KVKK: Mesai Takibinde Biyometrik Veri Kullanımı 2026

Biyometrik veri: Güncel düzenleme, uygulama şartları ve hukuki kontrol noktaları aşağıda açık ve kaynaklı biçimde özetlenmektedir.

Kişisel Verileri Koruma Kurumu, 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” sonrasında iletilen görüş taleplerine ilişkin yeni bir kamuoyu duyurusu yayımladı. Açıklama, özellikle işverenlerin parmak izi, yüz tanıma, avuç içi taraması ve benzeri sistemlerle çalışan devam kontrolü yapması bakımından önemli ayrımlar içeriyor.

Güncel kurum kararları Hukuk Haberleri ve Güncel Mevzuat bölümünde; kişisel veri ihlallerinin ceza hukuku boyutu ise Bilişim ve Kişisel Veri Suçları rehberinde takip edilebilir.

2026/921 sayılı İlke Kararı neyi düzenliyor?

İlke Kararı 29 Nisan 2026 tarihinde alınmış ve 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanmıştır. Kararın odak noktası, çalışanların giriş-çıkış ve çalışma sürelerinin biyometrik veriler işlenerek takip edilmesidir. KVKK’ya göre çalışma sürelerini takip etmek işverenin hukuki yükümlülükleri arasında yer alsa da bu takibin mutlaka biyometrik tanımlama sistemiyle yapılmasını öngören açık bir kanun hükmü bulunmuyor.

Bu nedenle sırf devam kontrolü amacıyla biyometrik veri işlenmesi, 6698 sayılı Kanun’un özel nitelikli kişisel verilere ilişkin 6. maddesindeki işleme şartları ve 4. maddesindeki genel ilkeler bakımından sorun doğuruyor.

Parmak izi veya avuç içi verisinin koda çevrilmesi sonucu değiştirir mi?

Hayır. Kurumun açıklamasına göre kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli hâle getirilen verinin matematiksel bir koda dönüştürülerek saklanması, onun biyometrik veri niteliğini ortadan kaldırmaz. Sistemin ham görüntüyü değil bir şablon veya sayısal kodu saklaması, faaliyeti otomatik olarak KVKK kapsamı dışına çıkarmaz.

Çalışanın açık rızası yeterli midir?

KVKK açıklaması, işçi ile işveren arasındaki güç dengesizliğine özellikle dikkat çekiyor. Çalışanın rıza vermediğinde olumsuz bir sonuçla karşılaşma ihtimali bulunuyorsa veya gerçek bir alternatif sunulmuyorsa açık rızanın özgür iradeye dayandığı kabul edilmeyebilir.

Dahası, rıza gerçekten geçerli olsa bile veri işleme faaliyetinin amaçla bağlantılı, sınırlı ve ölçülü olması gerekir. Kart, PIN, RFID/NFC kimlik kartı, geleneksel imza veya denetçi gözetiminde kayıt gibi daha az müdahaleci yöntemlerle aynı amaç sağlanabiliyorsa biyometrik sistem ölçülülük testini karşılamayabilir.

Kritik güvenlik alanlarında istisna var mı?

Kurum, yalnızca mesai takibi amacıyla yapılan veri işleme ile kritik alanlara erişim güvenliği için yapılan kimlik doğrulamayı birbirinden ayırıyor. Bazı tesis ve faaliyetlerde güvenlik riskinin ağırlığı nedeniyle biyometrik sistem; çalışma saatini kaydetmekten çok yetkilendirme, kritik altyapıyı koruma veya yüksek riskli bir bölgeye erişimi sınırlama amacı taşıyabilir.

Böyle bir durumda kullanım kendiliğinden hukuka uygun sayılmaz. Uygulamanın yalnızca gerekli alanlar ve kişilerle sınırlı olması, daha az müdahaleci alternatiflerin yetersiz kalması ve somut güvenlik ihtiyacıyla ölçülü bulunması gerekir. Millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenlik bakımından 6698 sayılı Kanun’un 28. maddesindeki istisnalar da sınırsız bir biyometrik veri işleme yetkisi vermez.

İşverenlerin uygulaması gereken kontrol listesi

1. Amacı yazılı olarak belirleyin: Sistem mesai takibi için mi, erişim güvenliği için mi kullanılıyor?
2. Hukuki sebebi ayrı ayrı inceleyin: Genel bir açık rıza formuna dayanmakla yetinmeyin.
3. Alternatif yöntemleri belgeleyin: Kart, PIN, RFID/NFC veya imza yöntemlerinin neden yeterli olup olmadığını değerlendirin.
4. Veri minimizasyonu uygulayın: Gerekli olmayan alanlarda ve çalışan gruplarında biyometrik sistemi kullanmayın.
5. Saklama ve erişim sürelerini sınırlandırın: Kimlerin erişeceğini, ne kadar süre saklanacağını ve silme yöntemini yazılı hâle getirin.
6. Aydınlatma ve başvuru süreçlerini güncelleyin: Çalışanların veri sorumlusuna başvuru hakkını etkili biçimde kullanabilmesini sağlayın.

Çalışan hangi başvuru yolunu ve süreyi izler?

6698 sayılı Kanun’un 13. maddesi uyarınca önce veri sorumlusuna başvurulur; cevap süresi en çok otuz gündür. Sistem, işleme amacı, hukuki dayanak, saklama süresi ve biyometrik veri yerine alternatif yöntem talebi somutlaştırılmalıdır. Veri sorumlusuna başvuru örneği, olayın tarihleri ve talepleriyle uyarlanmalıdır.

Kurulun 24 Ocak 2019 tarihli 2019/9 sayılı süre kararı üç durumu ayırır: Otuz gün içinde cevap verilirse cevabı öğrenmeden itibaren otuz gün içinde şikâyet edilir; başvurudan itibaren altmış günün sonunu beklemek doğru değildir. Cevap verilmezse, veri sorumlusunun otuz günlük süresi dolduktan sonra ve ilk başvurudan itibaren altmış gün dolmadan Kurula başvurulur. Otuz günden sonra gelen cevap, ilk başvurudan başlayan altmış günlük sınırı yeniden başlatmaz. Başvuru ve cevap teslim kayıtları saklanmalıdır.

Sık sorulan sorular

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Biyometrik veri işleme faaliyetinin hukuka uygunluğu; amaç, işin niteliği, kullanılan teknoloji, alternatif yöntemler ve somut olayın özellikleri birlikte değerlendirilerek belirlenir.