Biyometrik Mesai Takibi KVKK’ya Uygun mu?

İşyerlerinde personelin giriş-çıkış saatlerinin takip edilmesi için parmak izi, yüz tanıma, avuç içi veya benzeri biyometrik sistemleri oldukça uzun süredir ve yaygın şekilde kullanılıyordu.

İşveren açısından bakıldığında bu sistemlerin tercih edilme nedeni anlaşılabilir: Kart başkasına verilebilir, şifre paylaşılabilir ancak kişinin parmak izi veya yüzü başkasına devredilemez.

Ancak Kişisel Verileri Koruma bakış açısıyla bakıldığında konu sistemin ne kadar başarılı olduğu değil, bu amaç için bu kadar hassas bir kişisel verinin işlenmesinin gerçekten gerekli olup olmadığıdır.

Kişisel Verileri Koruma Kurumu, 27 Ağustos 2026 tarihinde yayımladığı yeni kamuoyu duyurusuyla bu konudaki yaklaşımını yeniden açıklığa kavuşturdu. Ortaya çıkan temel mesaj oldukça net:

Sadece çalışanın mesaiye gelip gelmediğini veya giriş-çıkış saatlerini takip etmek amacıyla biyometrik veri kullanılması kural olarak ölçülü kabul edilmiyor.

Biyometrik Veri Nedir?

KVKK kapsamında biyometrik veriler özel nitelikli kişisel veri kategorisinde yer almaktadır. Parmak izi, avuç içi veya damar izi; belirli teknik yöntemlerle kimlik doğrulama amacıyla kullanılan yüz görüntüsü, iris veya retina gibi bilgiler bu kapsama girebilir.

Bunun temel nedeni oldukça basittir, bir çalışan kartını kaybederse yeni kart verilebilir. Şifresi ele geçirilirse şifresi değiştirilebilir. Ancak kişinin parmak izi veya yüz geometrisi değiştirilemez.

Bu nedenle biyometrik veriler diğer birçok kişisel veriye göre daha yüksek seviyede koruma gerektirir.

“Parmak İzini Saklamıyoruz, Sadece Matematiksel Kodunu Tutuyoruz” Demek Yeterli Değil

Yeni duyurunun en önemli noktası, biyometrik sistemlerin saklanmasına yönelik çalışma şekline ilişkin oldu.

Bazı sistem sağlayıcıları veya işverenler parmak izi görüntüsünün doğrudan saklanmadığını, biyometrik özelliğin matematiksel bir şablona veya koda dönüştürüldüğünü belirterek bunun biyometrik veri sayılamayacağını ileri sürebiliyor.

Kurum bu konuda oldukça açık: Biyometrik verinin matematiksel bir koda dönüştürülerek veri tabanında saklanması, verinin biyometrik veri niteliğini ortadan kaldırmıyor.

Önemli olan sistemde bir fotoğraf veya parmak izi görselinin bulunması değil; elde edilen verinin belirli bir teknik işlem sonucunda kişiyi benzersiz biçimde tanımlamak veya doğrulamak için kullanılabilmesidir.

İşveren Çalışma Saatlerini Takip Etmek Zorunda Değil mi?

Evet. İşverenlerin çalışma sürelerini takip etmek ve gerektiğinde belgelemek yönünde hukuki yükümlülükleri bulunuyor.

Ancak burada önemli bir ayrım var: Mevzuat işverene “çalışanın mesaisini takip et” diyor; fakat “bunu parmak izi veya yüz tanıma sistemi kullanarak yap” demiyor.

Kişisel Verileri Koruma Kurulu yaklaşımıyla mesai takibi;

şifreli kart veya PIN,
RFID/NFC personel kartı,
imza veya devam çizelgesi,
kontrollü manuel giriş sistemleri gibi biyometrik veri işlemeyen yöntemlerle de gerçekleştirilebiliyorsa, yalnızca daha pratik veya daha güvenilir olduğu gerekçesiyle biyometrik veriye başvurulması ölçülülük ilkesine aykırı kabul edilebiliyor.

“Çalışandan Açık Rıza Alırsak Kullanabilir miyiz?”

Çalışandan açık rıza almak tek başına problemi çözmüyor. Bunun iki temel nedeni bulunuyor.

İşçi ile işveren arasında doğal bir güç farklılığı bulunmasıdır. Çalışanın işe alınmama, işyerinde sorun yaşama veya benzeri sonuçlardan çekinerek verdiği bir rızanın gerçekten özgür iradeyle verilip verilmediği her zaman tartışılabilir.
İkincisi ve belki daha önemlisi ise ölçülülük ilkesidir. Kurul, daha az müdahaleci yöntemlerle aynı amaç gerçekleştirilebiliyorsa, çalışan geçerli şekilde açık rıza vermiş olsa dahi mesai takibi amacıyla biyometrik veri kullanılmasının ölçülülük şartını karşılamayabileceğini açıkça ifade ediyor.

Açık rıza, ölçüsüz bir kişisel veri işleme faaliyetini otomatik olarak hukuka uygun hale getirmiyor.

Peki Biyometrik Sistemler Artık Hiç Kullanılamaz mı?

