Kural olarak hayır. Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararına göre mesai takibini biyometrik sistemle yapmayı öngören açık bir kanun hükmü yoktur ve istihdam ilişkisindeki güç dengesizliği nedeniyle açık rıza tek başına yeterli değildir. Ölçülülük ölçütlerini karşılamayan uygulama açık rıza olsa bile hukuka aykırıdır. Kart, şifre, RFID/NFC veya imza gibi yöntemler kullanılmalıdır.
Biyometrik mesai takibi, çalışanların işe giriş ve çıkış saatlerinin parmak izi, yüz geometrisi, avuç içi damar yapısı gibi biyometrik verilerle kaydedilmesidir. Biyometrik veri KVKK'nın 6. maddesinde özel nitelikli kişisel veri olarak sayılır ve ancak sınırlı şartlarla işlenebilir.
Kurulun İlke Kararı ne diyor?
Kişisel Verileri Koruma Kurulu, 29/04/2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”nı aldı. Karar 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlandı.
Karara göre İş Kanunu ve Çalışma Süreleri Yönetmeliği işverene çalışma süresini belgeleme yükümlülüğü verir; ancak bu takibin biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme yoktur. Kurulun ifadesiyle bu durumda mesai takibinin biyometrik verilerle yapılması “hukuka aykırılık teşkil edebilecektir”.
Kurul ayrıca işçi ile işveren arasındaki yapısal güç dengesizliği nedeniyle açık rızanın özgür iradeye dayanıp dayanmadığının tartışmalı olduğunu ve rızanın geri alınabilmesinin sistemin sürekliliğini zedelediğini belirtti. Ölçülülük yönünden ise net bir hüküm kurdu: ölçütleri karşılamayan bir uygulama, “ilgili kişinin açık rızası bulunsa dahi hukuka aykırı kabul edilecektir”.
Hangi takip yöntemi KVKK'ya uygun?
Aşağıdaki tablo kararın değerlendirmesine ve önerdiği alternatif yöntemlere göre hazırlandı. “Riskli” ifadesi kararın “hukuka aykırılık teşkil edebilecektir” değerlendirmesini karşılar.
| Yöntem | KVKK açısından | Not |
|---|---|---|
| Parmak izi okuyucu | Riskli | Kararın doğrudan konusu; açık rıza tek başına yetmez. |
| Yüz tanıma | Riskli | Yüz geometrisi kararda biyometrik veri örneği olarak sayılır. |
| Avuç içi damar okuyucu | Riskli | Kararda atıf yapılan Danıştay kararı bu sisteme ilişkindir. |
| Şifreli kart veya PIN | Kararın önerdiği yöntem | Biyometrik veri işlemez. |
| RFID/NFC kimlik kartı | Kararın önerdiği yöntem | Kart paylaşımı gibi kötüye kullanıma karşı idari tedbir gerekir. |
| İmza ve kâğıt devam çizelgesi | Kararın önerdiği yöntem | Çizelgelerin saklanması ve erişimi ayrıca düzenlenmeli. |
| Denetçi gözetiminde elle giriş | Kararın önerdiği yöntem | Küçük işyerleri için pratik bir seçenek. |
Güvenlik amaçlı biyometrik geçiş de yasak mı?
İlke Kararı yalnızca mesai takibi amacını düzenler; kararın kendisinde bir istisna hükmü yoktur. Kurum, kararla ilgili görüş taleplerine ilişkin sonraki kamuoyu duyurusunda çerçeveyi açıkladı: kritik ve yüksek güvenlik riski taşıyan alanlarda biyometrik veri işlenmesi mümkündür.
Bunun şartları da duyuruda yer alıyor: işleme gerekli olan kritik alanlar ve kişilerle sınırlı tutulmalı, alternatif yöntemler yetersiz kalmalı ve işleme somut güvenlik ihtiyacıyla ölçülü olmalıdır. Duyuruya göre mesai takibi dışındaki biyometrik işlemeyi veri sorumlusu kendisi değerlendirir; Kurul gelen şikâyetleri olay bazında inceler. Aynı sistemin hem kritik alan geçişinde hem mesai takibinde kullanılması ise mesai takibi yönünden kararın kapsamına girer.
Sık karşılaşılan yanılgılar
“Açık rıza aldık, sorun yok”: Kurula göre istihdam ilişkisinde açık rıza kural olarak yeterli bir hukuki zemin oluşturmaz; ölçülü olmayan uygulama rıza olsa da hukuka aykırıdır.
