KVKK Parmak İzi Kararı: Mesai Takibinde Biyometrik Veri
Türkiye'de on binlerce işyeri, çalışanların giriş-çıkışını parmak izi veya yüz tanıma ile takip ediyor. Kişisel Verileri Koruma Kurulu'nun 2026/921 sayılı ilke kararı bu uygulamayı doğrudan hedef aldı.
Karar 29 Nisan 2026 tarihlidir ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kararın tam metnini ve kendi durumunuza etkisini bir hukukçuyla değerlendirin.
Kararın özü
Kurul, çalışanların mesai/devam takibi amacıyla parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik verilerin işlenmesini mevcut mevzuat kapsamında hukuka uygun kabul etmemektedir.
En kritik nokta şudur: çalışandan açık rıza alınmış olması bu durumu değiştirmiyor.
Neden rıza yeterli sayılmıyor?
Kararın gerekçeleri üç başlıkta toplanıyor:
1. Biyometrik veri geri alınamaz
Şifreniz çalınırsa değiştirirsiniz. Parmak iziniz sızarsa değiştiremezsiniz. Kurul, bu verilerin geri döndürülemez ve son derece hassas nitelikte olduğunu, yetkisiz ellere geçmesi hâlinde kalıcı mağduriyet doğurabileceğini vurguladı.
2. İşçi-işveren arasında güç dengesizliği var
Açık rızanın geçerli olması için özgür iradeyle verilmiş olması gerekir. Kurul, işini kaybetme endişesi taşıyan bir çalışanın işverenine "hayır" diyebilmesinin gerçekçi olmadığını değerlendirdi. Bu, KVKK'nın rıza anlayışındaki temel ilkelerden biridir ve yalnızca bu karara özgü değildir.
3. Açık yasal dayanak yok
Kanun'un 6. maddesi özel nitelikli verilerin işlenmesini sıkı koşullara bağlar. Mesai takibi amacıyla biyometrik veri işlemeye açıkça izin veren bir düzenleme bulunmamaktadır.
Kimleri kapsıyor?
Karar yalnızca özel sektörü değil, kamu kurum ve kuruluşlarını da ilgilendiriyor. Fabrikalar, ofisler, hastaneler, okullar, spor salonları — çalışan mesaisini biyometrik yöntemle takip eden her yapı kapsamdadır.
İşveren olarak ne yapmalısınız?
Hemen (ilk hafta)
- Tespit edin: Parmak izi/yüz tanıma ile çalışan mesaisi takip ediliyor mu?
- Durdurun: Biyometrik yöntemle yeni kayıt almayı durdurun.
- Alternatife geçin: Kurul'un işaret ettiği yöntemler — kartlı geçiş (RFID/NFC), PIN kodlu sistemler, imza çizelgesi, gözetim altında manuel giriş.
Kısa vadede (ilk ay)
- Mevcut biyometrik kayıtları imha edin ve imhayı tutanakla kayıt altına alın.
- Envanteri güncelleyin: Biyometrik veri sürecini çıkarın, yeni yöntemi ekleyin (envanter rehberi).
- Aydınlatma metnini güncelleyin (nasıl).
- VERBİS beyanınızı düzeltin — veri kategorilerinden biyometrik veriyi çıkarın; değişiklikler 30 gün içinde bildirilmelidir (VERBİS rehberi).
- Çalışanları bilgilendirin. Sistem değişikliğinin gerekçesini yazılı olarak paylaşın.
Sözleşmelerde
Cihaz veya PDKS yazılımı aldığınız firmayla sözleşmenizi gözden geçirin; biyometrik veriyi onlar barındırıyorsa veri işleyen sıfatları ve imha yükümlülükleri netleştirilmelidir.
Sık düşülen yanılgılar
| Yanılgı | Gerçek |
|---|---|
| "Çalışan imzalı rıza verdi, sorun yok" | Karar, rızayı geçerli saymıyor |
| "Parmak izini saklamıyoruz, sadece şablon tutuyoruz" | Şablon da biyometrik veridir |
| "Sadece kamu için geçerli" | Özel sektör de kapsamda |
| "Ziyaretçi turnikesi için kullanıyoruz, çalışan değil" | Amaç ve kişi grubu değişse de biyometrik verinin sıkı koşulları sürer; hukuki dayanağınızı ayrıca değerlendirin |
| "Yıllardır kullanıyoruz, geçmişe etkisi yok" | Mevcut kayıtların imhası ve uygulamanın durdurulması beklenir |
Alternatif sistemler karşılaştırması
| Yöntem | Uygulama kolaylığı | KVKK riski | Not |
|---|---|---|---|
| RFID/NFC kart | Yüksek | Düşük | En yaygın geçiş yolu |
| PIN kodu | Yüksek | Düşük | Kart unutma sorununu çözer |
| Mobil uygulama + konum | Orta | Orta | Konum verisi ayrı bir hassasiyettir; kapsamı sınırlayın |
| İmza çizelgesi | Yüksek | Düşük | Küçük ekiplerde yeterli |
| Biyometrik | — | Yüksek | İlke kararı kapsamında |
Bu karar neyi gösteriyor?
Türkiye'de veri koruma uygulaması, "rıza alırım kurtulurum" anlayışından uzaklaşıyor. Kurul giderek rızanın gerçekten özgür olup olmadığına ve işlemenin ölçülülüğüne bakıyor. Aynı mantık kamera sistemleri, konum takibi ve çalışan izleme uygulamaları için de geçerlidir.
Sık sorulan sorular
Karar ne zaman yürürlüğe girdi?
İlke kararı 29 Nisan 2026 tarihlidir ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır.
Sistemi hemen sökmek zorunda mıyım?
Uygulamayı durdurmanız ve biyometrik kayıtları imha etmeniz beklenir. Cihaz, biyometrik özelliği devre dışı bırakılarak kartlı/PIN'li modda kullanılabiliyorsa donanımı atmanız gerekmeyebilir.
Çalışan kendi isteğiyle parmak izi vermek istiyorsa?
Karar, güç dengesizliği nedeniyle bu rızayı geçerli saymamaktadır. Talep çalışandan gelse dahi uygulamaya devam etmek risk taşır.
Yüksek güvenlikli alanlara giriş için de mi yasak?
Karar, mesai takibi amacına odaklanmaktadır. Farklı bir amaç (ör. kritik güvenlik bölgesi erişimi) söz konusuysa hukuki dayanak, ölçülülük ve alternatiflerin yetersizliği ayrıca gerekçelendirilmelidir; bu değerlendirmeyi hukukçuyla yapın.
Uymazsam ne olur?
Özel nitelikli veriyi hukuka aykırı işlemek, veri güvenliği yükümlülüklerinin ihlali ve Kurul kararlarına uymama başlıkları altında idari yaptırım riski doğurur (cezalar).
Envanterinizi güncelleyin: KVKK Otomat sihirbazı süreçlerinizi işaretlemenizle envanterinizi ve aydınlatma metninizi yeniden üretir; biyometrik mesai takibi tespit edilirse uyarı verir.
