Parmak İziyle Mesai Takibinde Yeni Dönem: KVKK, İşverenlerin Biyometrik Veri Kullanımına İlişkin Sınırları Açıkladı

Kişisel Verileri Koruma Kurumu (KVKK), işyerlerinde giderek yaygınlaşan parmak izi, avuç içi, damar izi ve benzeri biyometrik tanımlama sistemleri hakkında uygulamada merak edilen sorulara açıklık getirdi. Kurumun 27 Ağustos 2026 tarihinde yayımladığı kamuoyu duyurusu, çalışanların giriş ve çıkış saatlerini kaydetmek amacıyla kullanılan biyometrik sistemlerin hukuki durumunu yeniden gündemin ilk sıralarına taşıdı.

Açıklamanın temel mesajı oldukça net: İşverenin çalışanların devam durumunu ve çalışma sürelerini takip etme yükümlülüğünün bulunması, bu işlemin mutlaka biyometrik yöntemlerle yapılabileceği anlamına gelmiyor. Parmak izi veya avuç içi verisinin yalnızca işe giriş ve çıkış saatlerini belirlemek için işlenmesi, daha az müdahaleci alternatifler bulunduğu sürece kişisel verilerin korunması hukukundaki gereklilik ve ölçülülük ölçütleriyle bağdaşmayabilir.

Kurumun yeni açıklaması, 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” sonrasında farklı sektörlerden gelen görüş talepleri üzerine hazırlandı. Söz konusu İlke Kararı 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanmıştı. Son duyuru yeni bir ilke kararı getirmekten çok, mevcut kararın kapsamını ve özellikle güvenlik amacıyla yapılan biyometrik veri işlemenin hangi koşullarda farklı değerlendirilebileceğini açıklıyor.

Biyometrik veri neden diğer personel bilgilerinden farklı?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nda biyometrik veriler özel nitelikli kişisel veriler arasında sayılıyor. Özel nitelikli kişisel veriler; kişinin ayrımcılığa uğramasına, kimlik sahteciliğine veya geri döndürülemeyecek zararlara maruz kalmasına yol açabilecek hassas bilgiler içerdiği için daha yüksek korumadan yararlanıyor.

Bir çalışan kartını veya şifresini değiştirebilir. Buna karşılık parmak izi ya da avuç içi geometrisi kişinin yaşamı boyunca büyük ölçüde sabit kalan, kişiye özgü özelliklerdir. Bu verilerin hukuka aykırı biçimde ele geçirilmesi hâlinde klasik bir parola değişikliğiyle riskin tamamen ortadan kaldırılması çoğu zaman mümkün değildir. Bu nedenle işverenin sistemi hızlı, ekonomik veya kullanışlı bulması tek başına biyometrik veri işlemeyi haklı kılmıyor.

KVKK’nın açıklamasında dikkat çektiği konulardan biri de biyometrik verinin sistemde nasıl saklandığıyla ilgili. Bazı işletmeler, parmak izinin görüntüsünü saklamadıklarını; veriyi şablona, sayısal değere veya matematiksel koda dönüştürdüklerini belirterek sistemin biyometrik veri işlemediğini savunabiliyor. Kuruma göre gerçek kişiyi benzersiz şekilde tanımaya veya doğrulamaya elverişli hâle getirilen veri, farklı bir teknik formatta tutulsa da biyometrik niteliğini koruyor. Başka bir ifadeyle, verinin kodlanması güvenlik açısından faydalı bir tedbir olabilir fakat onu KVKK kapsamından çıkarmıyor.

Çalışanın açık rızası sistemi hukuka uygun hâle getirir mi?

Duyurunun en önemli bölümlerinden biri açık rızaya ilişkin değerlendirme. Çalışan ile işveren arasındaki güç dengesizliği nedeniyle iş ilişkilerinde verilen rızanın gerçekten özgür iradeye dayanıp dayanmadığı zaten dikkatle inceleniyor. Ancak 2026/921 sayılı İlke Kararı bunun da ötesine geçiyor. Kurul, yalnızca mesai takibi için biyometrik veri işlenmesinin, geçerli bir açık rıza bulunduğu kabul edilse bile ölçülülük ilkesini karşılamayacağı görüşünde.

Bu yaklaşımın arkasında “aynı amaca daha az veri işleyerek ulaşma” düşüncesi bulunuyor. İşe giriş ve çıkış saatleri; personel kartı, kişiye özel şifre, imza çizelgesi, kurumsal uygulama veya başka yöntemlerle takip edilebiliyorsa çalışanın bedenine ait benzersiz bir özelliğin işlenmesi gereksiz ve aşırı kabul edilebilir. Dolayısıyla işverenin çalışanlardan imzalı bir rıza metni alması, sistemin temelindeki ölçülülük sorununu kendiliğinden çözmüyor.

