İşveren Parmak İzi ile Mesai Takibi Yapabilir mi? KVKK ve Biyometrik Veri 2026

Kısa cevap: Parmak izi, kişiyi benzersiz biçimde tanımlamaya yarayan biyometrik veri olduğunda KVKK m.6 kapsamında özel nitelikli kişisel veridir. Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı uyarınca çalışanların sırf mesai takibi amacıyla biyometrik verilerinin işlenmesi hukuka uygun standart bir yöntem değildir. Kurul, mesai takibi bakımından daha az müdahaleci yöntemlerin kullanılabileceğini ve geçerli açık rıza bulunsa dahi biyometrik mesai takibinin KVKK m.4’teki ölçülülük kriterini sağlamadığını değerlendirmiştir. Bu nedenle olağan işyerlerinde parmak iziyle giriş-çıkış ve mesai takibi 2026 itibarıyla 2026/921 sayılı İlke Kararına uygun değildir. Mesai takibini aşan ve özellikle büyük ölçekli kamu güvenliği kurumlarında ortaya çıkan ağır güvenlik amaçlı istisnai kullanımlar ise somut olayın koşullarına göre ayrıca değerlendirilir.

Parmak izi neden özel nitelikli kişisel veridir?

Parmak izi, kişinin fiziksel özelliklerinden türetilen ve kimliğini benzersiz şekilde doğrulamaya yarayan biyometrik veridir. KVKK m.6, biyometrik ve genetik verileri özel nitelikli kişisel veriler arasında sayar. Bu verilerin ihlali hâlinde kişinin şifresini değiştirmesi gibi “parmak izini değiştirmesi” mümkün olmadığından güvenlik riski sıradan kimlik bilgisinden daha yüksektir.

İşverenin çalışan giriş-çıkış saatini kaydetmesi meşru bir organizasyon ihtiyacıdır. Ancak bu ihtiyacın hangi veriyle karşılanacağı ayrı sorudur. Mesai saatini bilme hakkı, çalışanın parmak izini işleme hakkını kendiliğinden doğurmaz. Amaç ile kullanılan araç arasında gereklilik ve orantı kurulmalıdır.

2026’da KVKK m.6 hangi sistemi öngörür?

7499 sayılı Kanunla 2024 yılında KVKK m.6’nın özel nitelikli kişisel veri işleme sistemi değiştirildi. 2026’da yürürlükteki düzenlemede özel nitelikli verilerin işlenmesi yasak olmakla birlikte kanunda sayılan hukuki şartlardan birinin bulunması hâlinde işleme mümkündür. Açık rıza bu şartlardan biridir; ancak tek seçenek değildir. Kanunda açıkça öngörülme, fiili imkânsızlık, bir hakkın tesisi/kullanılması/korunması, sağlık ve sosyal güvenlik alanındaki belirli amaçlar, istihdam ve iş sağlığı-güvenliği yükümlülüklerinin yerine getirilmesi gibi şartlar maddede belirlenen kapsamda değerlendirilebilir.

2026/921 sayılı İlke Kararı, sırf mesai takibi amacıyla biyometrik veri işlenmesinde KVKK m.6’daki işleme şartlarından herhangi birinin uygulama alanı bulmadığını açıkça değerlendirmiştir. İşleme şartının bulunması, KVKK m.4’teki ölçülülük ilkesini ortadan kaldırmaz. Parmak izi gerçekten gerekli değilse hukuki sebep tartışmasının yanında veri minimizasyonu sorunu doğar.

Ölçülülük testi nasıl yapılır?

Ölçülülük üç temel soruyla incelenebilir. Birincisi kullanılan yöntem amaca ulaşmaya elverişli mi? Parmak izi kişinin işe girişini kaydedebilir, bu nedenle elverişlilik genellikle vardır. İkincisi gerekli mi? Aynı sonucu kart, kişisel kod veya elektronik turnike ile sağlayabiliyorsanız biyometrik veri zorunlu olmayabilir. Üçüncüsü müdahale ile elde edilen fayda arasında makul denge var mı? Yüksek güvenlikli laboratuvara erişim ile normal ofiste kahve molası takibi aynı değildir.

KVKK Kurulunun geçmiş kararlarında biyometrik mesai takibi bakımından daha az müdahaleci alternatiflerin bulunması önemli ölçüt olmuştur. İşveren sistem kurmadan önce risk ve gereklilik değerlendirmesi yapmalı, neden kart veya şifrenin yetersiz olduğunu belgelemelidir.

