Mesai Takibinde Parmak İzi ve Yüz Tanıma: KVKK, GDPR ve Ölçülülük İlkesi Bakımından Biyometrik Veri Kullanımı

Kişisel Verileri Koruma Kurulu’nun mesai takibi amacıyla biyometrik veri işlenmesine ilişkin 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, işyerlerinde parmak izi, yüz tanıma, avuç içi veya benzeri biyometrik sistemlerin kullanımı tartışmasını yeniden gündeme taşıdı. Karar, özellikle personel kontrol devam sistemi, mesai takibi, giriş-çıkış kontrolü ve işyerinde güvenlik gerekçeleriyle biyometrik veri işleyen kurumlar bakımından önemli sonuçlar doğuruyor.

Ancak bu karar, sanıldığı gibi veri koruma hukukunda yeni bir yön değişikliği yaratmıyor. Aksine, uzun süredir hem Türk kişisel verilerin korunması hukukunda hem de GDPR uygulamasında mevcut olan temel ilkelerin, işyeri biyometrisi bağlamında yeniden ve açık biçimde uygulanmasından ibaret.

Bu nedenle tartışmayı “parmak izi yasaklandı mı?” sorusuna indirgemek eksik olur. Asıl soru şudur:

Bir işveren, çalışanın işe gelip gelmediğini takip etmek için gerçekten çalışanın biyometrik verisini işlemek zorunda mıdır?

Bu soru bizi doğrudan kişisel verilerin korunması hukukunun merkezindeki üç ilkeye götürür: gereklilik, ölçülülük ve veri minimizasyonu.

1. Biyometrik Veri Neden Sıradan Bir Kimlik Doğrulama Aracı Değildir?

Biyometrik veri, kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli fiziksel, fizyolojik veya davranışsal özelliklerden elde edilen veridir. GDPR m. 4/14 biyometrik veriyi, özel teknik işlem sonucunda kişinin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin ortaya çıkan ve kişinin benzersiz şekilde tanımlanmasına veya doğrulanmasına imkân veren veri olarak tanımlar. GDPR m. 9 ise biyometrik veriyi, kişinin benzersiz biçimde tanımlanması amacıyla işlendiğinde özel nitelikli veri kategorisine dahil eder.

KVKK bakımından da biyometrik veriler özel nitelikli kişisel veri niteliğindedir. Bu nitelik, yalnızca veri güvenliği riskinin yüksek olmasından kaynaklanmaz. Biyometrik veri, kişinin bedeni ve kimliğiyle doğrudan bağlantılıdır. Kart kaybolabilir, şifre değiştirilebilir, personel numarası yenilenebilir. Fakat parmak izi, yüz geometrisi veya iris yapısı kişinin bedenine bağlıdır ve çoğu durumda değiştirilemez.

Bu nedenle biyometrik veri işlenmesi, yalnızca “bir veri işleme faaliyeti” olarak değil, aynı zamanda kişilik hakkına ve özel hayata müdahale olarak değerlendirilmelidir. Nitekim Anayasa Mahkemesi, parmak izi kayıt sistemiyle mesai takibi yapılmasına ilişkin Ramazan Şahin başvurusunda, uygulamanın kişisel verilerin korunmasını isteme hakkı ve özel hayata saygı hakkı kapsamında incelenmesi gerektiğini kabul etmiştir.

Bu yaklaşım yüz tanıma sistemleri bakımından da devam etmiştir. Anayasa Mahkemesi’nin yüz tanıma sistemiyle mesai takibine ilişkin kararında da personelden kişisel veri alınması kapsamındaki yüz tanıma sistemiyle mesai takibi uygulamasının, kamusal alanda gerçekleşse dahi özel hayatın gizliliği kapsamında olduğu belirtilmiştir.

Dolayısıyla biyometrik veri tartışması, yalnızca teknik bir “devam kontrol sistemi” tartışması değildir. Çalışanın bedeni üzerinden kimlik doğrulama yapılması, işverenin yönetim hakkı ile çalışanın kişilik hakkı arasındaki sınırın nerede çizileceği sorusunu gündeme getirir.

