İşyerinde Parmak İziyle Mesai Takibi: 2026 KVKK İlke Kararı

İşyerinde parmak iziyle mesai takibi, 2026/921 sayılı KVKK İlke Kararı sonrası hukuka uygun mu? İşveren ve çalışanlar için güncel rehber.

Parmak izi, avuç içi veya benzeri biyometrik yöntemlerle işe giriş-çıkış kaydı tutulması uzun süredir işyerlerinde kullanılan uygulamalardan biri. Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararıyla yalnızca mesai takibi amacıyla biyometrik veri işlenmesini özel olarak değerlendirdi. Karar 2 Haziran 2026 tarihli Resmî Gazete’de yayımlandı; Kişisel Verileri Koruma Kurumu da 27 Ağustos 2026 tarihli duyurusuyla uygulamada gelen sorulara açıklık getirdi. Bu yazı, 17 Eylül 2026 tarihinde erişilen resmî kaynaklar esas alınarak işverenler ve çalışanlar için kararın pratik sonuçlarını özetler.

Biyometrik veri neden farklı korunuyor?

Parmak izi ve avuç içi gibi, belirli teknik işlemler sonucunda kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli hale gelen veriler biyometrik veridir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesi biyometrik verileri özel nitelikli kişisel veriler arasında sayar. Bu verilerin öğrenilmesi veya kötüye kullanılması, ilgili kişi bakımından diğer veri türlerine göre daha ağır sonuçlar doğurabileceği için işleme şartları ve güvenlik yükümlülükleri daha sıkıdır.

Verinin cihaz tarafından bir şablona, hash’e veya matematiksel koda dönüştürülmesi de niteliği tek başına değiştirmez. Kurumun 27 Ağustos 2026 tarihli kamuoyu duyurusu, kişiyi benzersiz biçimde tanımaya veya doğrulamaya elverişli hale getirilen verinin matematiksel kod olarak saklanmasının onu biyometrik veri olmaktan çıkarmadığını açıkça belirtiyor.

2026/921 sayılı İlke Kararı ne söylüyor?

İşverenin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunabilir. Ancak Kurumun açıklamasına göre bu yükümlülüğün mutlaka biyometrik sistemle yerine getirilmesini öngören açık bir kanuni düzenleme yoktur. Kurul bu nedenle yalnızca çalışan devam takibi amacıyla yürütülen biyometrik veri işleme faaliyetinin Kanun’un 6. maddesindeki işleme şartlarından birine dayanmadığı sonucuna ulaşmıştır.

Kararın ikinci önemli yönü ölçülülük değerlendirmesidir. Geçerli bir açık rıza bulunduğu ileri sürülse bile sırf mesai kaydı tutmak için parmak izi veya avuç içi verisi kullanılması, daha az müdahaleci yöntemler mevcutken Kanun’un 4. maddesindeki ölçülülük ilkesini karşılamaz. Başka bir ifadeyle, çalışanlardan imza alınması tek başına biyometrik puantaj sistemini hukuka uygun hale getirmez. İlke Kararının tam metnine 2 Haziran 2026 tarihli Resmî Gazete üzerinden ulaşılabilir.

Her biyometrik sistem aynı şekilde mi değerlendirilecek?

Hayır. Kurumun sonraki açıklaması, yalnızca mesai takibi ile kritik alan güvenliğini birbirinden ayırıyor. Güvenlik riski yüksek tesislerde biyometrik sistemin amacı personelin çalışma saatini kaydetmekten ziyade kimlik doğrulama, yetkilendirme ve kritik bölgelere erişimi kontrol etmek olabilir. Böyle bir kullanım 2026/921 sayılı İlke Kararının otomatik olarak kapsadığı mesai takibi faaliyeti sayılmıyor.

Bu ayrım, kritik alanlarda biyometrik kullanımın kendiliğinden serbest olduğu anlamına gelmez. Somut güvenlik ihtiyacı, işin niteliği, alternatif yöntemlerin neden yetersiz olduğu, verinin yalnızca gerekli kişiler ve alanlarla sınırlanıp sınırlanmadığı ve ölçülülük ayrıca değerlendirilmelidir. “Güvenlik” kelimesinin aydınlatma metnine eklenmesi yeterli değildir; işleme amacı fiilî uygulamayla ve belgelerle örtüşmelidir.

