KVKK Parmak İzi Kararı (2026/921): Mesai Takibinde Biyometrik Yasağı
Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, Resmi Gazete'de yayımlanarak yürürlüğe girdi. Karar, iş yerlerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik verilerin işlenmesini hukuka aykırı kabul ediyor. Hem özel sektörü hem kamu kurumlarını bağlıyor.
Aşağıda kararın kapsamını, gerekçesini ve işverenlerin atması gereken adımları özetledik.
Karar tam olarak neyi kapsıyor?
Kurul, biyometrik verileri "özel nitelikli kişisel veri" statüsünde değerlendiriyor. Parmak izi veya yüz geometrisi gibi veriler kişiyi benzersiz biçimde tanımladığı, geri döndürülemez ve değiştirilemez olduğu için sıradan verilere göre çok daha sıkı korumaya tabi.
Kararın özü iki ilkeye dayanıyor:
- Ölçülülük: Mesai takibi gibi basit bir amaç için, daha az müdahaleci alternatifler varken en hassas veri türünü kullanmak ölçüsüz kabul ediliyor.
- Veri minimizasyonu: Amaca ulaşmak için gereğinden fazla ve riskli veri işlenmesi hukuka aykırı bulunuyor.
Kurul ayrıca bu yaklaşımı, daha önce verilmiş yargı içtihatlarına dayandırıyor; bir kamu çalışanının parmak izi uygulamasına itirazıyla gündeme gelen Anayasa Mahkemesi kararı ve avuç içi damar okuma sistemine ilişkin Danıştay kararı bunlar arasında.
"Açık rıza alırsam olur" savunması neden geçersiz?
Uygulamada birçok işveren, biyometrik veri işlemeyi çalışanın açık rızasına dayandırıyordu. Karar bu yolu kapatıyor: işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle, çalışanın rızayı reddetme veya geri çekme özgürlüğü gerçekte sınırlı. Bu nedenle alınan rıza özgür iradeye dayanmış sayılmıyor ve tek başına geçerli bir hukuki dayanak oluşturmuyor.
Her durumda mı yasak?
Hayır. Yasak, rutin mesai ve giriş-çıkış takibi içindir. Yüksek güvenlik gerektiren özel alanlarda (örneğin sunucu odası, AR-GE laboratuvarı, kasa) yalnızca erişimi kısıtlamak amacıyla ve uygun hukuki çerçevede biyometrik kullanımı değerlendirilebilir. Personel devam takibi bu istisnanın dışındadır.
İşverenler için sonuçlar
Karara aykırı biyometrik uygulamalar, veri sorumlularının almakla yükümlü olduğu teknik ve idari tedbirler kapsamında değerlendiriliyor; ilkelere uyulmadığının tespiti halinde Kanun'un 18. maddesi uyarınca idari para cezası süreci işletilebiliyor.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kurumunuzun maruz kalabileceği ceza riski ve uyum yükümlülükleri için bir avukata danışmanızı öneririz.
Ne yapmalı? Uyum için pratik adımlar
- Envanter: Hangi çalışanların hangi biyometrik verisinin tutulduğunu kayıt altına alın.
- İmha: Hukuki dayanağı kalmayan biyometrik verileri silin veya anonimleştirin; süreci tutanakla belgeleyin.
- Uyumlu alternatife geçiş: Şifreli kart, RFID/NFC ya da mobil QR + konum tabanlı sistemler gibi daha az müdahaleci yöntemlere geçin.
- Aydınlatma metnini yenileyin: Yeni sisteme uygun KVKK aydınlatma metni ve çalışan bilgilendirmesini hazırlayın.
Biyometrik veri işlemeyen alternatif
Mesai takibini biyometrik veri işlemeden, kurulum gerektirmeden yapmak mümkün. Clock; QR okutma, konum ve cihaz doğrulamasıyla çalışan, biyometrik veri işlemeyen bir personel takip sistemidir. Geçiş sürecini ve nasıl çalıştığını parmak izli personel takip alternatifi yazımızda ayrıntılı anlattık.
