Kurul ne karar verdi?
Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı", 02.06.2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlandı. Karara göre yalnızca mesai takibi amacıyla biyometrik veri işlenmesi, KVKK'nın 6. maddesindeki işleme şartlarının hiçbirine dayanmıyor.
Kurul'a göre geçerli bir açık rıza bulunsa bile bu işleme, KVKK'nın 4. maddesindeki ölçülülük ilkesini karşılamıyor. Kurul gerekçesini üç noktada topluyor:
- Çalışma süresinin takibi mevzuatta düzenlenmiş olsa da bunun biyometrik yöntemle yapılmasını öngören açık bir hüküm yok.
- İşçi ile işveren arasındaki güç dengesizliği, çalışanın rızasının özgür iradeyle verildiğini şüpheli hâle getiriyor.
- Rıza her an geri alınabildiği için rızaya dayanan bir mesai takip sisteminin sürekliliği de sağlanamıyor.
"Parmak izini şifreli saklıyoruz" savunması geçerli mi?
Hayır. Kurul'un 27.08.2026 tarihli kamuoyu duyurusu, parmak izinin hash ya da şablon olarak saklanmasının verinin biyometrik niteliğini ortadan kaldırmadığını açıkça belirtiyor. Aynı savunma 2020/404 sayılı kararda da kabul edilmemişti. Cihaz satıcılarının "görüntü saklanmıyor, yalnızca matematiksel şablon tutuluyor" açıklaması hukuki durumu değiştirmiyor.
Hangi biyometrik kullanımlar kapsam dışı?
İlke kararı yalnızca mesai takibini kapsıyor; Kurul her biyometrik kullanımı yasaklamadı. 27.08.2026 duyurusuna göre güvenlik riski yüksek tesislerde kritik alanlara erişim için biyometri kullanılabilir. Bunun şartları:
- Kullanım gerçekten gerekli alanlar ve kişilerle sınırlı olmalı.
- Alternatif yöntemler yetersiz kalmalı.
- Kullanım somut güvenlik ihtiyacıyla orantılı olmalı.
Kritik alan için toplanan biyometrik veri mesai takibinde de kullanılırsa işlem yeniden ilke kararının kapsamına girer. Yani "kapıda zaten parmak izi var, puantajı da oradan alalım" yaklaşımı hukuka aykırı olur; iki veri akışının birbirinden ayrılması gerekir.
Kurul daha önce hangi cezaları verdi?
İlke kararı yeni bir tutum değil, yıllardır verilen kararların toparlanmış hâli. Kurul'un yayımlanmış karar özetlerinden bazı örnekler:
| Karar | Olay | Sonuç |
|---|---|---|
| 2020/404 (20.05.2020) | İşveren tüm çalışanların parmak izini almış, hash olarak sakladığını savunmuş. | Kart, RFID gibi alternatifler varken ölçüsüz bulundu. 50.000 TL (aydınlatma) + 200.000 TL (veri güvenliği). |
| 2021/1258 (16.12.2021) | Parmak izi ve yüz tarama; açık rıza iş sözleşmesine eklenmiş. | Sözleşmeye eklenen rıza özgür sayılmadı. 125.000 TL ve verilerin imhası. |
| 2022/797 (04.08.2022) | Fabrika girişinde yüz tanıma; tek rıza metninde birden çok amaç. | Rıza geçersiz sayıldı. 500.000 TL, 30 gün içinde imha ve bildirim talimatı. |
| 2020/167 (27.02.2020) | Spor salonunda parmak izi; üyelere kart seçeneği de sunulmuş. | Açık rıza ve kart seçeneğine rağmen ölçüsüz bulundu. 225.000 TL. |
Bu tutarlar kararın verildiği yılın ceza aralıklarına göre belirlendi. Ceza sınırları her yıl yeniden değerleme oranıyla artıyor.
2026 yılı KVKK idari para cezaları
KVKK'nın 2026 için yayımladığı tabloya göre (yeniden değerleme oranı %25,49) ceza aralıkları şöyle:
| İhlal | Alt sınır | Üst sınır |
|---|---|---|
| Aydınlatma yükümlülüğü | 85.437 TL | 1.709.200 TL |
| Veri güvenliği yükümlülüğü | 256.357 TL | 17.092.242 TL |
| Kurul kararlarına uymama | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim | 341.809 TL | 17.092.242 TL |
İlke kararından sonra parmak izli PDKS'ye devam eden bir işveren, yalnızca veri güvenliği ihlalinden değil, Kurul kararlarına uymamaktan da işlem görme riskiyle karşı karşıya.
