Parmak izi ile mesai takibi yasağı: ne değişti, ne yapmalısınız?

Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı ilke kararıyla mesai takibi amacıyla biyometrik veri işlenmesini hukuka aykırı buldu. Karar 2 Haziran 2026’da Resmî Gazete’de yayımlandı ve yürürlüğe girdi. Kapsamı geniş: parmak izi, avuç içi damar izi, yüz tanıma, iris ve retina. Hem özel sektör işverenlerini hem kamu kurumlarını bağlıyor.

Bu sayfa, kararın işletmeler açısından pratik sonuçlarını ve teknik geçiş planını anlatıyor. Hukuki görüş değildir — aydınlatma metni, imha tutanağı ve çalışan bilgilendirmesi için avukatınızla çalışmanız gerekir. Biz sistemi taşıyan tarafız.

Biyometrik veri ve KVKK: “rıza yeterli değil”

Bugüne kadar yaygın uygulama şuydu: çalışandan açık rıza alınır, biyometrik sistem kurulurdu. Kurul bu yolu kapattı. Gerekçe ölçülülük ilkesi: mevzuat işverene çalışma sürelerini kayıt altına alma yükümlülüğü veriyor, ama biyometrik kimliklendirme zorunluluğu getirmiyor. Kart, şifre veya konum doğrulamalı mobil giriş gibi daha az müdahaleci yöntemler varken en müdahaleci olanı seçmek, ölçülü sayılmıyor.

İş ilişkisinde rızanın “özgür iradeyle” verilip verilmediği de zaten tartışmalıydı: işini kaybetme endişesi taşıyan bir çalışanın reddetme özgürlüğü gerçek midir? Kurul bu tartışmayı sonlandırdı — rıza alınmış olması sonucu değiştirmiyor.

Pratik anlamı: “Biz rıza aldık, bizde sorun yok” cümlesi artık geçerli bir savunma değil. Sisteminiz parmak izi okuyorsa, rıza dosyanızın kalınlığı fark etmiyor.

Cihazınızı çöpe atmanız gerekiyor mu?

Büyük ihtimalle hayır. Piyasadaki PDKS terminallerinin çoğu çok kipli çalışır: aynı cihaz parmak izi, kart ve şifre okuyabilir. Yapılması gereken, biyometrik doğrulamayı kapatıp cihazı kart veya PIN kipine almaktır. Bu genellikle bir yazılım ayarıdır; donanım değişikliği gerektirmez.

Yalnızca biyometrik çalışan, kart okuyucusu olmayan modellerde donanım değişimi gerekir. Bu durumda iki seçenek var: kart okuyuculu bir terminalle değiştirmek ya da terminali tamamen kaldırıp konum doğrulamalı mobil girişe geçmek. İkincisi çoğu şirkette daha ucuzdur, çünkü cihaz başına maliyet ve cihaz arızası riski ortadan kalkar.

Dikkat: cihazı kart kipine almak tek başına yetmez. Cihazın ve varsa sunucunun belleğinde duran eski biyometrik şablonlar da silinmelidir. Bir denetimde sorulacak ilk şeylerden biri budur.

Geçiş planı: sırasıyla ne yapılmalı

Sıra önemli. Şablonları silmeden doğrulamayı kapatırsanız veri hâlâ ortada durur; doğrulamayı kapatmadan silerseniz sistem çalışan kaydı alamaz hâle gelebilir.

Hangi yöntemler yasal?

Yasak yalnızca biyometrik veriye. Aşağıdakiler kullanılmaya devam edebilir — ama her birinin kendi KVKK yükümlülükleri var (aydınlatma, veri minimizasyonu, saklama süresi).

Mobil + konum konusunda bir uyarı: bu yöntem yasal ama sınırsız değil. Konum verisi de kişisel veridir ve ölçülülük ilkesi burada da geçerlidir. Doğru kurgu, konumun yalnızca giriş ve çıkış anında alınıp mesafe kontrolü için kullanılması ve ham konumun uzun süre saklanmamasıdır. Gün boyu personel takip eden bir kurgu, biyometriden kaçarken başka bir ihlale girer.

Cezası ne?

KVKK’nın idari para cezaları veri güvenliği yükümlülüklerinin ihlalinde uygulanır ve tutarlar her yıl yeniden değerleme oranıyla güncellenir. Güncel tutar için Kurum’un yayımladığı listeye bakılmalıdır — bu sayfada rakam yazmıyoruz, çünkü yıl içinde değişen bir rakamı sabitlemek yanıltıcı olur.

Ama asıl maliyet çoğu zaman ceza değildir: çalışan şikâyeti üzerine başlayan bir inceleme, kurumun tüm veri işleme süreçlerini masaya yatırır. Tek bir parmak izi okuyucusu yüzünden başlayan denetim, sonu gelmeyen bir uyum projesine dönüşebilir.

Yurt dışı operasyonu olan şirketler

Bu karar Türkiye’ye özgüdür. GDPR kapsamında biyometrik veri işlemek, geçerli bir hukuki sebep ve etki değerlendirmesiyle mümkün olmaya devam ediyor. Yani Almanya’daki fabrikanızda çalışan bir kurgu, Türkiye’deki fabrikanızda hukuka aykırı olabilir.

Çok ülkeli kurulumlarda tek tip sistem dayatmak yerine, kayıt yöntemini ülke bazında yapılandırılabilir tutmak doğru mimaridir. Bizim personel takip sistemimiz bu ayrımı destekler: aynı panel, farklı lokasyonlarda farklı giriş yöntemi.