Giriş: Neler Oldu?
Türkiye'de yıllardır binlerce işyerinde kullanılan parmak izi okuyucular, yüz tanıma terminalleri ve iris tarama sistemleri artık geçmişte kaldı. Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi. Karar, mesai takibi amacıyla biyometrik verilerin işlenmesini çalışanın açık rızası olsa dahi hukuka aykırı kabul ediyor.
Bu düzenleme yalnızca özel sektör şirketlerini değil, kamu kurum ve kuruluşlarını da doğrudan bağlıyor. Kararın arka planında, bir belediyede parmak iziyle mesai takibine tabi tutulan bir memurun açtığı dava ve bu davada Anayasa Mahkemesi'nin verdiği ihlal kararı bulunuyor. AYM, 657 sayılı Devlet Memurları Kanunu ile 5393 sayılı Belediye Kanunu'nda biyometrik veri işlemeye ilişkin temel esasları belirleyen bir yasal düzenleme bulunmadığını tespit ederek kişisel verilerin korunmasını isteme hakkının ihlal edildiğine hükmetmişti. KVKK'nın yeni ilke kararı, bu içtihadı tüm işyerlerini kapsayacak şekilde genelleştiriyor.
KVKK Kararının Gerekçesi Nedir?
Kurul, kararında biyometrik verilerin niteliğine özellikle dikkat çekiyor. Parmak izi, damar izi, yüz ve el geometrisi, ses tınısı, iris ve retina taraması gibi veriler kişiye özgü, değiştirilemez ve geri döndürülemez niteliktedir. Bu özellik, söz konusu verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında "özel nitelikli kişisel veri" sayılmasına yol açar; bir kredi kartı numarası değiştirilebilirken, bir parmak izi veya yüz verisi bir kez sızdırıldığında telafisi mümkün olmayan bir risk doğurur.
Kararın temelinde iki ana gerekçe öne çıkıyor:
Rızanın Özgür İradeye Dayanmaması Sorunu
İşçi-işveren ilişkisindeki yapısal güç dengesizliği, işten çıkarılma korkusu veya kariyer kaygısı nedeniyle çalışanın verdiği "açık rızanın" gerçekten özgür bir iradeyi yansıtıp yansıtmadığı konusunda ciddi şüpheler doğuruyor. Kurul, bu nedenle mesai takibi gibi bir amaç için alınan rızanın tek başına hukuki dayanak oluşturamayacağını vurguluyor.
Ölçülülük ve Gereklilik İlkesine Aykırılık
Kurula göre işverenin çalışanların mesaisini takip etme yükümlülüğü bulunsa da, bu amaca ulaşmak için mutlaka biyometrik veri işlenmesi gerekmiyor. Kart, PIN kodu, mobil uygulama gibi çok daha az müdahaleci yöntemlerle aynı sonuca ulaşmak mümkünken, kalıcı ve hassas nitelikteki biyometrik verilerin toplanması "gereklilik" ve "veri minimizasyonu" ilkeleriyle bağdaşmıyor.
Kararın Kapsamı: Hangi Sistemler Etkileniyor?
İlke kararı aşağıdaki biyometrik tanımlama yöntemlerinin tamamını kapsıyor:
- Parmak izi okuyucular
- Yüz tanıma sistemleri
- İris ve retina taraması
- El geometrisi ölçümü
- Ses tanıma (ses tınısı) sistemleri
- Damar izi okuyucular
Karar özellikle "mesai takibi" gibi idari/yönetsel bir amaç için kullanılan sistemleri hedef alıyor. Güvenlik amaçlı, örneğin çok yüksek riskli alanlara erişim kontrolü gibi farklı ve daha ağır basan meşru menfaatlerin bulunduğu senaryolar ayrı bir değerlendirmeye tabi olabilir; ancak sıradan bir ofis veya işyerinde yalnızca giriş-çıkış saatini kaydetmek için biyometrik veri kullanımı artık hukuka aykırı kabul ediliyor.
İşletmeler İçin Risk Nedir?
Karara rağmen biyometrik sistemleri kullanmaya devam eden işletmeler birden fazla hukuki riskle karşı karşıya kalabilir:
İdari Para Cezaları
KVKK'nın 2026 yılı için güncellenen ceza tarifesine göre:
- Veri güvenliği yükümlülüklerinin yerine getirilmemesi (Madde 12) kapsamında yaklaşık 256.357 TL ile 17.092.242 TL arasında idari para cezası uygulanabiliyor.
