Biyometrik Mesai Takibi Yasak mı? Parmak İzi ve Yüz Tanıma 2026

Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli, 2026/921 sayılı ve 2 Haziran 2026’da Resmî Gazete’de yayımlanan İlke Kararına göre, işverenin yalnızca mesai takibi amacıyla parmak izi, yüz tanıma veya benzeri biyometrik veri işlemesi hukuka uygun değildir. Çalışma süresini izlemek meşru bir amaçtır; ancak kart, PIN veya imza gibi daha az müdahaleci yöntemler varken değiştirilemez nitelikteki özel verinin kullanılması ölçülülük ilkesine aykırıdır. Çalışanın açık rızası da bu sonucu değiştirmez. Kritik alanlara erişim gibi güvenlik amaçlı kullanımlar ayrıca ve sıkı koşullarla değerlendirilir.

📅 Son güncelleme: 19 Ekim 2026

İlke Kararı ne diyor?

Parmak izi, yüz geometrisi, iris ve retina gibi kişiyi benzersiz biçimde tanımlayan veriler 6698 sayılı KVKK bakımından özel nitelikli kişisel veridir. Kurul, giriş-çıkış saatlerinin takibini meşru bir amaç olarak kabul etmiş, ancak bu amaç için biyometrik verinin zorunlu olmadığını tespit etmiştir. Bir şifre veya kart ele geçirilirse değiştirilebilir; parmak izi veya yüz geometrisi değiştirilemez. Bu nedenle mesai takibi şifreli kart, PIN, RFID veya NFC kartları, imza veya devam çizelgesiyle yapılabiliyorsa biyometrik veri kullanımı gerekli ve ölçülü sayılmaz.

Bu yaklaşım yüksek yargı kararlarıyla da örtüşür. Anayasa Mahkemesi Genel Kurulunun Ramazan Şahin başvurusunda (B. No: 2018/11988, 10.03.2022), bir belediyede memurun rızası dışında parmak iziyle mesai takibinin, somut olayda yeterli kanuni dayanak bulunmaması nedeniyle kişisel verilerin korunmasını isteme hakkını ihlal ettiğine karar verilmiştir. Bu bireysel başvuru kararı, 2026/921 sayılı KVKK İlke Kararıyla aynı karar değildir; kamu görevlisine ilişkin somut olayın kanunilik denetimidir. Danıştay 12. Dairesinin 2021/3870 E., 2023/2548 K. sayılı kararı da mesai takibinde avuç içi damar okuyucu uygulamasını gereklilik ve ölçülülük yönünden ele almış; Danıştay İdari Dava Daireleri Kurulunun 2024/225 E., 2024/2625 K. sayılı kararı bu yaklaşımı onaylamıştır. İşverenin çalışma saatlerini kayıt altına alma yükümlülüğü, her türlü biyometrik veriyi işleyebileceği anlamına gelmez; kolaylık veya hız zorunluluk oluşturmaz.

Açık rıza yeterli mi?

Hayır. İşçi-işveren ilişkisindeki güç dengesizliği, rızanın gerçekten özgür olup olmadığını şüpheli kılar. Daha önemlisi Kurul, geçerli bir açık rıza bulunsa dahi yalnızca mesai takibi amacıyla biyometrik veri işlenmesinin ölçülülük şartını sağlamayacağını belirtmiştir. İşe başlamayı veya çalışmaya devam etmeyi parmak izi verilmesine bağlamak güvenli bir yöntem değildir.

Örnek: 80 çalışanlı bir fabrikanın girişinde hem kart okuyucu hem parmak izi cihazı kurulabilecekken işveren yalnızca parmak izi sistemini zorunlu tutuyor ve işe girişte rıza formu imzalatıyor. Bu durumda rıza formu, uygulamayı hukuka uygun hâle getirmez. Aynı fabrikada yalnızca yüksek gerilim trafo odasına giren beş teknisyen için kurulan biyometrik erişim kontrolü ise ayrı bir güvenlik değerlendirmesine tabidir.

