İşveren Parmak İzi veya Yüz Tanıma ile Mesai Takibi Yapabilir mi? KVKK 2026/921 İlke Kararı

Güncelleme: 15 Eylül 2026

Çalışan devam kontrolü işveren açısından gerçek bir yönetim ve kayıt ihtiyacıdır. Ancak bu ihtiyaç, çalışanın değiştirilemez nitelikteki biyometrik özelliklerinin rutin devam kontrolü için işlenmesini kendiliğinden hukuka uygun hâle getirmez. 6698 sayılı Kişisel Verilerin Korunması Kanunu kişisel verilerin yalnız bir hukuki sebebe dayanmasını değil; aynı zamanda belirli, açık ve meşru amaç için, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini zorunlu kılar. 2026/921 sayılı İlke Kararı bu ayrımı mesai takibi bakımından netleştirmiştir.

1. 2026/921 sayılı İlke Kararının net sonucu
2. Biyometrik veri nedir?
3. KVKK m.4 ölçülülük ilkesi neden belirleyicidir?
4. KVKK m.6 özel nitelikli kişisel veri şartları
5. Çalışanın açık rızası neden tek başına yeterli değildir?
6. İşveren hangi alternatif mesai yöntemlerini kullanabilir?
7. Güvenlik amacı ile mesai takibi amacı arasındaki fark
8. Mevcut parmak izi/yüz tanıma sistemi nasıl uyumlandırılmalıdır?
9. Çalışanın başvuru ve şikâyet hakları
10. İdari yaptırım ve ceza hukuku boyutu
11. İşveren için uyum kontrol listesi
12. Sık sorulan sorular

1. 2026/921 sayılı İlke Kararının net sonucu

Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” ile uygulamadaki en tartışmalı çalışan verisi işleme alanlarından birini açık biçimde düzenledi. Karar 2 Haziran 2026 tarihli Resmî Gazete’de yayımlandı. Kurumun daha sonra yaptığı açıklamada da, çalışan devam takibinin dijitalleştirilmesi ve işyeri güvenliğinin artırılması gerekçesiyle biyometrik sistem kullanımının yaygınlaştığı; bu konunun Kuruma ulaşan ihbar ve şikâyetlerde sık karşılaşılan hukuka aykırılıklardan biri olduğu belirtildi.

Kararın sonucu üç basamakta okunmalıdır. Birincisi, yalnız mesai takibi amacıyla biyometrik veri işlenmesi KVKK m.6’da yer alan özel nitelikli kişisel veri işleme şartlarına dayandırılamaz. İkincisi, çalışan tarafından açık rıza verilmiş olsa bile sırf mesai devamını kontrol etmek için biyometrik veri kullanılması ölçülülük kriterini sağlamaz. Üçüncüsü, mesai takibinin biyometrik yöntem yerine daha az müdahaleci araçlarla yapılması gerekir.

Bu nedenle “çalışan imzaladı”, “iş sözleşmesinde madde var”, “veri şifreli tutuluyor” veya “sistem yalnız matematiksel şablon saklıyor” açıklamaları tek başına hukuka uygunluk sağlamaz. Hukuki denetim, işleme amacından ve seçilen yöntemin zorunlu olup olmadığından başlar.

2. Biyometrik veri nedir?

KVKK m.6 özel nitelikli kişisel verileri düzenler ve biyometrik veriyi bu grupta sayar. Parmak izi, yüz geometrisi, iris ve retina özellikleri gibi bir gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli teknik veriler biyometrik veri niteliğindedir. Burada verinin fotoğraf olarak saklanıp saklanmaması belirleyici değildir. Kurumun 2026/921 sayılı karar sonrasındaki açıklamasına göre biyometrik özelliğin matematiksel koda veya şablona çevrilerek veri tabanında tutulması, onun biyometrik veri niteliğini ortadan kaldırmaz.

Bu nokta uygulamada önemlidir. Bazı sistem sağlayıcıları “biz parmak izi görüntüsünü tutmuyoruz, yalnız template/hash saklıyoruz” diyerek sistemin KVKK m.6 dışında olduğunu ileri sürebilir. Oysa bir teknik yöntem gerçek kişiyi benzersiz şekilde doğrulamaya elverişli biyometrik özelliği işliyorsa, salt saklama formatının değiştirilmesi özel nitelikli veri rejimini bertaraf etmez.

3. KVKK m.4 ölçülülük ilkesi neden belirleyicidir?

6698 sayılı Kanun m.4 uyarınca kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli; amaç için gerekli süre kadar muhafaza edilmelidir. Mesai kontrolünde temel sorun “işverenin devam takibi yapıp yapamayacağı” değildir. İşveren çalışma süresini takip edebilir ve kayda alabilir. Sorun, bu amaca ulaşmak için çalışanın değiştirilemez biyometrik kimlik göstergesinin kullanılmasının gerekli ve ölçülü olup olmadığıdır.

