Mesai Takibinde Biyometrik Veri KVKK Uyumu — İlke Kararı Sonrası Ne Yapmalı?

Fabrika girişindeki parmak izi okuyucusu yıllardır "standart" kabul ediliyordu. PDKS (Personel Devam Kontrol Sistemi) tedarikçiniz yeni yüz tanıma modülünü önerdi. İK departmanı hız ve güvenlik gerekçesiyle sistemi onayladı. Peki ya çalışanlardan biri KVKK kapsamında başvuru yaptığında ne cevap vereceksiniz?

Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı ile mesai takibi amacıyla biyometrik veri işlenmesine ilişkin çizgiyi kesinleştirdi. Karar 2 Haziran 2026'da Resmî Gazete'de yayımlandı. Sonuç net: Parmak izi, yüz tanıma, iris/retina taraması ve avuç içi damar okuma gibi biyometrik tanımlama sistemleriyle mesai takibi yapmak — açık rıza alınmış olsa bile — kural olarak hukuka aykırıdır.

Bu yazıda, ilke kararının gerekçelerini, KVKK m.6 kapsamındaki özel nitelikli veri statüsünü, alternatif PDKS yöntemlerini ve işverenlerin atması gereken somut uyum adımlarını ele alıyoruz.

2026/921 İlke Kararı Ne Diyor?

KVKK Kurulu, iş yerlerinde mesai takibi amacıyla biyometrik tanımlama sistemlerinin yaygınlaştığını tespit etti. Kurul'un değerlendirmesi üç eksen üzerinde şekillendi:

1. Kanuni dayanak eksikliği: Mevzuatta mesai takibi amacıyla biyometrik veri işlenmesini açıkça öngören bir düzenleme bulunmuyor.
2. Açık rızanın geçersizliği: İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanın rızası özgür iradeye dayanmıyor.
3. Ölçülülük ilkesi ihlali: Daha az müdahaleci alternatif yöntemler varken biyometrik veri işlemenin gerekli olmadığı.

Kararın özü şu cümleyle özetlenebilir: Mesai takibi, sınırlı ve ölçülü bir amaçtır; biyometrik veri işleme müdahalesi ise kalıcı, geri döndürülemez ve yüksek riskli bir müdahaledir. Bu ikisi çoğu senaryoda bir arada hukuka uygun değildir.

Kurul ayrıca şunu vurguladı: İşleme faaliyeti; yöntemin amaca uygunluğu, alternatiflerin tüketilip tüketilmediği ve müdahalenin boyutu açısından ayrı ayrı değerlendirilmeli. Bu üçlü kriteri karşılamayan uygulama, açık rıza bulunsa dahi hukuka aykırı kabul edilir.

Biyometrik Veri Neden Özel Nitelikli? (KVKK m.6)

KVKK m.6, biyometrik verileri özel nitelikli kişisel veri olarak sınıflandırır. Parmak izi, yüz geometrisi, iris deseni ve retina görüntüsü kişiye özgüdür; değiştirilemez ve geri alınamaz niteliktedir.

Özel nitelikli verilerin işlenmesi için KVKK m.6/2'de sayılan şartlardan en az birinin sağlanması gerekir:

• İlgili kişinin açık rızası
• Kanunlarda açıkça öngörülmesi
• Fiili imkansızlık nedeniyle rıza alınamaması ve işlemenin zorunlu olması
• Veri sorumlusunun hukuki yükümlülüğünün yerine getirilmesi
• İlgili kişinin veriyi aleni hale getirmesi
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• Sır saklama yükümlülüğü altında bulunan kişiler tarafından işlenmesi

Mesai takibi için kanuni dayanak yoktur. Açık rıza yolu da ilke kararında kapatılmıştır — çünkü işçi-işveren ilişkisinde rıza özgür iradeyle verilemez. Çalışan, işten çıkarılma baskısı altında rıza vermek durumunda kalabilir; bu durumda rıza KVKK m.3/I-ü anlamında geçerli sayılmaz.

Dolayısıyla mesai takibinde biyometrik veri işleme, m.6 işleme şartlarından hiçbirine dayanamaz.

Açık Rıza Neden Yeterli Değil?

Birçok işveren "çalışanlarımız imzaladı, rızaları var" diyerek biyometrik PDKS'i meşrulaştırmaya çalışıyor. Kurul'un ilke kararı bu yaklaşımı reddediyor.

