KVKK Kararı: Parmak İzi ve Yüz Tanıma ile Mesai Takibi Yasaklandı (2026/921, 27 Ağustos Açıklamasıyla)

KVKK'dan Tarihi Karar: Biyometrik Mesai Takibi Yasaklandı

Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı (Resmî Gazete'de 2 Haziran 2026'da yayımlandı), Türkiye'de personel devam takibinin kurallarını kökten değiştirdi. Karara göre işyerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina gibi biyometrik verilerin işlenmesi hukuka aykırıdır — ve bu yasak, çalışan açık rıza verse bile geçerlidir.

Bu, Türkiye'de mesai takibi için kurulu olan parmak izi ve yüz tanıma terminallerinin bir anda yasal risk altına girmesi anlamına gelir.

Karar Tam Olarak Neyi Yasakladı?

Kurul'un kararı net: mesai ve devam takibi amacıyla biyometrik veri işlemek artık meşru bir veri işleme faaliyeti değildir. Gerekçeler şöyle:

• Açık rıza geçerli sayılmıyor. İş ilişkisinde işçi ile işveren arasında güç dengesizliği vardır; bu nedenle çalışanın "rızası" özgür iradeyle verilmiş kabul edilmez. Yani imzalı rıza formu işvereni korumaz.
• Ölçülülük ilkesine aykırı. Aynı amaca (giriş-çıkış kaydı) daha az müdahaleci yöntemlerle ulaşmak mümkünken biyometrik veri toplamak orantısızdır.
• Yasal dayanak yok. Mevzuatta işverene çalışma sürelerini kaydetme yükümlülüğü vardır, ancak bunu biyometrik yöntemle yapmayı açıkça mümkün kılan bir düzenleme yoktur.

Kimleri Kapsıyor?

Karar hem özel sektör işyerlerini hem de kamu kurum ve kuruluşlarını bağlar. Küçük bir kafeden büyük bir fabrikaya, özel hastaneden kamu kurumuna kadar parmak izi veya yüz tanıma ile mesai takibi yapan herkes kapsamdadır.

27 Ağustos 2026 Açıklaması: Neler Netleşti?

Kurum, farklı sektörlerden gelen görüş talepleri üzerine 27 Ağustos 2026'da ikinci bir kamuoyu duyurusu yayımladı. Duyuru kararı değiştirmiyor; dört noktayı netleştiriyor:

• Şablon olarak saklanan parmak izi de biyometrik veridir. Bazı cihaz ve yazılım firmaları "parmak izini değil, ondan üretilen kodu saklıyoruz" diyordu. Kurum'un cevabı açık: verilerin "matematiksel bir koda çevrilerek veri tabanında saklanması, biyometrik veri niteliğini ortadan kaldırmamaktadır."
• Rıza yine kurtarmıyor. Yalnız mesai takibi amacıyla biyometrik veri işlemek, "geçerli bir açık rıza bulunsa dahi" ölçülülük ilkesini karşılamıyor.
• Dar bir güvenlik istisnası var. Kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinde biyometri, mesai takibinin ötesinde bir amaç taşıyabilir. Bunun için üç şart birlikte aranıyor: işleme yalnız gerekli kritik alanlar ve kişilerle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve işleme somut güvenlik ihtiyacıyla ölçülü olmalı. Kanun'un milli savunma ve kamu güvenliği istisnası (m.28) ise kanunla yetkilendirilmiş kamu kurumlarının faaliyetleri içindir; özel işverenlere bir kapı açmaz.
• Mesai dışı kullanımlar bu kararın konusu değil, ama serbest de değil. Mesai takibi dışındaki biyometrik işlemeler ilke kararı kapsamında değerlendirilmeyecek; hukuka uygunluğunu veri sorumlusu kendisi değerlendirecek, şikâyet olursa Kurul her olayı ayrıca inceleyecek. Kurum'un biyometrik veri rehberinde, alternatifler varken spor kulübü girişinde avuç içi izi alınmasının ölçülülükle bağdaşmadığı sonucuna varılan eski kararlar da yer alıyor.