Hayır, 27 Ağustos 2026 tarihli açıklamanın en önemli ayrımlarından biri de burada ortaya çıkıyor.

Kurulun 2026/921 sayılı İlke Kararı esas olarak mesai takibi amacıyla yapılan biyometrik veri işlemesini ele alıyor.

Bazı işletmelerde ise biyometrik sistemin amacı çalışanın saat kaçta işe geldiğini görmek olmayabilir.

Örneğin, kritik altyapılar, yüksek güvenlikli tesisler veya erişimin yalnızca belirli yetkililerle sınırlandırılması gereken alanlarda biyometrik sistemler kimlik doğrulama ve güvenlik amacıyla kullanılabilir.

Ancak burada da “güvenlik” kelimesinin kullanılması tek başına yeterli değil.

Kurum;

gerçek ve somut bir güvenlik ihtiyacının bulunmasını,
biyometrik sistemin yalnızca gerekli kişiler ve alanlarla sınırlandırılmasını,
daha az müdahaleci alternatif yöntemlerin yetersiz kalmasını,
kullanılan yöntemin karşılaşılan riskle ölçülü olmasını

bekliyor.

Dolayısıyla bir şirketin fabrika kapısındaki bütün çalışanların yüzünü okuyup “bunu güvenlik amacıyla yapıyoruz” demesi otomatik olarak hukuka uygunluk sağlamıyor.

Asıl soru şu:

Bu biyometrik verinin işlenmesi gerçekten zorunlu mu?

Kurul Aslında Bu Konuyu İlk Kez Söylemiyor

2026 yılında yayımlanan İlke Kararı yeni olmakla birlikte Kurulun biyometrik verilere yaklaşımını ilk kez açıklayışı değil.

2019: Spor Salonlarında El ve Avuç İçi Tarama Sistemleri

Kurulun 25 Mart 2019 tarihli ve 2019/81 sayılı kararı ile 31 Mayıs 2019 tarihli ve 2019/165 sayılı kararlarında spor salonlarına giriş sırasında üyelerin el ve avuç bilgilerinin biyometrik yöntemlerle işlenmesi değerlendirildi.

Kurul, biyometrik verilerin özel nitelikli kişisel veri olduğuna dikkat çekerek veri işlemede amaçla bağlantılılık, sınırlılık ve ölçülülük ilkelerine vurgu yaptı.

Üyelerin tesise girişinin daha az müdahaleci yöntemlerle sağlanabileceği dikkate alındığında biyometrik verinin kullanılmasının gerekliliği sorgulandı. Bu kararlarda Kurul ayrıca, kişinin açık rızasının bulunmasının gereğinden fazla veri toplanmasını tek başına meşru hale getirmeyeceğini ortaya koydu.

2020: Belediyede Parmak İzi ile Mesai Takibi

Konuya çok daha doğrudan ilişkin karar ise 1 Aralık 2020 tarihli ve 2020/915 sayılı Kurul Kararı oldu.

Bir belediyede çalışanların giriş-çıkışlarının parmak izi ile takip edilmesi incelendi.

Belediye, kullanılan sistemde parmak izinin karakteristik özelliklerinin şifrelenerek bir şablona dönüştürüldüğünü ve sistemin mesai kontrolü amacıyla kullanıldığını ifade etti.

Ancak Kurul; sicil numarası, şifreli giriş ve ıslak imza gibi alternatif yöntemlerin zaten kullanılabildiğini dikkate aldı.

Sonuçta yalnızca mesai takibi amacıyla parmak izi kullanılmasını amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı buldu.

Kurul ayrıca biyometrik giriş-çıkış uygulamasının sona erdirilmesi, mevcut sistemin kaldırılması ve daha önce işlenen parmak izi verilerinin mevzuata uygun şekilde imha edilmesi yönünde talimat verdi.

2026 İlke Kararı ile Ne Değişti?

Aslında Kurulun temel yaklaşımı hiçbir zaman değişmedi, daha önce olaylar üzerinden ortaya çıkan açıklamalar bu duyuru ile artık çok daha genel ve açık bir “İlke Kararı” seviyesinde ortaya konuldu.

29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı, 2 Haziran 2026 tarihli Resmî Gazete’de yayımlandı.

Ardından şirket ve kurumların ilettiği görüş talepleri üzerine Kişisel Verileri Koruma Kurumu 27 Ağustos 2026 tarihinde ilave bir kamuoyu duyurusu yayımlayarak uygulamanın sınırlarını daha açık şekilde ortaya koydu.

Sonuç ve Yapılması Gerekenler:

Bu duyuru sonrası, ortaya çıkan tabloyu basitçe aşağıdaki şekilde özetleyebiliriz:

Mesai takibi: Biyometrik veri yerine alternatif yöntemler kullanılmalı.
“Çalışan rıza verdi”: Tek başına yeterli değil.
“Parmak izi değil, matematiksel kod saklıyoruz” açıklaması yeterli değil, saklanan bilgi yine biyometrik veri olabilir.
Güvenlik amacı: Otomatik yasak değil; ancak gerçek ihtiyaç, gereklilik ve ölçülülük somut olarak ortaya konulmalı.