Ölçülülük değerlendirmesinde amaç ile araç arasında makul denge aranır. Kart okutma, PIN girişi, RFID/NFC kimlik kartı, imza çizelgesi, vardiya sorumlusu kaydı gibi daha az müdahaleci yöntemler aynı devam kontrolü sonucunu sağlayabiliyorsa, çalışanı biyometrik sistem kullanmaya zorlamak “en az veri ile amaca ulaşma” yaklaşımıyla bağdaşmaz. Kurulun 2026/921 sayılı kararı bu nedenle alternatif yöntemleri açıkça vurgulamıştır.

Veri minimizasyonu yalnız teknik bir bilgi güvenliği konusu değildir; hangi veri kategorisinin hiç toplanmaması gerektiği sorusunu da içerir. Amaç kart verisiyle gerçekleştirilebiliyorsa parmak izi toplamak daha güçlü bir güvenlik teknolojisi olduğu için otomatik olarak hukuka uygun hâle gelmez.

4. KVKK m.6 özel nitelikli kişisel veri şartları

KVKK m.6 özel nitelikli kişisel verilerin işlenmesi için özel koşullar öngörür. Biyometrik veri bu hüküm kapsamında daha yüksek koruma düzeyine tabidir. Hukuki sebebin bulunması, m.4’teki genel ilkelere uyma yükümlülüğünü ortadan kaldırmaz. Başka bir ifadeyle m.6 açısından bir işleme şartı ileri sürülebilse dahi amaçla bağlantılılık, sınırlılık ve ölçülülük ayrıca sağlanmalıdır.

Mesai takibinde Kurulun net tespiti, sırf çalışan devamını kontrol amacıyla biyometrik veri işlemenin m.6’daki şartlardan herhangi birine dayanmamasıdır. İşverenin çalışma süresini belgeleme yükümlülüğünün bulunması da biyometrik yöntem kullanma konusunda açık kanuni yetki yaratmaz. Yükümlülük “çalışma süresini kaydetmek” ile ilgilidir; “parmak izi veya yüz geometrisi toplamak” şeklinde bir zorunluluk öngörmez.

5. Çalışanın açık rızası neden tek başına yeterli değildir?

Açık rıza KVKK’da belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. İş ilişkisinde işveren ile çalışan eşit pazarlık gücüne sahip değildir. Rıza vermeyen çalışanın vardiyaya alınmaması, geç giriş yazılması, özlük sürecinde olumsuzluk yaşaması veya başka bir yaptırımla karşılaşma ihtimali varsa rızanın özgür iradeye dayanması tartışmalı hâle gelir.

Daha önemlisi, 2026/921 sayılı İlke Kararı mesai takibi bakımından yalnız “rızanın özgür olup olmadığı” tartışmasıyla yetinmemiştir. Kurul, geçerli bir açık rıza bulunsa dahi sırf mesai takibi için biyometrik işleme faaliyetinin ölçülülük kriterini sağlamayacağını kabul etmiştir. Bu nedenle yeni bir açık rıza formu imzalatmak, mevcut hukuka aykırılığı kendiliğinden gideren bir çözüm değildir.

Aydınlatma yükümlülüğü ile açık rıza da birbirinden ayrı işlemlerdir. Çalışana KVKK m.10 kapsamında işleme faaliyeti hakkında bilgi verilmesi zorunlu olabilir; fakat aydınlatma yapılmış olması işleme faaliyetinin hukuki sebebini yaratmaz. Sitemizdeki KVKK aydınlatma metni rehberi bu iki kavramın ayrımını açıklamaktadır.

6. İşveren hangi alternatif mesai yöntemlerini kullanabilir?

Kurul açıklamasında mesai takibinin biyometrik sistem yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerle sağlanabileceğini belirtmiştir. İşverenin seçimi işyerinin büyüklüğü, vardiya yapısı, güvenlik seviyesi ve fiili çalışma düzenine göre değişebilir; ancak seçilen yöntem gereğinden fazla kişisel veri toplamamalıdır.

Örneğin 40 çalışanlı bir ofiste kapı kartı ile işe giriş saatinin kaydedilmesi yeterliyse yüz tanıma terminali kurulması ölçülülük bakımından savunulamaz. Buna karşılık yüksek güvenlikli bir tesiste belirli güvenlik bölgesine yetkisiz erişimi engellemek amacıyla kullanılan biyometrik kontrol, “mesai takibi” amacıyla aynı şey değildir. Bu ikinci faaliyet farklı amaç ve riskler üzerinden ayrıca değerlendirilir.

