Giriş
Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, işyerlerinde parmak izi ve yüz tanıma gibi biyometrik yöntemlerle mesai takibi yapılmasına son verdi. Karar, 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiş olup, hem özel sektör işverenlerini hem de kamu kurumlarını doğrudan ilgilendiriyor. Bu gelişme, Türkiye'deki binlerce işyerinde kullanılan Personel Devam Kontrol Sistemleri'nin (PDKS) baştan aşağı gözden geçirilmesini zorunlu kılıyor. Peki işverenler bu değişime nasıl hazırlanmalı, hangi adımları hangi sırayla atmalı? Bu rehberde, PDKS sistemlerinin dönüşüm sürecini ve uyum yol haritasını alt başlıklar halinde ele alıyoruz.
PDKS Sistemlerinde Neler Değişiyor?
Karardan önce yaygın olarak kullanılan PDKS altyapıları büyük ölçüde biyometrik doğrulamaya dayanıyordu: parmak izi okuyucular, yüz tanıma terminalleri, bazı üst düzey uygulamalarda ise iris veya el geometrisi tarayıcıları. Yeni dönemde bu cihazların "mesai takibi" amacıyla kullanılması hukuka aykırı kabul edildiği için, PDKS altyapısının kimlik doğrulama katmanının tamamen değiştirilmesi gerekiyor. Bu değişim yalnızca donanımı değil, yazılım altyapısını, veri saklama politikalarını ve aydınlatma metinlerini de kapsayan bütüncül bir dönüşüm anlamına geliyor.
Mevcut Sistemlerin Durumu: Ne Yapılmalı?
1. Envanter Çıkarma
Uyum sürecinin ilk adımı, işyerinde kullanılan tüm PDKS cihazlarının ve bu cihazların topladığı veri türlerinin tam bir envanterinin çıkarılmasıdır. Hangi şubede, hangi model cihazın kullanıldığı, bu cihazların yalnızca yerel olarak mı yoksa bulut sunucularında mı veri sakladığı netleştirilmelidir.
2. Mevcut Biyometrik Verilerin Tespiti
İşe giriş sırasında alınmış parmak izi şablonları, yüz tanıma için oluşturulmuş yüz vektörleri gibi veriler sistemde ne kadar süredir tutuluyor, kaç çalışana ait bu tür veri bulunuyor -- bunlar netleştirilmelidir. Bu tespit, hem imha planının hem de olası bir KVKK denetiminde ibraz edilecek belgelerin temelini oluşturur.
3. Hukuki Dayanağın Ortadan Kalktığının Tespiti
Yeni ilke kararıyla birlikte, mesai takibi amacıyla toplanmış biyometrik verilerin saklanmaya devam edilmesi için artık hukuki bir dayanak kalmamıştır. Bu nedenle söz konusu veriler "amaç ve sürenin sona ermesi" gerekçesiyle imha yükümlülüğü kapsamına girer.
Verilerin İmhası: Nasıl Yapılmalı?
6698 sayılı Kanun ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca, hukuki dayanağı kalmayan biyometrik veriler için üç yöntemden biri uygulanabilir:
- Silme: Verinin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hale getirilmesi.
- Yok etme: Verinin hiçbir kayıt ortamında kalmayacak şekilde tamamen ortadan kaldırılması.
- Anonim hale getirme: Verinin, başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi.
Biyometrik verilerin hassasiyeti göz önüne alındığında, işverenlerin bu süreci bir kişisel verileri saklama ve imha politikası çerçevesinde belgelemesi, imha işlemine ilişkin tutanak düzenlemesi ve bu kayıtları ileride ibraz edebilecek şekilde saklaması önerilir.
İmha Süreci Kontrol Listesi
- Hangi verinin, hangi tarihte, hangi yöntemle imha edildiğinin kayıt altına alınması
- İmha işlemine ilişkin tutanağın imzalanması
- Cihaz üreticisi veya PDKS yazılım sağlayıcısıyla birlikte yedeklerin de temizlendiğinin teyit edilmesi
- VERBİS kayıtlarının güncellenmesi
Yeni Nesil PDKS Çözümleri: Hangi Teknolojiler Uyumlu?
İşverenlerin biyometrik veri toplamadan mesai takibi yapabilmesi için değerlendirebileceği başlıca alternatifler şunlardır:
Kartlı Sistemler (RFID/NFC)
Çalışana özel, temassız kart okutma sistemleri, hızlı ve düşük maliyetli bir geçiş imkânı sunar. Kartın kaybolması veya çalınması durumunda basitçe iptal edilip yeniden tanımlanabilmesi, biyometrik verilere kıyasla büyük bir avantajdır.
PIN Kodlu Terminaller
Her çalışana özel bir sayısal şifre tanımlanarak giriş-çıkış kaydı tutulabilir. Kartla birlikte çift faktörlü doğrulama (kart + PIN) şeklinde de uygulanabilir.
