İşyerinde Parmak İzi ve Yüz Tanıma ile Mesai Takibi Hukuka Uygun mu? 2026 KVKK İlke Kararı Kapsamında İşverenlerin Yükümlülükleri

Dijital teknolojilerin çalışma hayatına giderek daha fazla entegre olması, işverenlerin personel devamlılığını ve çalışma sürelerini elektronik sistemler aracılığıyla takip etmesini yaygınlaştırmıştır. Kartlı geçiş sistemleri, mobil uygulamalar ve elektronik personel takip çözümlerinin yanı sıra bazı işyerlerinde parmak izi, yüz tanıma ve benzeri biyometrik doğrulama yöntemlerinden de yararlanılmaktadır.

Bununla birlikte biyometrik sistemler, klasik mesai takip yöntemlerinden farklı olarak çalışanların özel nitelikli kişisel verilerinin işlenmesini gündeme getirmektedir. Bu nedenle işverenin iş organizasyonunu yönetme ve çalışma sürelerini takip etme yetkisi ile çalışanın kişisel verilerinin korunması hakkı arasında ölçülü ve hukuka uygun bir dengenin kurulması gerekmektedir.

Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, özellikle çalışanların mesai takibinin biyometrik veriler aracılığıyla gerçekleştirilmesine ilişkin önemli ilkeler ortaya koymuştur. Söz konusu karar sonrasında işverenlerin mevcut personel takip uygulamalarını yalnızca operasyonel açıdan değil, kişisel verilerin korunması hukuku bakımından da yeniden değerlendirmeleri önem arz etmektedir.

Biyometrik Veri Nedir?

Biyometrik veri, bireyin fiziksel, fizyolojik veya davranışsal özelliklerinden hareketle kimliğinin belirlenmesine yahut doğrulanmasına imkân sağlayan kişisel veri türüdür.

Parmak izi, yüz geometrisi, iris veya retina bilgileri, avuç içi yapısı ve benzeri veriler bu kapsamda değerlendirilebilmektedir.

6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca biyometrik veriler özel nitelikli kişisel veri niteliğindedir. Bu nedenle söz konusu verilerin işlenmesi, sıradan kişisel verilere kıyasla daha sıkı hukuki şartlara ve daha yüksek veri güvenliği yükümlülüklerine tabi bulunmaktadır.

Parmak izi veya yüz görüntüsünün doğrudan saklanmaması da her durumda biyometrik veri işlendiği gerçeğini ortadan kaldırmamaktadır. Verinin teknik yöntemlerle şifreli bir şablona, algoritmik değere veya dijital doğrulama koduna dönüştürülmesi ve bu verinin kişinin benzersiz biçimde tanınmasına hizmet etmesi halinde yine biyometrik veri işleme faaliyeti söz konusu olabilmektedir.

İşveren Çalışanların Mesai Saatlerini Takip Edebilir mi?

İşverenin çalışma düzenini yönetmesi, işyerindeki devamlılığı izlemesi ve çalışanların işe giriş-çıkış zamanlarını takip etmesi iş ilişkisinin yönetimi bakımından meşru ve gerekli bir faaliyettir.

Çalışma sürelerinin belirlenmesi; ücret hesaplamaları, fazla çalışma, devamsızlık, izin süreçleri, bordrolama ve iş organizasyonu açısından önem taşımaktadır.

Ancak hukuki değerlendirme, mesai takibinin yapılıp yapılamayacağından ziyade bu takibin hangi yöntemle gerçekleştirildiği üzerinde yoğunlaşmaktadır.

Başka bir ifadeyle işverenin çalışma sürelerini takip etme yetkisine sahip olması, bu amaçla doğrudan çalışanın parmak izi, yüz verisi veya diğer biyometrik verilerinin işlenmesini kendiliğinden hukuka uygun hale getirmemektedir.

2026/921 Sayılı KVKK İlke Kararı Ne Anlama Gelmektedir?

Kişisel Verileri Koruma Kurulunun 2026/921 sayılı İlke Kararı, yalnızca mesai takibi amacıyla biyometrik veri kullanılmasına ilişkin yaklaşımı belirgin hale getirmiştir.

Kararın merkezinde ölçülülük ilkesi yer almaktadır.

KVKK uyarınca kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir. Bu ilke, aynı amaca daha az müdahaleci bir yöntemle ulaşılması mümkün olduğu takdirde, daha yoğun ve hassas nitelikte veri işleyen yöntemlerin tercih edilmemesini gerektirmektedir.

