Parmak İziyle Mesai Takibi Yasak mı? KVKK 2026/921 ve 10 Eylül 2026 Açıklaması
Kısa ve net cevap: Evet. Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararına göre çalışanların sırf mesai/devam takibi amacıyla parmak izi, yüz tanıma, iris, retina, avuç içi veya benzeri biyometrik verilerinin işlenmesi hukuka uygun değildir. İşçinin açık rıza vermesi sonucu değiştirmez; daha az müdahaleci yöntemler varken biyometrik mesai takibi KVKK m.4’teki ölçülülük ilkesini karşılamaz. Kurumun 10 Eylül 2026 açıklamasına göre biyometrik verinin matematiksel koda dönüştürülmesi de verinin biyometrik niteliğini ortadan kaldırmaz. Kritik ve yüksek riskli alanlarda biyometrik sistemler yalnız mesai takibi dışında gerçek güvenlik/yetkilendirme amacıyla, gerekli kişi ve alanlarla sınırlı ve alternatif yöntemler yetersizse ayrıca değerlendirilebilir.
KVKK 2026/921 Sayılı İlke Kararı Ne Diyor?
Kişisel Verileri Koruma Kuruluna işyerlerinde çalışan devam takibinin parmak izi, yüz tanıma, iris ve benzeri biyometrik sistemlerle yapılmasına ilişkin çok sayıda ihbar ve şikâyet ulaştı. Kurul uygulamadaki tereddütleri gidermek amacıyla 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”nı aldı. Karar 2 Haziran 2026 tarihli Resmî Gazete’de yayımlandı.
Kurulun temel sonucu nettir: işverenlerin çalışma sürelerini takip ve belgelendirme yükümlülüğü bulunmaktadır; ancak bu yükümlülüğün biyometrik tanımlama sistemiyle yerine getirilmesini zorunlu kılan açık bir kanuni düzenleme yoktur. KVKK m.6’daki özel nitelikli kişisel veri işleme şartlarından mesai takibine uygun başka bir hukuki sebep de bulunmadığından, biyometrik mesai sistemi kanuni temelden yoksundur.
Kararın resmî açıklamasına KVKK 2026/921 Kamuoyu Duyurusu üzerinden ulaşılabilir.
Parmak İzi, Yüz Tanıma ve Avuç İçi Verisi Biyometrik Veri midir?
Evet. KVKK m.6 biyometrik verileri özel nitelikli kişisel veriler arasında sayar. Parmak izi, avuç içi/avuç damar izi, yüz geometrisi, iris ve retina verisi bir kişinin benzersiz biçimde tanımlanması veya doğrulanması amacıyla özel teknik işleme tabi tutulduğunda biyometrik veri niteliğindedir.
Kurumun 10 Eylül 2026 tarihli açıklaması bu konuda özellikle önemlidir. Bazı veri sorumluları parmak izi veya avuç içi görüntüsünün sistemde fotoğraf olarak tutulmadığını, bunun yerine “hash”, şablon veya matematiksel kod hâline dönüştürüldüğünü ve bu nedenle biyometrik veri işlenmediğini savunmuştur. Kurum bu yaklaşımı kabul etmemiştir.
Belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli hâle getirilen veri biyometrik veridir. Ham görüntünün matematiksel bir şablona dönüştürülmesi onun özel nitelikli kişisel veri olma özelliğini ortadan kaldırmaz.
Çalışan Açık Rıza Verirse Parmak İziyle Mesai Takibi Yapılabilir mi?
Hayır. 2026/921 sayılı İlke Kararının en önemli sonucu budur. İşverenler geçmişte biyometrik devam sistemlerini çoğu kez “çalışanın açık rızası”na dayandırıyordu. Kurul, iki ayrı nedenle bunun yeterli olmadığını açıkladı.
Birincisi, işçi-işveren ilişkisinde taraflar eşit konumda değildir. İşçinin işe alınmama, işten çıkarılma, vardiya değiştirilmesi veya işyerinde olumsuz muamele görme endişesi varsa verilen rızanın gerçekten özgür iradeye dayanıp dayanmadığı tartışmalıdır. İşçiye gerçek ve eşdeğer bir alternatif sunulmaması açık rızanın geçerliliğini zayıflatır.