- VERBİS'e kayıt ve bildirim yükümlülüğüne aykırılık (Madde 16) durumunda ise 341.809 TL ile 17.092.242 TL arasında ceza söz konusu olabiliyor.
Bu tutarlar her yıl yeniden değerleme oranına göre artırıldığından, işletmeler için mali risk giderek büyüyor.
Hukuki ve Cezai Sorumluluk
İdari para cezalarının yanı sıra, hukuka aykırı biyometrik veri işleme:
- Çalışanların açabileceği maddi ve manevi tazminat davalarına,
- Türk Ceza Kanunu kapsamında kişisel verilerin hukuka aykırı kaydedilmesi suçu nedeniyle cezai soruşturmalara
yol açabiliyor.
İşletmeler Ne Yapmalı? Uyum Süreci İçin Adımlar
Kararla uyumlu hale gelmek isteyen işverenler için izlenebilecek adımlar şu şekilde özetlenebilir:
Mevcut Durumu Tespit Edin
İşyerinde parmak izi veya yüz tanıma terminali kullanılıyorsa, bu cihazlar aracılığıyla hangi biyometrik verilerin toplandığını belirleyin ve veri envanterinizi güncelleyin.
Kayıtları Gözden Geçirin
Hangi çalışanlara ait hangi biyometrik verilerin ne kadar süredir saklandığını kayıt altına alın.
İmha Planı Hazırlayın
Yeni sisteme geçişin ardından, saklanmaya devam etmesi için hukuki dayanağı kalmayan biyometrik verileri KVKK mevzuatına uygun şekilde silin veya geri döndürülemez biçimde anonim hale getirin.
Uyumlu Bir Alternatife Geçin
Biyometrik veri toplamayan bir Personel Devam Kontrol Sistemi (PDKS) çözümüne geçiş yapın.
Aydınlatma Metinlerini Yenileyin
Yeni sisteme uygun KVKK aydınlatma metnini ve çalışan bilgilendirme süreçlerini güncelleyin.
Yasal Alternatifler: Biyometrik Veri Kullanmadan Mesai Takibi
KVKK kararı, mesai takibinin daha az müdahaleci yöntemlerle yapılabileceğini açıkça belirtiyor. İşletmelerin değerlendirebileceği başlıca alternatifler şunlar:
- Şifreli kart veya PIN tabanlı sistemler: Manyetik veya çipli kartlarla, çalışana özel bir şifre kullanılarak giriş-çıkış kaydı tutulabilir.
- RFID/NFC kartlar: Temassız kart teknolojisiyle hızlı ve güvenli bir takip imkânı sağlanabilir.
- Mobil uygulama tabanlı PDKS çözümleri: Çalışanların akıllı telefonları üzerinden konum doğrulamalı veya QR kod okutmalı giriş-çıkış bildirimi yapabildiği sistemler, kurulum gerektirmeden ve biyometrik veri toplamadan hızlı bir geçiş imkânı sunuyor.
- Barkod/QR kod tabanlı kartlar: Düşük maliyetli ve basit bir alternatif olarak tercih edilebiliyor.
Bu yöntemlerin ortak noktası, çalışanın kimliğini doğrulamak için geri döndürülemez ve kalıcı bir biyolojik özelliğe değil, değiştirilebilir ve iptal edilebilir bir kimlik doğrulama aracına (kart, şifre, cihaz) dayanmasıdır.
Sonuç
KVKK'nın 2026/921 sayılı ilke kararıyla, işyerlerinde parmak izi ve yüz tanıma gibi biyometrik yöntemlerle mesai takibi yapılması dönemi resmen kapanmış oldu. Karar, çalışanın rızası bulunsa dahi bu uygulamaların ölçülülük ve gereklilik ilkelerine aykırı olduğunu ortaya koyuyor. İşletmelerin idari para cezası, tazminat davaları ve cezai sorumluluk riskleriyle karşılaşmamak için mevcut biyometrik sistemlerini gözden geçirmesi, toplanan verileri hukuka uygun şekilde imha etmesi ve kart, PIN veya mobil uygulama tabanlı alternatif çözümlere geçiş yapması büyük önem taşıyor.
