İşveren, Çalışanının Parmak İziyle Mesai Takibi Yapabilir mi? KVKK’nın 27.08.2026 Tarihli Açıklaması
Baran ÇAĞDAVUL
Avukat & Arabulucu
Personel giriş-çıkışlarının parmak izi veya avuç içi taramasıyla kaydedilmesi, işverenlerin sıklıkla başvurduğu ve günlük hayatta sıradanlaşmış bir takip yöntemi olup, Kişisel Verileri Koruma Kurumu, 27 Ağustos 2026 tarihinde yayımladığı kamuoyu duyurusu ile bu “sıradan” uygulamanın işverenler için ciddi bir hukuki risk taşıdığını ortaya koymuş durumda. Kurum, 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” duyurusu sonrasında farklı sektörlerden iletilen çok sayıdaki görüş talebi sebebiyle hazırlandığını ifade ettiği açıklamasında, biyometrik veri kullanımının hangi hallerde hukuka aykırı sayılacağını somut şekilde belirlemiştir.
Bu yazımda, duyurunun İK uygulamaları açısından ne anlama geldiğini kısaca özetlemekteyim.
a) Biyometrik Veri Kullanımı Yasak Değil Ancak Yalnızca Mesai Takibi Amacıyla Kullanılması Ölçüsüzdür.
Kurum’un duyurusu ve dayanağı olan İlke Kararı, işyerlerinde biyometrik sistem kullanımını tamamen yasaklamıyor. Öyle ki işveren; kritik bir altyapıya erişimin sınırlandırılması, yüksek güvenlik gerektiren bir alana yalnızca yetkili kişilerin girmesinin sağlanması gibi meşru, net ve somut olduğunu ispatlayabildiği amaçlarla biyometrik doğrulama sistemi kurabilecek olduğudur.
İşverenlerin her ne kadar çalışma sürelerini takip etme, belgelendirme vb. yükümlülükleri nedeniyle ya da işletmesel sebeplerle, sınırlı şekilde veri toplama yetkisine haiz olduğu kabul edilse de burada asıl belirleyici olan husus, işletmesel zorunlulukların biyometrik veri toplanmaksızın, daha az müdahaleci yöntemlerle yerine getirilip getirilemeyeceğinin tespit edilmesidir.
Öyle ki işverenin, mesai takibi yapmak amacıyla çalışanlarının kişisel verilerine daha az erişim sağlayacak -örneğin çizelgeye imza atma- yöntemler yerine, “kart unutuluyor, şifre paylaşılıyor, en pratiği parmak izi alma” vb. gerekçelerle çalışanlarına ait biyometrik verileri işlemesi, verilere orantısız ve ölçüsüz bir müdahale kabul edilmekle, bu durum da KVKK’nın 4. maddesindeki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırılık teşkil etmektedir.
b) Duyuruda Öne Çıkan Üç Kritik Nokta
Duyuruda İK uygulamalarını doğrudan ilgilendiren üç önemli tespit bulunuyor:
Birincisi, matematiksel kod savunmasının geçersiz olduğudur: Parmak izi veya avuç içi verisinin doğrudan görüntü olarak değil, algoritmalar aracılığıyla matematiksel bir koda dönüştürülerek saklanması, verinin biyometrik veri niteliğini ortadan kaldırmamakta olup, işverenlerin bu yöndeki savunması da kabul edilmemektedir.
İkincisi açık rızanın tek başına yeterli kabul edilmediğidir: Kurul açıklamasında, biyometrik verinin yalnızca mesai takibi amacıyla işlenmesinin, geçerli bir açık rıza bulunsa dahi ölçülülük ilkesini sağlamayabileceğini vurguluyor. Kart, şifre veya PIN gibi daha az müdahaleci yöntemlerle aynı amaca ulaşmak mümkünse, biyometrik veri kullanımı ölçüsüz kabul edilebiliyor.
Üçüncüsü ise güvenlik istisnasının sınırlı olduğudur: Eğer sistem yalnızca mesai takibi için değil, kritik alanlara erişim kontrolü gibi farklı bir amaçla kullanılıyorsa, burada değerlendirme farklılaşabiliyor. Ancak bu durumda da işveren, kişisel veriye daha yoğun müdahaleyi gerektiren biyometrik veri kullanımı haricinde, güvenliği alternatif yöntemlerle aynı ölçüde sağlayamadığını ispatlamak durumundadır.
c) Duyuru, İş Yerlerinde Kamera Kullanımına İlişkin Duyuruyla Birlikte Okunmalı
Kurum’un bu açıklamasının yalnızca biyometrik veriye ilişkin olduğu düşünülmemeli. Zira Kurum’un 8 Haziran 2026 tarihli “İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu” ile birlikte değerlendirildiğinde, KVKK’nın işverenin çalışan üzerindeki denetim ve gözetim yetkisini gitgide daralttığı ve çalışanın kişisel verilerinin korunmasının, işverenin gözetim ihtiyacından üstün tutulduğu anlaşılmalıdır.
Nitekim Kurum’un bu yaklaşım yeni de değil. Anayasa Mahkemesi, 10.03.2022 tarihli ve 2018/11988 başvuru numaralı kararında, bir belediye çalışanının parmak izi ile mesai takibine tabi tutulmasını, Anayasa’nın 20. maddesindeki kişisel verilerin korunmasını isteme hakkının ihlali saymıştı. Kurum’un 2026 tarihli İlke Kararı ve devamındaki açıklama, bu içtihadı idari düzeyde teyit edip somutlaştırıyor.
d) Peki Mezkur Duyuru İşverenler İçin Ne Anlama Geliyor?
İşverenler için mevcut PDKS (Personel Devam Kontrol Sistemi) politikalarını gözden geçirmek artık bir tercih olmaktan çıkarak, zorunluluk haline geliyor. Özellikle de biyometrik sistemin fiili kullanım amacının yazılı olarak somut ve net şekilde belirlenmemiş olması, salt mesai takibinde kart veya şifre gibi daha az müdahaleci yöntemler yerine; parmak izi ya da avuç içi uygulamalarının kullanılmaya devam edilmesi, aydınlatma metni ve açık rıza formlarının güncel mevzuata uyarlanmamış olması gibi durumlar oldukça büyük bir risk teşkil ediyor.
Nitekim konuya ilişkin 2023 yılında verilen emsal bir Kurul kararında, yalnızca mesai takibi amacıyla parmak izi kullanan bir işveren hakkında, açık rızanın unsurlarının tam sağlanmadığı, ayrıca rıza var olsa dahi bu işlemenin ölçülülük ilkesine aykırı olduğu değerlendirilmiş; işletmeye 300.000 TL idari para cezası uygulanmıştı. 2026 yılı için yeniden değerlenen tutarlarla, Kanun’un 18. maddesi kapsamındaki idari para cezalarının üst sınırı 17.092.242,00 TL’ye kadar çıkabiliyor; bu da mevcut sistemini gözden geçirmeyen işverenler için mali riskin her geçen gün katlanarak büyüdüğü anlamına geliyor.
Avukat & Arabulucu Baran ÇAĞDAVUL