Mesai kontrolünün personel kartı, elektronik kart, şifreli sistem veya benzeri yöntemlerle gerçekleştirilebildiği durumlarda çalışanın biyometrik verisinin işlenmesi daha ağır bir veri işleme faaliyeti oluşturmaktadır.

Bu nedenle yalnızca işe giriş-çıkış saatlerinin veya çalışma sürelerinin belirlenmesi amacıyla parmak izi ya da yüz tanıma sistemlerinden yararlanılması, ölçülülük ve gereklilik ilkeleri bakımından ciddi hukuki riskler doğurabilmektedir.

Çalışandan Açık Rıza Alınması Yeterli midir?

Uygulamada işverenler tarafından sıkça başvurulan yöntemlerden biri, çalışanlardan biyometrik veri kullanımına ilişkin açık rıza alınmasıdır.

Ancak işçi ile işveren arasındaki ekonomik ve organizasyonel güç dengesizliği nedeniyle, verilen açık rızanın gerçekten özgür iradeye dayanıp dayanmadığının ayrıca değerlendirilmesi gerekmektedir.

Çalışanın parmak izi vermemesi halinde işyerine giriş yapamayacağı, iş ilişkisinin olumsuz etkileneceği veya disiplin sürecine maruz kalabileceği yönünde fiilî bir baskı oluşması halinde açık rızanın özgür iradeye dayandığından söz edilmesi güçleşmektedir.

Bunun yanında 2026 tarihli Kurul yaklaşımında mesele yalnızca açık rızanın geçerliliği ile sınırlı değildir.

Mesai takibinin biyometrik veri işlenmesini gerektirmeyen daha hafif yöntemlerle gerçekleştirilebilmesi mümkünse, çalışanın açık rıza vermiş olması biyometrik yöntemi kendiliğinden hukuka uygun hale getirmemektedir.

Bu nedenle işverenlerin yalnızca “çalışanlardan açık rıza alınmıştır” gerekçesine dayanarak biyometrik mesai sistemlerini mevzuata uygun kabul etmemeleri gerekmektedir.

Parmak İzi ile Mesai Takibi Hukuka Uygun mudur?

2026/921 sayılı İlke Kararı doğrultusunda değerlendirildiğinde, yalnızca mesai takibi amacıyla parmak izi kullanılmasının hukuka uygunluğu oldukça sınırlı bir alanda değerlendirilmektedir.

Bunun temel nedeni parmak izinin özel nitelikli kişisel veri olması ve aynı amaca daha az müdahaleci araçlarla ulaşılabilmesidir.

Personel kartı, şifreli geçiş sistemi veya elektronik devam takip çözümlerinin kullanılabildiği bir işyerinde doğrudan parmak izi alınması, ölçülülük ilkesi yönünden hukuki sorun doğurabilmektedir.

Dolayısıyla uygulamanın hukuka uygun olup olmadığının değerlendirilmesinde sistemin teknik olarak güvenli olması tek başına yeterli değildir. Sistemin gerçekten gerekli, zorunlu ve amaca uygun olup olmadığı da ayrıca incelenmelidir.

Yüz Tanıma ile Mesai Takibi Yapılabilir mi?

Yüz tanıma sistemleri de parmak izi sistemleriyle benzer hukuki kriterlere tabi bulunmaktadır.

Çalışanın yüz geometrisinin analiz edilmesi ve kimliğinin bu yolla doğrulanması, biyometrik veri işleme faaliyeti oluşturabilmektedir.

Bu nedenle işverenin yalnızca çalışma saatlerini kaydetmek amacıyla yüz tanıma teknolojisi kullanması da KVKK bakımından gereklilik, ölçülülük ve veri minimizasyonu ilkeleri çerçevesinde değerlendirilmelidir.

Teknolojik kolaylık, hız veya operasyonel verimlilik tek başına biyometrik veri işlenmesini haklı kılan yeterli bir gerekçe olarak kabul edilmemelidir.

Güvenlik Amacıyla Biyometrik Sistem Kullanılması Farklı mı Değerlendirilir?

Mesai takibi ile güvenlik amacı birbirinden ayrılmalıdır.

