KVKK'dan Tarihi Karar: Biyometrik Mesai Takibi Yasaklandı
Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı (Resmî Gazete'de 2 Haziran 2026'da yayımlandı), Türkiye'de personel devam takibinin kurallarını kökten değiştirdi. Karara göre işyerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina gibi biyometrik verilerin işlenmesi hukuka aykırıdır — ve bu yasak, çalışan açık rıza verse bile geçerlidir.
Bu, Türkiye'de kurulu olan on binlerce parmak izi ve yüz tanıma terminalinin bir anda yasal risk altına girmesi anlamına gelir.
Karar Tam Olarak Neyi Yasakladı?
Kurul'un kararı net: mesai ve devam takibi amacıyla biyometrik veri işlemek artık meşru bir veri işleme faaliyeti değildir. Gerekçeler şöyle:
- Açık rıza geçerli sayılmıyor. İş ilişkisinde işçi ile işveren arasında güç dengesizliği vardır; bu nedenle çalışanın "rızası" özgür iradeyle verilmiş kabul edilmez. Yani imzalı rıza formu işvereni korumaz.
- Ölçülülük ilkesine aykırı. Aynı amaca (giriş-çıkış kaydı) daha az müdahaleci yöntemlerle ulaşmak mümkünken biyometrik veri toplamak orantısızdır.
- Yasal dayanak yok. Mevzuatta işverene çalışma sürelerini kaydetme yükümlülüğü vardır, ancak bunu biyometrik yöntemle yapmayı açıkça mümkün kılan bir düzenleme yoktur.
Kimleri Kapsıyor?
Karar hem özel sektör işyerlerini hem de kamu kurum ve kuruluşlarını bağlar. Küçük bir kafeden büyük bir fabrikaya, özel hastaneden kamu kurumuna kadar parmak izi veya yüz tanıma ile mesai takibi yapan herkes kapsamdadır.
Ceza Riski Ne Kadar?
6698 sayılı KVKK, biyometrik veriyi "özel nitelikli kişisel veri" olarak sınıflandırır ve bu verilerin hukuka aykırı işlenmesi idari para cezasına tabidir. Kurul, geçmişte yalnızca parmak iziyle mesai takibi yaptığı için bir şirkete 1.100.000 TL idari para cezası uygulamıştı. 2026/921 kararından sonra biyometrik terminal kullanmaya devam eden işletmeler bu riskin doğrudan hedefi haline geldi.
KVKK'nın İşaret Ettiği Yasal Alternatifler
İşin en önemli kısmı şu: Kurul yalnızca yasaklamakla kalmadı, yasal alternatifleri de açıkça gösterdi. Karara göre mesai takibi daha az müdahaleci yöntemlerle yapılmalıdır:
- Mobil uygulama ile giriş-çıkış
- Şifreli kart veya PIN tabanlı sistemler
- RFID/NFC kimlik kartları
- Manuel veya imza ile yoklama
Regülatörün önerdiği yön açık: biyometrik donanımdan, mobil ve konum tabanlı dijital çözümlere geçiş.
Şimdi Ne Yapmalısınız? (3 Adımda Uyum)
- Envanter çıkarın. Hangi lokasyonlarda parmak izi veya yüz tanıma cihazı kullanıldığını tespit edin.
- Biyometrik veriyi durdurun ve silin. Yeni kayıt almayı durdurun, mevcut biyometrik şablonları KVKK'ya uygun şekilde imha edin.
- Yasal bir yönteme geçin. Mobil veya QR tabanlı, biyometrik veri toplamayan bir PDKS'e geçerek hem uyumlu olun hem de operasyonu kesintiye uğratmayın.
QRAY: Kurul'un İşaret Ettiği Yasal Yöntem
QRAY, KVKK 2026/921 kararının tarif ettiği çözümün tam karşılığıdır:
- Biyometrik veri toplamaz. Parmak izi, yüz, retina — hiçbiri kaydedilmez.
- QR kod + GPS konum doğrulaması ile çalışır; başkası yerine giriş teknik olarak imkansızdır.
- Donanım gerektirmez. Mevcut tablet veya telefonunuz kiosk olur; personel kendi telefonundan giriş-çıkış yapar.
- 10 dakikada kurulur. Biyometrik cihazınızı söküp aynı gün uyumlu hale gelirsiniz.
- Esnek giriş yöntemleri: dinamik QR, kağıda basılı sabit QR ve uygulamadan butonla giriş-çıkış — hepsi konum doğrulamalı.
KVKK 2026/921 bir risk gibi görünse de doğru çözümle bir fırsattır: daha ucuz, daha hızlı ve yasal olarak güvenli bir personel takibine geçmek için doğru an şu an.
> Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kurumunuza özel değerlendirme için hukuk danışmanınıza başvurun. Kararın resmî metni KVKK'nın internet sitesinde yayımlanmıştır.