2. Meşru Amaç Vardır; Fakat Meşru Amaç Tek Başına Yeterli Değildir

İşverenin çalışanların işe giriş-çıkış saatlerini takip etmek istemesi kural olarak meşru bir amaçtır. İş sürelerinin belirlenmesi, ücret hesaplaması, fazla mesai takibi, iş sağlığı ve güvenliği organizasyonu, disiplin süreçleri ve işletmesel planlama bakımından personel devam kontrolü gerekli olabilir.

Ancak kişisel verilerin korunması hukukunda bir amacın meşru olması, o amaç için seçilen her aracın hukuka uygun olduğu anlamına gelmez.

Burada kritik test şudur:

Aynı amaca daha az müdahaleci bir yöntemle ulaşmak mümkün müdür?

Eğer kartlı geçiş sistemi, şifre/PIN kullanımı, mobil doğrulama, RFID kart, turnike sistemi, imza föyü veya elektronik personel takip yazılımı gibi daha az müdahaleci yöntemlerle aynı sonuca ulaşılabiliyorsa, biyometrik veri işlenmesi gereklilik ve ölçülülük testini geçmekte zorlanır.

KVKK’nın 2026/921 sayılı İlke Kararı’nın ağırlık merkezi de buradadır. Kurul, mesai takibi için biyometrik veri kullanımını değerlendirirken alternatif yöntemlerin varlığına, biyometrik verinin hassas niteliğine, çalışan-işveren ilişkisindeki güç dengesizliğine ve ölçülülük ilkesine dikkat çekmiştir.

Bu yaklaşım yeni değildir. Kurul, daha önce 2020/915 sayılı kararında, belediye bünyesinde mesai kontrolü amacıyla parmak izi işlenmesini, KVKK m. 4’teki “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine aykırı bulmuş ve ayrıca hukuka uygun bir işleme şartına dayanılmadığını değerlendirmiştir.

Benzer şekilde Kurul’un 2022/797 sayılı kararında, işyerinde güvenlik kamerası ve işe giriş-çıkışlarda yüz tanıma sistemi kullanımı, kişisel verilerin hukuka aykırı işlenmesi bağlamında değerlendirilmiştir.

Dolayısıyla 2026 tarihli İlke Kararı, önceki karar çizgisinden bir sapma değil; aksine Kurul’un biyometrik veriye ilişkin yerleşen yaklaşımının ilke kararı düzeyinde daha açık ifade edilmesidir.

3. Açık Rıza Biyometrik Veri İşlemeyi Her Zaman Kurtarmaz

Uygulamada sık karşılaşılan savunma şudur:

“Çalışanlardan açık rıza alıyoruz.”

Ancak iş ilişkisi içinde açık rızanın geçerliliği her zaman sorunludur. Çünkü işçi ile işveren arasında yapısal bir güç dengesizliği vardır. Çalışanın gerçekten özgür iradesiyle rıza verip vermediği, reddetmesi halinde olumsuz bir sonuçla karşılaşıp karşılaşmayacağı, alternatif bir yöntem sunulup sunulmadığı ve rızanın geri alınabilir olup olmadığı somut olarak incelenmelidir.

EDPB’nin rızaya ilişkin 05/2020 sayılı rehberinde de rızanın özgür iradeye dayanması gerektiği; özellikle işveren-çalışan ilişkisi gibi güç dengesizliği bulunan hallerde rızanın geçerliliğinin dikkatle değerlendirilmesi gerektiği belirtilir.

Bu nedenle işyerinde biyometrik veri işleme faaliyetlerinde “açık rıza formu imzalatıldı” demek tek başına yeterli değildir. Hele ki sistem fiilen zorunluysa, çalışan alternatif bir yöntem kullanamıyorsa veya biyometrik veri vermeyen çalışan mesai kaydı yaptıramıyor, ücret hesaplamasında sorun yaşıyor ya da işyerine girişte dezavantajlı duruma düşüyorsa, rızanın özgür iradeye dayandığını savunmak güçleşir.