Şirketler Ne Yapmalı?

Halihazırda personel devam kontrol sisteminde parmak izi, yüz tanıma, avuç içi, damar izi, iris veya benzeri biyometrik sistemlerden yararlanan işletmelerin mevcut uygulamalarını yeniden değerlendirmelerinde fayda bulunuyor. Özellikle şu soruların cevaplanması önemli:

Biyometrik veriyi hangi amaçla işliyoruz? Amaç gerçekten güvenlik mi, yoksa temel amaç mesai giriş-çıkış kaydı oluşturmak mı?
Aynı sonucu kart, PIN veya başka bir sistemle sağlayabilir miyiz? Cevap “evet” ise biyometrik sistemin gerekliliğini savunmak zorlaşacaktır.

Sistemde hangi biyometrik veriler tutuluyor?

Verinin görüntü olarak değil şablon, hash veya matematiksel kod olarak tutulması tek başına KVKK kapsamından çıkarmıyor.

Mevcut veriler ne olacak?

Hukuki sebebi ortadan kalkmış biyometrik verilerin saklanmaya devam edilmesi ayrıca risk yaratabilir. Saklama ve imha süreçleri değerlendirilmelidir.

Biyometrik sistemler şirketlere güçlü kontrol imkânları sağlıyor. Ancak KVKK’nın temel yaklaşımı teknolojiye değil, gerekliliğe bakıyor.

Teknoloji Mümkün Kıldığı İçin Her Veri İşlenmemeli

Bir yöntemin hızlı, güvenilir, ekonomik veya manipülasyona karşı dayanıklı olması o yöntemin kişisel verilerin korunması açısından otomatik olarak ölçülü olduğu anlamına gelmiyor.

Biyometrik Veri Kullanımının Gerekliliği, KVKK Uyumu ve Ötesi

Biyometrik veri işleme faaliyetlerinin gerekliliği ve hukuka uygunluğu, her kurumun faaliyet yapısı, veri işleme amacı ve kullandığı yöntemler dikkate alınarak ayrıca değerlendirilmelidir.

Mevcut uygulamalarınızın KVKK açısından gözden geçirilmesi, biyometrik veri kullanımının gerçekten gerekli olup olmadığının değerlendirilmesi, hukuki sebebi ortadan kalkan veya gereğinden uzun süre saklanan verilerin imha süreçlerinin planlanması ve genel KVKK uyum süreçlerinizin geliştirilmesi konusunda uzman ekibimizden destek alabilirsiniz.

Özellikle tereddüt yaşanan durumlarda, uygulamaya devam etmeden önce yapılacak doğru bir hukuki ve operasyonel değerlendirme, hem kişisel verilerin korunması hem de kurumun olası idari ve hukuki risklerinin azaltılması açısından önem taşımaktadır.

Biyometrik mesai takibi hakkında sıkça sorulan sorular

Parmak iziyle mesai takibi yapılabilir mi?

Kurulun 2026/921 sayılı İlke Kararı doğrultusunda, yalnızca çalışan devam ve mesai takibi amacıyla biyometrik veri işlenmesi yerine kart, PIN veya benzeri alternatif yöntemlerin kullanılması gerekmektedir.

Çalışanın açık rıza vermesi yeterli midir?

Hayır. İşçi-işveren ilişkisindeki güç dengesizliği açık rızanın özgür iradeye dayanmasını etkileyebilir. Ayrıca geçerli açık rıza bulunsa bile işleme faaliyetinin ölçülü olması gerekir.

Parmak izi görüntüsü yerine şablon saklanması KVKK kapsamından çıkar mı?

Hayır. Matematiksel şablon veya kod, kişiyi benzersiz biçimde tanımlamak ya da doğrulamak için kullanılıyorsa biyometrik veri niteliğini koruyabilir.

Güvenlik amacıyla yüz tanıma sistemi kullanılabilir mi?

Somut güvenlik ihtiyacının bulunması, alternatif yöntemlerin yetersiz kalması ve sistemin yalnızca gerekli alanlarla sınırlandırılması durumunda ayrıca değerlendirme yapılabilir. “Güvenlik amacı” ifadesi tek başına yeterli değildir.

Mevcut biyometrik veriler ne yapılmalıdır?

İşleme şartı veya amaç ortadan kalkmışsa verilerin KVKK ve ilgili imha mevzuatı doğrultusunda silinmesi, yok edilmesi veya anonim hâle getirilmesi değerlendirilmelidir.

KVKK Rehberi bu süreçte nasıl destek olur?

KVKK Rehberi; biyometrik veri işleme süreçlerinin analiz edilmesi, alternatif yöntemlerin değerlendirilmesi, saklama-imha süreçlerinin planlanması ve teknik-idari tedbirlerin gözden geçirilmesi konusunda işletmelere uzman desteği sunar.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Her biyometrik veri işleme faaliyeti, somut olayın şartları ve güncel mevzuat çerçevesinde ayrıca değerlendirilmelidir.

KVKK Uyum Analizi Talep Edin: KVKK Uyum Testi | Telefon: 444 4 908