Kaynak: Kişisel Verileri Koruma Kurumu (KVKK) Kamuoyu Duyurusu, 29.04.2026 Tarihli ve 2026/921 Sayılı Kurul İlke Kararı (02.06.2026 Tarihli Resmî Gazete) & 6698 Sayılı Kanun (M. 4, M. 6, M. 28)
Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanmıştır. Karara göre biyometrik veri işleme faaliyetinin yalnızca bir hukuki sebebe dayanması yeterli değildir; aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerekir. Parmak izi, avuç içi ya da yüz verisinin matematiksel koda çevrilerek saklanması onu özel nitelikli biyometrik veri olmaktan çıkarmaz. Kartlı geçiş, şifre, QR kod veya imza gibi alternatifler varken yalnızca mesai takibi için biyometrik sistem kullanılması bu ilkelere aykırıdır.
1. Giriş ve Görüş Duyurusunun Amacı
Kişisel Verileri Koruma Kurulu (Kurul) tarafından alınan 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” 02.06.2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Ancak uygulamada veri sorumluları (işverenler) tarafından avuç içi taraması, parmak izi, yüz tanıma gibi verilerin “matematiksel koda çevrilerek saklandığı” iddiasıyla biyometrik veri sayılmaması gerektiği veya açık rıza ile bu sistemlerin kullanılabileceği yönünde tereddütler ileri sürülmüştür.
KVKK tarafından yayımlanan kamuoyu duyurusu ile; çalışma hayatında mesai takibi amacıyla biyometrik veri işlenmesinin hukuki sınırları, açık rızanın geçersizliği ve kritik alan güvenliği ayrımı netleştirilmiştir.
2. KVKK Duyurusunun Öne Çıkan Teknik ve Hukuki Tespitleri
A) Matematiksel Koda Çevirme Biyometrik Veri Niteliğini Değiştirmez
Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR Recital 51) ve ulusal mevzuat uyarınca; gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen veriler biyometrik veridir. Avuç içi, parmak izi veya yüz verilerinin matematiksel bir koda çevrilerek veri tabanında saklanması, bu verilerin özel nitelikli “biyometrik veri” olma niteliğini ortadan kaldırmaz.
B) Açık Rıza Alınsa Dahi Mesai Takibinde Biyometrik Veri İşlenemez
İşverenlerin çalışan devam takibi yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme yoktur. Yalnızca mesai takibi amacıyla yapılan biyometrik veri işleme faaliyetleri;
- KVKK M. 6’daki işleme şartlarından hiçbirine dayanmamaktadır.
- Geçerli bir açık rıza alınmış olsa dahi, Kanun’un 4’üncü maddesindeki “Ölçülülük” ilkesini ihlal ettiği için hukuka aykırıdır. (Kartlı geçiş, RFID, QR kod veya imza gibi alternatif yöntemler varken biyometrik veri kullanımı ölçüsüzdür).
C) Kritik Alan Güvenliği ve İstisnalar (Mesai Takibi Dışındaki Alanlar)
- Çok Katmanlı Güvenlik İstisnası: Yüksek güvenlik riski taşıyan tesislerde, biyometrik tanımlama sistemleri doğrudan “mesai takibi” için değil; kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü amacıyla kullanılıyorsa genel değerlendirmeden ayrılır.
- Ölçülülük ve Alternatif Şartı: Bu tür alanlarda biyometrik veri işleme; yalnızca gerekli kritik alan ve personelle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve somut güvenlik ihtiyacı ile ölçülü olmalıdır.
- Milli Güvenlik İstisnası (KVKK m. 28/1-ç): Milli savunma, kamu güvenliği veya ekonomik güvenliğin korunmasına yönelik faaliyetler belirli şartlarda Kanun kapsamı dışındadır. Ancak bu durum biyometrik kullanımı sınırsız yapmaz; somut olayın riskine göre değerlendirilir.
3. İK Direktörleri, Şirket Avukatları ve Veri Sorumluları İçin Operasyonel Notlar
Daha önceki sirkülerlerimizde (2026/136) İstihdamı Koruma Destek Programı yönetmelik değişikliğini ve (2026/133) işçinin davranışları nedeniyle geçerli fesih hallerini incelemiştik. KVKK’nın bu bağlayıcı kamuoyu duyurusu doğrultusunda veri sorumlusu işverenlerin acilen şu adımları atması gerekir:
- PDKS Sistemlerinin Derhal Değiştirilmesi: İşyerlerinde yalnızca çalışan devam kontrolü (PDKS/mesai takibi) amacıyla kullanılan parmak izi, yüz tanıma, avuç içi tarama sistemleri derhal kullanım dışı bırakılmalıdır.