İkincisi ve daha önemlisi, geçerli açık rıza bulunsa dahi biyometrik mesai takibi ölçülülük testini geçmez. Mesai takibi PIN, kart, RFID/NFC veya imza gibi biyometrik olmayan yöntemlerle yapılabiliyorsa, aynı amacı çok daha yoğun ve geri dönülemez nitelikteki biyometrik veriyle gerçekleştirmek gerekli değildir.
Dolayısıyla “tüm çalışanlardan imza aldık” veya “çalışan sözleşmesinde parmak izi maddesi var” savunması, sırf mesai takibi amacıyla biyometrik sistemi hukuka uygun hâle getirmez.
Ölçülülük İlkesi Neden Belirleyici?
KVKK m.4 kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını zorunlu kılar. Biyometrik veri, kişinin bedenine özgü ve değiştirilmesi son derece güç bir kimlik doğrulama verisidir. Kart şifresi çalındığında kart veya şifre değiştirilebilir; parmak izi veya yüz geometrisi ise aynı biçimde yenilenemez.
Mesai takibinin amacı, çalışanın işe giriş ve çıkış saatlerini kaydetmektir. Bu amaç için biyometrik veri işlemek gerekli değildir. Kurul daha az müdahaleci ve aynı sonucu sağlayabilecek alternatifler bulunduğunu açıkça göstermiştir. Bu nedenle biyometrik yöntemin “hızlı”, “modern” veya “kart paylaşımını engelliyor” olması tek başına hukuki gereklilik oluşturmaz.
Ölçülülük testinde üç soru sorulur: yöntem amaç için elverişli mi, amaç daha az müdahaleci yöntemle sağlanabilir mi ve biyometrik veri işlemeye bağlı müdahale elde edilen faydayla orantılı mı? Mesai takibinde ikinci ve üçüncü aşama karşılanmadığı için işlem hukuka aykırı kabul edilmektedir.
İşveren Mesai Takibini Hangi Yöntemlerle Yapabilir?
2026/921 sayılı İlke Kararı biyometrik sisteme alternatif yöntemleri de açıkça sayar. Veri sorumluları işyerinin yapısına göre bunlardan birini veya güvenli kombinasyonunu tercih edebilir:
- Şifre veya PIN tabanlı giriş sistemi,
- Şifreli personel kartı,
- RFID/NFC kimlik kartı,
- Geleneksel imza ve kâğıt bazlı devam çizelgesi,
- Denetçi veya sorumlu gözetiminde manuel giriş kaydı,
- Biyometrik veri içermeyen dijital personel devam kontrol çözümleri.
Alternatif sistem de KVKK’ya uygun kurulmalıdır. Kart sisteminde gereksiz konum verisi toplamak, çalışanı sürekli takip etmek veya mesai amacıyla toplanan veriyi performans profillemesi için hukuki sebep olmadan kullanmak ayrı ihlaller doğurabilir. “Biyometrik değil” olması tek başına her veri işleme faaliyetini hukuka uygun yapmaz.
Kritik Güvenlik Alanlarında Parmak İzi veya Yüz Tanıma Kullanılabilir mi?
Kurumun 10 Eylül 2026 açıklaması, İlke Kararının “tüm biyometrik sistemler her yerde yasaktır” biçiminde yorumlanmaması gerektiğini netleştirdi. Bazı tesisler ve faaliyet alanları güvenlik riski ve olası ihlalin sonuçları bakımından sıradan ofis veya mağazadan ayrılır.
Nükleer tesis, kritik altyapı, yüksek güvenlikli laboratuvar, belirli savunma veya kamu güvenliği alanı gibi yerlerde biyometrik tanımlama sistemi yalnız mesai kaydı tutmak için değil, kimlik doğrulama, yetkilendirme ve kritik bölgeye erişimin kontrolü için çok katmanlı güvenlik sisteminin parçası olabilir.
