Parmak izi ve yüz tanımayla mesai takibi: 2026/921 sayılı karar ve işverenin yapması gerekenler

Kararın özü

Biyometrik veri, Kişisel Verilerin Korunması Kanunu’nun (KVKK) 6. maddesinde sayılan özel nitelikli kişisel verilerdendir. Kurul’un ilke kararına göre bir işverenin, çalışanlarının işe geliş ve çıkış saatlerini kaydetmek için bu verileri işlemesi hukuka uygun değildir.

Kurul’un gerekçesi üç noktada toplanıyor:

• İşverenin çalışma sürelerini takip etme ve belgeleme yükümlülüğü vardır; ancak mevzuatta bu takibin biyometrik veriyle yapılmasını öngören açık bir hüküm yoktur.
• İşçi ile işveren eşit konumda değildir; rızanın özgür iradeye dayandığı her durumda söylenemez.
• Aynı amaca daha az müdahaleci yöntemlerle ulaşılabilir. Bu durumda biyometrik veri işlemek ölçülülük, gereklilik ve veri en aza indirme ilkeleriyle bağdaşmaz.

Kurul bu yöntemlere örnek olarak şifreli kart ve PIN sistemlerini, RFID/NFC kimlik kartlarını, imza ve kâğıt devam çizelgelerini ve denetçi gözetiminde elle yapılan girişleri sayıyor.

Sık duyulan bir savunmanın cevabı da kararda var. Cihazın parmak izinin kendisini değil, ondan üretilen matematiksel bir şablonu saklaması verinin biyometrik niteliğini değiştirmez.

Açık rıza neden yetmiyor?

Birçok işveren, çalışandan imzalı açık rıza alarak biyometrik sistemi hukuka uygun hale getirdiğini düşünüyordu. Kurul bu yaklaşımı iki açıdan kabul etmiyor. Birincisi, rızasını vermeyen ya da geri çeken çalışanın olumsuz bir sonuçla karşılaşma endişesi taşıması, rızanın özgür iradeye dayanıp dayanmadığı konusunda ciddi şüphe doğurur. İkincisi, geçerli bir rıza olsa bile ölçülülük ilkesi ayrıca sağlanmalıdır; daha az müdahaleci bir yöntem varken biyometrik veri işlemek bu ilkeyi karşılamaz.

Kapsam: neler dahil, neler değil

Karar, çalışanların mesai takibi için biyometrik veri işlenmesini konu alıyor. Kararın ardından gelen sorular üzerine Kişisel Verileri Koruma Kurumu, 27 Ağustos 2026 tarihli kamuoyu duyurusuyla kapsamı netleştirdi. Buna göre mesai takibi dışındaki amaçlarla yapılan biyometrik işlemeler bu ilke kararı kapsamında değerlendirilmeyecek. Bunların hukuka uygunluğu veri sorumlusunun kendi değerlendirmesine bırakıldı.

Örneğin yüksek güvenlikli bir alana girişte biyometrik doğrulama bu ilke kararının konusu değil. Ama orada da gereklilik, ölçülülük ve veri en aza indirme ilkeleri geçerli ve bunların sağlandığını gösterme yükü veri sorumlusunda.

Müşteri ve üye girişleri için ayrı kararlar var; spor salonlarına ilişkin olanları ayrı bir yazıda ele aldık.

Önceki kararlar

Kurul ve Anayasa Mahkemesi 2019’dan beri aynı yönde karar veriyor.

• 2019: Kurul, spor salonlarında üye girişi için avuç içi okutmayı ölçüsüz buldu; biyometrik işlemenin durdurulmasına, toplanan verilerin silinmesine ve idari para cezasına karar verdi (2019/81 ve 2019/165).
• 2020: Kurul, bir belediyede çalışanların parmak iziyle giriş-çıkış takibini ölçülülük ilkesine aykırı buldu (2020/915).
• 2022: Anayasa Mahkemesi, bir belediye çalışanının parmak iziyle mesai takibine itirazı üzerine kişisel verilerin korunmasını isteme hakkının ihlal edildiğine hükmetti (Ramazan Şahin, B. No: 2018/11988, 10.03.2022).
• 2026: Kurul, konuyu tek tek şikâyetlerden çıkarıp bütün veri sorumlularına yol gösteren bir ilke kararına bağladı.