Kartlı sistem varken parmak izi kullanılabilir mi?

Kartlı sistemin “kart başkasına verilebilir” riski vardır; fakat bu riskin büyüklüğü işyerine göre değişir. İşveren güvenlik kamerası, turnike, kişisel kart, mobil tek kullanımlık doğrulama veya yönetici kontrolü gibi yöntemlerle suiistimali önleyebiliyorsa parmak izi toplamaya geçmeden önce bunları değerlendirmelidir.

Kurulun 2026/921 sayılı İlke Kararına ilişkin 27 Ağustos 2026 açıklamasında, büyük ölçekli kamu güvenliği kurumlarında mesai takibini aşan kamu güvenliği amacı bakımından istisnai değerlendirme alanı bulunduğu belirtilmiştir. Özel işyerinde yalnız yüksek güvenlik iddiası ileri sürülmesi bu istisnayı otomatik doğurmaz. Normal perakende mağazasında yalnız “kart basmayı kolaylaştırmak” aynı ağırlıkta değildir. Her işyeri için tek cevap yoktur; fakat biyometrik yöntemin yüksek müdahale seviyesi sabittir.

Çalışandan açık rıza alınırsa sorun çözülür mü?

Hayır. Kurulun 2026/921 sayılı İlke Kararında, çalışan mesai takibi amacıyla biyometrik veri işlenmesinin geçerli açık rıza bulunsa dahi KVKK m.4’teki ölçülülük kriterini sağlamadığı değerlendirilmiştir. Ayrıca işveren-işçi ilişkisindeki güç dengesizliği rızanın özgür iradeye dayanmasını da güçleştirebilir. İşçi rıza vermediğinde işe alınmayacak, vardiyaya sokulmayacak veya maaşı kesilecekse rızanın gerçekten özgür olup olmadığı tartışılır. Ayrıca rıza olsa bile KVKK m.4’teki ölçülülük ilkesi uygulanmaya devam eder.

İşveren başka bir m.6 işleme şartına dayanabiliyorsa gereksiz yere rıza toplamamalıdır. Hukuki sebep doğru seçilmeli ve aydınlatma metninde açıkça gösterilmelidir. Aydınlatma ile rıza metni aynı işlem değildir; rıza isteniyorsa ayrı irade açıklaması sağlanmalıdır.

İşçi hangi konularda bilgilendirilmelidir?

KVKK m.10 uyarınca veri sorumlusu işveren; kimliğini, parmak izinin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini, işçinin m.11 haklarını açıklar. “KVKK kapsamında verileriniz işlenir” şeklindeki soyut cümle yeterli değildir.

İşçi, sistemin ham parmak izi görüntüsünü mü yoksa geri döndürülemez şablon verisini mi tuttuğunu, verinin cihazda mı merkezi sunucuda mı saklandığını, yurt dışına aktarım olup olmadığını ve ne kadar süre tutulduğunu bilmelidir. Bu teknik ayrıntılar risk değerlendirmesini etkiler.

Biyometrik veride hangi güvenlik önlemleri gerekir?

KVKK m.12 ve Kurulun özel nitelikli kişisel verilerin güvenliğine ilişkin tedbirleri gereği erişim sıkı sınırlandırılmalı, veri şifrelenmeli, erişim logları tutulmalı, aktarım güvenliği sağlanmalı ve yetkili personel gizlilik yükümlülüğü konusunda eğitilmelidir. Cihaz üreticisinin varsayılan parolasıyla sistem çalıştırılmamalıdır.

Parmak izi verisinin üçüncü taraf bulut hizmetinde tutulması halinde veri işleyen sözleşmesi, veri merkezi konumu ve yurt dışına aktarım hükümleri incelenir. 2024’te değişen KVKK m.9 yurt dışı aktarım sistemi bakımından standart sözleşme, yeterlilik veya diğer uygun güvence mekanizmaları gündeme gelebilir.

İşçi işten ayrıldığında veri artık gerekli değilse silme, yok etme veya anonim hale getirme yükümlülüğü doğar. “Belki ileride lazım olur” gerekçesiyle eski çalışanların biyometrik verisi süresiz tutulmamalıdır.

İşçi parmak izi vermeyi reddederse işten çıkarılabilir mi?