- Biyometrik Veri Tabanlarının İmhası: Şifrelenmiş veya koda dönüştürülmüş dahi olsa, mesai takibi için toplanan tüm biyometrik veriler Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca imha edilmelidir.
- Alternatif Sistemlere Geçiş: Mesai takibi kartlı geçiş sistemleri, şifre, imza, uygulama bazlı lokasyon veya QR kod gibi biyometrik veri içermeyen yöntemlerle yürütülmelidir.
- Kritik Alan Analizi: Tesis genelinde değil, yalnızca yüksek güvenlik gerektiren sunucu odası, yüksek voltaj/kimyasal deposu, Ar-Ge laboratuvarı gibi alanlarda biyometrik veri kullanılacaksa “Kişisel Veri Etki Analizi (DPIA)” yapılmalı ve amacın mesai takibi olmadığı belgelenmelidir.
KVKK 2026/921 sayılı İlke Kararı uyum süreçleri, PDKS sistem revizyonları, VERBİS güncellemeleri ve KVKK idari para cezası risk analizleriniz için uzman danışmanlık kadromuzla iletişime geçebilirsiniz.
Sık Sorulan Sorular
Parmak izini şifreleyip matematiksel kod olarak saklıyoruz; bu biyometrik veri sayılmaz değil mi?
Sayılır. Verinin matematiksel bir koda çevrilerek veri tabanında tutulması, kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli olduğu sürece özel nitelikli biyometrik veri niteliğini ortadan kaldırmaz.
Çalışanlardan açık rıza alsak yeterli olmaz mı?
Kurul kararının gerekçesinde işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle açık rızanın özgür iradeye dayanmasının tereddütlü olduğu belirtilmektedir. Ayrıca karar, bir hukuki sebebin varlığının tek başına yeterli olmadığını; işlemenin ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerektiğini ortaya koymaktadır. Daha az müdahaleci alternatifler varken yalnızca mesai takibi için biyometrik veri işlenmesi bu ilkeleri karşılamaz.
Mesai takibini nasıl yapacağız?
Biyometrik veri içermeyen yöntemlerle: kartlı geçiş ve RFID sistemleri, şifre, imza, QR kod veya uygulama bazlı konum kaydı.
Yüksek güvenlikli alanlarda biyometrik doğrulama tamamen yasak mı?
İlke kararı mesai takibi amacıyla işlemeye ilişkindir. Kimlik doğrulama, yetkilendirme ve kritik alana erişim kontrolü amacıyla kullanılan sistemler ayrı değerlendirilir; ancak bu durumda da işleme yalnızca gerçekten kritik alan ve personelle sınırlı olmalı, alternatif yöntemlerin yetersiz kaldığı gösterilmeli ve somut güvenlik ihtiyacıyla ölçülü olmalıdır. Amaç kaymasını önlemek için bu sistemlerin mesai/puantaj kaydı üretmemesi gerekir.
Hâlihazırda topladığımız biyometrik veriler ne olacak?
Mesai takibi amacıyla toplanan biyometrik veriler — şifrelenmiş veya koda dönüştürülmüş olsa da — Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca imha edilmeli; VERBİS kaydı ve işleme envanteri buna göre güncellenmelidir.
Bu sirkülerde atıf yapılan belgeler
- Kişisel Verileri Koruma Kurulunun 29/04/2026 Tarihli ve 2026/921 Sayılı Kararı — Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı (RG: 02.06.2026, 33268)resmigazete.gov.tr
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (4’üncü madde — genel ilkeler; 6’ncı madde — özel nitelikli kişisel verilerin işlenme şartları; 28’inci madde — istisnalar)mevzuat.gov.tr
- 5490 sayılı Nüfus Hizmetleri Kanunu (3’üncü madde (ff) bendi — biyometrik veri tanımı)mevzuat.gov.tr
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (RG: 28.10.2017, 30224)
Bu sirküler genel bilgilendirme amacıyla hazırlanmıştır. Somut uygulama öncesinde ilgili resmî kaynakların güncel hâli ve şirketin özel koşulları ayrıca değerlendirilmelidir.