Parmak iziyle giriş-çıkış, yüz tanımalı turnike ya da avuç içi okuyucu… Personel devam takibini dijitalleştirmek isteyen pek çok kurum son yıllarda biyometrik sistemlere yöneldi. Kişisel Verileri Koruma Kurulu (Kurul), bu uygulamayla ilgili 29 Nisan 2026 tarihli ve 2026/921 sayılı bir ilke kararı aldı. Karar, 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlandı. Kişisel Verileri Koruma Kurumu (KVKK) ise 27 Ağustos 2026'da, karara ilişkin görüş taleplerini yanıtlayan bir kamuoyu duyurusu yayımladı.
Bu yazıda kararın ve duyurunun ne söylediğini, kaynak metinlere bağlı kalarak özetliyoruz. Yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez. Kendi uygulamanız için hukuk danışmanınızın değerlendirmesini almanız gerekir.
Kurul neden ilke kararı aldı?
Kararın giriş bölümüne göre, KVKK'ya ulaşan ihbar ve şikâyetlerde en sık karşılaşılan konulardan biri, kurumların çalışan devam takibini dijitalleştirmek ve güvenliği artırmak amacıyla biyometrik tanımlama sistemlerine yönelmesi. Kurul, Kanun'un 15'inci maddesinin altıncı fıkrasına dayanıyor: bu hüküm, ihlalin yaygın olduğunun tespiti hâlinde Kurul'un ilke kararı alıp yayımlamasını öngörüyor.
Karar, biyometrik veriye örnek olarak parmak izi, yüz tanıma, iris ve retina taramasını sayıyor. Bu verilerin önemli bir özelliğine de dikkat çekiyor: ele geçirildiklerinde değiştirilmeleri ya da geri alınmaları mümkün değil. Bir şifre sızdığında değiştirilebilir; bir parmak izi değiştirilemez.
Kararın üç temel tespiti
Karar metni, sonuç bölümünde üç değerlendirmeyi öne çıkarıyor.
1. "Kanunlarda açıkça öngörülme" şartı karşılanmıyor. Karara göre İş Kanunu ve Çalışma Süreleri Yönetmeliği, işverene çalışma sürelerini takip etme ve uygun araçlarla belgeleme yükümlülüğü getiriyor. Ancak takibin biyometrik sistemlerle yapılmasını öngören açık bir kanun hükmü bulunmuyor. Kurul bu nedenle biyometrik mesai takibinin bu işleme şartına dayandırılamayacağını belirtiyor.
2. Açık rıza tek başına yeterli zemin sayılmıyor. Karar, uygulamada bu faaliyetlerin çoğunlukla çalışanın açık rızasına dayandırıldığını tespit ediyor. Kurul'a göre işçi-işveren ilişkisindeki güç dengesizliği, rızanın özgür iradeye dayanıp dayanmadığı konusunda ciddi tereddüt yaratıyor. Rıza vermemenin çalışan açısından olumsuz sonuç doğurabileceği durumlarda, çalışanın gerçek bir seçeneği olduğundan söz edilemeyeceği değerlendiriliyor. Karar ayrıca rızanın her an geri alınabilmesinin, sistemin sürekliliğini zedeleyeceğine işaret ediyor.
3. Ölçülülük ilkesi sağlanmıyor. Kararın belki de en belirleyici noktası bu. Kurul, Kanun'un 4'üncü maddesindeki "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesinden hareket ediyor. Karara göre şifreli kart veya PIN tabanlı sistemler, imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatifler mevcut. Kurul, bu alternatiflerin varlığının biyometrik veri işlemenin zorunlu olmadığını gösterdiğini belirtiyor. Mesai takibi ise karar metninde sınırlı bir idari amaç olarak nitelendiriliyor.
Bu üç tespitin vardığı sonuç, KVKK'nın 27 Ağustos duyurusunda da kısaca özetleniyor: yalnızca mesai takibi amacıyla yapılan biyometrik veri işleme, Kanun'un 6'ncı maddesindeki işleme şartlarının hiçbirine dayanmıyor; geçerli bir açık rıza bulunsa dahi ölçülülük kriterini sağlamıyor.
Karar yargı kararlarına da atıf yapıyor
İlke kararı, değerlendirmesini yalnız Kanun metnine değil, yargı kararlarına da dayandırıyor. Metinde, parmak izi sistemiyle mesai takibine ilişkin bir bireysel başvuruda Anayasa Mahkemesi'nin 10 Mart 2022 tarihli kararına yer veriliyor. Karara göre Anayasa Mahkemesi, ilgili mevzuatta biyometrik takip sistemlerine dair temel esasları belirleyen bir düzenleme bulunmadığı gerekçesiyle, kişisel verilerin korunmasını isteme hakkının ihlal edildiğine hükmetmiş. Karar ayrıca avuç içi damar okuyucuyla mesai takibine ilişkin bir Danıştay kararına ve bu kararın temyiz aşamasına atıf yapıyor.
