İşyerinde Parmak İzi ve Yüz Tanıma Sistemi Hukuka Uygun mu? KVKK’nın 2026 İlke Kararları Ne Getirdi?

**İşyerinde Parmak İzi ve Yüz Tanıma Sistemi Hukuka Uygun mu? KVKK’nın 2026 İlke Kararları Ne Getirdi?

**

İşyerinde parmak izi ve yüz tanıma sistemi kullanmak hukuka uygun mu? KVKK’nın 2026/921 sayılı biyometrik veri İlke Kararı ve 2026/347 sayılı açık rıza-açık aydınlatma kararı ışığında güncel değerlendirme.

Giriş

İşyerlerinde çalışanların giriş-çıkış saatlerini takip etmek amacıyla parmak izi sistemi, yüz tanıma sistemi, iris taraması veya benzeri biyometrik yöntemlerin kullanılması uzun süredir tartışılan bir konudur. Özellikle fabrika, özel güvenlik, AVM, üretim tesisi, hastane, okul ve büyük ölçekli işletmelerde bu sistemler “hızlı ve güvenli mesai takibi” gerekçesiyle tercih edilmektedir.

Ancak Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı’na ilişkin kamuoyu duyurusu, mesai takibi amacıyla biyometrik veri işlenmesi konusunda işverenler açısından önemli sınırlamalar getirmiştir. KVKK, parmak izi, yüz tanıma, iris ve retina taraması gibi sistemlerin cazip görünse de kişisel verilerin korunması hukuku bakımından son derece hassas bir alan oluşturduğunu belirtmiştir.

Bu nedenle artık işyerinde parmak izi veya yüz tanıma sistemi kullanılması yalnızca teknik bir tercih değil, doğrudan KVKK, iş hukuku ve çalışan hakları bakımından değerlendirilmesi gereken ciddi bir hukuki konudur.

Kısa Cevap: İşyerinde Parmak İzi Sistemi Kullanılabilir mi?

Kural olarak, mesai takibi amacıyla işyerinde parmak izi veya yüz tanıma sistemi kullanılması ciddi KVKK riski taşır. KVKK Kurulu, mesai takibi için biyometrik veri işlenmesinin, geçerli bir açık rıza bulunsa dahi ölçülülük kriterini sağlamayacağını değerlendirmiştir. Kurul; mesai takibinin biyometrik sistemler yerine şifreli kart, PIN tabanlı sistemler, RFID/NFC kimlik kartları, imza çizelgeleri veya denetçi gözetiminde elle giriş gibi alternatif yöntemlerle sağlanması gerektiğini belirtmiştir.

Bu nedenle işverenlerin “çalışandan açık rıza aldım, artık parmak izi sistemi kullanabilirim” şeklinde hareket etmesi doğru değildir.

Biyometrik Veri Nedir?

Biyometrik veri; kişinin fiziksel, fizyolojik veya davranışsal özellikleri aracılığıyla kimliğinin belirlenmesini ya da doğrulanmasını sağlayan özel nitelikli kişisel veridir.

İşyerlerinde en sık karşılaşılan biyometrik veriler şunlardır:

Parmak izi verisi

Yüz tanıma verisi

Iris taraması

Retina taraması

Avuç içi veya el geometrisi

Ses tanıma gibi kimlik doğrulama yöntemleri

Bu veriler sıradan kişisel verilerden daha hassastır. Çünkü bir çalışanın telefon numarası, adresi veya kartı değiştirilebilir; ancak parmak izi veya yüz biyometrisi kolayca değiştirilemez. Bu nedenle biyometrik verilerin işlenmesi, çalışanın özel hayatı ve kişisel verilerinin korunması hakkı bakımından daha sıkı denetime tabidir.

KVKK’nın 2026/921 Sayılı İlke Kararı Ne Diyor?

KVKK’nın 02.06.2026 tarihli kamuoyu duyurusunda, Kuruma gelen ihbar ve şikâyetlerde en çok karşılaşılan konulardan birinin, çalışan devam takibini dijitalleştirmek ve güvenliği artırmak amacıyla biyometrik tanımlama sistemlerine yönelinmesi olduğu belirtilmiştir. Kurul, bu sistemlerin hızlı ve manipülasyona dirençli görünmesine rağmen kişisel verilerin korunması hukuku bakımından hassas olduğunu özellikle vurgulamıştır.