7499 sayılı Kanun durumu değiştirmedi mi?
1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun, özel nitelikli kişisel verilerin işlenme şartlarını genişletti. Yeni şartlardan biri, verinin istihdam ve iş sağlığı ve güvenliği alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması. Kurul ise mesai takibinin biyometrik olmayan yöntemlerle de yapılabildiğini, mevzuatta biyometrik yöntemi öngören bir hüküm bulunmadığını belirterek bu şartın parmak izli PDKS'yi kapsamadığına karar verdi.
Kurul hangi yöntemleri öneriyor?
İlke kararında Kurul, mesai takibi için biyometrik olmayan alternatiflere örnek olarak şifreli kart, PIN, RFID/NFC kart, imzalı kâğıt çizelge ve denetçi gözetiminde elle giriş sayıyor. Kartlı sistemlerin bilinen zayıflığı ise kartın başkasına verilebilmesi; bu yüzden geçişte kart paslaşmasını önleyen bir yöntem seçmek önemli.
Parmak izli PDKS kullanıyorsanız ne yapmalısınız?
- Biyometrik mesai takibini durdurun ve yerine biyometrik olmayan bir sisteme geçin.
- Toplanan parmak izi ve yüz verilerini imha edin; cihaz üzerindeki şablonlar ve yazılımdaki yedekler dahil. İmha işlemini tutanakla belgeleyin.
- Aydınlatma metinlerinizi ve VERBİS kaydınızı güncelleyin; artık biyometrik veri işlemediğinizi yansıtın.
- Kritik alan erişimi için biyometri kullanmaya devam edecekseniz, bu veriyi mesai takibinden tamamen ayırın ve gerekliliğini belgeleyin.
- Geçiş planını avukatınız ya da KVKK danışmanınızla birlikte hazırlayın.
Mertsis Digital ile
Biyometrik veri toplamayan, hileye kapalı PDKS
- Kimlik doğrulama saniyede bir değişen QR kod ve çalışanın kendi cihazıyla; parmak izi ya da yüz verisi alınmaz.
- QR'ın fotoğrafı çekilip başkasına gönderilemez; telefondan girişte fabrika konumu kontrol edilir.
- KVKK aydınlatma ve açık rıza metinleri işe giriş setinde hazır; veriler Avrupa'da (Almanya) yetki rolleriyle tutulur.
- Bir haftada geçiş: personel ve vardiya verilerinizi biz aktarırız, ek donanım şart değil.
Sık sorulanlar
Parmak izli PDKS yasak mı?
Yalnızca mesai takibi amacıyla kullanılıyorsa evet. KVKK Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararına göre mesai takibi için biyometrik veri işlemek, açık rıza alınsa bile hukuka aykırıdır.
Çalışandan açık rıza alırsam parmak izi kullanabilir miyim?
Hayır. Kurul, işçi-işveren arasındaki güç dengesizliği nedeniyle rızanın özgürlüğünü şüpheli buluyor ve geçerli bir rıza bulunsa bile mesai takibi için biyometrik işlemenin ölçülülük ilkesine aykırı olduğuna karar verdi.
Yüz tanıma sistemi de kapsamda mı?
Evet. Yüz, parmak izi ve avuç izi gibi tüm biyometrik veriler mesai takibi amacıyla kullanıldığında ilke kararının kapsamındadır.
Parmak izli PDKS'nin cezası ne kadar?
Ceza olaya göre belirlenir. 2026 aralıkları veri güvenliği ihlalinde 256.357 – 17.092.242 TL, Kurul kararlarına uymamada 427.263 – 17.092.242 TL'dir. Geçmiş kararlarda 125.000 TL ile 500.000 TL arasında cezalar verildi.
Parmak izi yerine ne kullanılabilir?
Kurul şifreli kart, PIN, RFID/NFC kart, imzalı çizelge ve gözetimli elle giriş gibi alternatifleri örnek gösteriyor. Saniyede bir değişen QR kodla giriş de biyometrik veri gerektirmez ve kart paslaşmasını önler.
Kaynaklar
- KVKK: 2026/921 sayılı ilke kararına ilişkin kamuoyu duyurusu
- KVKK: 2026/921 sayılı ilke kararına ilişkin görüş talepleri hakkında duyuru (27.08.2026)
- Resmî Gazete, 02.06.2026, sayı 33268
- KVKK karar özeti 2020/404
- KVKK karar özeti 2021/1258
- KVKK karar özeti 2022/797
- KVKK karar özeti 2020/167
- KVKK: 2026 yılı idari para cezası tutarları
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuz için bir avukata ya da mali müşavirinize danışın.