Yüksek güvenlik gerektiren tesislerde, kritik alanlara erişimin sınırlandırılması veya özel yetkilendirme gerektiren bölümlere girişin kontrol edilmesi amacıyla biyometrik doğrulama kullanılması, yalnızca personelin çalışma sürelerinin izlenmesine yönelik uygulamalardan farklı şekilde değerlendirilebilmektedir.

Bununla birlikte “güvenlik” ibaresinin kullanılması, biyometrik veri işleme faaliyetini otomatik olarak hukuka uygun hale getirmemektedir.

İşverenin;

• somut ve gerçek bir güvenlik ihtiyacının bulunup bulunmadığını,

• biyometrik yöntemin zorunlu olup olmadığını,

• daha az müdahaleci yöntemlerle aynı güvenlik seviyesinin sağlanıp sağlanamayacağını,

• sistemin yalnızca gerekli çalışanlar ve alanlarla sınırlı tutulup tutulmadığını,

• verilerin ne kadar süreyle saklandığını,

• verilere kimlerin erişebildiğini

ayrıca değerlendirmesi gerekmektedir.

Bu nedenle güvenlik amacı genel ve soyut bir gerekçe olarak ileri sürülmemeli; sistemin gerekliliği somut riskler ve operasyonel ihtiyaçlar üzerinden ortaya konulmalıdır.

Halihazırda Parmak İzi veya Yüz Tanıma Sistemi Kullanan İşverenler Ne Yapmalıdır?

Mevcut biyometrik personel takip sistemlerinin 2026 tarihli Kurul yaklaşımı doğrultusunda yeniden incelenmesi gerekmektedir.

İlk aşamada sistemin gerçek kullanım amacı tespit edilmelidir. Sistem yalnızca işe giriş-çıkış saatlerini veya çalışma sürelerini takip etmek amacıyla kullanılıyorsa biyometrik veri işlenmesini gerektirmeyen alternatif yöntemlere geçiş değerlendirilmelidir.

Bu kapsamda işverenlerin özellikle;

1. mevcut personel takip sistemlerinin veri işleme yapısını analiz etmesi,

2. hangi biyometrik verilerin işlendiğini tespit etmesi,

3. veri işleme amacını açık ve belirli hale getirmesi,

4. daha az müdahaleci yöntemleri değerlendirmesi,

5. çalışanlara yönelik aydınlatma metinlerini güncellemesi,

6. kişisel veri işleme envanterini gözden geçirmesi,

7. saklama ve imha sürelerini yeniden belirlemesi,

8. hizmet sağlayıcılarla yapılan sözleşmeleri incelemesi,

9. özel nitelikli kişisel veriler bakımından teknik ve idari tedbirleri güncellemesi

önem arz etmektedir.

Daha Önce Toplanan Parmak İzi Verileri Ne Olacaktır?

Biyometrik mesai takip sisteminin kullanımına son verilmesi, daha önce toplanmış verilerin süresiz biçimde muhafaza edilebileceği anlamına gelmemektedir.

KVKK sistematiği uyarınca kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi gündeme gelmektedir.

Bu nedenle biyometrik sistem kullanımını sona erdiren işverenlerin yalnızca yeni veri toplamayı durdurmaları yeterli olmayıp, mevcut sistemlerde tutulan biyometrik kayıtları da ayrıca değerlendirmeleri gerekmektedir.

Verilerin üçüncü taraf hizmet sağlayıcıların veya yazılım firmalarının sistemlerinde tutulması halinde silme ve imha süreçlerinin bu taraflar bakımından da takip edilmesi önemlidir.

Biyometrik Veriler Yurt Dışındaki Sunucularda Tutuluyorsa Ne Olur?

Bulut tabanlı yüz tanıma ve personel takip sistemlerinde dikkat edilmesi gereken konulardan biri de verilerin hangi ülkede saklandığıdır.

Biyometrik şablonların veya doğrulama verilerinin Türkiye dışında bulunan sunuculara aktarılması halinde yalnızca özel nitelikli kişisel verilerin işlenmesine ilişkin hükümler değil, KVKK’nın yurt dışına veri aktarımı düzenlemeleri de uygulama alanı bulabilecektir.

Bu nedenle hizmet sağlayıcılarla yapılan sözleşmelerin;

• sunucu konumu,

• alt veri işleyenlerin kullanımı,

• teknik güvenlik standartları,

• veri ihlali süreçleri,

• saklama süreleri,

• sözleşme sona erdiğinde verilerin silinmesi

bakımından ayrıntılı olarak incelenmesi gerekmektedir.

