Mesai Takibinde Biyometrik Veri Kullanımı: KVKK’nin 2026/921 Sayılı İlke Kararı Ne Getirdi?

Parmak izi veya yüz tanıma ile çalışan turnike ve personel devam kontrol sistemleri, uzun süredir Türkiye’de yaygın biçimde kullanılmaktadır. Kişisel Verileri Koruma Kurulu, 2026 yılında verdiği ilke kararıyla bu uygulamaya ilişkin tutumunu netleştirmiş ve mesai takibi amacıyla biyometrik veri işlenmesini kural olarak hukuka aykırı kabul etmiştir.¹

Biyometrik veri neden özel korunuyor?

Parmak izi, avuç içi damar izi, yüz, iris ve retina verileri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesi uyarınca özel nitelikli kişisel veridir.² Bu verilerin ayırt edici özelliği değiştirilemez olmalarıdır: bir parola sızdığında değiştirilebilir, ancak parmak izi sızdığında geri alınamaz. Kurul, biyometrik verinin matematiksel bir koda (şablona) dönüştürülmesinin de verinin özel nitelikli olma vasfını ortadan kaldırmadığını belirtmiştir. Dolayısıyla “biz parmak izini saklamıyoruz, yalnızca sayısal şablon tutuyoruz” savunması tek başına yeterli değildir.

Kurul’un temel tespiti

Kararın özü, amaç ile araç arasındaki orantıdır. Kurul, işverenin çalışma sürelerini takip etme yükümlülüğünün bulunduğunu, ancak mevzuatta bu takibin biyometrik yöntemle yapılmasını öngören bir hüküm bulunmadığını tespit etmiştir. Yalnızca mesai takibi amacıyla yürütülen biyometrik veri işleme faaliyetinin, Kanun’un 6. maddesindeki işleme şartlarından herhangi birine dayanmadığı ve Kanun’un 4. maddesindeki ölçülülük ilkesiyle bağdaşmadığı sonucuna varılmıştır.

Çalışanın açık rızası neden yeterli değil?

Kararın en çok tartışılan yönü budur. Kurul iki gerekçeye dayanmaktadır. Birincisi, iş ilişkisinde çalışan ile işveren arasında yapısal bir bağımlılık bulunduğundan, rızanın “özgür iradeyle açıklandığı” tartışmalıdır; rıza vermeyen çalışanın olumsuz sonuçlarla karşılaşabileceği bir ortamda gerçek bir seçim imkânından söz edilemez. İkincisi ve daha belirleyicisi, açık rıza alınmış olsa dahi işlemenin genel ilkelere uygun olması gerekir. Geri alınamaz nitelikteki bir verinin, daha az müdahaleci yöntemlerle karşılanabilecek idari bir amaç için işlenmesi ölçüsüz kabul edilmiştir.

İstisna var mı?

Karar mutlak bir yasak öngörmemektedir. Kurul, biyometrik sistemlerin yalnızca mesai takibi değil, kimlik doğrulama, erişim kontrolü ve tesis güvenliği gibi bir güvenlik işlevi gördüğü hâllerde kullanılabileceğini kabul etmiştir. Bunun için uygulamanın gerçekten gerekli olan personel ve alanlarla sınırlı tutulması ve daha az müdahaleci alternatiflerin yetersiz kalması aranır. Kamu güvenliği ve savunma gibi alanlarda ise her olayın kendi şartlarında değerlendirileceği belirtilmiştir.

Bu çerçevede, yüksek riskli üretim alanları, veri merkezleri veya kritik tesislerde güvenlik amacıyla kurulmuş sistemler ile ofis girişinde yalnızca giriş-çıkış saati kaydetmek için kurulmuş sistemleri aynı kefeye koymamak gerekir. Belirleyici olan, sistemin fiilen hangi amaca hizmet ettiğidir.

Kabul edilen alternatif yöntemler

• Şifre veya PIN tabanlı, kişiye özgü kodlarla çalışan kontrol mekanizmaları.
• RFID veya NFC teknolojili kartlı geçiş sistemleri.
• Klasik veya elektronik imza föyleri ve puantaj kayıtları.
• Yetkili personel tarafından yürütülen manuel kontrol usulleri.

İşverenlerin atması gereken adımlar

1. Mevcut sistemlerin amacını yazılı olarak tespit edin: sistem yalnızca mesai takibi için mi kuruldu, yoksa bir güvenlik işlevi de görüyor mu?
2. Yalnızca mesai takibi amacına hizmet eden biyometrik uygulamaları durdurun ve alternatif yönteme geçiş planı yapın.
3. Daha önce toplanmış biyometrik verileri, Yönetmelik hükümlerine uygun biçimde silin veya yok edin; imha işlemlerine ilişkin kayıtları saklayın.
4. Kişisel veri işleme envanterini, çalışan aydınlatma metinlerini ve insan kaynakları politikalarını güncelleyin.
5. Güvenlik amacıyla sürdürülecek uygulamalar için gereklilik ve ölçülülük değerlendirmesini yazılı hâle getirin; kapsamı gerekli personel ve alanla sınırlandırın.

İmha yükümlülüğü bakımından saklama ve imha mevzuatındaki süreler esas alınır; politikası bulunan veri sorumlularında periyodik imha süresi altı ayı aşamaz.³

Uyulmamanın sonuçları

İlke kararları, Kanun’un 15. maddesinin altıncı fıkrası uyarınca Resmî Gazete’de yayımlanır ve bağlayıcıdır. Karara aykırı uygulamalar, Kanun’un 12. maddesindeki veri güvenliği yükümlülüklerinin ihlali ve Kurul kararlarının yerine getirilmemesi kapsamında idari para cezasına konu olabilir; 2026 yılı için bu kalemlerde öngörülen üst sınır 17.092.242 TL’dir.⁴ Ayrıca çalışanların açacağı tazminat talepleri ve iş hukuku kaynaklı uyuşmazlıklar gündeme gelebilir.

Uygulamada sık yapılan hatalar

• Çalışandan alınan açık rıza formunun, uygulamayı tek başına hukuka uygun hâle getirdiğinin düşünülmesi.
• Biyometrik verinin şablona dönüştürülmesinin özel nitelikli veri olmaktan çıkardığının varsayılması.
• Sistemin kaldırılması yeterli görülüp daha önce toplanan verilerin imha edilmemesi ve imha kaydı tutulmaması.
• Güvenlik gerekçesinin yazılı bir gereklilik değerlendirmesi olmaksızın, tüm bina ve tüm personel için genel biçimde ileri sürülmesi.
• Çalışan aydınlatma metinlerinin ve veri envanterinin güncellenmemesi.
• Sistemi kuran tedarikçiyle yapılan sözleşmede imha ve iade yükümlülüğünün bulunmaması.

Hukuki Dayanaklar ve Kaynaklar

1. Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, RG 02.06.2026, S. 33268. Kurum, 27.08.2026 tarihinde karara ilişkin görüş taleplerini değerlendiren bir kamuoyu duyurusu da yayımlamıştır.
2. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
3. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, RG 28.10.2017, S. 30224.
4. Tutarlar, 5326 sayılı Kabahatler Kanunu m. 17/7 uyarınca her yıl yeniden değerleme oranında güncellenir; 2026 yılında uygulanan oran, 2025 yılı için tespit edilen %25,49’dur; bkz. 585 Sıra No.lu Vergi Usul Kanunu Genel Tebliği, RG 27.11.2025, S. 33090.