7. Güvenlik amacı ile mesai takibi amacı arasındaki fark

Kurumun 27 Ağustos 2026 tarihli açıklaması, 2026/921 sayılı İlke Kararının yalnız mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerine ilişkin olduğunu açıkça belirtir. Mesai dışındaki biyometrik veri işleme faaliyetleri karar kapsamında otomatik olarak hukuka aykırı sayılmaz; her faaliyet veri işleme amacı, işin niteliği, güvenlik riski, alternatif yöntemlerin yeterliliği ve somut olayın özellikleri üzerinden ayrı değerlendirilir.

Dolayısıyla şirketin “güvenlik” kelimesini politika metnine yazması yeterli değildir. Fiilen sistemin ne için kullanıldığı incelenir. Sistem kapıdan her girişte personelin geliş-gidiş saatini bordro/puantaj sistemine aktarıyorsa esas amaç mesai kontrolü olabilir. Gerçekten kritik bir bölgeye yalnız yetkili kişilerin erişimini sağlıyorsa güvenlik amacı öne çıkabilir. Amaç sonradan kâğıt üzerinde değiştirilerek işleme faaliyeti hukuka uygun hâle getirilemez.

8. Mevcut parmak izi/yüz tanıma sistemi nasıl uyumlandırılmalıdır?

2026/921 sayılı karar sonrasında yalnız mesai takibi için biyometrik sistem kullanan işverenin ilk işi yeni veri toplamayı durdurup işleme envanterini gerçek duruma göre çıkarmaktır. Hangi biyometrik verinin, hangi terminal veya yazılım üzerinden, hangi sunucuda, ne kadar süreyle, hangi şirket veya tedarikçi tarafından işlendiği tespit edilmelidir.

İkinci adım, alternatif mesai sistemine geçiştir. Kart/PIN/RFID/NFC gibi yöntem seçildikten sonra biyometrik veri tabanındaki eski kayıtların tutulmasını gerektiren ayrı bir hukuki yükümlülük yoksa silme, yok etme veya anonim hâle getirme süreci başlatılmalıdır. İşlem kayıt altına alınmalı; veri işleyen hizmet sağlayıcıya ait kopyalar, yedekler ve uzak sunucular da kapsamda değerlendirilmelidir.

Üçüncü adım, aydınlatma metinleri, saklama-imha politikası, kişisel veri işleme envanteri, tedarikçi sözleşmeleri ve erişim yetkilerinin güncellenmesidir. “Sistem artık kullanılmıyor” denilmesi, eski biyometrik kayıtların sunucuda süresiz tutulmasını meşru hâle getirmez.

9. Çalışanın başvuru ve şikâyet hakları

Çalışan KVKK m.11 kapsamındaki haklarını veri sorumlusuna başvurarak kullanabilir. Özellikle kendisi hakkında biyometrik veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, verinin aktarıldığı üçüncü kişileri bilme, şartları oluşmuşsa silme veya yok etme isteme ve hukuka aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme hakları gündeme gelebilir.

Veri sorumlusuna başvuru usulüne uygun yapılmalı ve teslim tarihi ispatlanmalıdır. Veri sorumlusunun cevabı yetersiz bulunursa veya süresinde cevap verilmezse KVKK m.14 çerçevesinde Kurula şikâyet süreleri ayrıca takip edilir. Bu süreçte sisteme ait ekran görüntüleri, açık rıza/aydınlatma belgeleri, işyeri duyuruları, turnike veya terminal kayıtları, tedarikçi sözleşmesi ve veri sorumlusu cevabı delil niteliği taşıyabilir.

10. İdari yaptırım ve ceza hukuku boyutu

Kurul, 2026/921 sayılı İlke Kararındaki hususların KVKK m.12/1 kapsamında veri sorumlusunun kişisel verilerin hukuka uygun işlenmesini sağlamak üzere alması gereken idari ve teknik tedbirler arasında olduğunu; aykırılık tespit edilirse KVKK m.18 uyarınca işlem tesis edileceğini duyurmuştur. İdari para cezası değerlendirmesi ihlalin türüne ve yürürlükteki yıllık tutarlara göre yapılır; aynı olayda birden fazla yükümlülük ihlali bulunabilir.

Bunun yanında kişisel verinin hukuka aykırı şekilde kaydedilmesi veya üçüncü kişilere verilmesi/ele geçirilmesi koşulları oluşursa 5237 sayılı Türk Ceza Kanunu’nun kişisel verilere ilişkin hükümleri ayrıca gündeme gelebilir. İdari KVKK incelemesi ile ceza sorumluluğu aynı şey değildir; her biri kendi kanuni unsurları üzerinden değerlendirilir. Ayrıntı için TCK m.135 kişisel verileri hukuka aykırı kaydetme rehberine bakılabilir.