Duyuruda geçiş süresi ya da son tarih yok. Kurul başka bir ilke kararında uyum süresi tanımıştı; bu kararda böyle bir süre öngörülmedi. Karar 2 Haziran 2026'da Resmî Gazete'de yayımlandı.

Ceza Riski Ne Kadar?

6698 sayılı KVKK, biyometrik veriyi "özel nitelikli kişisel veri" olarak sınıflandırır ve bu verilerin hukuka aykırı işlenmesi idari para cezasına tabidir (PDKS'nin diğer yasal yükümlülükleri: PDKS yasal zorunluluk mu?). KVKK m.18 uyarınca 2026 yılı için idari para cezası aralıkları şöyledir:

• Veri güvenliği yükümlülüklerine aykırılık: 256.357 TL – 17.092.242 TL
• Kurul kararlarına uymama: 427.263 TL – 17.092.242 TL
• Aydınlatma yükümlülüğüne aykırılık: 85.437 TL – 1.709.200 TL
• VERBİS kayıt ve bildirim yükümlülüğüne aykırılık: 341.809 TL – 17.092.242 TL

Tutarlar KVKK'nın 2026 yılı idari para cezası tablosundan alınmıştır. Kamu kurumlarında para cezası yerine görevliler hakkında disiplin hükümleri uygulanır (m.18/4).

2026/921 kararından sonra biyometrik terminal kullanmaya devam eden işletmeler bu riskin doğrudan hedefi haline geldi.

KVKK'nın İşaret Ettiği Yasal Alternatifler

İşin en önemli kısmı şu: Kurul yalnızca yasaklamakla kalmadı, yasal alternatifleri de açıkça gösterdi. Karara göre mesai takibi daha az müdahaleci yöntemlerle yapılmalıdır:

• Mobil uygulama ile giriş-çıkış
• Şifreli kart veya PIN tabanlı sistemler
• RFID/NFC kimlik kartları
• Manuel veya imza ile yoklama

Regülatörün önerdiği yön açık: biyometrik donanımdan, mobil ve konum tabanlı dijital çözümlere geçiş.

Parmak İzi Olmadan Personel Takibi Nasıl Yapılır?

Parmak izi ya da yüz tanıma kullanmadan da giriş-çıkış takibi yapılabilir. Şifreli kart veya PIN, RFID/NFC kart, kâğıt imza çizelgesi, denetçi gözetiminde elle giriş ve personelin kendi telefonuyla QR okutması bu yöntemlerden bazılarıdır. Aşağıdaki tablo hangi yöntemin biyometrik veri işlediğini ve QRAY'de hangilerinin bulunduğunu gösteriyor.

Hangi Yöntem Biyometrik Veri İşler?

Biyometrik veri işlemeyen her yöntem de KVKK'nın genel ilkelerine uymak zorundadır: yalnız gerektiği kadar veri, amaçla sınırlı kullanım, aydınlatma ve güvenlik.

Şimdi Ne Yapmalısınız? Biyometrik PDKS'den Çıkış İçin 12 Adım

Karar bir çıkış prosedürü tarif etmiyor. Aşağıdaki adımlar Kanun'a, Silme Yönetmeliği'ne, VERBİS Yönetmeliği'ne ve Kurul'un benzer bir olayda verdiği talimatlara dayanıyor. O olayda (bir üniversitede parmak iziyle yoklama, karar 2024/197) Kurul; biyometrik işlemenin ivedilikle durdurulmasını, verilerin imha edilmesini, verinin aktarıldığı üçüncü kişilere bildirilmesini ve bunların kanıtlarıyla 30 gün içinde Kurul'a bilgi verilmesini istemişti.

