Parmak İziyle Mesai Takibi Hukuka Aykırı mı? KVKK Biyometrik Veri Duyurusu ve Alternatifler
KVKK, parmak izi ve avuç içi ile mesai takibine ilişkin görüş taleplerine yanıt verdi: Yalnızca mesai takibi için biyometrik veri işlemek ölçülü değil. İşverenler için yapılması gerekenler ve alternatifler.
KVKK, 27 Ağustos 2026'da yayımladığı kamuoyu duyurusuyla tartışmayı netleştirdi: Parmak izi, avuç içi ya da damar iziyle yalnızca mesai takibi yapmak ölçülü değil ve büyük olasılıkla hukuka aykırı. İşverenler ne yapmalı?
Ne Oldu?
Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı", 2 Haziran 2026'da Resmî Gazete'de yayımlanmıştı. Kararın ardından farklı sektörlerden çok sayıda veri sorumlusu Kurum'a görüş talebinde bulundu. Bazı talepler, avuç içi taraması ya da parmak izinin "biyometrik veri sayılmaması gerektiğini" ileri sürüyordu.
Kurum, 27 Ağustos'ta yayımladığı kamuoyu duyurusuyla bu taleplere toplu yanıt verdi. Duyuruya göre biyometrik sistemlerle mesai takibi, Kurum'a gelen şikâyetlerde en sık karşılaşılan ihlal konuları arasında.
Duyurunun 5 Kritik Mesajı
Biyometrik veri özel nitelikli kişisel veridir: KVKK'nın 6. maddesindeki liste sınırlıdır ve kıyas yoluyla daraltılamaz.
Parmak izi, damar izi ve avuç içi biyometriktir: Kurum, 5490 sayılı Nüfus Hizmetleri Kanunu'ndaki tanıma atıf yaparak bu verilerin kimlik tespiti ve doğrulaması için kullanılan biyometrik veriler olduğunu vurguladı.
"Kodlayıp saklıyoruz" savunması geçerli değil: Verinin matematiksel bir şablona (template) dönüştürülerek saklanması, onun biyometrik niteliğini ortadan kaldırmaz.
Yalnızca mesai takibi için açık rıza bile yetmez: Kanunda işverene mesai takibini biyometrik sistemle yapma zorunluluğu getiren bir hüküm yok. Açık rıza alınsa bile işleme, 4. maddedeki ölçülülük ilkesine aykırı kalır.
Diğer biyometrik kullanımlar ayrıca değerlendirilir: Mesai takibi dışındaki faaliyetler ilke kararının kapsamında değil. Veri sorumluları bunların hukuka uygunluğunu kendileri değerlendirmeli; şikâyetler somut olay bazında incelenecek.
İstisna: Yüksek Güvenlikli Alanlarda Erişim Kontrolü
Duyuru, biyometrik sistemlerin tamamen yasak olduğu anlamına gelmiyor. Güvenlik riski yüksek tesis ve faaliyet alanlarında, biyometrik sistemlerin çok katmanlı güvenliğin bir parçası olarak kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü amacıyla kullanılabileceği belirtiliyor. Ancak bu kullanım:
Yalnızca gerekli kritik alanlar ve belirli kişilerle sınırlı olmalı,
Alternatif yöntemlerin yetersiz kaldığı durumlarda tercih edilmeli,
Somut bir güvenlik ihtiyacıyla orantılı olmalı.
Veri merkezleri bu ayrımın iyi bir örneğidir: Sunucu salonlarına ve kabin alanlarına girişte biyometrik doğrulama, mesai kaydı için değil, kritik altyapıya yetkisiz fiziksel erişimi önlemek için kullanılır. Amaç farkı, hukuki değerlendirmenin de temelidir.
Kullanım | Amaç | Değerlendirme |
|---|---|---|
Ofis girişinde parmak izli PDKS | Mesai takibi | İlke kararına göre ölçülü değil |
Kantin veya otopark için avuç içi tarama | Kolaylık | Ölçülülük açısından ciddi risk |
Sunucu salonu / kritik alan girişi | Fiziksel güvenlik | Şartlar sağlanırsa savunulabilir; somut değerlendirme gerekir |
İşverenler İçin Yapılacaklar Listesi
Envanter çıkarın: Hangi lokasyonda, hangi amaçla biyometrik cihaz kullanılıyor?
Amacı ayırın: Mesai takibi ile güvenlik amaçlı erişim kontrolünü birbirinden ayırın; biri diğerinin gerekçesi olamaz.
Alternatife geçin: Kartlı geçiş, mobil uygulama ile QR/konum doğrulama veya PIN tabanlı sistemler mesai takibi için yeterlidir.
Mevcut verileri değerlendirin: İşleme amacı ortadan kalkan veriler için KVKK'nın 7. maddesi kapsamında silme veya yok etme sürecini, hukuk danışmanınızla birlikte planlayın.
Tedarikçiyi sorgulayın: Biyometrik şablonlar cihazda mı, bulutta mı, yurt dışında mı tutuluyor?
Belgeleyin: Kritik alanlarda biyometrik kullanmaya devam ediyorsanız gereklilik ve ölçülülük değerlendirmenizi yazılı hâle getirin.
Sık Sorulan Sorular
Parmak izi ile mesai takibi yasak mı?
Kurul'un ilke kararına göre yalnızca mesai takibi amacıyla biyometrik veri işlenmesi KVKK'daki işleme şartlarına dayanmıyor ve ölçülülük ilkesine aykırı kabul ediliyor. Bu nedenle bu amaçla kullanımın sona erdirilmesi gerekiyor.
Çalışandan açık rıza alırsam sorun çözülür mü?
Hayır. Kurum, açık rıza alınsa bile yalnızca mesai takibi için biyometrik işlemenin ölçülülük ilkesini karşılamadığını belirtiyor.
Parmak izi yerine şablon (hash) saklıyorum, yine de biyometrik mi?
Evet. Kurum'a göre verinin matematiksel bir koda dönüştürülerek saklanması biyometrik niteliğini ortadan kaldırmaz.
Veri merkezlerindeki biyometrik girişler de bu kapsamda mı?
İlke kararı mesai takibine ilişkin. Kritik alanlara erişim kontrolü gibi güvenlik amaçlı kullanımlar ayrıca, gereklilik ve ölçülülük açısından somut olarak değerlendirilmelidir.
Olfe'de Fiziksel Güvenlik
Olfe'nin İzmir Bornova'daki Tier III veri merkezinde biyometrik erişim kontrolü, 7/24 fiziksel güvenlik ve kamera kaydı, müşteri sunucularının bulunduğu kritik alanları korumak için kullanılır. Verilerinizi yurt içinde, denetlenebilir bir tesiste barındırmak için bizimle iletişime geçin. Ağustos ayındaki diğer KVKK gelişmelerini bu yazımızda özetledik.
Sonuç
KVKK'nın mesajı net: Biyometrik veri, kolaylık için harcanacak bir veri değil. Mesai takibi gibi daha az müdahaleci yöntemlerle çözülebilecek bir iş için parmak izi toplamak, şirketi gereksiz bir hukuki riske sokuyor. Biyometrinin yeri, gerçekten gerekli olduğu kritik güvenlik alanlarıdır.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz.