Biyometrik mesai takibi KVKK İlke Kararı (2026/921)

Kararın özeti ve künyesi

Kişisel Verileri Koruma Kurulunun 29/04/2026 tarihli ve 2026/921 sayılı Kararı, 02/06/2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlandı. Kurum'a intikal eden ihbar ve şikâyetlerde, çalışan devam takibini dijitalleştirme amacıyla kurum ve kuruluşların giderek artan ölçüde biyometrik tanımlama sistemlerine yöneldiği tespit edilmiş; bu yaygın uygulamaya ilişkin olarak Kanun'un 15'inci maddesinin altıncı fıkrası uyarınca bir İlke Kararı alınması gereği doğmuştur.

Karar ile iş yerlerinde parmak izi, yüz tanıma, iris ve retina taraması gibi yöntemlerle personel devam kontrolü yapılması kesin olarak hukuka aykırı ilan edilmiştir. Karara uymayan veri sorumlusu işverenler hakkında Kanun'un 18'inci maddesi uyarınca idari para cezası uygulanacağı duyurulmuştur.

Kimler etkileniyor?

Karar; yalnızca büyük işletmeleri değil, personel devam kontrol sistemi (PDKS) kullanan tüm özel ve kamu işverenlerini, insan kaynakları birimlerini ve çalışanları doğrudan ilgilendirir.

Biyometrik veri nedir?

Biyometrik veri, 6698 sayılı Kanun'un 6'ncı maddesinde sınırlı sayma (tahdidi) yöntemiyle belirlenen özel nitelikli (hassas) kişisel veri kategorilerinden biridir; kıyas yoluyla genişletilemez. 5490 sayılı Nüfus Hizmetleri Kanunu'nda parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler; GDPR'da ise bir gerçek kişiyi özgün biçimde teşhis etmeyi sağlayan fiziksel, fizyolojik veya davranışsal özelliklere ilişkin veriler olarak tanımlanır.

Neden hukuka aykırı?

Kurul, mesai takibi amacıyla biyometrik veri işlenmesini üç temel gerekçeyle hukuka aykırı bulmuştur. Kanun'un 6'ncı maddesindeki işleme şartlarından (b)–(g) bentleri uygulanamadığından, uygulamada yalnızca (a) bendindeki açık rızaya dayanılmakta; ancak bu da yeterli olmamaktadır.

Açık rıza neden yeterli değil?

Kanun'un 3'üncü maddesinde açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. İstihdam ilişkisinde ise taraflar eşit konumda değildir. Çalışana rıza göstermeme veya rızasını geri çekme imkânı etkin biçimde sunulmadığında ya da rıza göstermemek çalışan açısından olumsuz sonuçlar doğurabildiğinde, çalışanın gerçek bir seçeneğe sahip olduğu ve rızanın özgür iradeye dayandığı söylenemez.

Ayrıca rızanın geri alınabilmesi, biyometrik tanımlama sistemlerinin sürekliliğini ve uygulanabilirliğini zedeler. Bu nedenle biyometrik verilerin mesai takibi amacıyla yalnızca açık rıza şartına dayanılarak işlenmesi, kural olarak yeterli bir hukuki zemin oluşturmaz.

Ölçülülük ve veri minimizasyonu

Kanun'un 4'üncü maddesindeki genel ilkeler her hâl ve şartta uyulması zorunlu olan kurallardır. Kişisel veri işleme faaliyeti; amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Bu kriterleri karşılamayan bir uygulama, ilgili kişinin açık rızası bulunsa dahi hukuka aykırıdır.

AYM ve Danıştay kararları

İlke Kararı, yerleşik yüksek yargı içtihatlarına dayanır. Hem Anayasa Mahkemesi hem de Danıştay, biyometrik mesai takibini kanunilik ve ölçülülük ilkeleri bakımından hukuka aykırı bulmuştur.

İşverenler ne yapmalı?

İşverenin çalışma sürelerini takip ve belgeleme yükümlülüğü devam eder (4857 sK m.63, m.67, m.75; Çalışma Süreleri Yönetmeliği m.9). Ancak bu takip, biyometrik veri işlemeden daha az müdahaleci yöntemlerle yapılmalıdır.