1. Biyometrik okutmayı durdurun. Mesai takibi için parmak izi ya da yüz okutmayı bırakın, biyometrik veri işlemeyen bir yönteme geçin. (İlke Kararı 2026/921; KVKK m.4, m.12)
2. Envanter çıkarın. Hangi şubede hangi cihaz var, kaç kişinin verisi kayıtlı ve veri nerede duruyor: cihaz, yerel sunucu, firmanın bulutu, yedekler, dışa aktarılmış dosyalar. (KVKK Silme Rehberi)
3. Tüm kopyaları silin ya da yok edin. Arızalı ya da iade edilen cihazda veri, cihaz servise veya satıcıya gitmeden önce yok edilir. (KVKK m.7; Silme Yönetmeliği m.7-10)
4. Süreye dikkat edin. Saklama ve imha politikası olan işveren ilk periyodik imhada (en geç 6 ay), olmayan 3 ay içinde siler; Kurul benzer olayda ivedilikle imha istedi. (Silme Yönetmeliği m.11)
5. İmha kaydı tutun. Hangi verinin, ne zaman, hangi yöntemle yok edildiğini kaydedin; kayıtları en az 3 yıl saklayın. (Silme Yönetmeliği m.7)
6. Cihaz ya da yazılım firmasına bildirin. Firmanın kendi sistemlerindeki kopyaları da silmesini isteyin, yazılı teyit alın. (Kurul kararı 2024/197)
7. Veri işleyen sözleşmesini güncelleyin ya da sonlandırın. (KVKK m.12)
8. Aydınlatma metnini güncelleyin. Yeni yöntemi, amacı ve hukuki sebebi yazın; biyometrik açık rıza formlarını kaldırın. (KVKK m.10)
9. Envanteri ve imha politikasını güncelleyin. Kişisel veri işleme envanterinden biyometrik veri kategorisini çıkarın. (Silme Yönetmeliği m.5-6)
10. VERBİS kaydını güncelleyin. Kayıt yükümlüsüyseniz değişikliği 7 gün içinde bildirin. (KVKK m.16; Veri Sorumluları Sicili Yönetmeliği m.13)
11. Çalışan başvurularını cevaplayın. Silme ya da bilgi taleplerini en geç 30 gün içinde yanıtlayın. (KVKK m.13)
12. İstisnayı yazılı gerekçelendirin. Biyometri yalnız kritik alanlara erişim gibi bir güvenlik amacıyla kalacaksa mesai takibinde kullanılmadığını ve yukarıdaki üç şartı belgeleyin. (27 Ağustos 2026 duyurusu; KVKK m.6)

Son adım olarak mobil veya QR tabanlı, biyometrik veri toplamayan bir PDKS'e geçerek hem uyumlu olun hem de operasyonu kesintiye uğratmayın.

QRAY: Kurul'un İşaret Ettiği Yasal Yöntem

QRAY, KVKK 2026/921 kararının tarif ettiği çözümün tam karşılığıdır:

• Biyometrik veri toplamaz. Parmak izi, yüz, retina — hiçbiri kaydedilmez.
• QR kod ile çalışır; sabit QR ve butonla girişte GPS konum doğrulaması yapılır. Başkası yerine giriş teknik olarak imkansızdır.
• Donanım gerektirmez. Mevcut tablet veya telefonunuz kiosk olur; personel kendi telefonundan giriş-çıkış yapar.
• Hızlı kurulur. Biyometrik cihazınızı söküp aynı gün uyumlu hale gelirsiniz.
• Esnek giriş yöntemleri: dinamik QR, kağıda basılı sabit QR ve uygulamadan butonla giriş-çıkış — sabit QR ve butonla girişte konum doğrulamalı.

KVKK 2026/921 bir risk gibi görünse de doğru çözümle bir fırsattır: daha ucuz, daha hızlı ve yasal olarak güvenli bir personel takibine geçmek için doğru an şu an.

Resmî Kaynaklar

• İlke kararına ilişkin KVKK duyurusu (2 Haziran 2026)
• Resmî Gazete, 2 Haziran 2026, sayı 33268 (karar metni)
• 27 Ağustos 2026 görüş talepleri duyurusu
• Kurul kararı 2024/197
• 2026 idari para cezası tutarları
• KVKK Biyometrik Veri Rehberi

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kurumunuza özel değerlendirme için hukuk danışmanınıza başvurun. Kararın resmî metni KVKK'nın internet sitesinde yayımlanmıştır.