Parmak İzi ve Yüz Tanıma ile Mesai Takibi KVKK’ya Uygun mu? 2026/921 İlke Kararı
Kısa ve net cevap: Hayır. Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararına göre, çalışanların mesai takibi amacıyla parmak izi, yüz tanıma, iris, retina veya benzeri biyometrik verilerinin işlenmesi, geçerli bir açık rıza bulunsa dahi KVKK m.4’teki ölçülülük ilkesini sağlamaz. Kurul; mesai takibinin şifreli kart/PIN, klasik imza ve devam çizelgesi, RFID/NFC kart veya denetçi gözetiminde elle giriş gibi daha az müdahaleci yöntemlerle yapılması gerektiğini açıkça belirlemiştir. Biyometrik veri KVKK m.6 kapsamında özel nitelikli kişisel veridir; işverenin çalışma süresini takip etme yükümlülüğü, bu takibin biyometrik veriyle yapılmasını zorunlu kılan açık bir kanun hükmü oluşturmaz.
KVKK 2026/921 sayılı İlke Kararı ne diyor?
Kişisel Verileri Koruma Kuruluna yıllar içinde ulaşan şikâyetlerin önemli bir bölümünü, işverenlerin işe giriş-çıkış ve devam takibi için parmak izi, yüz tanıma, iris veya benzeri biyometrik sistemler kullanması oluşturdu. Kurul, bu alandaki dağınık uygulamayı 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararıyla genel bir kurala bağladı. İlke Kararı, tek bir işyerine ilişkin bireysel uyuşmazlık değil; tüm veri sorumlularının uyması gereken genel nitelikte bir düzenleyici karardır.
Kurulun tespiti üç aşamalıdır. Birincisi, mevzuatta işverenin çalışma sürelerini takip etmesine ve belgelemesine ilişkin hükümler bulunmasına rağmen bu takibin biyometrik veri işlenerek yapılmasını zorunlu kılan açık bir hüküm yoktur. İkincisi, mesai takibinde KVKK m.6/3’teki diğer özel nitelikli veri işleme şartlarının uygulama alanı bulmadığı durumlarda işverenlerin açık rızaya yöneldiği görülmektedir. Üçüncüsü ve belirleyici olanı, çalışan açık rıza verse bile daha az müdahaleci alternatifler mevcutken biyometrik veri kullanımı KVKK m.4’teki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesini karşılamaz.
Bu sonuç yalnız özel sektör işçileriyle sınırlı bir mantığa dayanmaz. Kamu kurumları, belediyeler, üniversiteler, hastaneler, fabrikalar, ofisler ve başka veri sorumluları da mesai takibi için biyometrik sistem kurarken aynı KVKK ilkelerini gözetmek zorundadır. Kurul daha önce belediye personelinin işe giriş-çıkışında parmak izi kullanılmasına ilişkin kararlarında da biyometrik verinin özel nitelikli kişisel veri olduğunu ve ölçülülüğün önemini vurgulamıştı. 2026 İlke Kararı bu yaklaşımı genel ve bağlayıcı bir çerçeveye dönüştürdü.
Hangi veriler biyometrik veri sayılır?
KVKK m.6 özel nitelikli kişisel verileri sınırlı olarak sayar ve biyometrik veriler de bu gruptadır. Parmak izi, yüz geometrisi, iris, retina, avuç içi, damar izi ve benzeri fizyolojik özellikler, belirli bir teknik işleme tabi tutularak kişiyi benzersiz biçimde tanımlamak veya doğrulamak amacıyla kullanıldığında biyometrik veri niteliğindedir.
Kurulun biyometrik veri rehberinde fizyolojik biyometri yanında davranışsal biyometri de açıklanır. Yürüyüş biçimi, klavyeye basma davranışı, cihaz kullanımındaki basınç örüntüleri veya benzeri davranışsal özellikler teknik yöntemlerle kimlik doğrulamaya dönüştürüldüğünde biyometrik veri olabilir. Bu nedenle “sistemde parmak izinin resmi saklanmıyor, yalnız matematiksel şablon saklanıyor” savunması biyometrik veri işlemeyi ortadan kaldırmaz. Şablon, kişiyi benzersiz biçimde tanımlamak veya doğrulamak için biyometrik özellikten üretiliyorsa özel nitelikli kişisel veri işleme faaliyeti vardır.