Bu hâlde de biyometrik kullanım otomatik olarak serbest değildir. Kurum üç ölçütü özellikle vurgular: biyometrik işlem yalnız gerekli kritik alanlar ve kişilerle sınırlı olmalı, alternatif daha az müdahaleci güvenlik yöntemleri yetersiz kalmalı ve işlem somut güvenlik ihtiyacıyla ölçülü olmalıdır.
Mesai takibi sistemiyle güvenlik erişim sistemi amaç olarak ayrıştırılmalıdır. Kritik bölge kapısında güvenlik gerekçesiyle hukuka uygun biyometrik doğrulama bulunması, aynı verinin tüm personelin günlük giriş-çıkış saatini takip etmek için sınırsız biçimde kullanılabileceği anlamına gelmez.
KVKK m.28/1-ç Güvenlik İstisnası Ne Zaman Gündeme Gelir?
KVKK m.28/1-ç; millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik belirli veri işleme faaliyetlerini Kanun kapsamı dışında bırakabilir. Kurumun 10 Eylül 2026 açıklaması bu istisnanın özellikle bazı büyük ölçekli kamu güvenliği kurumları bakımından önem taşıyabileceğini belirtir.
Ancak m.28 istisnası biyometrik kullanım için sınırsız bir yetki değildir. Her somut olayda güvenlik riskinin ağırlığı, amacın gerçekten kamu/millî güvenlikle bağlantısı, alternatif yöntemlerin yeterliliği ve işleme kapsamı değerlendirilmelidir. Sıradan bir şirketin “işyeri güvenliği” ifadesini kullanması m.28 kapsamına girdiği anlamına gelmez.
Parmak İzi Matematiksel Koda Çevrilirse KVKK Uygulanmaz mı?
Uygulanır. Kurumun 10 Eylül 2026 açıklaması bu tartışmayı açık biçimde kapatmıştır. Parmak izi, yüz veya avuç içi verisinin görüntüsü tutulmayıp bundan üretilen şablon, hash, template veya matematiksel kod saklansa dahi, bu veri kişiyi benzersiz biçimde tanımlama veya doğrulama amacıyla kullanılıyorsa biyometrik veridir.
Şifreleme veya matematiksel dönüşüm veri güvenliği tedbiri olabilir; fakat verinin hukuki kategorisini değiştirmez. Bu nedenle veri sorumlusu “biz biyometrik veri tutmuyoruz, yalnız kod tutuyoruz” diyerek KVKK m.6’daki özel nitelikli veri kurallarından kurtulamaz.
Teknik ekipler veri envanterinde bu tür şablonları “anonim veri” olarak işaretlememelidir. Kişiyle eşleştirilebilen ve kimlik doğrulamada kullanılan biyometrik şablon anonim değildir.
İşverenler 2026/921 Kararına Uyum İçin Ne Yapmalı?
İlk adım, işyerindeki biyometrik sistemlerin hangi amaçla kullanıldığını envanterlemektir. Parmak izi terminali veya yüz tanıma kamerası yalnız mesai takibi amacıyla kullanılıyorsa sistem kapatılmalı ve biyometrik olmayan alternatif yönteme geçilmelidir.
İkinci adım, geçmişte toplanmış biyometrik verilerin saklama hukuki sebebini değerlendirmektir. İşleme amacı ortadan kalkmış ve başka bir hukuki saklama sebebi yoksa KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca silme/yok etme süreci yürütülmelidir.
Üçüncü adım, aydınlatma metinleri, açık rıza formları, kişisel veri işleme envanteri, erişim yetkileri, veri saklama süreleri ve tedarikçi sözleşmelerinin güncellenmesidir. Biyometrik terminal hizmeti veren dış şirket varsa veri işleyen ilişkisi ve KVKK m.12 güvenlik yükümlülükleri ayrıca incelenmelidir.
Dördüncü adım, alternatif devam sistemini kurarken veri minimizasyonuna devam etmektir. Kart/PIN sistemi, yalnız mesai için gerekli giriş-çıkış verisini işlemeli; çalışanların hareketlerini amaç dışı sürekli izlememelidir.
