KVKK’dan Flaş İlke Kararı: Mesai Takibinde Parmak İzi ve Yüz Tanıma Dönemi Sona Erdi!

Mahmut Çolak
İş ve Sosyal Güvenlik Danışmanı
Tarih: 02.06.2026
Kaynak: Kişisel Verileri Koruma Kurulunun 29/04/2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” (2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete)

Kararın Gerekçesi

• Kanuni dayanak yok. Mevzuatta çalışma sürelerinin takibine ilişkin hükümler bulunmakla birlikte, takibin ne şekilde yapılacağına ya da biyometrik veri işlenmesi suretiyle yapılması gerektiğine dair açık hüküm bulunmadığından, işlemenin “kanunlarda açıkça öngörülme” şartına dayandırılması kabul edilemez.
• Diğer işleme şartları uygulanamaz. Kanun’un 6’ncı maddesinin üçüncü fıkrasının (b), (c), (ç), (d), (e), (f) ve (g) bentlerindeki şartlardan hiçbiri bu faaliyet bakımından uygulama alanı bulmaz.
• Açık rıza tek başına yetmez. Uygulamada (a) bendindeki açık rıza şartına dayanılması tercih edilmektedir. Ancak tarafların eşit konumda olmadığı, aralarında güç dengesizliği bulunan istihdam ilişkilerinde çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin biçimde sunulmaması ya da rıza göstermemenin çalışan açısından olumsuz sonuçlar doğurabilmesi hâlinde, çalışanın gerçek bir seçeneğe sahip olduğu söylenemez. Ayrıca rızanın geri alınabilmesi biyometrik sistemlerin sürekliliğini ve uygulanabilirliğini zedeleyeceğinden, yalnızca açık rızaya dayanmak kural olarak yeterli hukuki zemin oluşturmaz.
• Ölçülülük üç ölçütle sınanır. Yöntemin amaca uygunluğu (işlendikleri amaçla bağlantılı olma), alternatif yöntemlerin tüketilip tüketilmediği (amaçla sınırlı olma) ve müdahalenin boyutu (amaçla ölçülü olma). Bu ölçütleri karşılamayan bir uygulama, ilgili kişinin açık rızası bulunsa dahi hukuka aykırı kabul edilir.

Kararın Sonuç Bölümü

Kurul, belirtilen hususların Kanun’un 12’nci maddesinin birinci fıkrası uyarınca veri sorumlularınca alınması gereken idari ve teknik tedbirlerden olduğunu; bunlara uygun hareket edilmediğinin tespiti hâlinde ilgili veri sorumluları hakkında Kanun’un 18’inci maddesi hükümleri gereği işlem tesis edileceğini karara bağlamıştır.

27 Ağustos 2026 Tarihli Açıklama: Kapsamın Sınırları

İlke Kararının yayımlanmasının ardından farklı sektörlerden gelen görüş talepleri üzerine Kurum bir kamuoyu duyurusu daha yayımlamıştır. Duyurunun getirdiği açıklıklar şunlardır:

• Biyometrik verinin tanımı. Ulusal mevzuatta kapsamlı bir tanım bulunmamakla birlikte, 5490 sayılı Nüfus Hizmetleri Kanunu’nun 3’üncü maddesinde biyometrik veri; elektronik sistemler aracılığıyla kimlik tespiti ve doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlanmıştır.
• Matematiksel koda çevirmek niteliği değiştirmez. Avuç içi taraması veya parmak izi gibi yöntemlerle elde edilen verilerin biyometrik veri sayılmaması gerektiği yönündeki görüşler kabul edilmemiştir: verilerin matematiksel bir koda çevrilerek veri tabanında saklanması biyometrik veri niteliğini ortadan kaldırmaz.
• Güvenlik riski taşıyan alanlar ayrılıyor. Bazı tesis ve faaliyet alanlarında biyometrik sistemler yalnızca mesai takibine hizmet eden bir araç olmaktan çıkar; kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin parçası hâline gelir. Bu alanlarda amaç çalışma saatlerinin izlenmesi değil güvenliğin sağlanmasıdır. Yine de işleme; yalnızca gerekli kritik alanlar ve kişilerle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve somut güvenlik ihtiyacıyla ölçülü olmalıdır.
• Kanun kapsamı dışı hâller. Kanun’un 28’inci maddesinin birinci fıkrasının (ç) bendi uyarınca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik işleme faaliyetleri belirli şartlarda Kanun kapsamı dışında kalabilir. Bu istisna biyometrik veri kullanımını sınırsız hâle getirmez; her somut olayda güvenlik riskinin ağırlığı, alternatiflerin yetersizliği ve işleme amacı değerlendirilir.
• Belirleyici ölçüt. Uyum bakımından belirleyici olan husus, biyometrik veri işlemenin “mesai takibi” amacını aşarak güvenliğin sağlanmasına yönelik kullanılıp kullanılmadığıdır. Mesai takibi dışındaki işleme faaliyetleri İlke Kararı kapsamında değerlendirilmez; hukuka uygunluk, işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumlusunca değerlendirilir ve Kuruma intikal eden ihbar/şikâyetlerde Kurul her somut olay özelinde ayrıca değerlendirme yapar.

İnsan Kaynakları ve Bilgi Sistemleri Birimleri İçin Notlar

• Amaç ayrıştırılmalı. Aynı cihaz hem geçiş güvenliği hem mesai takibi için kullanılıyorsa, mesai takibi ayağının biyometrik olmayan bir yönteme taşınması gerekir. Sistemin hangi amaca hizmet ettiği yazılı olarak ortaya konulmalıdır.
• Alternatif yöntem seçimi. Kararın saydığı alternatifler arasından iş yerine uygun olanı seçilmeli; geçişin tarihi ve kapsamı planlanmalıdır.
• Mevcut veriler. Mesai takibi amacıyla toplanmış biyometrik verilerin, Kanun’un silme, yok etme ve anonim hâle getirme hükümleri ile kurumun kişisel veri saklama ve imha politikası çerçevesinde ele alınması gerekir.
• Kritik alanlar. Güvenlik gerekçesiyle biyometrik doğrulama sürdürülecekse, hangi alanların ve hangi personelin kapsamda olduğu sınırlandırılmalı ve alternatif yöntemlerin neden yetersiz kaldığı gerekçelendirilmelidir.

Sık Sorulan Sorular

Bu sirküler genel bilgilendirme amacıyla hazırlanmıştır. Somut uygulama öncesinde ilgili resmî kaynakların güncel hâli ve şirketin özel koşulları ayrıca değerlendirilmelidir.