Her fotoğraf otomatik olarak biyometrik veri değildir. Sıradan personel fotoğrafı yalnız görsel kimlik bilgisi olarak saklanıyorsa genel kişisel veri niteliğinde olabilir. Ancak yüz tanıma algoritması fotoğraftan yüz geometrisi çıkarıyor ve çalışanı otomatik olarak tanıyorsa biyometrik veri işlenmektedir. Hukuki değerlendirmede sistemin adı değil, veriye uygulanan teknik işlem ve kullanım amacı esas alınır.
Çalışan açık rıza verirse parmak iziyle mesai takibi yapılabilir mi?
2026/921 sayılı İlke Kararının en önemli sonucu budur: geçerli açık rıza dahi tek başına yeterli değildir. KVKK’da açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. İşçi-işveren ilişkisinde taraflar ekonomik ve örgütsel bakımdan eşit konumda değildir. Çalışan, parmak izi vermediğinde işe alınmayacağını, vardiyasının değişeceğini veya olumsuz muamele göreceğini düşünüyorsa rızanın özgür iradeye dayanması tartışmalıdır.
Kurul ayrıca daha temel bir noktaya dikkat çeker: rıza gerçekten özgür ve geçerli olsa bile KVKK m.4’teki genel ilkeler her kişisel veri işleme faaliyetinde uygulanır. Açık rıza, ölçüsüz bir veri işleme faaliyetini hukuka uygun hâle getiren sınırsız bir izin değildir. Mesai başlangıç ve bitiş saatini kaydetmek için kart veya PIN yeterliyken kişinin ömür boyu değişmeyen parmak izi şablonunu işlemek, amaca göre aşırı müdahale oluşturur.
Açık rızanın geri alınabilir olması da biyometrik devam sisteminde yapısal sorun yaratır. Çalışan rızasını geri çektiğinde işveren zaten alternatif bir devam takip yöntemi sunmak zorundaysa, başlangıçta herkesin biyometrik sisteme zorlanmasının gerekliliği daha da zayıflar. Bu nedenle “imza aldık, KVKK sorunu çözüldü” yaklaşımı 2026 İlke Kararı karşısında doğru değildir.
KVKK m.4’teki ölçülülük ilkesi mesai takibinde nasıl uygulanır?
KVKK m.4 kişisel verilerin hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlarla; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini ve gerekli süre kadar muhafaza edilmesini zorunlu kılar. Mesai takibinde amaç, çalışanın belirli gün ve saatte işyerine gelip gelmediğini kaydetmektir. Bu amaç meşru olabilir. Ancak seçilen veri işleme aracının amaca göre zorunlu ve orantılı olması gerekir.
Ölçülülük değerlendirmesinde üç soru önemlidir: Yöntem mesai takibi amacına uygun mu? Aynı sonuç daha az kişisel veri işleyen bir yöntemle elde edilebilir mi? Biyometrik veriye yapılan müdahalenin ağırlığı, elde edilen faydayla makul bir denge içinde mi? Kurul, kart, PIN, imza ve benzeri alternatifler bulunduğu için sıradan mesai takibinde biyometri kullanımının bu testi geçmediğini kabul etmektedir.
Biyometrik veri sıradan bir kart numarasından farklıdır. Kart kaybolursa iptal edilip yenisi verilebilir; PIN değiştirilebilir. Parmak izi veya yüz geometrisi ise kişinin bedenine bağlıdır ve veri ihlali sonrasında gerçek anlamda değiştirilemez. Bu kalıcı risk, veri minimizasyonu ve ölçülülük incelemesinde daha koruyucu yaklaşımı zorunlu kılar.
“Turnikede daha hızlı”, “başkasının kartını basmasını önlüyor” veya “modern sistem” gibi işletmesel kolaylıklar tek başına özel nitelikli veriye yapılan ağır müdahaleyi haklı göstermez. İşveren önce biyometri kullanmadan suistimali önleyecek seçenekleri değerlendirmelidir.