27 Ağustos 2026 duyurusu ve güvenlik amaçlı kullanım

Kurum, İlke Kararı sonrasındaki yoğun görüş taleplerini 27 Ağustos 2026 tarihli kamuoyu duyurusuyla yanıtladı. Duyuru İlke Kararını kaldırmaz, ertelemez veya yeni bir serbestlik tanımaz; yalnızca mesai takibi ile mesai dışındaki güvenlik amaçlarını ayırır. Kritik tesislerde kimlik doğrulama ve erişim kontrolü için biyometrik veri işlenmesi; faaliyetin gerekli alan ve kişilerle sınırlı tutulması, daha az müdahaleci alternatiflerin yetersizliğinin gösterilmesi ve somut güvenlik ihtiyacıyla ölçülü olması şartıyla ayrıca değerlendirilir. KVKK m.28/1-ç’deki güvenlik istisnası da yalnızca kendi şartlarıyla uygulanır.

Kritik alan için toplanan biyometrik verinin aynı zamanda giriş-çıkış saati kaydı için kullanılması, işlemeyi yeniden İlke Kararının kapsamına sokar. Güvenlik sistemi ile mesai kaydı birbirinden ayrılmalı ve bu ayrım yazılı olarak belgelenmelidir.

İşveren ne yapmalı?

Mesai takibinin neden biyometrik veri gerektirdiği yazılı olarak değerlendirilmeli; kart, PIN, RFID veya elektronik puantaj gibi alternatiflerin kullanılabilirliği incelenmeli ve mümkünse bu sistemlere geçiş planlanmalıdır. Cihazı kapatmak yetmez: mesai yazılımında, bulut hizmetinde veya hizmet sağlayıcının sunucularında biyometrik şablonlar tutuluyor olabilir. Bu verilerin nerede, ne kadar süre ve hangi güvenlik tedbirleriyle saklandığı çıkarılmalı; işleme şartı ortadan kalkmışsa silme, yok etme veya anonimleştirme yapılmalıdır. Ücret ve çalışma süresi için gereken giriş-çıkış kayıtları korunabilir, ama bunlar yüz geometrisi şablonlarının süresiz saklanmasına gerekçe olamaz.

KVKK m.12 uyarınca veri sorumlusu gerekli teknik ve idari tedbirleri almakla yükümlüdür. Biyometrik verinin sızması kalıcı sonuçlar doğurduğundan risk yüksektir; ancak hiç toplanmaması gereken bir veriyi çok güvenli saklamak işlemeyi hukuka uygun hâle getirmez. Geçişte çalışanlara yeni sistemin amacı ve saklama kuralları açıklanmalı, kayıtlara erişim ve düzeltme taleplerinin nasıl karşılanacağı belirlenmelidir (KVKK başvurusuna cevap).

Parmak izi vermeyi reddeden işçi

Mesai takibinin başka yöntemlerle yapılabildiği bir işyerinde işçinin yalnızca biyometrik veri vermeyi reddetmesi kendiliğinden geçerli bir fesih veya disiplin sebebi değildir. Böyle bir fesih, iş güvencesi şartları, fesih gerekçesi ve kişilik hakları yönünden ayrıca incelenir. Devamsızlık ve fazla mesai uyuşmazlıklarında vardiya listeleri, puantaj, e-posta ve görev kayıtları gibi başka deliller de kullanılabilir (fazla mesai ve deliller). Konu KVKK ile iş hukukunun kesişimindedir; diğer gözetim biçimleri için güvenlik kamerası ve KVKK ile kurumsal e-posta denetimi yazılarımıza bakılabilir.

