KVKK Kararı: Parmak İzi ve Yüz Tanımayla Mesai Takibi Bitti mi?

Ofisin girişindeki parmak izi okuyucusu yıllardır orada. Herkes sabah başparmağını basıyor, sistem giriş saatini yazıyor, kimse ikinci kez düşünmüyor. 2 Haziran 2026’da Resmî Gazete’de yayımlanan bir Kurul kararı tam da bu alışkanlığı hedef aldı.

Kişisel Verileri Koruma Kurulu’nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı net: iş yerlerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ya da retina taraması gibi biyometrik verilerin işlenmesi, çalışan açık rıza vermiş olsa dahi hukuka aykırı. Yani “personelden rıza formu topladık, sorun yok” diyen işverenlerin dayandığı zemin ortadan kalktı.

Rıza neden yeterli sayılmadı?

Kurul’un gerekçesi işçi-işveren ilişkisinin doğasına dayanıyor. İşini kaybetme ihtimali olan bir çalışanın, patronun kurduğu sisteme “hayır” deme özgürlüğü gerçek anlamda yoktur. Kurul bunu açıkça söylüyor: bu ilişkide rızanın özgür iradeye dayandığından söz etmek mümkün değil. Üstelik rıza her an geri alınabilir — bir çalışan rızasını çektiğinde biyometrik sistemin o kişi için çalışmaması gerekir, bu da sistemin sürekliliğini baştan sakatlar.

İkinci ayak ölçülülük. Mantık basit: aynı işi daha az müdahaleci bir yöntemle yapabiliyorsanız, en hassas veri kategorisine el atmanız orantısız kabul ediliyor. Biyometrik veri, KVKK’da özel nitelikli kişisel veri sayılıyor; yani en yüksek koruma kademesinde. Kapıdan geçişi kartla da kaydedebiliyorken herkesin parmak izini bir veri tabanında tutmanın makul gerekçesi kalmıyor.

Şimdi ne yapmalı? Yasal alternatifler

Kurul, kararında doğrudan alternatif yöntemleri de sıraladı. Mesai takibini kanuna uygun sürdürmenin yolları:

Yöntem	Nasıl çalışır	Not
Şifreli kart / PIN	Personel kartı okutur ya da kod girer	En yaygın geçiş yolu
RFID / NFC kimlik kartı	Temassız kart okuma	Mevcut personel kartına entegre edilebilir
Mobil uygulama	Telefondan konum ya da QR ile giriş	Sahadaki ekipler için pratik
İmza / kâğıt çizelge	Klasik devam defteri	Küçük ekipte hâlâ geçerli

Bu yöntemlerin ortak noktası şu: kimliği doğrularken kişinin bedeninden kalıcı bir veri almıyorlar. Kart kaybolursa yenisi basılır; parmak izi çalınırsa değiştiremezsiniz. Farkın özü tam da burada.

Biyometrik veri artık hiç mi işlenemez?

Karar mutlak bir yasak değil. Biyometrik verinin gerçekten zorunlu ve ölçülü olduğu, daha hafif bir yöntemin fiilen işe yaramadığı senaryolar ayrı değerlendirilir — mesela yüksek güvenlikli bir laboratuvara veya veri merkezine fiziksel erişim kontrolü. Ama günlük mesai ve PDKS takibi bu istisnaya girmiyor, çünkü giriş-çıkış saatini kaydetmek için kart, PIN, mobil gibi bir sürü daha hafif yöntem zaten var. Kritik ayrım amaçta: erişim güvenliği başka bir şey, günlük giriş-çıkış saati kaydı başka bir şey.

Uymazsanız ne olur?

Biyometrik mesai sistemine devam eden işveren, Kanun’un 18. maddesi kapsamında idari para cezası riskiyle karşı karşıya. Bu ihlal, veri güvenliği yükümlülüklerine aykırılık başlığı altında değerlendiriliyor; 2026 için yeniden değerlemeyle güncellenen tutarlar yüz binlerce liradan başlıyor, ağır ihlallerde milyonlarca liraya çıkabiliyor. Ceza tablosu her yıl güncellendiği için kesin rakamı kvkk.gov.tr üzerinden teyit etmekte fayda var. Para cezasının ötesinde, artık silmeniz gereken bir biyometrik veri tabanınız da var demektir — sistemi kapatmak tek başına yetmez, topladığınız kayıtları da usulüne uygun imha etmeniz gerekir.

Sık sorulanlar

Elimizdeki parmak izi kayıtlarını ne yapacağız? Mesai amacıyla toplanmışsa işleme dayanağı ortadan kalktı; imha edilmeleri gerekir. Silme, yok etme ya da anonim hale getirme işlemini de kayıt altına alın.

Çalışanların hepsi rıza verse yeter mi? Hayır. Kararın özü tam da bu: iş ilişkisinde açık rıza, tek başına geçerli bir hukuki dayanak sayılmıyor.

Geçen ay yüz tanımalı turnike kurduk. Sökmek zorunda mıyız? Mesai ve geçiş takibi için kullanıyorsanız kanuna uygun bir alternatife geçmeniz beklenir. Yatırımın yeni olması kararı değiştirmiyor.

Bulut tabanlı PDKS yazılımı kullanıyoruz, sorumluluk sağlayıcıda mı? Veri sorumlusu sizsiniz. Yazılımı kimin sağladığından bağımsız olarak, hangi veriyi neden işlediğinizin hesabını siz verirsiniz.

Parmak izi okuyucusunu söküp yerine kart sistemi koymak teknik olarak birkaç günlük iş. Asıl mesele, hangi personel verisini neden tuttuğunuzu bir kez daha gözden geçirmek. Mesai takibi çoğu işletme için resmin küçük bir parçası; kamera kayıtları, özlük dosyaları, aday CV’leri de aynı ölçülülük testinden geçmeli.

Biyometrik sisteminizi kanuna uygun bir yönteme taşımak ya da KVKK uyumunuzu baştan gözden geçirmek isterseniz, bizimle iletişime geçin.

Kaynaklar

• KVKK Kamuoyu Duyurusu — 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı
• KVKK — 6698 sayılı Kanun kapsamında idari para cezası tutarları