Kurulun temel tespiti şudur:

*İşverenin çalışma sürelerini takip etmesi ve belgelemesi yönünden hukuki yükümlülükleri bulunabilir. Ancak mevcut mevzuatta, bu takibin biyometrik veri işlenerek yapılmasını zorunlu kılan açık bir kanuni düzenleme bulunmamaktadır. Bu nedenle mesai takibinin parmak izi veya yüz tanıma gibi biyometrik sistemlerle yapılması hukuka aykırılık oluşturabilecektir.*

KVKK ayrıca mesai takibinde biyometrik veri işlenmesini şu üç açıdan değerlendirmektedir:

Amaca uygunluk: Kullanılan yöntem gerçekten mesai takibi amacına uygun mu?

Alternatif yöntemler: Daha az müdahaleci yöntemler tüketildi mi?

Ölçülülük: Çalışanın biyometrik verisinin alınması, ulaşılmak istenen amaçla orantılı mı?

Kurul, alternatif ve daha az müdahaleci yöntemler varken mesai takibi için biyometrik veri işlenmesinin, açık rıza bulunsa dahi KVKK’nın genel ilkeleri kapsamında ölçülülük kriterini sağlamayacağını belirtmiştir.

Açık Rıza Almak Tek Başına Yeterli mi?

Hayır. İşyerinde parmak izi veya yüz tanıma sistemi bakımından en sık yapılan hata, çalışandan açık rıza alınmasının her şeyi hukuka uygun hâle getirdiğinin düşünülmesidir.

KVKK, işçi-işveren ilişkisinde yapısal bir güç dengesizliği bulunduğunu vurgulamaktadır. Çalışan, işini kaybetme korkusu, işyerinde sorun yaşama endişesi veya olumsuz muameleye maruz kalma ihtimali nedeniyle rıza vermek zorunda hissedebilir. Bu durumda verilen rızanın gerçekten özgür iradeye dayanıp dayanmadığı tartışmalı hâle gelir.

Ayrıca açık rızanın her zaman geri alınabilir olması gerekir. Çalışan rızasını geri aldığında, işverenin biyometrik sisteme dayalı mesai takip düzeni sürdürülemez hâle gelebilir. Bu nedenle Kurul, biyometrik verilerin mesai takibi amacıyla yalnızca açık rızaya dayanılarak işlenmesinin kural olarak yeterli bir hukuki zemin oluşturmayacağını ifade etmiştir.

Ekteki Resmî Gazete Kararı: Açık Rıza ve Aydınlatma Metni Ayrı Olmalı

Bu konuda dikkat edilmesi gereken bir diğer önemli karar da ekteki PDF’te yer alan 24.03.2026 tarihli Resmî Gazete’de yayımlanan 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararıdır. Bu karar, veri sorumluları tarafından açık rıza metni ile aydınlatma metninin ayrı ayrı düzenlenmesi gerektiğini açıkça ortaya koymaktadır.

Kararda özetle şu hususlar vurgulanmaktadır:

Aydınlatma yükümlülüğü, kişisel verisi işlenen kişilerin bilgilendirilmesi anlamına gelir. Açık rıza ise kişisel verilerin hukuka uygun olarak işlenebilmesi için KVKK’da öngörülen işleme şartlarından biridir. Bu iki kavram farklı hukuki nitelik taşır. Bu nedenle aydınlatma metni ile açık rıza metni birbirine karıştırılmamalıdır.

Ekteki kararın uygulamaya etkisi işyerleri açısından çok önemlidir. Çünkü birçok işveren, çalışanlara tek bir belge imzalatarak hem aydınlatma yaptığını hem de açık rıza aldığını düşünmektedir. Oysa Kurul, kişisel veri işleme faaliyeti açık rızaya dayanıyorsa aydınlatma metni ve açık rıza metninin farklı başlıklar altında, ayrı ayrı metinler olarak düzenlenmesi gerektiğini belirtmiştir.

Bu nedenle parmak izi veya yüz tanıma sistemi kullanan işverenlerin yalnızca “rıza formu” hazırlaması yeterli değildir. Hatta mesai takibinde biyometrik veri işlenmesi bakımından açık rıza alınmış olsa bile, KVKK’nın 2026/921 sayılı İlke Kararı gereğince bu rıza ölçülülük sorununu ortadan kaldırmayabilir.

