Mahmut Akman
İş ve Sosyal Güvenlik Danışmanı
Tarih: 28.08.2026
Kaynak: Kişisel Verileri Koruma Kurumu (KVKK) Kamuoyu Duyurusu, 29.04.2026 Tarihli ve 2026/921 Sayılı Kurul İlke Kararı (02.06.2026 Tarihli Resmi Gazete) & 6698 Sayılı Kanun (M. 4, M. 6, M. 28)
1. Giriş ve Görüş Duyurusunun Amacı
Kişisel Verileri Koruma Kurulu (Kurul) tarafından alınan 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” 02.06.2026 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Ancak uygulamada veri sorumluları (işverenler) tarafından avuç içi taraması, parmak izi, yüz tanıma gibi verilerin “matematiksel koda çevrilerek saklandığı” iddiasıyla biyometrik veri sayılmaması gerektiği veya açık rıza ile bu sistemlerin kullanılabileceği yönünde tereddütler ileri sürülmüştür.
KVKK tarafından yayımlanan kamuoyu duyurusu ile; çalışma hayatında mesai takibi amacıyla biyometrik veri işlenmesinin hukuki sınırları, açık rızanın geçersizliği ve kritik alan güvenliği ayrımı netleştirilmiştir.
2. KVKK Duyurusunun Öne Çıkan Teknik ve Hukuki Tespitleri
A) Matematiksel Koda Çevirme Biyometrik Veri Niteliğini Değiştirmez
Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR Recital 51) ve ulusal mevzuat uyarınca; gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen veriler biyometrik veridir. Avuç içi, parmak izi veya yüz verilerinin matematiksel bir koda çevrilerek veri tabanında saklanması, bu verilerin özel nitelikli “biyometrik veri” olma niteliğini ortadan kaldırmaz.
B) Açık Rıza Alınsa Dahi Mesai Takibinde Biyometrik Veri İşlenemez
İşverenlerin çalışan devam takibi yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme yoktur. Yalnızca mesai takibi amacıyla yapılan biyometrik veri işleme faaliyetleri;
- KVKK M. 6’daki işleme şartlarından hiçbirine dayanmamaktadır.
- Geçerli bir açık rıza alınmış olsa dahi, Kanun’un 4’üncü maddesindeki “Ölçülülük” ilkesini ihlal ettiği için hukuka aykırıdır. (Kartlı geçiş, RFID, QR kod veya imza gibi alternatif yöntemler varken biyometrik veri kullanımı ölçüsüzdür).
C) Kritik Alan Güvenliği ve İstisnalar (Mesai Takibi Dışındaki Alanlar)
- Çok Katmanlı Güvenlik İstisnası: Yüksek güvenlik riski taşıyan tesislerde, biyometrik tanımlama sistemleri doğrudan “mesai takibi” için değil; kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü amacıyla kullanılıyorsa genel değerlendirmeden ayrılır.
- Ölçülülük ve Alternatif Şartı: Bu tür alanlarda biyometrik veri işleme; yalnızca gerekli kritik alan ve personelle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve somut güvenlik ihtiyacı ile ölçülü olmalıdır.
- Milli Güvenlik İstisnası (KVKK m. 28/1-ç): Milli savunma, kamu güvenliği veya ekonomik güvenliğin korunmasına yönelik faaliyetler belirli şartlarda Kanun kapsamı dışındadır. Ancak bu durum biyometrik kullanımı sınırsız yapmaz; somut olayın riskine göre değerlendirilir.
3. İK Direktörleri, Şirket Avukatları ve Veri Sorumluları İçin Operasyonel Notlar
Daha önceki sirkülerlerimizde (2026/136) İstihdamı Koruma Destek Programı yönetmelik değişikliğini ve (2026/133) işçinin davranışları nedeniyle geçerli fesih hallerini incelemiştik. KVKK’nın bu bağlayıcı kamuoyu duyurusu doğrultusunda veri sorumlusu işverenlerin acilen şu adımları atması gerekir:
- PDKS Sistemlerinin Derhal Değiştirilmesi: İşyerlerinde yalnızca çalışan devam kontrolü (PDKS/mesai takibi) amacıyla kullanılan parmak izi, yüz tanıma, avuç içi tarama sistemleri derhal kullanım dışı bırakılmalıdır.
- Biyometrik Veri Tabanlarının İmhası: Şifrelenmiş veya koda dönüştürülmüş dahi olsa, mesai takibi için toplanan tüm biyometrik veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca imha edilmelidir.
- Alternatif Sistemlere Geçiş: Mesai takibi kartlı geçiş sistemleri, şifre, imza, uygulama bazlı lokasyon veya QR kod gibi biyometrik veri içermeyen yöntemlerle yürütülmelidir.
- Kritik Alan Analizi: Tesis genelinde değil, yalnızca yüksek güvenlik gerektiren sunucu odası, yüksek voltaj/kimyasal deposu, Ar-Ge laboratuvarı gibi alanlarda biyometrik veri kullanılacaksa “Kişisel Veri Etki Analizi (DPIA)” yapılmalı ve amacın mesai takibi olmadığı belgelenmelidir.
KVKK 2026/921 sayılı İlke Kararı uyum süreçleri, PDKS sistem revizyonları, VERBİS güncellemeleri ve KVKK idari para cezası risk analizleriniz için uzman danışmanlık kadromuzla iletişime geçebilirsiniz.
