Kişisel Verileri Koruma Kurumu (“Kurum”), 27 Ağustos 2026 tarihinde yayımladığı kamuoyu duyurusu ile çalışanların mesai takibinde parmak izi, avuç içi ve benzeri biyometrik verilerin kullanılmasına ilişkin önemli açıklamalarda bulundu.
Söz konusu açıklama, Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” sonrasında farklı sektörlerden Kuruma iletilen görüş talepleri üzerine yayımlandı.
İlke Kararı 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanmıştı. 27 Ağustos tarihli duyuru ise özellikle biyometrik verinin niteliği, bu verilerin mesai takibinde kullanılmasının hukuki dayanağı ve mesai takibi dışında kalan güvenlik amaçlı biyometrik veri işleme faaliyetlerinin hangi koşullarda farklı değerlendirilebileceği konularına açıklık getiriyor.
Biyometrik Verinin Matematiksel Koda Dönüştürülmesi Niteliğini Değiştirmiyor
Uygulamada parmak izi veya avuç içi verilerinin doğrudan görüntü olarak saklanmadığı, bunun yerine verinin algoritmalar vasıtasıyla matematiksel bir koda dönüştürüldüğü ve bu nedenle sistemde “biyometrik veri tutulmadığı” yönünde değerlendirmelerle karşılaşılabiliyor.
Kurum, 27 Ağustos tarihli açıklamasıyla bu konuya açık şekilde değindi.
Bir kişinin belirli bir teknik yöntem kullanılarak benzersiz biçimde tanımlanmasına veya kimliğinin doğrulanmasına imkân sağlayan verinin matematiksel koda dönüştürülerek saklanması, verinin biyometrik veri olma özelliğini ortadan kaldırmıyor.
Dolayısıyla veri tabanında parmak izinin görselinin bulunmaması tek başına KVKK kapsamındaki biyometrik veri işleme faaliyetinin ortadan kalktığı anlamına gelmiyor.
Bu husus özellikle personel devam kontrol sistemi, giriş-çıkış sistemi veya erişim kontrol sistemi kullanan işverenler açısından önem taşıyor.
Biyometrik Veriler Özel Nitelikli Kişisel Veridir
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesi uyarınca biyometrik veriler, özel nitelikli kişisel veriler arasında yer almaktadır.
Özel nitelikli kişisel verilerin işlenmesi, kişinin temel hak ve özgürlükleri bakımından daha yüksek risk taşıdığından, bu veriler bakımından Kanun daha sıkı bir koruma rejimi öngörmektedir.
Bu nedenle işverenin çalışanların giriş ve çıkış saatlerini takip etmek istemesi haklı ve hukuken kabul edilebilir bir amaç olsa dahi, bu amacın gerçekleştirilmesinde kullanılacak yöntemin de KVKK’ya uygun olması gerekir.
“Mesai takibi yapmak zorundayım” şeklindeki hukuki yükümlülük, mesai takibinin mutlaka parmak izi veya başka bir biyometrik veri kullanılarak yapılabileceği anlamına gelmemektedir.
Yalnızca Mesai Takibi İçin Biyometrik Veri Kullanılması Hukuki Risk Taşıyor
Kurulun 2026/921 sayılı İlke Kararı ve 27 Ağustos tarihli açıklamasının en önemli sonucu burada ortaya çıkıyor.
İşverenlerin çalışanların çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunmakla birlikte, bu yükümlülüğün yerine getirilmesi için biyometrik tanımlama sistemlerinin kullanılmasını zorunlu kılan açık bir kanuni düzenleme bulunmuyor.
Bu nedenle Kurul, yalnızca çalışan devam kontrolü veya mesai takibi amacıyla biyometrik veri işlenmesinin Kanun’un 6. maddesindeki veri işleme şartlarından herhangi birine dayanmadığını değerlendiriyor.
Kurul ayrıca biyometrik veri kullanımında ölçülülük ilkesine özellikle vurgu yapıyor.
Çalışanın giriş ve çıkış saatinin kart, şifre, elektronik kayıt veya daha az müdahaleci başka yöntemlerle takip edilmesinin mümkün olduğu durumlarda kişinin biyometrik verisinin işlenmesi, ulaşılmak istenen amaç bakımından ölçüsüz kabul edilebiliyor.
Bu yaklaşım, Anayasa Mahkemesinin daha önce parmak iziyle mesai takibine ilişkin değerlendirmeleri ile birlikte ele alındığında işverenler bakımından hukuki risk alanını daha görünür hâle getiriyor.
Çalışanın Açık Rızasının Alınması Sorunu Tek Başına Çözmüyor
Duyurunun uygulama bakımından en dikkat çekici noktalarından biri de açık rıza konusunda.
İşverenlerin “çalışandan açık rıza aldık, dolayısıyla parmak izi kullanabiliriz” şeklindeki yaklaşımı tek başına yeterli değil.
Kurul, yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetinin, geçerli bir açık rızanın bulunması halinde dahi Kanun’un 4. maddesinde yer alan ölçülülük kriterini sağlamayacağı yönündeki değerlendirmesini açıkça sürdürüyor.
Bunun nedeni, kişisel verilerin korunması hukukunda açık rızanın bütün hukuka uygunluk sorunlarını ortadan kaldıran sınırsız bir izin niteliğinde olmamasıdır.
Veri işleme faaliyeti aynı zamanda:
- belirli, açık ve meşru bir amaç taşımalı,
- işlendikleri amaçla bağlantılı olmalı,
- amaç için gerekli olmalı,
- ölçülü olmalıdır.
