Parmak izi ve yüz tanıma ile mesai takibi dönemi bitti: KVKK 2026/921 rehberi

Karar ne diyor?

Kurul, kendisine gelen ihbar ve şikâyetlerde en sık karşılaşılan konulardan birinin işyerlerinin devam takibi için biyometrik tanımlama sistemlerine yönelmesi olduğunu tespit ederek, 6698 sayılı Kanun'un 15. maddesinin 6. fıkrası uyarınca bir ilke kararı aldı. İlke kararları, ihlalin yaygın olduğu konularda tüm veri sorumlularını bağlayan genel bir yol göstericidir.

Kararın gerekçesi üç temel noktaya dayanıyor:

1. Kanunda açık hüküm yok. İş Kanunu ve Çalışma Süreleri Yönetmeliği işverene çalışma sürelerini belgeleme yükümlülüğü getiriyor; ancak bunun biyometrik yöntemle yapılmasını öngören bir düzenleme bulunmuyor. Bu yüzden "kanunlarda açıkça öngörülme" şartına dayanılamıyor.
2. Açık rıza tek başına sağlam bir zemin değil. İşçi-işveren ilişkisindeki güç dengesizliği rızanın özgürlüğünü şüpheli hâle getiriyor.
3. Ölçülülük sağlanmıyor. Kart, PIN, kâğıt çizelge gibi daha az müdahaleci yöntemler varken geri döndürülemez nitelikteki biyometrik veriyi işlemek, ulaşılmak istenen amaçla orantılı görülmüyor.

Karar, bu tespitlere ulaşırken Anayasa Mahkemesi'nin 10.03.2022 tarihli parmak izi kararına ve Danıştay'ın avuç içi damar okuyucuya ilişkin kararlarına da dayanıyor.

Açık rıza neden yetmiyor?

Bugüne kadar birçok işyeri "çalışandan açık rıza formu imzalatıyoruz" diyerek parmak izi sistemini sürdürüyordu. Karar bu yaklaşımı açıkça boşa çıkarıyor:

• Rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalı. İşini kaybetme endişesi taşıyan bir çalışanın "hayır" deme imkânı fiilen sınırlı.
• Rıza her an geri alınabilir. Geri alındığında sistem o çalışan için çalışmaz; bu da biyometrik sistemin sürekliliğini zaten ortadan kaldırır.
• Rıza geçerli olsa bile, daha az müdahaleci alternatifler mevcutken biyometrik veri işlemek ölçülülük ilkesini ihlal eder.

Kurum'un karara ilişkin sonraki kamuoyu duyurusunda ayrıca, parmak izinin veya yüz görüntüsünün matematiksel bir koda (şablona) dönüştürülerek saklanmasının biyometrik veri niteliğini ortadan kaldırmadığı vurgulandı. "Görüntüyü değil şifreli kodu tutuyoruz" savunması mesai takibi için çözüm sayılmıyor.

Kimleri ve hangi sistemleri kapsıyor?

Kapsanan yöntemler: parmak izi okuyucular, yüz tanıma terminalleri, iris ve retina tarayıcılar; avuç içi damar okuyucular da aynı değerlendirmeye tabi. Kısacası kişinin bedenine özgü bir özelliğiyle kimliğini doğrulayan her türlü "mesai takip" sistemi.

Kapsanan işyerleri: çalışan sayısından ve sektörden bağımsız olarak tüm özel sektör işverenleri ile kamu kurum ve kuruluşları. Fabrika, mağaza zinciri, otel, hastane, belediye, okul — mesai takibi yapan herkes.

Uymamanın sonuçları

Karar, belirtilen hususlara uygun hareket edilmediğinin tespiti hâlinde veri sorumluları hakkında 6698 sayılı Kanun'un 18. maddesi gereğince işlem yapılacağını açıkça yazıyor. 18. madde, veri güvenliği yükümlülüklerine ve Kurul kararlarına aykırılık için idari para cezaları öngörüyor; tutarlar her yıl yeniden değerleme oranında artırılıyor.