Yaptırımlar

Kanun'un 12'nci maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ile muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlü kılar. İlke Kararında belirtilen hususlar da bu tedbirlerdendir.

Sıkça sorulan sorular

Çalışanların açık rızasını alırsam parmak izi ile mesai takibi yapabilir miyim?▾

Hayır. İlke Kararına göre işçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanın rızası özgür iradeye dayanmaz; bu yönüyle açık rıza tek başına geçerli bir hukuki zemin oluşturmaz. Kaldı ki geçerli bir açık rıza bulunsa dahi, ölçülülük ilkesi karşısında mesai takibi amacıyla biyometrik veri işlenmesi Kanun'un 4'üncü maddesindeki genel ilkelere aykırı sayılmaktadır. Kısacası rıza almak sorunu çözmez.

Karar yalnızca parmak izini mi kapsıyor, yüz tanıma da dahil mi?▾

Karar; parmak izi, yüz tanıma, iris ve retina taraması gibi tüm biyometrik yöntemlerle personel devam kontrolünü kapsar. Danıştay kararına konu olan avuç içi damar okuma sistemi de aynı değerlendirmeye tabidir. Ortak nokta, bunların hepsinin özel nitelikli (hassas) biyometrik veri olmasıdır.

Biyometrik veri neden bu kadar hassas kabul ediliyor?▾

Biyometrik veriler kişiye özgüdür ve geri döndürülemez. Bir şifre veya kart çalındığında yenilenebilir; ancak parmak iziniz veya yüz geometriniz çalınırsa değiştirilemez. Bu nedenle ele geçirilmeleri hâlinde çalışanlar için ömür boyu geri döndürülemez güvenlik riskleri doğar. Kanun da biyometrik veriyi m.6'da özel nitelikli kişisel veri olarak sayar ve işlenmesini katı koşullara bağlar.

Mesai takibini yasal olarak nasıl yapabilirim?▾

İşverenin çalışma sürelerini takip etme ve belgeleme yükümlülüğü devam etmektedir (4857 sK m.63, m.67, m.75 ve Çalışma Süreleri Yönetmeliği m.9). Ancak bunu biyometrik veri işlemeden; RFID/NFC kimlik kartları, PIN/şifre tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri ya da denetçi gözetiminde elle giriş gibi daha az müdahaleci yöntemlerle yapmanız gerekir.

AYM ve Danıştay bu konuda ne dedi?▾

Anayasa Mahkemesi Genel Kurulu 10/03/2022 tarihli kararında (başvuru no 2018/11988), bir belediyede memurun parmak izi ile mesai takibine tabi tutulmasında kanunilik şartının sağlanmadığı gerekçesiyle kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar verdi. Danıştay 12. Daire (2021/3870 E, 2023/2548 K) avuç içi damar okuma sistemine ilişkin iptal kararını, Danıştay İdari Dava Daireleri Kurulu da (2024/225 E, 2024/2625 K) bu kararı onayarak biyometrik mesai takibinin ölçülülük ilkesine aykırılığını teyit etti.

Karara uymazsam ne olur?▾

Belirtilen hususlar, KVKK m.12 uyarınca veri sorumlusunun alması gereken teknik ve idari tedbirlerdendir. Bunlara uyulmadığının tespiti hâlinde ilgili veri sorumluları hakkında Kanun'un 18'inci maddesi uyarınca idari para cezası uygulanır. Biyometrik sistemleri kullanmaya devam eden işverenler bakımından cezanın üst sınırlardan uygulanacağı kamuoyuna duyurulmuştur.

İlke Kararı nedir, bağlayıcı mıdır?▾

Kanun'un 15'inci maddesinin altıncı fıkrası uyarınca Kurul, bir ihlalin yaygın olduğunu tespit ederse ilke kararı alıp yayımlar. İlke kararları, aynı nitelikteki tüm veri sorumluları için bağlayıcı bir yorum ve uygulama çerçevesi oluşturur. Dolayısıyla bu karar, yalnızca somut bir şikâyete değil, biyometrik mesai takibi yapan tüm işverenlere yöneliktir.