Parmak İzi ve Yüz Tanımayla Mesai Takibi Yasal mı?
KVKK'nın 29 Nisan 2026 tarihli ilke kararına göre mesai takibinde parmak izi ve yüz tanıma, açık rıza alınsa bile hukuka aykırı. Nedeni ve yasal alternatifler.
Hayır. Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararına göre, mesai (giriş-çıkış) takibi amacıyla parmak izi, yüz tanıma, iris veya retina gibi biyometrik verilerin işlenmesi hukuka aykırıdır. Üstelik çalışandan açık rıza alınmış olması da bu işlemeyi meşru hale getirmez. Kurul, mesai takibi gibi rutin bir amaç için bu kadar hassas bir verinin toplanmasını ölçüsüz bulmuş ve işverenlerin daha az müdahaleci yöntemlere geçmesi gerektiğini belirtmiştir.
Biyometrik veri neden bu kadar hassas? Parmak izi, yüz geometrisi, iris ve avuç içi damar deseni kişiye özgüdür, ömür boyu değişmez ve bir şifre gibi sıfırlanamaz. Şifreniz çalınırsa değiştirirsiniz; parmak iziniz sızarsa geri alamazsınız. Bu yüzden 6698 sayılı Kanun biyometrik verileri özel nitelikli, yani hassas kişisel veri sayar ve 6. maddede çok daha katı bir işleme rejimine bağlar. Yürüyüş biçimi ya da klavye kullanım ritmi gibi davranışsal biyometrik veriler de aynı kategoridedir.
İşverenlerin en sık düştüğü hata, çalışana bir onay formu imzalatıp meseleyi kapattığını sanmaktır. Kurul tam da bunu kabul etmiyor. İşçi ile işveren arasında yapısal bir güç dengesizliği vardır; işini kaybetme kaygısı taşıyan bir çalışanın parmak izi vermeyi gerçekten özgür iradesiyle reddedebileceği kabul edilmez. Açık rıza özgür iradeye dayanmadığında geçerli sayılmaz. 2026/921 sayılı kararda da açık rızanın tek başına yeterli bir dayanak olmadığı açıkça vurgulanmıştır.
Kararın hukuki çekirdeği ölçülülük ilkesidir. Kanun'un 4. maddesi, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını zorunlu kılar. Mesai takibinin amacı, çalışanın işe kaçta gelip kaçta çıktığını kayıt altına almaktır. Bu amaca kartlı geçiş, PIN ya da imza gibi çok daha az veriyle ulaşılabildiği için, aynı sonucu veren ama geri alınamayan bir biyometrik veriyi toplamak ölçüsüz kabul edilir. Kısacası daha hafif bir yöntem işi görüyorsa en ağırını seçemezsiniz.
Kurul, özel nitelikli verilerin işleme şartlarını da değerlendirdi. Kanun'un 6. maddesi açık rıza dışında sayılı hukuki sebepler tanır: kanunlarda açıkça öngörülme, bir hakkın tesisi, istihdam ve iş sağlığı yükümlülüklerinin yerine getirilmesi gibi. Mevzuat işverene çalışma saatlerini takip etme imkanı tanır, ancak bu takibin biyometrik veriyle yapılmasını zorunlu kılan ya da açıkça öngören bir hüküm yoktur. Dolayısıyla açık rıza dışındaki sebeplerin hiçbiri mesai takibine dayanak olamaz.
Bu yaklaşım yeni de değil. Kurul, 2020/915 sayılı kararında bir belediyenin memurlarının işe giriş-çıkışını parmak iziyle takip etmesini incelemişti. Bir memur parmak izinin silinmesini istemiş, belediye ise talebi reddetmişti. Kurul, PIN, şifre ve ıslak imza gibi alternatifler dururken parmak izi toplanmasını ölçüsüz bulmuş, geçerli bir açık rıza bulunmadığına hükmetmiş ve saklanan parmak izlerinin imha edilerek sistemin alternatif bir yöntemle değiştirilmesine karar vermişti. 2026 ilke kararı, bu tekil değerlendirmeyi tüm işverenleri bağlayan genel bir kurala dönüştürüyor.
İşin arka planında Kurumun 2021'de yayımladığı Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber de var. Rehber, biyometrik veri işlenecekse bunun temel hak ve özgürlükleri zedelememesini, amaca elverişli ve gerçekten gerekli olmasını, amaçla orantılı kalmasını ve gereğinden uzun saklanmamasını ister. En kritik ölçütlerden biri şudur: kişiye biyometrik olmayan bir alternatif her zaman sunulmalıdır. Mesai takibinde bu alternatif kartlı ya da imzalı sistem olduğuna göre, biyometrik yöntemi dayatmak baştan sorunludur.
Uymamanın bedeli somut. Biyometrik personel devam kontrol sistemini (PDKS) hukuka aykırı biçimde kullanmaya devam eden bir işveren, Kanun'un 12. maddesindeki veri güvenliği yükümlülüklerini ihlal etmiş sayılır ve 18. madde kapsamında idari para cezasıyla karşılaşabilir. 2026 yılı için bu ihlale uygulanabilecek ceza 256.357 TL ile 17.092.242 TL arasındadır. Buna çalışanların Kurul'a şikayeti, verilerin imhası ve sistemin sökülmesi gibi maliyetler de eklenir.
Peki ne yapmalı? Kararda ve rehberde işaret edilen yol açık: mesai takibini daha az müdahaleci yöntemlere taşıyın. Şifreli kart veya PIN'li geçiş sistemleri, RFID ve NFC kartlar, mobil uygulama üzerinden konum ya da QR ile giriş, klasik imza föyü veya kağıt puantaj bunların başında gelir. Halihazırda parmak izi veya yüz tanıma kullanıyorsanız önce yeni kayıt almayı durdurun, mevcut biyometrik şablonları geri döndürülemez biçimde imha edin ve imha işlemini tutanakla kayıt altına alın.
Bir noktanın altını çizmek gerekir: bu karar her türlü biyometrik veri kullanımını yasaklamaz. Yasaklanan, mesai takibi gibi rutin ve alternatifi bol bir amaç için biyometrik veri toplamaktır. Yüksek güvenlikli laboratuvar, banka kasa dairesi ya da kritik altyapı gibi biyometrik doğrulamanın gerçekten zorunlu olduğu, alternatifin yetersiz kaldığı istisnai durumlar ayrı değerlendirilir. Sıradan bir ofis, fabrika veya mağazanın mesai takibi bu istisnaya girmez.
Şirketinizde parmak izi ya da yüz tanımayla çalışan bir PDKS varsa, bugün itibarıyla bir uyum riskiniz olabilir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut sisteminizi gözden geçirip hangi verilerin imha edilmesi, hangi alternatife geçilmesi gerektiğini ve imha sürecini nasıl belgeleyeceğinizi birlikte netleştirebiliriz.