İstisna: çok katmanlı güvenlik gerektiren alanlar
KVKK'nın Ağustos duyurusu, kararın kapsamına ilişkin önemli bir açıklama içeriyor. Duyuruya göre bazı tesis ve faaliyet alanları, taşıdıkları güvenlik riski nedeniyle genel değerlendirmeden ayrılıyor. Bu alanlarda biyometrik sistemler kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin parçası hâline geliyor.
Ancak duyuru bu istisnayı da koşullara bağlıyor. KVKK'ya göre bu alanlarda da işleme faaliyetinin yalnız gerekli kritik alanlar ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işlemenin somut güvenlik ihtiyacıyla ölçülü olması gerekiyor.
Duyurunun sonuç bölümü iki ayrım yapıyor:
- Mesai takibi amacıyla yapılan biyometrik veri işlemede veri sorumluları ilke kararı doğrultusunda hareket etmeli.
- Mesai takibi dışındaki biyometrik veri işleme faaliyetleri ilke kararı kapsamında değerlendirilmiyor. Bunların hukuka uygunluğunu, amaç, işin niteliği ve somut olayın özelliklerine göre veri sorumlusu kendisi değerlendirmeli; şikâyet hâlinde Kurul her olayı ayrıca inceleyecek.
Duyuru, görüş taleplerinde dile getirilen bir itiraza da yanıt veriyor. Bazı başvurular, verinin matematiksel bir koda çevrilerek saklanması hâlinde biyometrik veri sayılmaması gerektiğini ileri sürmüş. KVKK'ya göre verinin koda çevrilerek saklanması, biyometrik veri niteliğini ortadan kaldırmıyor.
Uyulmazsa ne olur?
Karar metnine göre Kurul, belirtilen hususları Kanun'un 12'nci maddesi kapsamında veri sorumlularının alması gereken idari ve teknik tedbirlerden sayıyor. Bu hususlara uygun hareket edilmediğinin tespiti hâlinde Kanun'un 18'inci maddesi uyarınca işlem tesis edileceği belirtiliyor. Somut bir yaptırımın ne olacağı ise her olayın kendi değerlendirmesine bağlı.
Şirketler neyi gözden geçirebilir?
Aşağıdaki adımlar, kaynak metinlerden türetilmiş genel bir çerçevedir; hukuki değerlendirmenin yerini tutmaz.
- Envanter çıkarın. Kurumda parmak izi, yüz tanıma, avuç içi ya da benzeri biyometrik veri işleyen tüm sistemleri ve lokasyonları listeleyin.
- Amacı netleştirin. Her sistem için temel amacın mesai takibi mi, yoksa kritik alanlara erişim kontrolü mü olduğunu yazılı hâle getirin. KVKK duyurusuna göre belirleyici olan, işlemenin mesai takibi amacını aşıp aşmadığı.
- Alternatifi planlayın. Mesai takibi için kararın saydığı kart, PIN, NFC ya da kayıt tabanlı yöntemlere geçişin süresini ve etkisini değerlendirin; bordro ve vardiya sistemleriyle entegrasyonu baştan düşünün.
- Biriken veriyi ele alın. Kullanımdan kalkacak sistemlerdeki biyometrik kayıtların silinmesi veya yok edilmesi sürecini hukuk ekibinizle birlikte planlayın.
- Metinleri güncelleyin. Aydınlatma metinleri, açık rıza formları ve kişisel veri envanterinin yeni duruma uyumlu olup olmadığını kontrol edin.
Sonuç
Kurul'un 2026/921 sayılı ilke kararı ve KVKK'nın Ağustos duyurusu birlikte okunduğunda mesaj net: yalnız mesai takibi için biyometrik veri işlenmesi, kaynaklara göre ölçülü bulunmuyor; güvenlik odaklı istisna ise dar ve koşullu.
Orient Global'in bakışıyla, bu karar bir teknoloji geri adımı olarak görülmek zorunda değil. Devam takibini kart ya da PIN tabanlı sistemler gibi daha az müdahaleci yöntemlere taşımak, aynı zamanda bordro ve vardiya süreçlerini sadeleştirmek için de bir fırsat olabilir. Önemli olan, geçişi hukuk ekibiyle birlikte, sistemleri ve veriyi kayıt altına alarak planlı biçimde yapmak.
#interimmanagement #forwarddeployedengineering