Yaptırımlar

İdari para cezası

KVKK’nın 12. maddesi veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğü yükler. Bu yükümlülüğe aykırılığın yaptırımı 18. maddedeki idari para cezasıdır. Tutarlar her yıl yeniden değerleme oranıyla güncellenir; 2026 için oran %25,49.

Cezai sorumluluk

Türk Ceza Kanunu kişisel verilere ilişkin suçları ayrıca düzenler:

• m.135: Hukuka aykırı olarak kişisel verileri kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir.
• m.136: Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan ya da ele geçiren kişiye iki yıldan dört yıla kadar hapis cezası verilir.
• m.138: Kanunların belirlediği süreler geçtiği halde verileri yok etmekle yükümlü olup bu görevi yerine getirmeyenlere bir yıldan iki yıla kadar hapis cezası verilir.
• m.140: Bu suçlarda tüzel kişiler hakkında güvenlik tedbirlerine hükmedilir.

Ceza sorumluluğu kişiseldir: soruşturma şirketin kendisi hakkında değil, kaydı yapan ya da yapılmasına karar veren kişiler hakkında yürütülür. Bir işlemin suç oluşturup oluşturmadığına mahkeme karar verir; ancak Kurul’un hukuka aykırı saydığı bir kaydı sürdürmek bu riski açıkça artırır.

Çalışanın hakları

Çalışan, KVKK’nın 11. maddesindeki haklarını kullanarak verilerinin silinmesini isteyebilir; işverenden yanıt alamazsa Kurul’a şikâyette bulunabilir ve uğradığı zararın giderilmesini talep edebilir.

Geçiş için adım adım yapılacaklar

1. Envanter çıkarın. Hangi şubede hangi cihaz var, kaç çalışanın verisi tutuluyor, şablonlar nerede saklanıyor (cihazda, şirket sunucusunda, tedarikçide) ve yedekleri nerede?
2. Yeni kayıt almayı durdurun. Yeni işe girenlerden biyometrik kayıt almayın.
3. Biyometrik olmayan bir yöntem seçin. Kart, PIN ya da biyometrik veri kullanmayan bir mobil sistem. Seçim ölçütleri bir sonraki bölümde.
4. Toplanan verileri silin ve kayıt altına alın. Cihazdaki, sunucudaki ve yedeklerdeki şablonlar dahil. Tedarikçiden silindiğine dair yazılı teyit alın. KVKK’nın 7. maddesi ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, silme işlemlerinin kayıt altına alınmasını öngörür.
5. Belgelerinizi güncelleyin. Aydınlatma metni, kişisel veri işleme envanteri, saklama ve imha politikası ve yükümlüyseniz VERBİS kaydınız.
6. Çalışanlara duyurun. Yeni yöntemi, hangi verilerin işlendiğini ve eski biyometrik verilerin silindiğini yazılı olarak bildirin.

Yeni yöntemi seçerken

• Hangi kişisel veriyi işliyor? Kart sistemi kart numarası ve saat, mobil sistem bunlara ek olarak cihaz bilgisi ve konum işler. Konum da kişisel veridir: yalnızca giriş-çıkış anında ve amaçla sınırlı alınmalı, arka planda sürekli izleme yapılmamalıdır.
• Başkası adına kayıt yapılabiliyor mu? Kart ve şifre başkasına verilebilir. Biyometrik sistemlerin en sık öne sürülen gerekçesi buydu; yeni yöntemin bu riski nasıl karşıladığını sorun.
• Kayıtlar değiştirilebiliyor mu? Puantaj uyuşmazlıklarında kaydın güvenilirliği belirleyicidir. Düzeltmeler silinmeden, kimin yaptığı ve gerekçesiyle saklanmalıdır.
• Puantaja nasıl dönüşüyor? Ara dinlenme, fazla çalışma, izin ve hafta tatili hesaba katılıyor mu, İK’nın kullandığı formata aktarılabiliyor mu? Yöntemlerin karşılaştırması için PDKS rehberimize bakabilirsiniz.