İşçinin hukuka aykırı veya ölçüsüz veri işleme talebini reddetmesi tek başına haklı fesih sebebi değildir. İşveren önce sistemin hukuki sebebini ve gerekliliğini ortaya koymalıdır. Daha az müdahaleci alternatif sunulabiliyorsa işçiye biyometrik veri vermeme seçeneği tanınması önemlidir.

Bununla birlikte parmak izi kullanımının somut işte kanuni ve gerçekten zorunlu olduğu istisnai durumda, işçinin meşru iş organizasyonuna uymaması farklı değerlendirilebilir. Fesih yine İş Kanunu m.18, 19 ve 25 hükümlerine göre somutlaştırılmalı; davranış nedeniyle geçerli fesihte savunma alınmalıdır.

Parmak iziyle mesai kaydı iş davasında delil olur mu?

Hukuka uygun şekilde tutulan biyometrik giriş-çıkış kayıtları çalışma saatlerinin ispatında kullanılabilir. Ancak sistemin hukuka aykırı veri işlediği iddiası HMK m.189/2 bakımından delilin hukuka uygun elde edilmesi sorununu doğurur. Ayrıca giriş kaydı işçinin o saatlerin tamamında fiilen çalıştığını tek başına ispatlamayabilir; ara dinlenmeleri ve işin niteliği de incelenir.

Fazla çalışma uyuşmazlıklarında fazla mesai rehberi delil sistemini açıklar.

İşçi ne yapabilir?

İşçi veri sorumlusu işverene KVKK m.11 kapsamında başvurabilir. Verinin hangi hukuki sebeple işlendiğini, kimlere aktarıldığını, saklama süresini ve silme koşullarını sorabilir. İşverenin cevabı yetersizse veya başvuru reddedilirse KVKK’daki süre ve şartlarla Kurula şikâyet yoluna gidilebilir.

Kişilik hakkına hukuka aykırı müdahale varsa TMK m.24-25 ve TBK m.58 kapsamında hukuki koruma ayrıca gündeme gelir. Veri güvenliği ihlali varsa işverenin ihlal bildirimi yükümlülükleri değerlendirilir.

Yüz tanıma sistemi de aynı mı?

Yüz görüntüsü her durumda biyometrik veri değildir; ancak teknik işleme yoluyla kişinin benzersiz biçimde tanımlanması veya doğrulanması için çıkarılan yüz şablonu biyometrik veri niteliği kazanır. Yüz tanıma ile turnike veya mesai takibi de parmak izi gibi yüksek riskli değerlendirilmelidir. Sıradan güvenlik kamerası görüntüsü ile yüz tanıma algoritmasının oluşturduğu biyometrik şablon aynı değildir.

Avuç içi ve retina taraması

Avuç içi damar izi, retina veya iris taraması gibi benzersiz kimlik doğrulama yöntemleri de biyometrik veri işleme doğurabilir. Teknoloji değişse de gereklilik ve ölçülülük ilkesi değişmez. “Parmak izi kullanmıyoruz, avuç içi kullanıyoruz” demek KVKK yükümlülüğünü ortadan kaldırmaz.

Biyometrik Mesai Sisteminde Veri Koruma Etki Analizi

Parmak izi gibi geri döndürülemeyen biyometrik veriler işlenmeden önce işveren yalnız cihaz satın alma kararına odaklanmamalıdır. İşleme amacını, veri kategorisini, çalışan sayısını, saklama süresini, veri akışını, hizmet sağlayıcıları ve daha az müdahaleci alternatifleri yazılı olarak değerlendirmelidir. Bu değerlendirme, biyometrik yöntemin gerçekten gerekli olup olmadığını ve ihlal hâlinde çalışanların karşılaşacağı riski ortaya koyar.

Özellikle geniş çalışan kitlesinde merkezi biyometrik veritabanı kuruluyorsa yetkisiz erişim, veri sızıntısı, kopyalama ve sistem sağlayıcısının erişimi gibi riskler artar. İşveren, ham parmak izi görüntüsünün tutulup tutulmadığını, yalnız matematiksel şablon üretilip üretilmediğini ve şablonun yeniden biyometrik özelliğe dönüştürülme riskini teknik olarak doğrulamalıdır. “Cihaz veriyi şifreliyor” şeklindeki tedarikçi beyanı tek başına yeterli güvenlik değerlendirmesi değildir.

İşveren Kart Alternatifini Neden Değerlendirmelidir?