Kurul hangi alternatif mesai takip yöntemlerini öneriyor?
2026/921 sayılı İlke Kararı alternatifleri açık biçimde saymıştır. Mesai takibi; şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları veya denetçi gözetiminde elle giriş gibi yollarla sağlanabilir. Bunlar kapalı bir liste değildir; temel ölçüt biyometrik veriye göre daha az müdahaleci ve amacı gerçekleştirmeye yeterli bir çözüm seçilmesidir.
Kartlı sistemde işveren yalnız personel numarası, kart ID’si, giriş-çıkış tarihi ve saatini tutabilir. PIN sisteminde benzersiz kodla doğrulama yapılabilir. Yüksek güvenlik gereken işyerlerinde kart + PIN gibi iki faktörlü bir yöntem düşünülebilir. Kart paylaşımı riski varsa kamera kullanımı veya amir kontrolü gibi başka mekanizmalar, ayrı KVKK değerlendirmesi yapılarak kurulabilir. Her durumda “biyometri en güvenlisi” sonucu otomatik kabul edilemez.
Alternatif sistem de sınırsız veri toplamamalıdır. Örneğin kartlı mesai sistemine çalışanın özel konum geçmişinin veya gereksiz cihaz verilerinin eklenmesi başka bir ölçülülük sorunu yaratabilir. Çözüm yalnız biyometriden vazgeçmek değil, mesai takibi için gerçekten gerekli en az veriyi işlemektir.
İşverenin KVKK bakımından hangi yükümlülükleri vardır?
İşveren veri sorumlusudur ve mesai takip sisteminin amaç ve araçlarını belirlediği için KVKK yükümlülüklerini yerine getirmelidir. Öncelikle kullanılacak veri kategorileri ve hukuki sebepler belirlenmelidir. Biyometrik mesai sisteminin 2026 İlke Kararına aykırı olduğu tespit edilmişse sistemi devam ettirmek yerine alternatif yönteme geçiş planlanmalıdır.
KVKK m.10 uyarınca çalışanlara veri sorumlusunun kimliği, verinin hangi amaçla işlendiği, kimlere ve hangi amaçla aktarılabileceği, veri toplama yöntemi ve hukuki sebebi ile m.11 kapsamındaki haklar açıklanmalıdır. Aydınlatma, genel iş sözleşmesinin içinde görünmez bir paragraf hâline getirilmemeli; anlaşılır ve erişilebilir olmalıdır.
KVKK m.12 kapsamında kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için uygun teknik ve idari tedbirler alınmalıdır. Mesai yazılımına yetki matrisi, erişim logları, güçlü kimlik doğrulama, saklama süreleri ve imha politikası uygulanmalıdır. Hizmet dışarıdan bir yazılım firması üzerinden alınıyorsa veri işleyenle sözleşmesel ve teknik güvenlik yükümlülükleri düzenlenmelidir.
İşverenin kişisel veri ve yapay zekâ araçları bakımından genel veri güvenliği yaklaşımı için sitemizdeki ChatGPT’e kişisel veri yüklemek ve KVKK rehberi de incelenebilir. Dijital reklam sistemlerinde çalışan veya müşteri profil verilerinin kullanılması hâlinde hedefli reklam şeffaflığı ayrıca gündeme gelir.
Hâlen parmak izi veya yüz tanıma sistemi kullanan işveren ne yapmalı?
Mevcut sistemin “uzun süredir kullanılıyor” olması hukuka uygunluk sağlamaz. İşveren öncelikle sistemin gerçekten biyometrik veri işleyip işlemediğini teknik olarak belirlemeli; hangi verilerin cihazda veya sunucuda saklandığını, ham görüntü tutulup tutulmadığını, şablonların nereye aktarıldığını ve hizmet sağlayıcının verilere erişip erişmediğini envanterlemelidir.
Mesai takibinin tek amacı giriş-çıkış kaydıysa 2026/921 sayılı İlke Kararı uyarınca biyometrik işleme sonlandırılmalı ve daha az müdahaleci yöntem seçilmelidir. Biyometrik verilerin işlenmesini gerektiren sebep ortadan kalktığında KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik çerçevesinde imha süreci işletilmelidir. Yalnız cihazı kapatmak, daha önce toplanan şablonların sunucuda süresiz kalmasını meşru kılmaz.