Belçika Veri Koruma Otoritesi’nin 6 Eylül 2024 tarihli ve 114/2024 sayılı kararında da çalışanların parmak iziyle zaman kayıt sistemine ilişkin benzer bir değerlendirme yapılmıştır. Kararda parmak izinin GDPR m. 4/14 anlamında biyometrik veri olduğu; zaman kaydı amacıyla kullanıldığında GDPR m. 9 kapsamında özel nitelikli veri niteliği taşıdığı; işverenin bu işleme faaliyeti için geçerli bir hukuki sebep ortaya koyamadığı ve veri minimizasyonu/dokümantasyon yükümlülükleri bakımından ihlaller bulunduğu değerlendirilmiştir.

Bu karar, Türk hukuku bakımından da önemli bir karşılaştırmalı örnek sunar. Çünkü hem KVKK hem GDPR sisteminde ortak mantık aynıdır: özel nitelikli veri işlemek için yalnızca bir form düzenlemek yetmez; işleme faaliyetinin maddi olarak gerekli, ölçülü, sınırlı ve hukuki sebebe dayalı olması gerekir.

4. GDPR Uygulaması da Aynı Soruyu Soruyor: Gerçekten Gerekli mi?

GDPR m. 5/1-c uyarınca kişisel veriler, işlendikleri amaçlarla sınırlı, ilgili ve gerekli olanla sınırlı olmalıdır. Bu, veri minimizasyonu ilkesidir. GDPR m. 9 ise biyometrik verilerin, kişiyi benzersiz biçimde tanımlamak amacıyla işlenmesini kural olarak yasaklar; yalnızca belirli istisnai hallerde buna izin verir.

Bu nedenle GDPR bakımından da işyerinde biyometrik devam kontrolü şu iki aşamalı testten geçmelidir:

Birinci aşama: GDPR m. 6 kapsamında genel bir hukuki sebep var mı?

İkinci aşama: GDPR m. 9 kapsamında özel nitelikli verilerin işlenmesine izin veren istisnai bir şart var mı?

Ancak bu iki aşama geçilse bile üçüncü ve çoğu zaman belirleyici aşama kalır:

Veri minimizasyonu ve ölçülülük ilkesi sağlanıyor mu?

İngiltere Bilgi Komiserliği Ofisi’nin Serco Leisure kararında bu test son derece somut uygulanmıştır. ICO, Serco Leisure ve bağlantılı kuruluşların 38 tesiste 2.000’den fazla çalışanın biyometrik verisini, yüz tanıma ve parmak izi sistemleriyle mesai takibi amacıyla hukuka aykırı işlediğini tespit etmiş; kuruluşlara çalışan devam takibi amacıyla biyometrik veri işlemeyi durdurma ve hukuken saklanması gerekmeyen biyometrik verileri silme talimatı vermiştir.

ICO’nun değerlendirmesinde öne çıkan husus, işverenin biyometrik sistemin neden gerekli ve orantılı olduğunu yeterince gösterememesi, çalışanlara gerçekçi alternatif sunulmaması ve ticari/operasyonel menfaatlerin çalışanların mahremiyetine üstün tutulmasıdır. Resmi enforcement notice metninde de Serco’nun biyometrik verileri çalışan devam takibi amacıyla işlediği açıkça belirtilmektedir.

İspanya Veri Koruma Otoritesi AEPD de biyometrik sistemlerle mesai ve devam kontrolüne ilişkin rehberinde aynı çerçeveyi kurmuştur. Rehber, biyometrik sistemlerin çalışma süresi kontrolünde kullanılmasının GDPR çerçevesinde yüksek dikkat gerektirdiğini ve ölçülülük/veri minimizasyonu analizinin merkezde olduğunu ortaya koymaktadır.

Hollanda Veri Koruma Otoritesi de biyometrik verilerin yüksek mahremiyet riski taşıdığını, çünkü bu verilerin benzersiz olduğunu; biyometrik erişim uygulamalarının ancak çok sınırlı koşullarda meşrulaştırılabileceğini belirtmektedir.

Bu karar ve rehberlerin ortak noktası açıktır: işverenin devam kontrolü yapma hakkı vardır; fakat bu hak, çalışanı biyometrik gözetim nesnesine dönüştürecek şekilde kullanılamaz.

