Parmak izi, avuç içi ve benzeri biyometrik yöntemlerle çalışanların giriş-çıkış saatlerini takip eden sistemler, uzun süredir işverenler açısından pratik bir personel yönetimi aracı olarak kullanılıyor. Ancak Kişisel Verileri Koruma Kurumunun 27 Ağustos 2026 tarihli kamuoyu duyurusu, bu sistemlerin yalnızca teknik bir tercih olarak değerlendirilemeyeceğini bir kez daha ortaya koydu.
Duyuru, Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” sonrasında Kuruma yöneltilen görüş taleplerine cevap niteliğinde. İşverenler bakımından temel mesaj ise oldukça net: çalışanların mesai sürelerini takip etme yükümlülüğü bulunması, bu takibin biyometrik veri kullanılarak yapılmasını kendiliğinden hukuka uygun hâle getirmiyor.
İşveren Açısından Asıl Soru: Biyometrik Veri Gerçekten Gerekli mi?
KVKK bakımından değerlendirme, yalnızca işverenin meşru bir amacının bulunup bulunmadığı üzerinden yapılmıyor. Personelin işe giriş ve çıkış saatlerinin kayıt altına alınması hukuken kabul edilebilir bir amaç olsa da, bu amaca ulaşmak için seçilen yöntemin de gereklilik ve ölçülülük şartlarını sağlaması gerekiyor.
Kartlı geçiş, kişiye özel şifre, mobil uygulama veya diğer elektronik kayıt yöntemleriyle aynı sonuca ulaşılabiliyorsa, daha yüksek risk taşıyan biyometrik verinin tercih edilmesi ölçülülük bakımından sorun yaratabiliyor.
Bu nedenle şirketlerin değerlendirmeyi “Parmak izi sistemi kullanabilir miyiz?” sorusuyla değil, “Bu amaç için biyometrik veriye gerçekten ihtiyaç var mı?” sorusuyla başlatması daha doğru olacaktır.
Parmak İzinin Görsel Olarak Saklanmaması Sorunu Ortadan Kaldırmıyor
Biyometrik sistem sağlayıcılarının bir kısmı, parmak izi veya avuç içi görüntüsünün doğrudan veri tabanında tutulmadığını; bunun yerine biyometrik örüntünün matematiksel bir şablona veya koda dönüştürüldüğünü belirtiyor.
Kurumun 27 Ağustos tarihli açıklaması bakımından bu teknik ayrım, verinin hukuki niteliğini ortadan kaldırmıyor. Bir kişiyi belirli teknik yöntemlerle benzersiz şekilde tanımlamaya veya kimliğini doğrulamaya yarayan veri, matematiksel koda dönüştürülse dahi biyometrik veri niteliğini koruyor.
Dolayısıyla işverenin veya sistem sağlayıcısının “Biz parmak izi saklamıyoruz, yalnızca şablon saklıyoruz” açıklaması tek başına KVKK kapsamındaki yükümlülükleri bertaraf etmiyor.
Biyometrik Veri Neden Daha Sıkı Korunuyor?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesinde biyometrik veriler özel nitelikli kişisel veri olarak kabul ediliyor. Bunun temel nedeni, bu verilerin kişinin kimliğiyle güçlü ve kalıcı bir bağ taşımasıdır.
Bir kart kaybolduğunda kart yenilenebilir, bir şifre ele geçirildiğinde şifre değiştirilebilir. Buna karşılık kişinin parmak izi veya diğer biyometrik özelliklerinin aynı şekilde değiştirilmesi mümkün değildir. Bu nedenle veri ihlali yaşanması hâlinde ortaya çıkabilecek sonuçlar daha ağır olabilir.
Şirketlerin bu sistemleri değerlendirirken yalnızca kullanım kolaylığına veya personel takibindeki doğruluğa değil, işlenen verinin niteliğine ve olası ihlalin etkilerine de bakması gerekir.
Açık Rıza Almak Tek Başına Yeterli Değil
Uygulamada sık rastlanan yöntemlerden biri, çalışanlardan biyometrik veri işlenmesine ilişkin açık rıza alınmasıdır. Ancak Kurulun yaklaşımında açık rıza, ölçülülük ilkesinden bağımsız bir “genel izin” olarak görülmüyor.
Başka bir ifadeyle, çalışan geçerli bir açık rıza vermiş olsa bile veri işleme faaliyeti amaç için gerekli değilse veya aynı sonuca daha az müdahaleci yöntemlerle ulaşılabiliyorsa, açık rıza tek başına işlemi hukuka uygun hâle getirmeyebilir.
Bu nedenle işverenlerin yalnızca açık rıza metinlerini yenilemesi veya çalışanlardan yeniden imza alması, mevcut biyometrik takip sistemindeki temel hukuki riski çözmeyebilir.
Mesai Takibi ile Güvenlik Amaçlı Kullanım Birbirinden Ayrılmalı
Kurumun açıklamasında dikkat çeken önemli noktalardan biri, biyometrik sistemlerin mesai takibi dışındaki amaçlarla kullanılabileceği durumların ayrıca değerlendirilmesi gerektiğidir.
Örneğin yüksek güvenlik gerektiren bir laboratuvara, veri merkezine, kritik altyapı tesisine veya belirli bir güvenlik bölgesine yalnızca yetkili kişilerin erişebilmesi için biyometrik kimlik doğrulama kullanılması, sıradan personel devam kontrolünden farklı bir hukuki değerlendirmeyi gerektirebilir.