İmhanın teknik olarak nasıl yapıldığı kayıt altına alınmalıdır. Biyometrik şablonlar cihaz, yerel sunucu, bulut, yedekleme sistemi ve hizmet sağlayıcı kopyalarında bulunabilir. Veri sorumlusu tüm kopyaların yaşam döngüsünü değerlendirmelidir. Gerekirse veri işleyen firmadan yazılı imha teyidi alınmalıdır.
Yeni sisteme geçişte çalışanlara güncel aydınlatma yapılmalı; kart veya PIN verilerinin saklama süresi belirlenmelidir. Eski açık rıza formları “ileride lazım olur” düşüncesiyle biyometrik veriyi tutmaya dayanak yapılamaz.
Çalışan parmak izi vermeye zorlanırsa hangi hakları kullanabilir?
Çalışan öncelikle işverenden veri işleme faaliyetinin hukuki sebebini, hangi biyometrik verinin işlendiğini, saklama süresini, aktarım yapılan tarafları ve alternatif mesai yönteminin bulunup bulunmadığını yazılı olarak sorabilir. KVKK m.11 kapsamında kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarılan üçüncü kişileri bilme ve şartları varsa silme/yok etme isteme hakkı vardır.
KVKK m.13 uyarınca ilgili kişi önce veri sorumlusuna başvurur. Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde m.14 uyarınca Kişisel Verileri Koruma Kuruluna şikâyet yolu kullanılabilir. Şikâyet süreleri kanundaki özel takvime göre takip edilmelidir.
Çalışan, işverenin “parmak izi vermezsen işe gelemezsin” şeklindeki baskısını ve alternatif sunulmamasını yazılı delille korumalıdır. E-posta, personel duyurusu, açık rıza formu, cihaz ekranı, giriş talimatı ve işyeri yönetmeliği uyuşmazlıkta önem taşır. Biyometrik verinin işlendiğini gösteren teknik doküman varsa saklanmalıdır.
İş ilişkisinde ortaya çıkabilecek ücret, fesih veya ayrımcılık uyuşmazlığı KVKK başvurusundan ayrı bir iş hukuku boyutu yaratabilir. Veri koruma yolu, işçilik alacağı veya işe iade gibi taleplerin yerine geçmez.
Biyometrik mesai takibinin yaptırımı nedir?
Kurul, 2026/921 sayılı İlke Kararında belirtilen kurallara aykırılığın tespiti hâlinde KVKK m.18 hükümleri gereği veri sorumluları hakkında işlem tesis edileceğini açıkça belirtmiştir. m.18’de aydınlatma yükümlülüğüne, veri güvenliği yükümlülüklerine, Kurul kararlarına ve Sicil yükümlülüğüne aykırılık için idari para cezaları öngörülür; 2026 tutarları yeniden değerleme nedeniyle somut yaptırım tarihinde güncel tutar üzerinden uygulanır.
Ayrıca KVKK m.17 kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanununun ilgili hükümlerine atıf yapar. Her KVKK aykırılığı otomatik olarak suç oluşturmaz; ancak hukuka aykırı kaydetme, verme veya ele geçirme gibi fiiller somut olayda ceza hukuku bakımından ayrıca değerlendirilir.
İdari para cezası dışında veri sorumlusu hukuka aykırı sistemi durdurmak, verileri silmek veya yok etmek, ilgili kişilerin taleplerini yerine getirmek ve güvenlik tedbirlerini düzeltmek zorunda kalabilir. Çalışan zarar gördüğünü ileri sürüyorsa özel hukuk tazminat yolları da somut olayın şartlarına göre ayrıca gündeme gelebilir.
İşverenler için 2026 biyometrik mesai kontrol listesi
- Mesai takibi amacıyla parmak izi, yüz, iris veya başka biyometrik veri kullanımını durdurun.
- Kart, PIN, RFID/NFC, imza veya benzeri daha az müdahaleci alternatifi seçin.
- “Açık rıza aldık” savunmasını tek başına hukuki dayanak kabul etmeyin.