İyi Uygulama ve Kötü Uygulama Ayrımı

Ekteki Resmî Gazete kararında iyi ve kötü uygulama şablonlarına da yer verilmiştir. İyi uygulama örneğinde, önce kişisel verilerin işlenmesine ilişkin aydınlatma metni düzenlenmekte, ardından açık rıza gerekiyorsa ayrı bir açık rıza metni sunulmaktadır. Tek sayfalık iyi uygulama örneğinde dahi, aydınlatmanın okunduğuna ilişkin beyan ile açık rıza beyanının ayrı düşünülmesi gerektiği gösterilmektedir.

Kötü uygulama örneğinde ise “açık rızaya ilişkin aydınlatma metni” gibi karma başlıklar kullanıldığı, veri sorumlusunun kimliğine yeterince yer verilmediği, işlenen kişisel verilerin açık ve net belirtilmediği, aktarım yapılan alıcı gruplarının belirsiz bırakıldığı görülmektedir. Bu tür metinler KVKK bakımından risklidir.

İşverenler bakımından buradan çıkarılması gereken sonuç şudur:

Aydınlatma metni bilgilendirme içindir; açık rıza metni ise onay içindir. Bu iki belge aynı amaca hizmet etmez ve birbirinin yerine kullanılamaz.

Mesai Takibinde Parmak İzi Neden Ölçüsüz Kabul Edilebilir?

Mesai takibinde işverenin amacı, çalışanın işe giriş ve çıkış saatlerini tespit etmektir. Bu amaç hukuken meşru olabilir. Ancak hukuka uygunluk değerlendirmesi yalnızca amacın meşru olup olmadığıyla sınırlı değildir. Kullanılan yöntemin de ölçülü olması gerekir.

Örneğin bir işyerinde çalışanların giriş-çıkışları kartlı sistemle, PIN koduyla, RFID/NFC kartla veya imza çizelgesiyle takip edilebiliyorsa, aynı amaç için parmak izi alınması daha ağır bir müdahale olarak değerlendirilebilir. KVKK Kurulu da açık şekilde mesai takibi için biyometrik tanımlama sistemleri yerine daha az müdahaleci alternatif yolların tercih edilmesi gerektiğini belirtmiştir.

Burada önemli olan şudur: İşverenin mesai takibi yapma hakkı vardır. Ancak bu hak, çalışanın özel nitelikli kişisel verilerini sınırsız şekilde işleme yetkisi vermez.

Yüz Tanıma Sistemi de Aynı Kapsamda Değerlendirilir mi?

Evet. Yüz tanıma sistemi de biyometrik veri işlenmesine yol açar. Bu nedenle parmak izi sistemine ilişkin riskler, yüz tanıma sistemi için de geçerlidir.

KVKK’nın 2026/921 sayılı duyurusunda parmak izi yanında yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerine de açıkça yer verilmiştir. Bu nedenle işyerinde mesai takibi amacıyla yüz tanıma sistemi kullanılması da ölçülülük, gereklilik, açık rıza ve alternatif yöntemler bakımından ayrıca değerlendirilmelidir.

İşverenler Hangi Alternatif Yöntemleri Tercih Etmeli?

KVKK kararına göre işverenler mesai takibini biyometrik sistemler yerine daha az müdahaleci yöntemlerle sağlamalıdır. Bu kapsamda şu yöntemler değerlendirilebilir:

Şifreli kart sistemi

PIN tabanlı giriş sistemi

RFID/NFC personel kartı

Geleneksel imza çizelgesi

Kâğıt bazlı devam çizelgesi

Denetçi gözetiminde elle giriş

Biyometrik veri içermeyen turnike veya kartlı geçiş sistemi

Ancak bu sistemlerin kullanılması da KVKK yükümlülüklerini tamamen ortadan kaldırmaz. Çünkü kartlı geçiş kayıtları, giriş-çıkış saatleri ve personel hareket kayıtları da kişisel veri niteliğindedir. Bu nedenle işverenin yine aydınlatma yükümlülüğünü yerine getirmesi, saklama süresini belirlemesi, erişim yetkilerini sınırlandırması ve veri güvenliğine ilişkin teknik-idari tedbirleri alması gerekir.