KVKK m.4’teki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi, aynı amaca daha az müdahaleci yöntemle ulaşılıp ulaşılamayacağını sorgulamayı gerektirir. Personel kartı, kişisel PIN, mobil QR, fiziksel turnike veya yönetici kontrollü giriş sistemi, işyerinin niteliğine göre biyometrik veriye ihtiyaç bırakmayabilir. İşveren kart paylaşımı riskini ileri sürüyorsa bu riskin gerçekten yaşanıp yaşanmadığını ve daha hafif tedbirlerle önlenip önlenemeyeceğini somutlaştırmalıdır.

Örneğin küçük bir ofiste yalnız mesai saati kaydı için parmak izi zorunluluğu getirmek ile yüksek güvenlikli bir araştırma laboratuvarında yetkisiz kişinin erişimini önlemek için güçlü kimlik doğrulaması kullanmak aynı ölçülülük değerlendirmesine tabi tutulamaz. Biyometrik veri kullanımının işyerine özgü gerekçesi dosyalanmalıdır.

Hizmet Sağlayıcı ile Sözleşme Nasıl Olmalıdır?

Parmak izi terminali veya bulut tabanlı personel takip yazılımı dış hizmet sağlayıcı tarafından işletiliyorsa veri sorumlusu-veri işleyen rolleri açıkça belirlenmelidir. Hizmet sağlayıcının veriyi yalnız işverenin talimatları doğrultusunda işlemesi, alt yüklenicilerin kontrolü, erişim logları, ihlal bildirimi, yedekleme, iade ve silme prosedürü sözleşmede gösterilmelidir.

Veri yurt dışındaki sunucuya aktarılıyorsa KVKK m.9’un güncel aktarım sistemi ayrıca uygulanır. Standart sözleşme veya başka uygun güvence kullanılıyorsa kanundaki bildirim ve şekil şartları takip edilmelidir. Sunucunun fiziksel konumu bilinmeden yalnız “bulut sistemi” ifadesiyle işlem yapılmamalıdır.

İşten Ayrılan Çalışanın Parmak İzi Ne Zaman Silinir?

İş ilişkisi sona erdiğinde mesai takibi amacı da kural olarak sona erer. Devam eden dava veya kanuni saklama yükümlülüğü varsa hangi verinin hangi süreyle tutulacağı ayrıca belirlenir; bütün biyometrik veri sırf olası uyuşmazlık ihtimaliyle süresiz saklanamaz. Saklama-imha politikasında biyometrik şablonların silme periyodu açık olmalıdır.

İşçi ayrılış sürecinde KVKK m.11 kapsamında verisinin işlenip işlenmediğini öğrenme ve şartları oluştuğunda silme veya yok etme talep etme hakkını kullanabilir. İşveren talebe kanuni süre içinde cevap vermeli ve veri gerçekten silindiyse bunu teknik kayıtla doğrulayabilmelidir.

Veri İhlali Olursa Ne Yapılır?

Biyometrik veri ihlalinde işveren olayın kapsamını, etkilenen kişi sayısını, veri kategorilerini ve olası sonuçları derhal analiz etmelidir. KVKK m.12 kapsamındaki veri güvenliği ve ihlal bildirimi yükümlülükleri uygulanır. Erişim anahtarlarının değiştirilmesi, sistemin izole edilmesi, hizmet sağlayıcı loglarının korunması ve çalışanların risk konusunda bilgilendirilmesi olayın niteliğine göre gerekli olabilir.

Biyometrik verinin ele geçirilmesi sıradan parola ihlalinden daha ağırdır; kişi biyometrik özelliğini değiştiremez. Bu nedenle teknik tasarım aşamasında mümkün olan en düşük veri miktarının tutulması ve merkezi depolamanın gerçekten gerekli olup olmadığının değerlendirilmesi önem taşır.

İşçi İçin Başvuru Dosyası

• Parmak izi sistemine ilişkin aydınlatma metni.
• Varsa açık rıza formu ve iş sözleşmesindeki hükümler.
• Alternatif kart veya giriş yöntemi talebine verilen cevap.
• Sistemin kurulma tarihi ve kullanım amacı.
• İşverenin parmak izi vermeyen personele uyguladığı işlemler.
• Veri sorumlusuna yapılan KVKK başvurusu ve cevap tarihi.

İşçi, işverenin sistemini hukuka aykırı gördüğünde cihazı sabote etmek veya başkasının kartını kullanmak yerine yazılı başvuru yollarını tercih etmelidir. İş ilişkisindeki disiplin yükümlülükleri ile veri koruma hakkı birlikte yürütülmelidir.