5. Kişilik Hakkı Boyutu: Çalışanın Bedeni Yönetim Hakkının Sınırıdır

İşverenin yönetim hakkı, işin organizasyonu, işyerinin düzeni, iş süreçlerinin denetimi ve verimliliğin sağlanması bakımından önemlidir. Ancak yönetim hakkı sınırsız değildir. İş hukukunda dahi işverenin yönetim hakkı; dürüstlük kuralı, eşit davranma borcu, kişilik haklarına saygı, işçinin onuru ve özel hayatı ile sınırlıdır.

Biyometrik veri işlenmesi tam da bu sınırda yer alır.

Çünkü burada işveren yalnızca “çalışan saat kaçta geldi?” sorusunun cevabını aramamaktadır. Bu cevaba ulaşmak için çalışanın bedeninden, benzersiz kimlik doğrulamaya elverişli özel nitelikli veri almaktadır.

Bu nedenle biyometrik mesai takibi sistemleri, sıradan bir personel takip yazılımı gibi değerlendirilemez. Bu sistemlerde:

• veri kategorisi hassastır,
• veri kaynağı kişinin bedenidir,
• veri ihlali halinde telafi imkânı düşüktür,
• amaç genellikle daha az müdahaleci araçlarla sağlanabilir,
• iş ilişkisindeki güç dengesizliği rızayı tartışmalı hale getirir,
• sistematik izleme riski vardır.

EDPB’nin video cihazları yoluyla kişisel veri işlenmesine ilişkin 3/2019 sayılı rehberi, özellikle sistematik izleme teknolojilerinin kişilerin davranışları ve anonim hareket edebilme imkânı üzerindeki etkilerine dikkat çeker. Rehber doğrudan tüm biyometrik mesai sistemlerine ilişkin olmasa da, sistematik gözetime ilişkin genel yaklaşımı bakımından önemlidir.

Bu nedenle mesele yalnızca “biyometrik veri güvenli saklandı mı?” meselesi değildir. Veri güvenliği tedbirleri elbette önemlidir; ancak hukuka aykırı biçimde toplanan bir verinin güvenli saklanması, işleme faaliyetini hukuka uygun hale getirmez.

6. “Ama Sistem Güvenli” Savunması Neden Yeterli Değildir?

Biyometrik sistem sağlayıcıları çoğu zaman verinin şifreli saklandığını, template formatına dönüştürüldüğünü, ham parmak izi görüntüsünün tutulmadığını veya sistemin ISO sertifikalı olduğunu belirtir. Bu bilgiler teknik güvenlik değerlendirmesi bakımından önemlidir.

Fakat kişisel verilerin korunması hukukunda güvenlik, hukuka uygunluğun yalnızca bir unsurudur.

Bir veri işleme faaliyeti için şu sorular ayrı ayrı sorulmalıdır:

1. Belirli, açık ve meşru amaç var mı?
2. Uygun hukuki sebep var mı?
3. Özel nitelikli veri bakımından ayrıca işleme şartı var mı?
4. Veri işleme faaliyeti gerekli mi?
5. Daha az müdahaleci alternatif var mı?
6. Veri minimizasyonu sağlanmış mı?
7. Aydınlatma yükümlülüğü yerine getirilmiş mi?
8. Açık rıza varsa gerçekten özgür iradeye dayanıyor mu?
9. Veri güvenliği tedbirleri alınmış mı?
10. Gerekli ise veri koruma etki değerlendirmesi yapılmış mı?

Belçika Veri Koruma Otoritesi’nin 114/2024 sayılı kararında da teknik güvenlik unsurları ayrıca incelenmiş; ancak kararın merkezinde hukuka uygunluk, özel nitelikli veri işleme yasağı, veri minimizasyonu, şeffaflık ve hesap verebilirlik yer almıştır.

Bu nokta uygulama bakımından önemlidir. Çünkü birçok kurum biyometrik sistem satın alırken yalnızca tedarikçinin teknik güvenlik beyanlarına odaklanmaktadır. Oysa KVKK/GDPR uyumu bakımından asıl soru

Bu sistemi teknik olarak güvenli kurabilir miyiz?

değil,

Bu sistemi kurmaya hukuken gerçekten ihtiyacımız var mı? Dır.