Bu durum, kişisel veri işleme süreçlerinde açık rızanın her sorunu çözen genel bir izin belgesi olmadığını bir kez daha gösteriyor. Hukuka uygunluk değerlendirmesi yapılırken yalnızca rıza formunun varlığına değil; amaçla bağlantılılık, sınırlılık, veri minimizasyonu, saklama süresi, güvenlik ve alternatif yöntemlerin bulunup bulunmadığına da bakılması gerekiyor.

Kritik tesisler için tamamen yasak getirildi mi?

Kurumun 27 Ağustos açıklaması, tüm biyometrik tanımlama uygulamalarının koşulsuz biçimde yasaklanmadığını da ortaya koyuyor. Bazı tesisler ve faaliyet alanları, taşıdıkları yüksek güvenlik riski nedeniyle sıradan ofislerden farklı özellik gösterebilir. Kritik altyapılar, yüksek güvenlikli üretim bölümleri, korunması gereken özel alanlar veya yetkisiz erişimin ağır sonuç doğurabileceği tesislerde biyometrik kimlik doğrulama, yalnızca mesai kaydı tutan bir araç olmayabilir.

Bununla birlikte “güvenlik” ifadesinin kullanılması otomatik bir istisna yaratmıyor. Biyometrik sistemin gerçekten somut ve ciddi bir güvenlik ihtiyacına cevap vermesi; yalnızca risk bulunan alanlarda ve erişmesi gereken kişiler bakımından uygulanması; kart, şifre veya çok faktörlü başka yöntemlerin neden yetersiz kaldığının gösterilebilmesi gerekiyor. İşlemenin kapsamı ve süresi de amaçla ölçülü olmalı.

Kurum ayrıca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğe yönelik bazı faaliyetlerde Kanun’un 28’inci maddesindeki istisnaların gündeme gelebileceğini hatırlatıyor. Ancak bu hükümler biyometrik veri kullanımına sınırsız bir serbestlik sağlamıyor. Her uygulamanın amacı, risk düzeyi, alternatifsizliği ve kapsamı somut olay özelinde incelenmek zorunda.

İşverenler şimdi ne yapmalı?

Karar ve son açıklama, hâlen parmak izi ya da avuç içiyle personel devam kontrolü yapan özel şirketler ile kamu kurumları açısından kapsamlı bir uyum incelemesini gerekli kılıyor. İlk adım, sistemin gerçek amacını dürüst biçimde belirlemek olmalı. Sistem yalnızca kimin saat kaçta işe geldiğini kaydediyorsa “işyeri güvenliği” şeklinde genel bir gerekçe yazılması yeterli olmayacaktır.

İşverenlerin biyometrik veri envanterini çıkarması; hangi verinin, hangi cihaz ve yazılım üzerinden toplandığını; verinin cihazda mı, yerel sunucuda mı, bulut altyapısında mı tutulduğunu; teknoloji sağlayıcısına veya başka kişilere aktarılıp aktarılmadığını belirlemesi gerekiyor. Mevcut sözleşmeler, saklama süreleri, erişim yetkileri, silme prosedürleri ve olası yurt dışı aktarımlar da incelemeye dâhil edilmeli.

Sistem yalnızca devam kontrolü için kullanılıyorsa kartlı geçiş, kişisel kod, kurumsal mobil uygulama veya uygun başka bir alternatife geçiş planlanabilir. Ancak alternatif yöntemin de sınırsız veri toplamasına izin verilmemeli. Örneğin sürekli konum izleyen bir mobil uygulama, parmak izi sisteminin yerine geçirilse bile yeni ve daha geniş bir mahremiyet sorunu oluşturabilir. Amaç, yalnızca kullanılan teknolojiyi değiştirmek değil, gerekli olan en az veriyi işleyen yöntemi seçmek olmalı.

Hukuki dayanağı kalmayan biyometrik kayıtların silinmesi, yok edilmesi veya anonim hâle getirilmesi de değerlendirilmelidir. Bunun kontrollü ve belgeli bir süreç içinde yapılması; yedeklerin, cihaz hafızalarının ve hizmet sağlayıcılardaki kopyaların unutulmaması önem taşıyor. Çalışanlara yönelik aydınlatma metinleri, saklama ve imha politikaları, veri işleme envanteri ile kurum içi yetkilendirmeler de yeni yapıya göre güncellenmeli.

Teknoloji sağlayıcısıyla yapılan sözleşme yeterli koruma sağlıyor mu?