Çalışan Parmak İzi Vermek Zorunda mı?
Sırf mesai takibi için işverenin biyometrik veri işleme talebi 2026/921 sayılı İlke Kararıyla hukuka aykırı kabul edilmiştir. Bu nedenle çalışanın “açık rıza vermek zorundasın, yoksa işe girişini kaydedemeyiz” şeklinde zorlanması hukuki sorun doğurur.
Çalışan, veri sorumlusundan hangi biyometrik verisinin hangi amaç ve hukuki sebebe dayanılarak işlendiğini, ne kadar süre saklandığını, kimlere aktarıldığını ve verinin silinip silinmediğini KVKK m.11 kapsamında sorabilir. Başvuru m.13 uyarınca veri sorumlusuna yapılır ve en geç 30 gün içinde cevaplanmalıdır.
Mesai sistemi nedeniyle işçi hakkında ücret kesintisi, devamsızlık veya disiplin işlemi yapılmışsa iş hukuku boyutu ayrıca değerlendirilir. İşveren çalışma süresini kayıt altına alabilir; ancak bunu hukuka aykırı kişisel veri işleme yöntemiyle yapmak zorunda değildir.
Genel çalışma hakları için İşçi Hakları 2026 rehberi incelenebilir.
Çalışan Verisini Sildirmek İçin Hangi Yolu İzlemeli?
Çalışan veri sorumlusuna başvurarak mesai takibi amacıyla işlenen biyometrik verinin hukuki dayanağını sorabilir ve işleme şartı bulunmadığı gerekçesiyle KVKK m.7 ile m.11 kapsamında silinmesini veya yok edilmesini talep edebilir. Başvuruda özellikle biyometrik şablonun, yedek kopyaların ve dış hizmet sağlayıcıdaki kopyaların durumu sorulmalıdır.
Veri sorumlusu talebi en geç 30 gün içinde sonuçlandırır. Cevabın yetersiz olması, talebin reddedilmesi veya süresinde cevap verilmemesi hâlinde ilgili kişi KVKK m.14’teki sürelerde Kişisel Verileri Koruma Kuruluna şikâyet edebilir.
KVKK Kurula Şikâyet Dilekçesi ve Kişisel Veri Silme Talebi rehberleri başvuru aşamasında kullanılabilir.
Biyometrik Mesai Sistemine Devam Eden İşverene Ceza Verilir mi?
Evet. 2026/921 sayılı İlke Kararı, kararda belirtilen hususların KVKK m.12/1 kapsamında veri sorumluları tarafından alınması gereken teknik ve idari tedbirlerden olduğunu kabul eder. Kurala uygun hareket edilmediğinin tespiti hâlinde KVKK m.18 uyarınca işlem tesis edileceği açıkça belirtilmiştir.
İdari para cezası ihlalin niteliğine ve uygulandığı tarihteki güncel ceza tutarlarına göre belirlenir. Ayrıca ilgili kişinin zararı varsa KVKK m.11 ve genel hükümler kapsamında tazminat talebi; iş ilişkisi yönünden ise ayrı iş hukuku talepleri gündeme gelebilir.
Bir veri ihlali meydana gelmişse biyometrik verinin sızması olayın riskini artırır. Veri sorumlusu Kurulun veri ihlali bildirim kurallarına göre ihlali değerlendirip gerekli bildirimleri yapmak zorundadır.
Kritik Alan Güvenliği ile Mesai Takibini Nasıl Ayırmak Gerekir?
En önemli pratik ayrım amaçtır. Sistem kapıdan geçiş saatini kaydedip doğrudan bordro/mesai hesabına aktarılıyorsa biyometrik mesai takibidir. Sistem yalnız yetkisiz kişinin kritik laboratuvara veya yüksek güvenlikli bölgeye girmesini önlemek için kimlik doğruluyorsa güvenlik amacı farklı değerlendirilebilir.