Ancak şirketin genel güvenlik ihtiyacının bulunması, bütün çalışanların her giriş-çıkışında biyometrik veri işlenmesini otomatik olarak haklı hâle getirmez. Değerlendirme yapılırken en azından şu soruların cevaplanması gerekir:
- Korunmak istenen somut güvenlik riski nedir?
- Biyometrik doğrulama hangi alanlarda gerçekten zorunludur?
- Aynı güvenlik seviyesi kart, token, PIN veya çok faktörlü başka yöntemlerle sağlanabilir mi?
- Bütün çalışanların mı, yalnızca belirli yetkili kişilerin mi biyometrik verisinin işlenmesi gerekiyor?
- Toplanan veri ne kadar süre saklanıyor ve kimler erişebiliyor?
Aynı Sistem Hem Mesai Hem Güvenlik İçin Kullanılıyorsa Risk Artıyor
Birçok işletmede turnike veya erişim kontrol sistemi aynı anda hem kapı güvenliği hem de bordro/mesai hesabı amacıyla kullanılıyor. Bu durumda veri işleme amaçlarının birbirine karıştırılması hukuki değerlendirmeyi zorlaştırıyor.
Şirketin belirli bir kritik alanda biyometrik erişim kontrolüne gerçekten ihtiyacı bulunması, aynı biyometrik verinin daha sonra çalışanların günlük çalışma sürelerini hesaplamak için kullanılmasını kendiliğinden meşru hâle getirmez.
Bu nedenle veri sorumlularının teknik sistemi değil, her bir veri işleme amacını ayrı ayrı değerlendirmesi gerekir.
Mevcut Biyometrik Sistemler İçin Şirketler Ne Yapmalı?
2026/921 sayılı İlke Kararı ve 27 Ağustos tarihli açıklama birlikte değerlendirildiğinde, biyometrik personel takip sistemi kullanan şirketlerin mevcut uygulamalarını yeniden gözden geçirmesi gerekir.
Pratik bir uyum incelemesinde şu başlıklar kontrol edilebilir:
- Amaç: Sistem yalnızca mesai takibi için mi, yoksa ayrıca gerçek bir erişim güvenliği ihtiyacı var mı?
- Alternatif yöntemler: Aynı amaç daha az müdahaleci bir teknolojiyle sağlanabilir mi?
- Veri minimizasyonu: Gereğinden fazla çalışan veya alan sisteme dahil edilmiş mi?
- Saklama süresi: Biyometrik şablonlar ne kadar süre tutuluyor ve iş ilişkisi sona erdiğinde nasıl siliniyor?
- Erişim güvenliği: Veriye kimlerin erişebildiği, yetkilerin nasıl sınırlandırıldığı ve kayıtların nasıl korunduğu belirlenmiş mi?
- Aydınlatma: Çalışanlara sistemin amacı, hukuki sebebi, saklama süresi ve aktarım süreçleri açık biçimde anlatılmış mı?
- Tedarikçi ilişkisi: Sistemi sağlayan üçüncü taraf şirketle veri güvenliği ve veri işleyen yükümlülükleri yeterince düzenlenmiş mi?
Önceki Anayasa Mahkemesi Kararı da Aynı Risk Alanına İşaret Ediyordu
Biyometrik mesai takibine ilişkin tartışma yeni değil. Anayasa Mahkemesi daha önce çalışanların parmak iziyle mesai takibine ilişkin bir bireysel başvuruda kişisel verilerin korunması ve özel hayata saygı hakkı açısından ihlal değerlendirmesinde bulunmuştu. Konuya ilişkin önceki değerlendirmemize “Anayasa Mahkemesi, İşçinin Parmak İziyle Mesai Takibini Hak İhlali Saydı” başlıklı yazımızdan ulaşabilirsiniz.
Kurulun 2026 tarihli İlke Kararı ve son kamuoyu duyurusu, işverenler bakımından bu risk alanını daha somut hâle getiriyor.
Sonuç: Sorun Cihazda Değil, Veri İşleme Modelinde
Biyometrik personel takip sistemlerinde hukuki değerlendirme, cihazın markası veya verinin teknik olarak hangi formatta tutulduğu üzerinden yapılmamalıdır. Esas mesele; hangi verinin, hangi amaçla, hangi hukuki gerekçeyle, kimler için ve ne kadar süreyle işlendiğidir.
Özellikle yalnızca mesai takibi amacıyla biyometrik veri kullanan işverenlerin, “açık rıza aldık” veya “parmak izi görüntüsünü saklamıyoruz” gerekçeleriyle mevcut sistemi otomatik olarak hukuka uygun kabul etmemesi gerekir.
Şirketler açısından en güvenli yaklaşım, mevcut sistemi teknik ve hukuki açıdan birlikte inceleyerek daha az müdahaleci yöntemlerin mümkün olup olmadığını değerlendirmek ve biyometrik veri kullanımını yalnızca gerçekten gerekli olduğu alanlarla sınırlandırmaktır.
Kaynaklar
Kişisel Verileri Koruma Kurumu, 27.08.2026 tarihli kamuoyu duyurusu.
Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 02.06.2026 tarihli ve 33268 sayılı Resmî Gazete.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut bir olay bakımından hukuki görüş veya danışmanlık niteliğinde değildir.
