini belirlemekten ziyade kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin güvenliğini sağlamak olabilir.
Bu gibi durumlarda biyometrik veri kullanımı otomatik olarak hukuka aykırı kabul edilmemektedir.
Ancak yine de kullanımın yalnızca gerçekten gerekli alan ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işleme faaliyetinin güvenlik ihtiyacıyla ölçülü olması gerekmektedir.
“Güvenlik İçin Kullanıyoruz” Demek Yeterli mi?
Hayır.
Bir işyerinin biyometrik sistem kullandığı her durumda “işyeri güvenliği” gerekçesine dayanması yeterli değildir.
İşleme faaliyetinin gerçek amacı ile sistemin fiili kullanım şekli birlikte değerlendirilmelidir.
Örneğin parmak izi sistemi esasen sabah işe geliş ve akşam işten çıkış saatlerini kayıt altına almak için kullanılıyorsa, sisteme aynı zamanda “güvenlik sistemi” adı verilmesi onu İlke Kararı'nın kapsamından çıkarmayacaktır.
Buna karşılık gerçekten kritik bir alana yalnızca yetkili personelin girişini sağlamak üzere kurulmuş bir biyometrik doğrulama sistemi için farklı bir hukuki değerlendirme yapılması mümkün olabilir. KVKK da mesai takibi dışındaki kullanımların amaç, işin niteliği ve somut olayın özelliklerine göre ayrıca değerlendirilmesi gerektiğini belirtmektedir.
İşverenler Mevcut Biyometrik Sistemlerini Gözden Geçirmeli mi?
Evet.
Çalışanların parmak izi, yüz veya diğer biyometrik özellikleri üzerinden personel devam kontrolü yapan şirketlerin mevcut uygulamalarını yeniden değerlendirmesi önem taşımaktadır.
İşverenlerin yalnızca açık rıza metinlerini yenilemesi yeterli olmayabilir. Sistemin neden kullanıldığı, alternatif yöntemlerin bulunup bulunmadığı, biyometrik verilerin nerede ve ne kadar süreyle saklandığı, kimlerin erişebildiği ve verilerin güvenliğinin nasıl sağlandığı bütünsel biçimde değerlendirilmelidir.
Kurul, İlke Kararı'nda belirtilen yükümlülükleri 6698 sayılı Kanun'un 12. maddesi kapsamında veri sorumlularının alması gereken idari ve teknik tedbirlerle ilişkilendirmiş; aykırı uygulamalar tespit edilmesi halinde Kanun'un 18. maddesi kapsamında işlem tesis edilebileceğini belirtmiştir.
Daha Önce Toplanan Parmak İzleri Ne Olacak?
İşverenin mesai takibi amacıyla topladığı mevcut biyometrik veriler açısından da yalnızca yeni veri toplamayı durdurmak yeterli olmayabilir.
Verinin işlenmesini haklı kılan hukuki sebep ortadan kalkmış veya veri artık işleme amacı bakımından gerekli değilse, verilerin saklanmaya devam edilmesinin de KVKK açısından ayrıca değerlendirilmesi gerekir.
Bu nedenle mevcut sistemden alternatif bir sisteme geçilirken veri envanteri, saklama ve imha politikaları, çalışan aydınlatma metinleri, açık rıza kayıtları ve ilgili teknik altyapının birlikte gözden geçirilmesi daha sağlıklı olacaktır.
İşverenler Açısından Uyum Sürecinde Neler Önemli?
2026/921 sayılı İlke Kararı sonrasında özellikle çalışan devam kontrolünde biyometrik sistem kullanan veri sorumlularının sistemin gerçek amacını tespit etmesi, mesai takibi için daha az müdahaleci alternatiflere geçişi değerlendirmesi ve mevcut biyometrik verilerin saklama-imha süreçlerini yeniden incelemesi önem taşımaktadır.
Ayrıca aydınlatma metinleri, veri işleme envanteri, saklama ve imha politikası, veri güvenliği tedbirleri ve varsa hizmet alınan biyometrik sistem sağlayıcılarıyla yapılan sözleşmelerin de mevcut uygulamayla uyumlu olup olmadığının kontrol edilmesi gerekir.
Sonuç
Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, işyerlerinde personel mesai takibi amacıyla kullanılan biyometrik sistemler açısından önemli bir değişiklik yaratmıştır.
Kurul, çalışma sürelerinin takip edilmesinin işveren açısından meşru ve gerekli olabileceğini kabul etmekle birlikte, bunun için çalışanların özel nitelikli biyometrik verilerinin kullanılmasının mevcut hukuki çerçevede gerekli ve ölçülü olmadığını değerlendirmiştir. Parmak izi veya yüz tanıma yerine kart, PIN, RFID/NFC veya benzeri daha az müdahaleci yöntemlerin kullanılması gerektiği belirtilmiştir.
Özellikle “Çalışan açık rıza verdiği için parmak iziyle mesai takibi yapabiliriz.” yaklaşımı artık ciddi hukuki risk taşımaktadır. Geçerli bir açık rıza bulunsa dahi ölçülülük şartının ayrıca karşılanması gerekmektedir.
Bununla birlikte karar, biyometrik veri kullanımının her durumda yasak olduğu anlamına gelmemektedir. KVKK'nın 27 Ağustos 2026 tarihli açıklamasında da belirtildiği üzere kritik güvenlik, kimlik doğrulama ve erişim kontrolü gibi mesai takibinin dışındaki kullanımlar somut olayın özelliklerine göre ayrıca değerlendirilecektir.
Yemci & Koç Hukuk
Kişisel verilerin korunması, çalışan verilerinin işlenmesi, KVKK uyum süreçleri ve biyometrik veri kullanımından kaynaklanan hukuki riskler hakkında değerlendirme için ekibimizle iletişime geçebilirsiniz.
Bu bülten genel bilgilendirme amacıyla hazırlanmış olup somut bir uyuşmazlığa ilişkin hukuki görüş veya hukuki danışmanlık niteliğinde değildir.
Yorumlar