Aynı cihaz iki amaçla kullanılacaksa her iki veri işleme amacı ayrı ayrı hukuki temele ve ölçülülük analizine tabi tutulmalıdır. Güvenlik için zorunlu olabilecek biyometrik doğrulamanın mesai hesabına ikincil olarak aktarılması otomatik olarak hukuka uygun değildir. Veri sorumlusu amaç ayrımı, erişim yetkisi, saklama süresi ve teknik ayrıştırmayı dokümante etmelidir.
Sık Sorulan Sorular
1. İşveren parmak iziyle işe giriş çıkış takibi yapabilir mi?
Sırf mesai/devam takibi amacıyla biyometrik veri işlenmesi 2026/921 sayılı İlke Kararı uyarınca hukuka uygun değildir.
2. İşçi açık rıza verirse sistem kullanılabilir mi?
Hayır. Geçerli açık rıza bulunsa dahi daha az müdahaleci alternatifler varken biyometrik mesai takibi ölçülülük ilkesini karşılamaz.
3. Yüz tanıma da aynı kapsamda mı?
Evet. Kişiyi benzersiz tanımlama veya doğrulama amacıyla işlenen yüz biyometrisi özel nitelikli kişisel veridir.
4. Parmak izinin resmi değil kodu tutuluyorsa KVKK uygulanır mı?
Evet. Biyometrik verinin matematiksel şablon/koda dönüştürülmesi onun biyometrik niteliğini ortadan kaldırmaz.
5. İşveren hangi alternatifleri kullanabilir?
PIN, şifreli kart, RFID/NFC kart, imza çizelgesi veya gözetimli manuel giriş gibi biyometrik olmayan yöntemler kullanılabilir.
6. Kritik güvenlik tesisinde parmak izi kullanılabilir mi?
Mesai dışında gerçek güvenlik/yetkilendirme amacı varsa, gerekli kritik alan ve kişilerle sınırlıysa, alternatifler yetersizse ve işlem ölçülüyse somut olay ayrıca değerlendirilir.
7. Her fabrika “kritik alan” sayılır mı?
Hayır. Kritik alan değerlendirmesi somut güvenlik riski ve faaliyetin niteliğine dayanır. Sıradan işyeri güvenliği ifadesi İlke Kararından kaçış yolu değildir.
8. Çalışan eski parmak izi verisini sildirebilir mi?
İşleme şartı ortadan kalkmışsa KVKK m.7 ve m.11 çerçevesinde silme/yok etme talebi yapılabilir.
9. Mesai takibi kararına uymayan işverene yaptırım var mı?
Evet. Kurul KVKK m.18 hükümleri uyarınca işlem tesis edileceğini açıkça belirtmiştir.
10. Karar hangi tarihte alındı?
29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararıdır; 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanmıştır.
11. 10 Eylül 2026 açıklaması neyi değiştirdi?
Kararın kapsamını netleştirdi: matematiksel kodun biyometrik niteliğini koruduğunu ve kritik/yüksek riskli alanlarda mesai dışı güvenlik amaçlı biyometrik kullanımın somut olayda ayrı değerlendirilmesi gerektiğini açıkladı.
12. İşveren kartla takip sistemine geçince sorun tamamen biter mi?
Hayır. Kart/PIN sistemi de amaçla sınırlı olmalı, gereksiz veri toplamamalı ve KVKK m.4, m.5, m.10 ve m.12 hükümlerine uygun işletilmelidir.
Sonuç
2026/921 sayılı İlke Kararıyla sırf mesai takibi için biyometrik veri işlenmesinin hukuki zemini kapatılmıştır. Açık rıza alınması veya parmak izi/yüz verisinin matematiksel koda çevrilmesi sonucu değiştirmez. İşverenler devam takibini PIN, kart, RFID/NFC veya benzeri daha az müdahaleci yöntemlerle yürütmelidir. 10 Eylül 2026 açıklaması ise güvenlik riski yüksek kritik alanlarda biyometrik sistemlerin her durumda yasak olmadığını; ancak gerçek güvenlik amacı, gerekli kişi ve alan sınırlaması, alternatiflerin yetersizliği ve ölçülülük şartlarının ayrı ayrı karşılanması gerektiğini netleştirmiştir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