Çalışan Parmak İzi Vermeyi Reddederse Ne Olur?

Mesai takibi amacıyla biyometrik sistem kullanılan bir işyerinde çalışanın parmak izi veya yüz verisini paylaşmayı reddetmesi halinde, işverenin doğrudan yaptırım uygulaması hukuki risk yaratabilmektedir.

Çalışanın biyometrik veri vermeyi kabul etmemesi nedeniyle disiplin cezasına tabi tutulması, işyerine girişinin engellenmesi veya iş sözleşmesinin sona erdirilmesi gibi işlemler; somut olayın koşullarına göre hem iş hukuku hem de kişisel verilerin korunması hukuku bakımından uyuşmazlık doğurabilecektir.

Bu nedenle işverenlerin çalışanlara biyometrik veri işlenmesini gerektirmeyen uygulanabilir alternatifler sunması önem arz etmektedir.

İşverenlerin KVKK Kapsamındaki Sorumluluğu

Biyometrik verilerin özel nitelikli kişisel veri niteliğinde olması, işveren bakımından daha yüksek bir özen ve veri güvenliği standardını beraberinde getirmektedir.

İşverenin sorumluluğu yalnızca verilerin toplanması aşamasıyla sınırlı olmayıp; saklama, erişim, aktarım, güvenlik, üçüncü taraflarla paylaşım ve imha süreçlerini de kapsamaktadır.

Bu sebeple personel takip sistemi seçimi yalnızca insan kaynakları veya bilgi teknolojileri departmanlarının vereceği teknik bir karar olarak değerlendirilmemelidir.

Özellikle biyometrik veri içeren sistemlerin kullanılmasından önce hukuki uyum ve risk analizi gerçekleştirilmesi gerekmektedir.

Sonuç

İşverenlerin çalışanların mesai ve devam durumlarını takip etmesi mümkün olmakla birlikte, bu amaçla tercih edilen yöntemin KVKK hükümleriyle uyumlu olması zorunludur.

2026/921 sayılı İlke Kararı sonrasında, yalnızca personelin çalışma saatlerini takip etmek amacıyla parmak izi, yüz tanıma veya benzeri biyometrik teknolojilerin kullanılmasının ölçülülük ve gereklilik ilkeleri bakımından önemli hukuki riskler taşıdığı daha açık hale gelmiştir.

Bu nedenle işverenler açısından en ihtiyatlı yaklaşım; biyometrik veri kullanımını gerçekten zorunlu kılan özel bir durum bulunmadığı sürece, mesai takibinde çalışanların özel nitelikli kişisel verilerinin işlenmesini gerektirmeyen yöntemlerin tercih edilmesidir.

Biyometrik sistemin güvenlik veya başka bir özel amaçla kullanıldığı işyerlerinde ise veri işleme amacı, hukuki dayanak, gereklilik, ölçülülük, saklama süresi, erişim yetkileri ve veri güvenliği tedbirleri her somut olayın özelliklerine göre ayrıca değerlendirilmelidir.

İşverenler İçin KVKK Uyum ve İş Hukuku Danışmanlığı

İşyerinde kullanılan parmak izi, yüz tanıma ve diğer personel takip sistemlerinin KVKK’ya uygunluğu, yalnızca sistemin teknik özellikleri üzerinden değerlendirilmemelidir. Sürecin aynı zamanda iş hukuku, özel nitelikli kişisel verilerin korunması, veri güvenliği ve çalışan hakları bakımından bütüncül şekilde ele alınması gerekmektedir.

Kayacı Danışmanlık, Hukuk & Mali Müşavirlik olarak; işverenlerin çalışan verilerine ilişkin KVKK uyum süreçlerinin yürütülmesi, personel takip sistemlerinin hukuki risk analizinin yapılması, aydınlatma metinleri ve iç politika dokümanlarının hazırlanması, veri saklama ve imha süreçlerinin yapılandırılması ve biyometrik veri kullanımının mevzuata uygunluğunun değerlendirilmesi konularında danışmanlık hizmeti sunmaktayız.

İşyerinizde kullanılan parmak izi, yüz tanıma veya diğer elektronik personel takip sistemlerinin güncel KVKK düzenlemelerine uygunluğunun değerlendirilmesi ve gerekli uyum çalışmalarının yürütülmesi konusunda bizimle iletişime geçebilirsiniz.