Türkiye'de on binlerce işyeri, çalışanların giriş-çıkışını parmak izi veya yüz tanıma ile takip ediyor. Kişisel Verileri Koruma Kurulu'nun 2026/921 sayılı ilke kararı bu uygulamayı doğrudan hedef aldı.
Karar 29 Nisan 2026 tarihlidir ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kararın tam metnini ve kendi durumunuza etkisini bir hukukçuyla değerlendirin.
Kararın özü
Kurul, çalışanların mesai/devam takibi amacıyla parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik verilerin işlenmesini mevcut mevzuat kapsamında hukuka uygun kabul etmemektedir.
En kritik nokta şudur: çalışandan açık rıza alınmış olması bu durumu değiştirmiyor.
Neden rıza yeterli sayılmıyor?
Kararın gerekçeleri üç başlıkta toplanıyor:
1. Biyometrik veri geri alınamaz
Şifreniz çalınırsa değiştirirsiniz. Parmak iziniz sızarsa değiştiremezsiniz. Kurul, bu verilerin geri döndürülemez ve son derece hassas nitelikte olduğunu, yetkisiz ellere geçmesi hâlinde kalıcı mağduriyet doğurabileceğini vurguladı.
2. İşçi-işveren arasında güç dengesizliği var
Açık rızanın geçerli olması için özgür iradeyle verilmiş olması gerekir. Kurul, işini kaybetme endişesi taşıyan bir çalışanın işverenine "hayır" diyebilmesinin gerçekçi olmadığını değerlendirdi. Bu, KVKK'nın rıza anlayışındaki temel ilkelerden biridir ve yalnızca bu karara özgü değildir.
3. Açık yasal dayanak yok
Kanun'un 6. maddesi özel nitelikli verilerin işlenmesini sıkı koşullara bağlar. Mesai takibi amacıyla biyometrik veri işlemeye açıkça izin veren bir düzenleme bulunmamaktadır.
27 Ağustos 2026 duyurusu: Kurum dört soruyu netleştirdi
İlke kararının yayımlanmasının ardından farklı sektörlerden veri sorumluları Kuruma görüş talebi iletti. Kurum, 27 Ağustos 2026 tarihli kamuoyu duyurusuyla tereddütlü noktaları açıklığa kavuşturdu. Kararı bugün değerlendirenler için en güncel resmî metin budur.
1. "Avuç içi taraması biyometrik sayılmaz" savunması reddedildi
Görüş taleplerinde, avuç içi taraması veya parmak izi ile elde edilen verilerin biyometrik veri sayılmaması gerektiği ileri sürüldü. Kurum bu görüşü kabul etmedi ve gerekçesini iki dayanağa oturttu:
- 5490 sayılı Nüfus Hizmetleri Kanunu m.3, biyometrik veriyi "elektronik sistemler aracılığı ile kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler" olarak tanımlıyor.
- AB Genel Veri Koruma Tüzüğü'nün 51 numaralı gerekçesi (Recital 51) uyarınca, belirli bir teknik yöntemle gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hâle getirilen veriler biyometrik veri niteliği taşıyor.
Bunun en önemli pratik sonucu şu: verinin matematiksel bir koda çevrilerek veri tabanında saklanması, biyometrik veri niteliğini ortadan kaldırmıyor. "Biz parmak izini değil, şablonu/hash'i saklıyoruz" savunması artık resmî olarak karşılanmış durumda. Ayrıca Kanun'un 6. maddesindeki özel nitelikli veri kategorileri kıyas yoluyla genişletilemeyeceği gibi, daraltılamaz da.
2. Yasal dayanak neden yok?
İşverenin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü mevzuatta var. Ancak Kurum'un tespiti net: bu yükümlülüğün biyometrik tanımlama sistemleri kullanılarak yerine getirilmesini öngören açık bir kanuni düzenleme bulunmuyor. Yükümlülüğün varlığı, onu yerine getirmek için seçilen her yöntemi hukuka uygun kılmıyor.
Bu nedenle mesai takibi amacıyla biyometrik veri işleme, Kanun'un 6. maddesindeki işleme şartlarından hiçbirine dayanmıyor; geçerli açık rıza bulunsa bile 4. maddedeki ölçülülük kriterini karşılamıyor.
3. Yüksek güvenlikli tesisler: dar bir istisna var
Duyuru, bazı tesis ve faaliyet alanlarını genel değerlendirmeden ayırıyor. Taşıdıkları güvenlik riski nedeniyle bu alanlarda biyometrik sistemler yalnızca mesai takibine hizmet eden bir araç olmaktan çıkıyor; kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü gibi çok katmanlı güvenlik süreçlerinin parçası hâline geliyor. Burada amaç çalışma saatlerinin izlenmesi değil, doğrudan güvenliğin ve kritik altyapıların korunması oluyor.