7. 2026/921 Sayılı Kararın Asıl Mesajı

KVKK’nın 2026/921 sayılı İlke Kararı, mesai takibinde biyometrik veri kullanımının genel olarak hukuka uygun kabul edilemeyeceğini ortaya koyarken aslında yeni bir hukuki ilke icat etmemektedir. Karar, KVKK m. 4’teki genel ilkelerin ve özel nitelikli kişisel verilerin işlenmesine ilişkin sıkı rejimin doğal sonucudur.

Bu yönüyle kararın asıl mesajı şudur:

Personel devam kontrolü meşru olabilir; fakat bu amaç, çalışanın biyometrik verisinin işlenmesini otomatik olarak gerekli ve ölçülü hale getirmez.

Kurumlar bu kararı yalnızca “parmak izi sistemini kaldıralım mı?” düzeyinde okumamalıdır. Daha doğru okuma şudur:

• Hangi çalışan verilerini topluyoruz?
• Bu verilerin hangileri gerçekten zorunlu?
• Aynı amaca daha az veriyle ulaşabilir miyiz?
• Özel nitelikli veri işliyorsak buna gerçekten mecbur muyuz?
• Açık rızaya dayanıyorsak bu rıza iş ilişkisi içinde gerçekten geçerli mi?
• Alternatif yöntem sunuyor muyuz?
• Personel takip sistemlerimiz kişilik hakkı sınırına nerede temas ediyor?

Bu sorular yalnızca biyometrik sistemler için değil, tüm çalışan izleme teknolojileri için geçerlidir. Uzaktan çalışma yazılımları, ekran takip sistemleri, lokasyon takibi, araç takip sistemleri, kamera sistemleri, performans analitiği ve yapay zekâ destekli çalışan değerlendirme sistemleri bakımından da aynı metodoloji işletilmelidir.

8. Sonuç: Bir Veriyi İşleyebiliyor Olmak, Onu İşlemeniz Gerektiği Anlamına Gelmez

KVKK’nın son kararı, işverenlere personel takibinin yasak olduğunu söylemiyor. Çalışma sürelerinin takibi, iş organizasyonu ve güvenlik gereksinimleri elbette meşru amaçlar olabilir.

Ancak veri koruma hukuku, meşru amaca ulaşmak için seçilen aracın da sorgulanmasını ister.

Biyometrik veri söz konusu olduğunda bu sorgu daha da sıkıdır. Çünkü burada işlenen veri, çalışanın yalnızca mesaisine değil, bedenine ve kimliğine ilişkindir.

Bu nedenle işverenler ve kurumlar bakımından temel kural şudur:

Önce amaç belirlenmeli, sonra en az müdahaleci araç seçilmeli, en son veri işlenmelidir.

Tersi yapıldığında, yani önce teknoloji satın alınıp sonra hukuki gerekçe arandığında, sorun kaçınılmaz hale gelir.

KVKK’nın 2026/921 sayılı İlke Kararı’nın hatırlattığı şey tam olarak budur:

Bir çalışanın işe gelip gelmediğini kontrol etmek meşrudur.
Ama bunun için çalışanın bedeninden veri almak çoğu durumda gerekli değildir.

1. Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi.
2. Kişisel Verileri Koruma Kurulu, 2020/915 sayılı Karar Özeti, parmak iziyle mesai kontrolü.
3. Kişisel Verileri Koruma Kurulu, 04.08.2022 tarihli ve 2022/797 sayılı Karar Özeti, işyerinde yüz tanıma sistemi ve kamera kullanımı.
4. Anayasa Mahkemesi, Ramazan Şahin Başvurusu, B. No: 2018/11988.
5. Anayasa Mahkemesi, B. No: 2019/34119, yüz tanıma sistemiyle mesai takibi.
6. Regulation (EU) 2016/679, GDPR m. 4/14, m. 5, m. 9.
7. EDPB, Guidelines 05/2020 on Consent under Regulation 2016/679.
8. EDPB, Guidelines 3/2019 on processing of personal data through video devices.
9. ICO, Serco Leisure Operating Limited and relevant associated trusts, Enforcement Notice, 2024.
10. Belgian Data Protection Authority, Decision 114/2024, 6 September 2024.
11. AEPD, Guidelines on clocking and attendance control processing using biometric systems.