11. İşveren için 12 maddelik uyum kontrol listesi

1. Mesai takibinde parmak izi, yüz, iris veya başka biyometrik yöntem kullanılıyor mu?
2. Sistemin gerçek ve fiili amacı yalnız devam/puantaj kontrolü mü?
3. Biyometrik veri ham görüntü olarak mı, şablon/kod olarak mı saklanıyor?
4. Veri şirket sunucusunda mı, bulutta mı, hizmet sağlayıcıda mı tutuluyor?
5. Çalışanlara hangi aydınlatma metni verilmiş?
6. Açık rıza alınmışsa rıza vermeme seçeneği fiilen var mı?
7. Kart, PIN veya RFID gibi daha az müdahaleci yöntem neden yeterli görülmemiş?
8. Eski biyometrik kayıtlar için saklama süresi ve imha planı var mı?
9. Tedarikçinin veri işleyen yükümlülükleri sözleşmede düzenlenmiş mi?
10. Biyometrik veri yurt dışındaki sunucuya aktarılıyor mu?
11. Veri ihlali yaşanırsa müdahale ve bildirim planı hazır mı?
12. 2026/921 sayılı İlke Kararı sonrasında politika ve uygulama güncellendi mi?

12. Sık sorulan sorular

İşveren parmak iziyle giriş çıkışı tamamen yasak mı?

Yalnız mesai/çalışan devam takibi amacıyla parmak izi gibi biyometrik veri işlenmesi 2026/921 sayılı İlke Kararı uyarınca hukuka uygun kabul edilmemektedir. Mesai dışındaki güvenlik gibi farklı amaçlar ise kendi koşulları içinde ayrıca değerlendirilir.

Çalışan açık rıza verirse parmak iziyle mesai takibi yapılabilir mi?

Hayır. Kurul, geçerli açık rıza bulunsa dahi sırf mesai takibi için biyometrik veri işlemenin KVKK m.4’teki ölçülülük kriterini karşılamadığını belirtmiştir.

Yüz tanıma da aynı kapsamda mı?

Gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli yüz geometrisi biyometrik veri niteliğindedir. Mesai takibi amacıyla kullanıldığında aynı hukuki değerlendirme uygulanır.

Parmak izi görüntüsü değil hash/template saklanıyorsa KVKK uygulanır mı?

Evet. Biyometrik özelliğin matematiksel koda veya şablona dönüştürülmesi, verinin biyometrik niteliğini ortadan kaldırmaz.

İşveren çalışma saatlerini nasıl takip edebilir?

Kart, PIN, RFID/NFC kimlik kartı, imza/kağıt devam çizelgesi veya denetçi gözetiminde kayıt gibi daha az müdahaleci yöntemler kullanılabilir.

İşyeri güvenliği için yüz tanıma kullanılabilir mi?

2026/921 sayılı karar yalnız mesai takibine ilişkindir. Güvenlik amaçlı kullanım otomatik olarak serbest değildir; KVKK m.4 ve m.6, işleme amacı, risk, gereklilik ve alternatif yöntemler somut olayda ayrıca incelenir.

Eski biyometrik kayıtlar ne yapılmalı?

İşleme sebebi ortadan kalkmışsa KVKK ve ilgili saklama-imha düzenlemeleri kapsamında silme, yok etme veya anonim hâle getirme yükümlülüğü değerlendirilmelidir. Yedek ve tedarikçi kopyaları da hesaba katılmalıdır.

Çalışan veri sorumlusuna hangi talepte bulunabilir?

KVKK m.11 kapsamındaki bilgi alma, işleme amacı, aktarım alıcıları, düzeltme, şartları varsa silme/yok etme ve zararının giderilmesini isteme haklarını kullanabilir.

Kurula doğrudan şikâyet edilir mi?

KVKK m.13 ve m.14 sistemi gereği önce veri sorumlusuna başvuru esastır. Cevap ve süreye göre Kurula şikâyet yolu değerlendirilir.

Biyometrik mesai sistemi için yalnız aydınlatma metni hazırlamak yeterli mi?

Hayır. Aydınlatma, işleme faaliyetini tek başına hukuka uygun hâle getirmez. Hukuki sebep, genel ilkeler, ölçülülük, veri güvenliği, saklama ve diğer yükümlülükler birlikte sağlanmalıdır.

Resmî kaynaklar ve ilgili rehberler

• KVKK – 2026/921 sayılı Mesai Takibinde Biyometrik Veri İlke Kararı duyurusu
• KVKK – 27 Ağustos 2026 tarihli açıklama
• 6698 sayılı Kişisel Verilerin Korunması Kanunu – resmî güncel metin
• Site içi: KVKK Aydınlatma Metni
• Site içi: Gizlilik ve Çerez Politikası
• Site içi: TCK m.135 Kişisel Verilerin Hukuka Aykırı Kaydedilmesi