İstisna geniş değil. Kurum üç şartı birlikte arıyor:
- İşleme yalnızca gerekli kritik alanlar ve kişilerle sınırlı olmalı,
- Alternatif yöntemler yetersiz kalmalı,
- İşleme, somut güvenlik ihtiyacıyla ölçülü olmalı.
Ayrıca Kanun'un 28/1-(ç) bendi uyarınca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik faaliyetler belirli şartlarda Kanun kapsamı dışında kalabiliyor. Kurum bunun da biyometrik veri kullanımını sınırsız hâle getirmediğini, her somut olayda güvenlik riskinin ağırlığı ile alternatiflerin yetersizliğine bakılacağını belirtiyor.
Sıradan bir ofis, fabrika, mağaza, klinik veya spor salonu bu istisnanın kapsamında değil. Belirleyici ölçüt, işlemenin "mesai takibi" amacını aşarak kamu güvenliğine yönelip yönelmediği.
4. Mesai takibi dışındaki kullanımlar
Kurum, mesai takibi dışında kalan biyometrik veri işleme faaliyetlerinin bu ilke kararı kapsamında değerlendirilmeyeceğini açıkladı. Bunların hukuka uygunluğunu, işleme amacı ve işin niteliğini dikkate alarak bizzat veri sorumlusu değerlendirecek; Kuruma intikal eden ihbar ve şikâyetlerde ise Kurul her somut olay özelinde ayrıca inceleme yapacak.
Yani "mesai takibi değil" demek tek başına bir muafiyet değil — sadece değerlendirmenin sizin üzerinizde kaldığı anlamına geliyor. Bu değerlendirmeyi yazılı yapın ve dosyanızda saklayın.
Duyurunun pratik özeti
| Soru | Kurum'un cevabı |
|---|---|
| Avuç içi / damar izi biyometrik mi? | Evet (5490 s.K. m.3 + GDPR Recital 51) |
| Şablon/hash saklamak kurtarır mı? | Hayır, matematiksel koda çevirmek niteliği değiştirmiyor |
| Açık rıza yeterli mi? | Hayır, ölçülülük kriterini karşılamıyor |
| İşverenin mesai belgeleme yükümlülüğü dayanak olur mu? | Hayır, biyometrik yöntemi öngören açık düzenleme yok |
| Yüksek güvenlikli tesisler için istisna var mı? | Dar bir istisna var: kritik alan/kişiyle sınırlı + alternatif yetersiz + ölçülü |
| Mesai takibi dışındaki kullanımlar? | İlke kararı kapsamı dışı; değerlendirme veri sorumlusunda |
Kimleri kapsıyor?
Karar yalnızca özel sektörü değil, kamu kurum ve kuruluşlarını da ilgilendiriyor. Fabrikalar, ofisler, hastaneler, okullar, spor salonları — çalışan mesaisini biyometrik yöntemle takip eden her yapı kapsamdadır.
İşveren olarak ne yapmalısınız?
Hemen (ilk hafta)
- Tespit edin: Parmak izi/yüz tanıma ile çalışan mesaisi takip ediliyor mu?
- Durdurun: Biyometrik yöntemle yeni kayıt almayı durdurun.
- Alternatife geçin: Kurul'un işaret ettiği yöntemler — kartlı geçiş (RFID/NFC), PIN kodlu sistemler, imza çizelgesi, gözetim altında manuel giriş.
Kısa vadede (ilk ay)
- Mevcut biyometrik kayıtları imha edin ve imhayı tutanakla kayıt altına alın.
- Envanteri güncelleyin: Biyometrik veri sürecini çıkarın, yeni yöntemi ekleyin (envanter rehberi).
- Aydınlatma metnini güncelleyin (nasıl).
- VERBİS beyanınızı düzeltin — veri kategorilerinden biyometrik veriyi çıkarın; değişiklikler 30 gün içinde bildirilmelidir (VERBİS rehberi).
- Çalışanları bilgilendirin. Sistem değişikliğinin gerekçesini yazılı olarak paylaşın.
Sözleşmelerde
Cihaz veya PDKS yazılımı aldığınız firmayla sözleşmenizi gözden geçirin; biyometrik veriyi onlar barındırıyorsa veri işleyen sıfatları ve imha yükümlülükleri netleştirilmelidir.