- Mevcut biyometrik şablonların cihaz, sunucu, bulut ve yedek kopyalarını tespit edin.
- İşleme sebebi ortadan kalkmış biyometrik veriler için KVKK m.7 kapsamında imha sürecini işletin.
- Yeni mesai sisteminde yalnız gerekli verileri işleyin ve saklama süresini belirleyin.
- KVKK m.10 kapsamında çalışan aydınlatmasını güncelleyin.
- KVKK m.12 kapsamında erişim yetkisi, loglama, şifreleme ve hizmet sağlayıcı kontrollerini uygulayın.
Resmî kaynaklar ve son mevzuat kontrolü
Son mevzuat kontrolü: 15 Eylül 2026. KVKK, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı duyurusu; KVKK, İlke Kararı sonrası görüş taleplerine ilişkin 10.09.2026 açıklaması; KVKK Biyometrik Verilerin İşlenmesi Rehberi.
Sık Sorulan Sorular
1. İşveren parmak iziyle giriş-çıkış takibi yapabilir mi?
Mesai takibi amacıyla yapamaz. 2026/921 sayılı İlke Kararı, daha az müdahaleci alternatifler bulunduğu için bu işlemenin ölçülülük şartını sağlamadığını kabul eder.
2. Çalışan açık rıza verirse sistem hukuka uygun olur mu?
Hayır. Kurul, geçerli açık rıza bulunsa dahi mesai takibi için biyometrik veri işlemenin KVKK m.4’teki ölçülülük kriterini sağlamayacağını açıkça belirtmiştir.
3. Yüz tanıma da biyometrik veri mi?
Yüz görüntüsü kişiyi benzersiz biçimde tanımlamak veya doğrulamak amacıyla özel teknik işleme tabi tutuluyorsa biyometrik veridir.
4. Avuç içi veya damar izi de karar kapsamına girer mi?
Evet. Kişiye özgü fizyolojik özelliklerden kimlik doğrulama amacıyla üretilen veriler biyometrik veri niteliğindedir.
5. İşveren kartla mesai takibi yapabilir mi?
Evet. Kurul şifreli kart, PIN, RFID/NFC kart ve imza gibi daha az müdahaleci yöntemleri açıkça alternatif olarak göstermiştir.
6. Parmak izi cihazında veri cihazdan çıkmıyorsa yine KVKK uygulanır mı?
Evet. Biyometrik şablonun cihaz içinde tutulması kişisel veri işleme niteliğini ortadan kaldırmaz; elde etme, kaydetme ve kullanma işlemleri KVKK kapsamındadır.
7. Eski parmak izi kayıtları silinmeli mi?
İşleme sebebi ortadan kalktıysa KVKK m.7 ve ilgili imha mevzuatı uyarınca silme, yok etme veya anonimleştirme süreci işletilmelidir.
8. Güvenlik amacıyla biyometri her zaman yasak mı?
İlke Kararı özellikle mesai takibine ilişkindir. Çok yüksek güvenlik gerektiren başka amaçlar kendi hukuki sebebi, gereklilik ve ölçülülük testiyle ayrıca değerlendirilir; mesai takibindeki yasak sonucu her biyometrik kullanımın otomatik yasak olduğu anlamına gelmez.
9. Çalışan KVKK kapsamında nereye başvurmalı?
Önce KVKK m.13 uyarınca veri sorumlusu işverene başvurur; şartları oluşursa Kurula şikâyet yoluna gidebilir.
10. İşveren başvuruyu kaç günde cevaplamalı?
En kısa sürede ve en geç otuz gün içinde cevaplamalıdır.
11. Aykırılık hâlinde hangi maddeye göre ceza uygulanır?
Kurul İlke Kararında, aykırılık hâlinde KVKK m.18 hükümleri kapsamında işlem tesis edileceğini belirtmiştir.
12. 2026/921 İlke Kararı ne zaman verildi?
29 Nisan 2026 tarihinde verilmiştir; Kurum kamuoyu duyurusunu 12 Haziran 2026’da yayımlamış, 10 Eylül 2026’da da uygulamaya ilişkin ek açıklama yapmıştır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