Mobil Uygulama Tabanlı Çözümler
Çalışanların akıllı telefonları üzerinden QR kod okutma, konum doğrulamalı check-in/check-out veya bildirim onaylı giriş-çıkış sistemleri, ek donanım yatırımı gerektirmeden hızlı bir geçiş sağlayabilir. Özellikle sahada çalışan, çoklu lokasyonlu veya hibrit çalışma modeline sahip işletmeler için esnek bir alternatif oluşturur.
Barkod/QR Kod Kartları
Basılı veya dijital barkod/QR kod içeren kartlar, düşük maliyetli ve kolay entegre edilebilir bir başka seçenektir.
Geçiş Sürecinde İzlenecek Yol Haritası
- Mevcut durum analizi: Kullanılan cihazlar, veri türleri ve saklama süreleri tespit edilir.
- Yeni sistem seçimi: İşletmenin büyüklüğüne, çalışma modeline (ofis/saha/hibrit) ve bütçesine uygun biyometrik olmayan bir PDKS çözümü belirlenir.
- Tedarikçi ile sözleşme güncellemesi: Yeni PDKS sağlayıcısıyla yapılan sözleşmede veri işleme şartları, veri saklama süresi ve veri güvenliği yükümlülükleri netleştirilir.
- Pilot uygulama: Yeni sistem önce bir şube veya departmanda pilot olarak uygulanıp aksaklıklar giderilir.
Kurum geneline yayılım: Pilot sonuçları olumluysa sistem tüm işyerine yaygınlaştırılır. - Eski verilerin imhası: Yeni sisteme geçiş tamamlandıktan sonra eski biyometrik veriler yukarıdaki imha sürecine göre ortadan kaldırılır.
- Aydınlatma metni ve iç politikaların güncellenmesi: Yeni sisteme uygun KVKK aydınlatma metni hazırlanır ve çalışanlara bilgilendirme yapılır.
Aydınlatma Yükümlülüğü ve Çalışan Bilgilendirmesi
6698 sayılı Kanun'un 10. maddesi uyarınca, işverenler yeni PDKS sistemine geçerken çalışanlarını hangi verilerin, hangi amaçla, hangi hukuki sebebe dayanarak işlendiği konusunda yazılı olarak bilgilendirmekle yükümlüdür. Yeni sistemin biyometrik veri toplamadığı, yalnızca kart/PIN/mobil uygulama üzerinden kimlik doğrulaması yapıldığı açıkça belirtilmelidir. Aydınlatma metninin çalışanlara imza karşılığı veya elektronik ortamda onay alınarak tebliğ edilmesi, ileride doğabilecek uyuşmazlıklarda işveren lehine bir belge niteliği taşır.
Uyum Sağlamamanın Getirdiği Riskler
Yeni sisteme geçiş yapmayıp biyometrik PDKS'yi kullanmaya devam eden işverenler şu risklerle karşılaşabilir:
- İdari para cezaları: Veri güvenliği yükümlülüklerine aykırılık ve VERBİS'e ilişkin yükümlülüklerin ihlali durumunda KVKK tarafından yüksek tutarlı idari para cezaları uygulanabilir.
- Tazminat davaları: Çalışanlar, hukuka aykırı biyometrik veri işleme nedeniyle maddi ve manevi tazminat talep edebilir.
- İtibar kaybı: KVKK kararına aykırı davranan işletmelerin bu durumu kamuoyuna yansıyabilir, bu da işveren markasına zarar verebilir.
İşletme Büyüklüğüne Göre Öneriler
- Küçük işletmeler (1-50 çalışan): Mobil uygulama tabanlı, ek donanım gerektirmeyen düşük maliyetli çözümler tercih edilebilir.
- Orta ölçekli işletmeler (50-250 çalışan): Kart tabanlı PDKS sistemleri, merkezi yönetim paneliyle birlikte uygun bir denge sunar.
- Büyük ölçekli işletmeler ve fabrikalar: Kart + PIN kombinasyonu veya kurumsal PDKS yazılımlarıyla entegre çözümler, çok sayıda giriş noktası ve vardiya sistemi olan işletmeler için daha uygundur.
Sonuç
KVKK'nın 2026/921 sayılı ilke kararı, işverenlerin personel devam kontrol sistemlerini kökten gözden geçirmesini gerektiren bir dönüm noktası oldu. Bu süreçte işverenlerin öncelikle mevcut biyometrik verilerini tespit edip hukuka uygun şekilde imha etmesi, ardından kart, PIN veya mobil uygulama tabanlı biyometrik olmayan bir PDKS çözümüne geçmesi ve son olarak aydınlatma metinlerini güncelleyerek çalışanlarını bilgilendirmesi gerekiyor. Bu adımların zamanında ve eksiksiz atılması, hem yüksek idari para cezalarının hem de olası tazminat davalarının önüne geçilmesini sağlayacaktır.