İşverenlerin En Sık Yaptığı Hatalar

İşyerlerinde parmak izi ve yüz tanıma sistemi kullanılırken en sık yapılan hatalar şunlardır:

1. Açık rızayı tek başına yeterli sanmak

Çalışandan açık rıza alınması, biyometrik veri işlemenin her durumda hukuka uygun olduğu anlamına gelmez. Özellikle işçi-işveren ilişkisinde rızanın özgür iradeye dayanıp dayanmadığı ayrıca değerlendirilmelidir.

2. Aydınlatma metni ile açık rıza metnini birleştirmek

Ekteki 2026/347 sayılı İlke Kararı, açık rıza metni ile aydınlatma metninin ayrı ayrı düzenlenmesi gerektiğini açıkça ortaya koymaktadır. Bu nedenle tek belge içinde hem bilgilendirme hem rıza alma yöntemi risklidir.

3. Alternatif yöntemleri değerlendirmemek

Kartlı sistem veya PIN gibi daha az müdahaleci yöntemler mümkünken parmak izi veya yüz tanıma sistemine geçilmesi ölçülülük ilkesine aykırı görülebilir.

4. Saklama ve imha süresini belirlememek

Biyometrik verilerin ne kadar süre saklanacağı, kimlerin erişeceği ve hangi durumda imha edileceği açıkça belirlenmelidir.

**5. Hazır metinleri kopyalayıp kullanmak

**

Ekteki İlke Kararı’nda da belirtildiği üzere, başka bir veri sorumlusunun metinlerinin birebir aynısının kullanılması doğru değildir. Metinler her veri sorumlusunun kendi organizasyonuna ve faaliyetlerine uygun hazırlanmalıdır.

İşverenler Ne Yapmalı?

İşverenler öncelikle işyerinde kullanılan mesai takip sistemini gözden geçirmelidir. Sistem parmak izi, yüz tanıma, iris veya retina taraması gibi biyometrik veri işliyorsa, bu uygulama KVKK’nın 2026/921 sayılı İlke Kararı doğrultusunda yeniden değerlendirilmelidir.

Bu kapsamda işverenlerin şu adımları atması faydalı olacaktır:

Mevcut mesai takip sisteminin hangi verileri işlediği tespit edilmeli.

Biyometrik veri işleniyorsa bunun hukuki dayanağı ve ölçülülüğü incelenmeli.

Daha az müdahaleci alternatif yöntemler değerlendirilmelidir.

Aydınlatma metinleri güncellenmelidir.

Açık rıza gerekiyorsa, aydınlatma metninden ayrı bir açık rıza metni hazırlanmalıdır.

Daha önce toplanan biyometrik verilerin saklama ve imha süreci belirlenmelidir.

Teknik ve idari tedbirler alınmalıdır.

Personel ve insan kaynakları birimleri KVKK konusunda bilgilendirilmelidir.

Çalışanlar Ne Yapabilir?

Çalışanlar, işyerinde parmak izi veya yüz tanıma sistemi kullanılıyorsa öncelikle kendilerine hangi verilerinin işlendiğini sorabilir. Çalışan, KVKK kapsamında işverene başvurarak kişisel verilerinin hangi amaçla işlendiğini, kimlere aktarıldığını, ne kadar süre saklandığını ve hukuki dayanağını öğrenme hakkına sahiptir.

Çalışan, kişisel verilerinin hukuka aykırı işlendiğini düşünüyorsa önce veri sorumlusu işverene başvurabilir. Başvurunun reddedilmesi, cevapsız bırakılması veya yetersiz cevap verilmesi hâlinde KVKK kapsamında şikâyet yolu gündeme gelebilir.

Somut olayın niteliğine göre iş hukuku, tazminat, kişilik haklarının ihlali ve fesih süreçleri bakımından da ayrıca değerlendirme yapılması gerekebilir.

Avukat Gözüyle Satır Arası Notu

Burada asıl mesele, işverenin çalışanların mesaisini takip edip edemeyeceği değildir. İşveren elbette işyerinde düzeni sağlamak, çalışma sürelerini takip etmek ve giriş-çıkışları kayıt altına almak isteyebilir.

Ancak sorun, bu takibin hangi yöntemle yapıldığıdır.

Parmak izi ve yüz tanıma sistemi işveren açısından pratik olabilir. Fakat KVKK açısından bu veriler özel nitelikli kişisel veridir. Daha basit ve daha az müdahaleci yöntemlerle aynı sonuca ulaşılabiliyorsa, biyometrik veri işlenmesi hukuken riskli hâle gelir.