2026/921 Sayılı İlke Kararının İşveren İçin Sonucu

Kurulun 29 Nisan 2026 tarihli İlke Kararı sonrasında sırf mesai devam kontrolü amacıyla kurulmuş biyometrik sistemlerin “çalışan açık rıza verdi” gerekçesiyle devam ettirilmesi güvenli değildir. İşveren, parmak izi veya yüz tanıma yerine kart, PIN, RFID/NFC, imza veya başka ölçülü yönteme geçiş planı oluşturmalı; mevcut biyometrik kayıtların saklanması için ayrıca geçerli hukuki sebep bulunup bulunmadığını değerlendirmelidir.

Sistemin kullanım amacı mesai takibinden farklı ve ağır bir güvenlik ihtiyacına dayanıyorsa bu amaç ayrıca ve dar biçimde belgelenmelidir. İşveren “tesisimiz güvenlikli” şeklindeki genel ifadeyle İlke Kararını aşamaz; biyometrik veri işleme şartı ve ölçülülük somut faaliyete göre ortaya konulmalıdır.

Mevcut Biyometrik Kayıtların Silinmesi

Mesai amacı için hukuki dayanak kalmadığı sonucuna varılan sistemde yeni veri toplamayı durdurmanın yanında mevcut şablonların silinmesi veya yok edilmesi de değerlendirilmelidir. Veri işleyen hizmet sağlayıcıda bulunan kopyalar, yedekler ve cihaz içi kayıtlar aynı imha planına dahil edilmelidir. İşveren, imha işlemini kayıt altına alarak denetlenebilir hale getirmelidir.

Sık Sorulan Sorular

İşveren parmak izi almak zorunda mı?

Hayır. Mesai takibi için genel bir parmak izi alma zorunluluğu yoktur.

Parmak izi özel nitelikli veri midir?

Kişiyi benzersiz tanımlama amacıyla işlenen biyometrik parmak izi KVKK m.6 kapsamındadır.

Açık rıza verirsem parmak izi sistemi her durumda yasal olur mu?

Hayır. Rızanın özgürlüğü ve m.4 ölçülülük ilkesi ayrıca değerlendirilir.

Kart sistemi varsa parmak izi kullanılabilir mi?

Alternatifin amaca yeterli olması biyometrik yöntemin gerekliliğini zayıflatabilir.

İşçi parmak izi vermedi diye çıkarılır mı?

Hukuka aykırı veya ölçüsüz veri talebini reddetmek otomatik haklı fesih nedeni değildir.

Parmak izi ne kadar saklanabilir?

Amaç için gerekli süre kadar; iş ilişkisi bitince gereklilik kalmıyorsa silme/yok etme değerlendirilir.

Veri yurt dışındaki sunucuda tutulabilir mi?

KVKK m.9’daki güncel yurt dışı aktarım şartları sağlanmalıdır.

Yüz tanıma da biyometrik veri midir?

Benzersiz kimlik doğrulama amacıyla teknik işlemden geçirilen yüz şablonu biyometrik veri olabilir.

Mesai kaydı fazla çalışma ispatı olur mu?

Delil olabilir; fiili çalışma ve ara dinlenme diğer kayıtlarla birlikte incelenir.

KVKK’ya nasıl başvurulur?

Önce veri sorumlusu işverene başvuru yapılır; kanuni koşullarla Kurula şikâyet yolu kullanılabilir.

Türkiye geneli dosya takibi ve Mersin uygulaması

KVKK ve İş Kanunu Türkiye genelinde aynıdır. Bakırcı & Keskin Hukuk Bürosunda Türkiye geneli dosya takibi Mersin’den yönetilir. Mersin’deki işyerlerinde de biyometrik sistemin gereklilik, hukuki sebep, aydınlatma ve güvenlik belgeleri birlikte değerlendirilir.

Resmî hukuki dayanak

6698 sayılı KVKK m.4, 6, 9, 10, 11 ve 12; 4857 sayılı İş Kanunu m.18, 19 ve 25; 6100 sayılı HMK m.189 ve 199 temel hükümlerdir. Güncel Kurul kararları için KVKK, kanun metinleri için Mevzuat Bilgi Sistemi esas alınmalıdır. Kontrol tarihi: 6 Eylül 2026.

Yazar

Av. Halil BAKIRCI · Mersin Barosu, sicil 3472.