“Parmak izini değil, şablonunu saklıyoruz”: Kurumun duyurusuna göre verinin matematiksel bir koda veya şablona çevrilmesi biyometrik niteliğini ortadan kaldırmaz.
“Kanun mesai kaydı tutmamızı istiyor”: Kanun çalışma süresinin belgelenmesini ister; bunun biyometrik sistemle yapılmasını öngörmez. Kararın temel gerekçesi budur.
“Çalışan istemezse karta geçer”: İsteğe bağlı görünen sistemler de güç dengesizliği nedeniyle rızanın özgürlüğünü tartışmalı kılar. Kararın önerisi, takibin baştan alternatif yöntemlerle yapılmasıdır.
Yargı kararları da aynı yönde
Kurul, kararında yargı içtihadına da atıf yaptı. Anayasa Mahkemesi Genel Kurulu, 10/03/2022 tarihli ve 2018/11988 başvuru numaralı kararında bir belediyede parmak izi ile mesai takibinde kanunilik şartının sağlanmadığına ve kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar verdi.
Danıştay 12. Dairesinin 2021/3870 E., 2023/2548 K. sayılı kararı avuç içi damar okuyucu sistemine ilişkindir ve İdari Dava Daireleri Kurulunun 2024/225 E., 2024/2625 K. sayılı kararıyla onanmıştır. Kurul ayrıca 01/12/2020 tarihli ve 2020/915 sayılı kendi kararına atıf yaptı.
Sonuç
Biyometrik mesai takibi, 2026/921 sayılı İlke Kararından sonra kural olarak KVKK'ya uygun değildir ve açık rıza bu sonucu tek başına değiştirmez. Kararda bir uyum süresi yer almıyor; Kurul, hükümlere uyulmadığının tespiti hâlinde KVKK'nın 18. maddesi uyarınca işlem tesis edileceğini belirtiyor.
İşverenler için güvenli yol, mesai takibini kart, şifre, RFID/NFC veya imza gibi yöntemlere taşımak ve biyometrik sistemi yalnızca gerçekten gerekli kritik alanlarla sınırlı tutmaktır. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Sık Sorulan Sorular
Kural olarak hayır. 2026/921 sayılı İlke Kararına göre istihdam ilişkisindeki güç dengesizliği nedeniyle açık rıza tek başına yeterli bir hukuki zemin oluşturmaz. Ölçülülük ölçütlerini karşılamayan bir uygulama açık rıza olsa bile hukuka aykırı kabul edilir.
Hayır. Kararın metninde uyum süresi veya geçiş hükmü yer almıyor. Kurul, hükümlere uyulmadığının tespiti hâlinde KVKK'nın 18. maddesi uyarınca işlem tesis edileceğini belirtiyor.
Kararda önerilen alternatifler şifreli kart veya PIN tabanlı sistemler, RFID/NFC kimlik kartları, imza ve kâğıt bazlı devam çizelgeleri ve denetçi gözetiminde elle giriştir.
Kurumun duyurusuna göre kritik ve yüksek güvenlik riski taşıyan alanlarda mümkündür; ancak işleme gerekli alanlar ve kişilerle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve işleme somut güvenlik ihtiyacıyla ölçülü olmalıdır.
Hayır. Kurumun duyurusuna göre biyometrik verinin matematiksel bir koda veya şablona dönüştürülmesi, verinin biyometrik niteliğini ortadan kaldırmaz.
Mesai takibi sisteminizi birlikte değerlendirelim
Mevcut takip sisteminizin İlke Kararı karşısındaki durumunu, uygun alternatif yöntemi ve çalışan aydınlatma metinlerinizi birlikte gözden geçirelim. Telefon: 444 4 908
Danışmanlık görüşmesi talep edinKaynaklar
- Kişisel Verileri Koruma Kurulunun 29/04/2026 tarihli ve 2026/921 sayılı Kararı (Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı) — Resmî Gazete, 02.06.2026, sayı 33268 — Resmî Gazete (2026-06-02)
- 2026/921 sayılı İlke Kararına ilişkin görüş talepleri hakkında kamuoyu duyurusu — Kişisel Verileri Koruma Kurumu
- İlke Kararları — Kişisel Verileri Koruma Kurumu