İdari yaptırımın ötesinde, çalışanların şikâyet hakkı ve iş hukuku boyutu da gündemde. Bazı hukukçular, hukuka aykırı biyometrik veri işlenmesinin çalışan açısından haklı fesih gerekçesi olarak ileri sürülebileceği görüşünde. Bu nedenle konuyu "bir sonraki denetime kadar bekleyebilir" diye ertelemek risklidir.

İşveren ne yapmalı? 6 adım

1. Envanter çıkarın. Hangi şubede, hangi cihazın parmak izi, yüz veya avuç içi ile çalıştığını listeleyin. Cihaz yazılımında ve bilgisayarlarda tutulan biyometrik kayıtları da not edin.
2. Mesai takibini biyometrik olmayan yönteme taşıyın. Kart/PIN, RFID/NFC kart veya telefonla QR okutma. Birçok terminal kart ve şifre ile de çalışabilir; önce bu modu deneyin.
3. Cihazlardaki biyometrik kayıtları silin. Terminaldeki parmak izi şablonlarını ve yüz kayıtlarını, varsa merkezi yazılımdaki kopyaları imha edin; silme işlemini tarih ve kapsamıyla bir tutanakla kayıt altına alın.
4. Aydınlatma metnini ve VERBİS kaydını güncelleyin. Biyometrik veri kategorisini mesai takibi amacından çıkarın; yeni yöntemi (kart, QR, konum vb.) aydınlatma metnine ekleyin.
5. Saklama ve imha politikanızı güncelleyin. Eski biyometrik verilerin imha edildiğini ve bundan sonra toplanmayacağını politika belgesinde açıkça yazın.
6. Çalışanları bilgilendirin. Geçiş tarihini, yeni giriş-çıkış yöntemini ve verilerinin silindiğini duyurun. Bu adım hem güveni artırır hem de olası şikâyetlerin önüne geçer.

Yasal alternatifler karşılaştırması

Karar, alternatifleri açıkça sayıyor. Aşağıdaki tabloda pratik farkları özetledik:

Daha ayrıntılı karşılaştırma için Parmak izi yerine ne kullanılır? ve QR kod ile personel takibi rehberlerimize bakabilirsiniz.

pdksnod ile geçiş

pdksnod, mesai takibini biyometrik veri gerektirmeden yapan bulut tabanlı bir PDKS ve puantaj yazılımıdır:

• Telefonla QR giriş-çıkış: Personel kapıdaki QR'ı kendi telefonundan okutur; konum yarıçapı dışındaki okutmalar reddedilir. Uygulama mağazası gerekmez.
• Kiosk modu: Girişe konan tablette QR kodu sürekli değişir; fotoğrafı çekilip paylaşılamaz.
• Mevcut cihazlarınız: Hikvision, ZKTeco ve Dahua terminallerinden gelen kart ve şifre kayıtlarını otomatik puantaja çevirir. Cihazlardan gelen yüz fotoğraflarını saklamaz, personel fotoğraflarını cihazlara yüz tanıma kaydı olarak göndermez.
• Uyarı: Bir cihaz hâlâ parmak izi veya yüzle kayıt gönderiyorsa yönetici panelinde uyarı gösterir; hangi cihazın moda alınması gerektiğini bilirsiniz.
• Otomatik puantaj: Vardiya, geç kalma, fazla mesai, gece vardiyası ve izinler kendiliğinden hesaplanır.

Sık sorulan sorular

İlgili rehberler

Kaynak: Kişisel Verileri Koruma Kurulu, Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı, Karar No: 2026/921, Karar Tarihi: 29.04.2026 — Resmî Gazete, 02.06.2026, Sayı 33268.
Bu sayfa genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. İşletmenize özgü durumlar için hukuk danışmanınıza başvurun.