İşverenler için uyum kontrol listesi

Biyometrik bir devam veya erişim sistemi kullanan işverenler, teknik sağlayıcının beyanıyla yetinmeden veri işleme faaliyetini kendi sorumlulukları bakımından incelemelidir. İlk değerlendirmede şu adımlar yararlı olabilir:

Sistemin gerçek amacını belirleyin: puantaj mı, kritik alana erişim güvenliği mi?
İşlenen veriyi ve akışı haritalayın: ham görüntü, biyometrik şablon, eşleşme kaydı ve giriş-çıkış zamanı nerede tutuluyor?
Kart, PIN, mobil doğrulama veya manuel kayıt gibi daha az müdahaleci seçenekleri karşılaştırın.
İşleme şartını, gereklilik ve ölçülülük analizini yazılı hale getirin; yalnızca açık rıza metnine dayanmayın.
Aydınlatma metni, erişim yetkileri, saklama süreleri, tedarikçi sözleşmeleri ve veri güvenliği tedbirlerini güncelleyin.
İşleme sebebi ortadan kalkan biyometrik veriler için silme, yok etme veya anonim hale getirme sürecini ve kayıtlarını kontrol edin.

Kurumun özel nitelikli kişisel veriler açıklaması, Kanun’un 6. maddesindeki sınırlı işleme şartlarını ve yeterli önlem yükümlülüğünü özetler. silme, yok etme ve anonim hale getirme rehberi ise işleme sebebi ortadan kalktığında izlenecek çerçeveyi açıklar.

Çalışanlar hangi bilgileri isteyebilir?

Çalışan, biyometrik verisinin işlenip işlenmediğini, hangi amaçla kullanıldığını, kimlere aktarıldığını ve işleme amacına uygun kullanılıp kullanılmadığını veri sorumlusuna sorabilir. Ayrıca şartları oluştuğunda verinin silinmesini veya yok edilmesini isteme hakkı vardır. Başvuru yapılırken sistemin adı, veri alınan tarih aralığı ve talebin açıkça belirtilmesi incelemeyi kolaylaştırır.

İş ilişkisinin devam ediyor olması, kişisel verilerin korunmasına ilişkin başvuru hakkını ortadan kaldırmaz. Bununla birlikte fazla çalışma, ücret veya iş sözleşmesiyle ilgili bir uyuşmazlık ile KVKK kapsamındaki veri işleme şikâyeti farklı hukuki yollar ve süreler içerebilir. Somut olayda hangi başvurunun uygun olduğu ayrı değerlendirilmelidir. İş ilişkilerine dair diğer başlıklar için iş hukuku çalışma alanımızı, dijital veri süreçleri için bilişim hukuku çalışma alanımızı inceleyebilirsiniz.

Sık sorulan sorular

Çalışan açık rıza verirse parmak iziyle mesai takibi yapılabilir mi?

Kurulun 2026/921 sayılı kararındaki değerlendirmeye göre yalnızca mesai takibi amacı bakımından geçerli bir açık rıza bulunsa dahi ölçülülük şartı sağlanmaz. Bu nedenle salt rıza belgesiyle uygulamaya devam etmek güvenli bir hukuki dayanak oluşturmaz.

Parmak izi yerine yüz tanıma kullanmak sonucu değiştirir mi?

Kişiyi benzersiz biçimde tanımlamak veya doğrulamak üzere teknik işleme tabi tutulan yüz verisi de biyometrik veri niteliği taşıyabilir. Değerlendirme cihazın ticari adına değil, işlenen verinin niteliğine ve amacına göre yapılır.

Kritik alan girişinde biyometrik doğrulama kesin olarak hukuka uygun mudur?

Hayır. Bu kullanım mesai takibine ilişkin İlke Kararının doğrudan kapsamı dışında kalabilir; fakat hukuka uygunluk her somut olayda amaç, gereklilik, alternatiflerin yetersizliği, kapsam ve ölçülülük yönlerinden ayrıca incelenir.

Bilgilendirme notu: Bu içerik GKK Hukuk tarafından genel bilgilendirme amacıyla hazırlanmıştır. Hukuki görüş veya sonuç garantisi değildir; somut olayın koşulları ve güncel mevzuat birlikte değerlendirilmelidir.

Resmî kaynaklar

Kaynaklara erişim tarihi: 17 Eylül 2026.