Biyometrik devam sistemleri çoğu zaman işverenin kendi geliştirdiği bir yazılım değil, dışarıdan satın alınan cihaz ve hizmetlerden oluşuyor. Bu durum sorumluluğu bütünüyle tedarikçiye geçirmiyor. Verinin hangi amaçla ve hangi yöntemle işleneceğine işveren karar veriyorsa, veri sorumlusu sıfatıyla sistemin hukuka uygunluğunu denetlemek zorunda. Cihaz üreticisinin “KVKK uyumlu” şeklindeki genel beyanı da somut işleme faaliyetinin ölçülü olduğunu kanıtlamaya yetmez.

Sözleşmelerde verinin nerede saklandığı, alt hizmet sağlayıcı kullanılıp kullanılmadığı, uzaktan teknik destek sırasında kayıtlara erişilip erişilemediği, güvenlik ihlalinin hangi sürede bildirileceği ve sözleşme sona erdiğinde verilerin nasıl silineceği açıkça düzenlenmeli. Özellikle bulut tabanlı yönetim panellerinde verinin yurt dışına aktarılması ihtimali ayrıca incelenmeli. Sistemi devreden çıkarma kararı verilirse tedarikçiden silme işleminin tamamlandığına ilişkin doğrulanabilir kayıt alınması, yalnızca cihazı kapatmakla yetinilmemesi gerekir.

Uyum yalnızca kişisel veriler biriminin görevi değil

Yeni yaklaşım; insan kaynakları, bilgi güvenliği, hukuk, satın alma ve iş sağlığı-güvenliği birimlerinin birlikte çalışmasını gerektiriyor. İnsan kaynakları devam kontrolü ihtiyacını, güvenlik birimi gerçek erişim risklerini, bilgi teknolojileri teknik veri akışını ve hukuk birimi işleme şartlarını birlikte değerlendirmeli. Aksi hâlde güvenlik amacıyla kurulduğu söylenen bir cihazın uygulamada bordro ve disiplin süreçleri için ayrıntılı hareket kaydı ürettiği gözden kaçabilir.

Yeni sistem alınmadan önce yapılacak mahremiyet ve risk değerlendirmesi, sonradan ortaya çıkacak maliyetleri azaltabilir. Pilot uygulamanın hangi çalışan grubunu kapsadığı, başarısız doğrulamalarda nasıl bir alternatif sunulduğu ve engellilik gibi nedenlerle biyometrik yöntemi kullanamayan kişilere eşdeğer bir yol tanınıp tanınmadığı da değerlendirilmelidir. Böylece uyum süreci yalnızca belge hazırlama çalışması olmaktan çıkar ve sistem tasarımının parçası hâline gelir.

Çalışanlar hangi haklara sahip?

Çalışanlar, işverenlerine başvurarak biyometrik verilerinin işlenip işlenmediğini, işlenmişse hangi amaçla kullanıldığını, kimlere aktarıldığını ve öngörülen saklama süresini sorabilir. Ayrıca şartları oluşmuşsa verinin silinmesini veya yok edilmesini, eksik ya da yanlış kayıtların düzeltilmesini talep edebilir.

Bu başvuruların yalnızca insan kaynaklarına sözlü bildirim şeklinde bırakılmaması, daha sonra doğrulanabilecek yazılı veya elektronik bir yöntemle yapılması uyuşmazlıkların önlenmesine yardımcı olur. Veri sorumlusunun cevabının yetersiz olması, talebin reddedilmesi veya süresinde cevap verilmemesi hâlinde Kanun’da öngörülen şartlar ve süreler çerçevesinde Kişisel Verileri Koruma Kuruluna şikâyet yolu gündeme gelebilir. İş ilişkisinden doğan diğer talep ve uyuşmazlıkların ise ayrıca iş hukuku bakımından değerlendirilmesi gerekebilir.

Yeni açıklama ne anlama geliyor?

KVKK’nın son duyurusu, işyerlerindeki teknoloji kullanımının yalnızca verimlilik veya güvenlik başlığı altında ele alınamayacağını gösteriyor. İşverenlerin çalışma süresini takip etme hakkı ve yükümlülüğü devam ediyor; fakat bu yetkinin çalışanın en hassas kişisel verilerinden biri kullanılarak yerine getirilmesi zorunlu değilse biyometrik sistem hukuki risk doğuruyor.

Öte yandan kritik güvenlik ihtiyacı bulunan tesisler bakımından kapı tamamen kapanmış değil. Bu işletmelerin genel ifadeler yerine somut risk analizi yapması, alternatiflerin neden yetersiz olduğunu belgelemesi ve sistemi yalnızca gerekli alanlarla sınırlandırması gerekecek. Böylece önümüzdeki dönemde tartışmanın “biyometrik sistem var mı?” sorusundan çok “hangi amaçla, nerede, kimler için ve neden alternatifsiz olarak kullanılıyor?” soruları üzerinden ilerlemesi bekleniyor.