Dolayısıyla biyometrik verinin işlenmesine ilişkin değerlendirme yalnızca “rıza var mı?” sorusuyla sınırlı tutulmamalıdır.
Güvenlik ve Kritik Alanlara Erişim Aynı Şekilde Değerlendirilmiyor
Kurumun açıklamasındaki önemli ayrımlardan biri ise biyometrik sistemlerin mesai takibi dışında kullanıldığı durumlara ilişkin.
Bazı tesis veya faaliyet alanlarında güvenlik ihtiyacının niteliği gereği biyometrik kimlik doğrulaması çok daha farklı bir amaca hizmet edebilir.
Örneğin biyometrik sistem;
- kritik bir altyapıya erişimin sınırlandırılması,
- yüksek güvenlik gerektiren bir alana yalnızca yetkili kişilerin girmesinin sağlanması,
- kimlik doğrulaması,
- yetkilendirme
gibi amaçlarla kullanılabilir.
Bu durumda veri işleme faaliyetinin temel amacı çalışanın kaçta işe geldiğinin belirlenmesi değil, belirli bir güvenlik riskinin önlenmesi olabilir.
Kurum da 27 Ağustos tarihli duyurusunda, mesai takibi dışında kalan biyometrik veri işleme faaliyetlerinin 2026/921 sayılı İlke Kararı kapsamında otomatik olarak değerlendirilmeyeceğini ifade ediyor.
Ancak bu, güvenlik gerekçesi ileri sürülen her durumda biyometrik veri kullanılabileceği anlamına gelmiyor.
Somut olay bakımından;
- alternatif yöntemlerin yeterli olup olmadığı,
- gerçekten biyometrik doğrulamayı gerektiren bir güvenlik ihtiyacının bulunup bulunmadığı,
- hangi alanlarda biyometrik doğrulamaya ihtiyaç duyulduğu,
- hangi çalışanların bu kapsama alınmasının zorunlu olduğu,
- veri işleme yönteminin amaçla ölçülü olup olmadığı
ayrıca değerlendirilmelidir.
Bir işletmenin yalnızca bazı kritik alanlarında biyometrik erişim kontrolüne ihtiyaç bulunması, bütün çalışanların giriş-çıkışlarının biyometrik yöntemlerle takip edilmesini kendiliğinden hukuka uygun hâle getirmez.
İşverenler Mevcut Sistemlerini Yeniden Değerlendirmeli
Kurulun İlke Kararı ve 27 Ağustos tarihli açıklaması birlikte değerlendirildiğinde, halen parmak izi, avuç içi veya başka biyometrik yöntemlerle personel giriş-çıkış takibi yapan işverenlerin mevcut sistemlerini yalnızca teknik açıdan değil, kişisel verilerin korunması hukuku bakımından da gözden geçirmeleri önem taşımaktadır.
Özellikle şu ayrımın doğru yapılması gerekiyor:
Biyometrik sistem gerçekten ne amaçla kullanılıyor?
Sistem yalnızca personelin işe geliş ve çıkış saatlerini kaydetmek için kullanılıyorsa Kurulun 2026/921 sayılı İlke Kararı doğrudan önem taşıyor.
Buna karşılık sistem kritik alan güvenliği veya özel bir güvenlik ihtiyacı kapsamında kullanılıyorsa hukuki değerlendirme somut olayın özelliklerine göre yapılmalı; “güvenlik” kavramı biyometrik veri kullanımını otomatik olarak meşrulaştıran genel bir gerekçe olarak kabul edilmemelidir.
Ayrıca aynı sistemin hem mesai takibi hem de güvenlik amacıyla kullanıldığı işletmeler açısından da veri işleme amaçlarının birbirinden ayrıştırılması önem taşıyacaktır.
Sonuç
Kişisel Verileri Koruma Kurumunun 27 Ağustos 2026 tarihli açıklaması, biyometrik veri kullanılan personel takip sistemleri bakımından önemli bir hatırlatma niteliğindedir.
Birincisi, parmak izi veya avuç içinden elde edilen verinin matematiksel bir koda dönüştürülmesi, bu verinin biyometrik veri niteliğini ortadan kaldırmamaktadır.
İkincisi, yalnızca mesai takibi amacıyla çalışanların biyometrik verilerinin işlenmesi bakımından açık rızanın bulunması tek başına yeterli değildir; ölçülülük ilkesi ayrıca dikkate alınmalıdır.
Üçüncüsü, güvenlik ve kritik alanlara erişim amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleri mesai takibinden farklı değerlendirilebilmekle birlikte, bu faaliyetlerin hukuka uygunluğu her somut olayda amaç, gereklilik, alternatif yöntemler ve ölçülülük bakımından ayrıca incelenmelidir.
Bu nedenle biyometrik personel takip veya erişim kontrol sistemi kullanan veri sorumlularının yalnızca mevcut aydınlatma ve açık rıza metinlerini değil, sistemin fiilî kullanım amacını, teknik işleyişini ve daha az müdahaleci alternatif yöntemlerin bulunup bulunmadığını da birlikte değerlendirmesi önem taşımaktadır.
Kaynaklar
Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 02.06.2026 tarihli ve 33268 sayılı Resmî Gazete.
Bu çalışma genel bilgilendirme amacıyla hazırlanmış olup somut bir hukuki uyuşmazlığa ilişkin hukuki görüş veya danışmanlık niteliğinde değildir.