KVKK'dan İşverenlere Önemli Uyarı: Parmak İzi ve Yüz Tanıma ile Mesai Takibi Hukuka Uygun mu?

Kişisel Verileri Koruma Kurulu (KVKK), 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanan 2026/921 sayılı İlke Kararı ile işverenlerin çalışanların mesai takibinde kullandıkları biyometrik veri işleme uygulamalarına ilişkin önemli değerlendirmelerde bulunmuştur. Karar, özellikle parmak izi, yüz tanıma, iris tarama ve benzeri biyometrik sistemleri kullanan işyerleri açısından dikkatle incelenmesi gereken sonuçlar içermektedir.

Biyometrik Veri Nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında biyometrik veriler, özel nitelikli kişisel veri olarak kabul edilmektedir. Parmak izi, yüz geometrisi, retina ve iris verileri, ses biyometrisi ve davranışsal biyometrik özellikler kişinin benzersiz şekilde tanımlanmasını sağlayan verilerdir.

Bu verilerin en önemli özelliği, ele geçirilmeleri halinde değiştirilmelerinin veya yenilenmelerinin mümkün olmamasıdır. Bir şifre değiştirilebilir; ancak kişinin parmak izini veya yüz yapısını değiştirmesi mümkün değildir. Bu nedenle biyometrik verilerin korunması, kişisel verilerin korunması hukukunda özel bir öneme sahiptir.

Kurulun Gündemine Neden Geldi?

KVKK'ya yapılan çok sayıda şikâyet ve ihbar sonucunda, işverenlerin çalışan devam kontrol sistemlerinde giderek daha fazla biyometrik yöntemlere yöneldiği tespit edilmiştir.

Özellikle;

• Parmak izi okutma sistemleri,

• Yüz tanıma sistemleri,

• Avuç içi damar izi sistemleri,

• Retina ve iris tarama sistemleri,

mesai başlangıç ve bitiş saatlerinin tespiti amacıyla yaygın şekilde kullanılmaktadır.

Kurul ise bu uygulamaların yalnızca teknolojik olarak mümkün olmasının, hukuken de her zaman uygun olduğu anlamına gelmediğini vurgulamıştır.

Çalışanın Açık Rızası Yeterli mi?

Kararın en dikkat çekici yönlerinden biri budur. Uygulamada birçok işveren biyometrik veri işleme faaliyetlerini çalışanlardan alınan açık rıza metinlerine dayandırmaktadır. Ancak KVKK, işçi-işveren ilişkisinde tarafların eşit konumda bulunmadığını açıkça belirtmiştir.

İşçinin işini kaybetme endişesi, işverene ekonomik bağımlılığı ve iş ilişkisinin doğası gereği, verilen rızanın her zaman özgür iradeye dayanıp dayanmadığı tartışmalıdır.

Bu nedenle Kurul, çalışan tarafından verilen açık rızanın tek başına yeterli bir hukuki dayanak olarak kabul edilmesinin mümkün olmayabileceğini değerlendirmiştir.

Ölçülülük İlkesi Neden Bu Kadar Önemli?

KVKK'nın temel yaklaşımı, veri işlemenin amaçla bağlantılı, sınırlı ve ölçülü olması gerektiğidir.

Bir işverenin amacı, çalışanın işe gelip gelmediğini ve çalışma süresini kayıt altına almak olabilir. Ancak bu amaca ulaşmak için mutlaka parmak izi veya yüz tanıma sistemi kullanılması gerekip gerekmediği ayrıca değerlendirilmelidir.

Kurula göre;

• Şifreli kart sistemleri,

• PIN kodları,

• RFID veya NFC kartları,

• İmza çizelgeleri,

• Elektronik giriş kartları,

• Denetim altında tutulan giriş çıkış kayıtları

gibi daha az müdahaleci yöntemler mevcutken biyometrik veri kullanımına başvurulması ölçülülük ilkesine aykırılık oluşturabilecektir.

Anayasa Mahkemesi ve Danıştay Kararları Ne Diyor?

KVKK kararında yalnızca Kanun hükümlerine değil, yüksek yargı kararlarına da yer verilmiştir.

Anayasa Mahkemesi daha önce verdiği bir kararda, mesai takibi amacıyla parmak izi kullanılmasının kişisel verilerin korunmasını isteme hakkı bakımından değerlendirilmesi gerektiğini belirtmiştir.

Benzer şekilde Danıştay da biyometrik veri işlenmesinin ancak gerçekten gerekli olduğu durumlarda ve daha hafif yöntemlerin yetersiz kaldığının ortaya konulması halinde değerlendirilebileceğine işaret etmiştir.

Bu kararlar birlikte değerlendirildiğinde, yargı organlarının da biyometrik veri kullanımına oldukça temkinli yaklaştığı görülmektedir.

İşverenler Ne Yapmalı?

Bu ilke kararı sonrasında işverenlerin mevcut personel devam kontrol sistemlerini gözden geçirmeleri önem taşımaktadır.

Özellikle parmak izi veya yüz tanıma sistemi kullanan işletmelerin;

• Veri işleme envanterlerini güncellemeleri,

• KVKK uyum süreçlerini yeniden değerlendirmeleri,

• Alternatif takip yöntemlerini analiz etmeleri,

• Ölçülülük ve veri minimizasyonu ilkeleri bakımından hukuki risk değerlendirmesi yapmaları,

gerekmektedir.

Aksi halde KVKK tarafından yapılacak incelemelerde idari yaptırımlarla karşılaşılması mümkün olabilecektir.

Sonuç

KVKK'nın 2026/921 sayılı İlke Kararı, işyerlerinde biyometrik veri kullanımına ilişkin bugüne kadarki en net değerlendirmelerden birini ortaya koymaktadır. Karar, çalışanların mesai takibi amacıyla parmak izi veya yüz tanıma gibi biyometrik sistemlerin kullanımının otomatik olarak hukuka uygun kabul edilemeyeceğini göstermektedir.

Özellikle açık rızanın tek başına yeterli görülmemesi ve alternatif yöntemlerin varlığı halinde biyometrik veri kullanımının ölçülülük ilkesine aykırı sayılabileceğinin vurgulanması, işverenler açısından önemli bir dönüm noktasıdır.

İşverenlerin ve insan kaynakları birimlerinin bu karar doğrultusunda uygulamalarını yeniden değerlendirmeleri, ileride doğabilecek hukuki risklerin önüne geçilmesi açısından büyük önem taşımaktadır.