Sık yapılan hatalar

Çalışandan alınan açık rıza formunun biyometrik mesai takibini hukuka uygun hâle getirdiğini sanmak; yalnızca cihazı kapatıp yazılımda veya hizmet sağlayıcının sunucularında tutulan biyometrik şablonları silmemek; kritik alan erişimi için toplanan biyometrik veriyi giriş-çıkış saati kaydında da kullanmak; 27 Ağustos 2026 duyurusunu İlke Kararının ertelendiği şeklinde yorumlamak ve parmak izi vermeyi reddeden işçiyi bu gerekçeyle işten çıkarmak en sık hatalardır.

Adım adım: İşveren için biyometrik mesai sisteminden geçiş

1. İşyerinde hangi cihaz ve yazılımların parmak izi, yüz geometrisi veya benzeri biyometrik veri işlediğini tespit edin.
2. Her sistemin amacını belirleyin; yalnızca mesai takibi için kullanılan sistemleri güvenlik amaçlı erişim kontrolünden ayırın.
3. Mesai takibi için kart, PIN, RFID/NFC, elektronik puantaj veya imza gibi alternatif bir yönteme geçişi planlayın.
4. Biyometrik şablonların cihazda, yazılımda, bulutta veya hizmet sağlayıcıda nerede ve ne kadar süreyle tutulduğunu çıkarın.
5. İşleme şartı ortadan kalkan biyometrik verileri silin, yok edin veya anonimleştirin ve bu işlemi tutanakla belgeleyin.
6. Kritik alan erişimi için biyometrik sistem sürdürülecekse alanı ve kişileri sınırlayın, alternatiflerin neden yetersiz olduğunu yazılı olarak değerlendirin.
7. Çalışanları yeni sistemin amacı, saklama süreleri ve başvuru hakları hakkında bilgilendirin; aydınlatma metnini güncelleyin.

İşten çıkarılma, tazminat ve işçilik alacaklarına ilişkin diğer rehberler için “İşten çıkarıldım, ne yapmalıyım?” ana rehberimizdeki konu dizinine bakabilirsiniz.

Sık Sorulan Sorular

Parmak iziyle mesai takibi yasak mı?

Yalnızca mesai takibi amacıyla biyometrik veri işlenmesi 2026/921 sayılı İlke Kararına göre hukuka uygun değildir.

Cihazın kendisi yasaklandı mı?

Hayır; kritik alan erişimi gibi başka amaçlar sıkı koşullarla ayrıca değerlendirilir.

İşçi açık rıza verirse parmak izi alınabilir mi?

Hayır; Kurula göre rıza ölçülülük sorununu çözmez.

27 Ağustos duyurusu kararı kaldırdı mı?

Hayır; kararı kaldıran veya erteleyen bir düzenleme değildir.

Parmak izi yerine ne kullanılabilir?

Kart, PIN, RFID/NFC, elektronik puantaj veya imza.

Biyometrik veri vermeyen işçi çıkarılabilir mi?

Bu tek başına geçerli fesih sebebi sayılmaz; somut olay incelenir.

Sonuç

Kişisel Verileri Koruma Kurulunun 2026/921 sayılı İlke Kararına göre, işverenin yalnızca mesai takibi amacıyla parmak izi, yüz tanıma veya benzeri biyometrik veri işlemesi hukuka uygun değildir ve çalışanın açık rızası bu sonucu değiştirmez. 27 Ağustos 2026 duyurusu kararı kaldırmamış, yalnızca kritik alanlara erişim gibi güvenlik amaçlı kullanımları sıkı koşullarla ayrıca değerlendirmeye bırakmıştır. İşverenlerin mesai takibini kart, PIN veya elektronik puantaj gibi yöntemlere taşıması, mevcut biyometrik şablonları silmesi ve güvenlik sistemini mesai kaydından ayırması gerekir.

Hukuki Uyarı

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık yerine geçmez. Takip sisteminin amacı, kullanılan teknoloji, veri işleme şartı ve işyeri uygulamaları somut olarak değerlendirilmelidir.