Gerekçeler:

Güç dengesizliği. İşçi, işveren karşısında eşit konumda değildir. "Rıza vermezsen işten çıkarılırım" veya "sisteme kayıt olmadan maaşını alamazsın" gibi fiili baskılar, rızanın özgür iradeye dayanmadığını gösterir.

Rızanın geri alınması. KVKK m.7 uyarınca ilgili kişi rızasını her zaman geri alabilir. Biyometrik PDKS'te rıza geri alındığında sistemin işlevsiz kalması, rızanın gerçek anlamda "özgür" olmadığını kanıtlar niteliktedir.

Ölçülülük ilkesi (KVKK m.4/2-ç). KVKK m.4'teki genel ilkeler, m.6'daki istisnalardan bağımsız olarak her durumda uygulanır. Geçerli açık rıza olsa bile işleme faaliyeti "işlendikleri amaçla sınırlı ve ölçülü olma" ilkesine aykırıysa hukuka aykırıdır. Kurul, mesai takibinde biyometrik veri işlemenin bu ilkeyi karşılamadığına hükmetti.

Sonuç: Rıza formu yenilemek sorunu çözmez. Çözüm, biyometrik sistemden alternatif yönteme geçmektir.

Kabul Edilen Alternatif PDKS Yöntemleri

Kurul, mesai takibinin aşağıdaki yöntemlerle sağlanabileceğini açıkça belirtti:

Bu yöntemler mesai takibi amacını karşılar; biyometrik veri işleme riskini ortadan kaldırır. Kart/PIN sistemlerinde dikkat edilmesi gereken nokta, kartın başkası tarafından kullanılmasını önlemek için ek tedbirler alınmasıdır (fotoğraflı kart, turnike kontrolü). Ancak bu risk, biyometrik veri ihlalinin yaratacağı telafisi imkansız zararla kıyaslanamaz.

Biyometrik PDKS'ten Çıkış: Adım Adım Uyum Planı

1. Mevcut durum tespiti

• Hangi lokasyonlarda biyometrik okuyucu var? (Parmak izi, yüz tanıma, iris vb.)
• Kaç çalışanın biyometrik verisi sistemde kayıtlı?
• Veriler nerede saklanıyor? (Yerel sunucu, bulut, cihaz hafızası)
• PDKS tedarikçisi kim? Veri işleyen sözleşmesi var mı?

2. Alternatif sisteme geçiş planı

• PIN/kart veya RFID tabanlı sistemi tedarik edin veya mevcut cihazın biyometrik modülünü devre dışı bırakın.
• Geçiş tarihini belirleyin; İK ve çalışan temsilcilerini bilgilendirin.
• Geçiş sürecinde paralel çalışma dönemi planlayın (biyometrik + alternatif).

3. Mevcut biyometrik verilerin imhası (KVKK m.7)

• Sistemdeki tüm biyometrik verileri (parmak izi şablonları, yüz vektörleri vb.) silin.
• PDKS tedarikçisinden de silme teyidi alın.
• İmha işlemini yazılı kayıt altına alın: tarih, kapsam, sorumlu kişi.

4. Aydınlatma metnini güncelleme (KVKK m.10)

• Eski aydınlatma metninde biyometrik veri işleme ifadesi varsa kaldırın veya güncelleyin.
• Yeni PDKS yöntemini (kart/PIN) aydınlatma metnine ekleyin.
• Çalışanları yeni sistem hakkında bilgilendirin.

5. Veri işleme envanterini güncelleme

• Biyometrik mesai takibi kaydını envanterden çıkarın veya "sonlandırıldı" olarak işaretleyin.
• Yeni PDKS faaliyetini (kart/PIN) envantere ekleyin: amaç, hukuki sebep (m.5/2-c: sözleşmenin kurulması veya ifası), veri kategorisi, saklama süresi, tedbirler.
• Veri işleme envanterinin nasıl hazırlanacağı rehberimiz bu adımda yol gösterici olacaktır.

6. Veri işleyen sözleşmesini gözden geçirme (KVKK m.12)

• PDKS tedarikçisi ile KVKK m.12 uyumlu veri işleyen sözleşmesi yapıldığından emin olun.
• Sözleşmede işleme talimatı, gizlilik, alt-işleyen onayı, ihlal bildirimi maddeleri bulunmalıdır.