Ayrıca açık rıza ve aydınlatma metinlerinin birbirine karıştırılması, uygulamada ciddi bir eksikliktir. 2026/347 sayılı İlke Kararı, bu konuda işverenlere açık bir uyarı niteliğindedir: Aydınlatma ayrı, açık rıza ayrı olmalıdır.

Sık Sorulan Sorular

İşyerinde parmak izi sistemi tamamen yasak mı?

Her durumda tamamen yasaktır demek doğru değildir. Ancak mesai takibi amacıyla parmak izi kullanılması, KVKK’nın 2026/921 sayılı İlke Kararı gereğince ciddi hukuki risk taşır. Kurul, alternatif yöntemler varken biyometrik veri işlenmesinin ölçülülük kriterini sağlamayacağını belirtmiştir.

Çalışandan açık rıza alınırsa parmak izi sistemi kullanılabilir mi?

Açık rıza tek başına yeterli değildir. İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle rızanın özgür iradeye dayanıp dayanmadığı tartışmalıdır. Ayrıca geçerli açık rıza bulunsa bile ölçülülük ilkesi ayrıca değerlendirilir.

Yüz tanıma sistemi ile mesai takibi yapılabilir mi?

Yüz tanıma sistemi de biyometrik veri işlenmesine neden olur. Bu nedenle parmak izi sistemiyle benzer hukuki riskler taşır.

Aydınlatma metni ile açık rıza metni aynı belge olabilir mi?

KVKK’nın 2026/347 sayılı İlke Kararı’na göre açık rıza ve aydınlatma metinleri ayrı ayrı düzenlenmelidir. Aynı sayfada bulunsa dahi farklı başlıklar ve ayrı beyanlar içermelidir.

Kartlı geçiş sistemi KVKK’ya uygun mu?

Kartlı geçiş sistemi biyometrik veri işlemediği için daha az müdahaleci bir yöntem olabilir. Ancak giriş-çıkış kayıtları yine kişisel veri niteliğindedir. Bu nedenle aydınlatma, saklama süresi ve veri güvenliği tedbirleri yine gereklidir.

Eski parmak izi kayıtları ne yapılmalı?

Biyometrik veri işleme faaliyeti hukuka uygun dayanağını kaybetmişse, daha önce toplanan verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gündeme gelebilir. Bu değerlendirme somut işyeri uygulamasına göre yapılmalıdır.

Sonuç

KVKK’nın 2026 yılında yayımlanan İlke Kararları, işyerinde kişisel veri işleme uygulamalarında yeni ve daha dikkatli bir döneme girildiğini göstermektedir.

Özellikle 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik yöntemlerin kullanılmasını ciddi şekilde sınırlandırmaktadır. Kurul, açık rıza bulunsa bile alternatif ve daha az müdahaleci yöntemler varken biyometrik veri işlenmesinin ölçülülük ilkesine uygun olmayacağını belirtmiştir.

Bunun yanında 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi gerektiğini ortaya koymuştur. Bu karar, işverenlerin çalışanlara imzalattığı KVKK belgeleri bakımından ayrıca önemlidir.

Sonuç olarak işverenler, mesai takibi yaparken çalışanların özel nitelikli kişisel verilerini işlemeye yönelmeden önce daha az müdahaleci yöntemleri değerlendirmeli; aydınlatma metinlerini, açık rıza süreçlerini, saklama-imha politikalarını ve teknik-idari tedbirlerini KVKK’ya uygun hâle getirmelidir.

Bu yazı genel bilgilendirme amacı taşır. Her işyerinin yapısı, kullanılan sistemin teknik özellikleri, çalışan sayısı, veri işleme amacı ve mevcut belgeler farklı olduğundan somut olay ayrıca değerlendirilmelidir.

https://www.resmigazete.gov.tr/eskiler/2026/03/20260324-3.pdf

https://www.kvkk.gov.tr/Icerik/8762/mesai-takibi-amaciyla-biyometrik-veri-islenmesi-hakkinda-kisisel-verileri-koruma-kurulunun-29-04-2026-tarihli-ve-2026-921-sayili-ilke-kararina-iliskin-kamuoyu-duyurusu