Sık düşülen yanılgılar
| Yanılgı | Gerçek |
|---|---|
| "Çalışan imzalı rıza verdi, sorun yok" | Karar, rızayı geçerli saymıyor |
| "Parmak izini saklamıyoruz, sadece şablon tutuyoruz" | Şablon da biyometrik veridir |
| "Sadece kamu için geçerli" | Özel sektör de kapsamda |
| "Ziyaretçi turnikesi için kullanıyoruz, çalışan değil" | Amaç ve kişi grubu değişse de biyometrik verinin sıkı koşulları sürer; hukuki dayanağınızı ayrıca değerlendirin |
| "Yıllardır kullanıyoruz, geçmişe etkisi yok" | Mevcut kayıtların imhası ve uygulamanın durdurulması beklenir |
Alternatif sistemler karşılaştırması
| Yöntem | Uygulama kolaylığı | KVKK riski | Not |
|---|---|---|---|
| RFID/NFC kart | Yüksek | Düşük | En yaygın geçiş yolu |
| PIN kodu | Yüksek | Düşük | Kart unutma sorununu çözer |
| Mobil uygulama + konum | Orta | Orta | Konum verisi ayrı bir hassasiyettir; kapsamı sınırlayın |
| İmza çizelgesi | Yüksek | Düşük | Küçük ekiplerde yeterli |
| Biyometrik | — | Yüksek | İlke kararı kapsamında |
Bu karar neyi gösteriyor?
Türkiye'de veri koruma uygulaması, "rıza alırım kurtulurum" anlayışından uzaklaşıyor. Kurul giderek rızanın gerçekten özgür olup olmadığına ve işlemenin ölçülülüğüne bakıyor. Aynı mantık kamera sistemleri, konum takibi ve çalışan izleme uygulamaları için de geçerlidir.
Sık sorulan sorular
Karar ne zaman yürürlüğe girdi?
İlke kararı 29 Nisan 2026 tarihlidir ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır.
Sistemi hemen sökmek zorunda mıyım?
Uygulamayı durdurmanız ve biyometrik kayıtları imha etmeniz beklenir. Cihaz, biyometrik özelliği devre dışı bırakılarak kartlı/PIN'li modda kullanılabiliyorsa donanımı atmanız gerekmeyebilir.
Çalışan kendi isteğiyle parmak izi vermek istiyorsa?
Karar, güç dengesizliği nedeniyle bu rızayı geçerli saymamaktadır. Talep çalışandan gelse dahi uygulamaya devam etmek risk taşır.
Yüksek güvenlikli alanlara giriş için de mi yasak?
Kurum'un 27 Ağustos 2026 duyurusuna göre dar bir istisna var: güvenlik riski yüksek tesislerde biyometrik sistem, çok katmanlı güvenlik sürecinin parçası olabiliyor. Ancak üç şart birlikte aranıyor — yalnızca kritik alan ve kişilerle sınırlı olmak, alternatif yöntemlerin yetersiz kalması ve somut güvenlik ihtiyacıyla ölçülü olmak. Sıradan bir ofis, fabrika veya mağaza bu istisnanın kapsamında değildir.
Avuç içi (el ayası) taraması da kapsamda mı?
Evet. Kurum, avuç içi ve damar izi taramasının biyometrik veri sayılmadığı yönündeki görüşleri 27 Ağustos 2026 duyurusuyla reddetti; 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3. maddesi el ayasını açıkça sayıyor.
Parmak izini değil, şablonunu saklıyoruz — bu fark yaratır mı?
Hayır. Kurum, verinin matematiksel bir koda çevrilerek saklanmasının biyometrik veri niteliğini ortadan kaldırmadığını açıkça belirtti.
Uymazsam ne olur?
Özel nitelikli veriyi hukuka aykırı işlemek, veri güvenliği yükümlülüklerinin ihlali ve Kurul kararlarına uymama başlıkları altında idari yaptırım riski doğurur (cezalar).
Kaynaklar
- Kurul ilke kararları
- 27.08.2026 tarihli kamuoyu duyurusu — 2026/921 sayılı İlke Kararı'na ilişkin görüş talepleri
- İlgili Kurul kararı 2022/797 (işyerinde yüz tanıma) — karar özeti · özetimiz
- İlgili Kurul kararı 2020/167 (spor salonunda biyometrik giriş) — karar özeti · özetimiz
- Resmî Gazete
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Envanterinizi güncelleyin: KVKK Otomat sihirbazı süreçlerinizi işaretlemenizle envanterinizi ve aydınlatma metninizi yeniden üretir; biyometrik mesai takibi tespit edilirse uyarı verir. Geçişi (envanter, aydınlatma, VERBİS düzeltmesi) sizin adınıza yürütmemizi isterseniz: uyum dosyası hizmeti.