Mesai Takibi Biyometrik Veri KVKK Uyum Checklist'i

• Tüm lokasyonlardaki biyometrik okuyucular tespit edildi
• Alternatif PDKS yöntemi (kart/PIN/RFID) seçildi ve tedarik edildi
• Geçiş tarihi belirlendi; çalışanlar bilgilendirildi
• Mevcut biyometrik veriler silindi; imha kaydı oluşturuldu
• PDKS tedarikçisinden silme teyidi alındı
• Aydınlatma metni güncellendi (biyometrik ifade kaldırıldı)
• Veri işleme envanteri güncellendi
• Veri işleyen sözleşmesi kontrol edildi
• Erişim yetkileri gözden geçirildi
• Periyodik uyum denetimi takvime eklendi

"Ama Güvenlik İçin Biyometrik Şart" Argümanı

PDKS tedarikçileri ve bazen işverenler, biyometrik sistemin "sahteciliği önlediğini" savunur. Kurul'un ilke kararı bu argümanı doğrudan reddeder: Mesai takibi amacı, biyometrik veri işlemenin yarattığı müdahale boyutuyla orantılı değildir.

Güvenlik amaçlı biyometrik erişim kontrolü (yüksek güvenlikli alanlara giriş) ile mesai takibi farklı amaçlardır. Yüksek güvenlikli tesislerde (veri merkezi, silah deposu) erişim kontrolü için biyometrik sistemler ayrı bir hukuki değerlendirmeye tabidir; ancak bu, mesai takibi amacıyla biyometrik veri işlemenin meşrulaşması anlamına gelmez. Amaç ayrımı envanterde net biçimde kayıt altına alınmalıdır.

İdari Para Cezası Riski (KVKK m.18)

Kurul, ilke kararına aykırı hareket eden veri sorumluları hakkında KVKK m.18 kapsamında idari yaptırım uygulanabileceğini duyurdu. Özel nitelikli kişisel veri ihlalleri, 2026 yılı yeniden değerleme oranı (%25,49) uygulanmış ceza tavanlarında ayrı ve ağır bir kalem olarak değerlendirilir.

Biyometrik PDKS kullanmaya devam etmek, "henüz denetim gelmedi" mantığıyla sürdürülemez. İlke kararları tüm veri sorumluları bakımından bağlayıcıdır; mevcut uygulamaların gecikmeksizin gözden geçirilmesi gerektiği açıkça belirtilmiştir.

Sık Sorulan Sorular

Yüz tanıma da mı yasak? Evet. Yüz tanıma, parmak izi gibi biyometrik veri işler. Mesai takibi amacıyla kullanımı ilke kararı kapsamında hukuka aykırıdır.

Mevcut rıza formları geçerli mi? Hayır. İlke kararı, açık rızanın bu bağlamda geçerli olmadığını hükme bağladı. Form yenilemek çözüm değildir.

Geçiş için ne kadar süremiz var? Karar yayımlandığı andan itibaren bağlayıcıdır. Makul bir geçiş süresi (tedarik, kurulum, veri imhası) planlanmalı; ancak "belirsiz erteleme" savunma oluşturmaz.

Kart/PIN sistemi de kişisel veri işler mi? Evet; giriş-çıkış kaydı kişisel veridir. Ancak biyometrik veri değildir ve m.6 kapsamındaki sıkı şartlara tabi değildir. Hukuki sebep olarak m.5/2-c (iş sözleşmesinin ifası) yeterlidir.

Lexidata Uyum Paneli ile PDKS Sürecinizi Yönetin

Biyometrik PDKS'ten çıkış; envanter güncelleme, aydınlatma revizyonu, veri imha kaydı ve tedarikçi sözleşmesi kontrolünü aynı anda gerektirir. Lexidata uyum paneli, mesai takibi faaliyetinizi envanterde kaydetmenizi; biyometrik veri işleme kaydını sonlandırmanızı; yeni PDKS yönteminin aydınlatma metnini sürümlemenizi ve tedbir bilgilerini tek platformda tutmanızı sağlar.

Denetimde "biyometrik veri hâlâ işleniyor mu, imha edildi mi, alternatif ne zaman devreye alındı" sorusuna belgelenmiş yanıt verebilmek, uyum sürecinin en kritik parçasıdır. Lexidata uyum paneli ile PDKS uyumunuzu sürdürülebilir biçimde yönetebilirsiniz.

İlgili Yazılar

• KVKK Veri İşleme Envanteri Nasıl Hazırlanır? — PDKS faaliyetinizi envantere nasıl kaydedeceğinizi öğrenin
• İşyerinde Güvenlik Kamerası KVKK Uyumu — Kamera sistemlerinde yüz tanıma ve biyometrik özelliklerin sınırları
• 2026 KVKK İdari Para Cezaları — Güncel Tablo ve Risk Haritası — Özel nitelikli veri ihlallerinin ceza riski