Parmak İzi ile Mesai Takibi Yasak mı? KVKK 2026/921 İlke Kararı

Karar ne diyor?

Kişisel Verileri Koruma Kurulu, "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı"nı 29.04.2026 tarihinde 2026/921 sayıyla almış, karar 02.06.2026 tarihli Resmî Gazete'de yayımlanmıştır.

Karara göre işyerlerinde yalnızca mesai takibi amacıyla parmak izi, avuç içi, yüz ya da iris gibi biyometrik veriler işlenmesi Kanun'un 6. maddesindeki işleme şartlarından hiçbirine dayanmaz. Geçerli bir açık rıza bulunsa dahi bu işleme, Kanun'un 4. maddesindeki ölçülülük ilkesini sağlamaz. Kurul, işçi ile işveren arasındaki güç dengesizliği nedeniyle bu rızanın özgür iradeye dayandığından söz edilemeyeceğini belirtmiştir.

Hangi durumlar kapsamda, hangileri değil?

KVK Kurumu 27.08.2026 tarihli duyurusuyla kararın kapsamını açıklamış; güvenlik amaçlı işlemelerde de biyometrik verinin yalnızca gerekli alan ve kişilerle sınırlı, alternatif yöntemlerin yetersiz kaldığı durumlarda ve ölçülü biçimde işlenebileceğini vurgulamıştır.

Kurul hangi yöntemleri gösteriyor?

Kurul mesai takibinin biyometrik olmayan yöntemlerle yapılmasını öngörür; örnek olarak şifreli kart ya da PIN tabanlı sistemler, kimlik kartları ve imza çizelgeleri gibi yöntemler gösterilmiştir. Telefonla QR kod okutma ve konum doğrulamasıyla çalışan mobil PDKS de biyometrik veri işlemediği için bu yöntemler arasındadır.

Biyometrik PDKS kullanan işveren ne yapmalı?

1. 1Mesai takibinde kullanılan parmak izi, yüz ya da iris sistemini belirleyin; hangi şubelerde ve kaç çalışan için kullanıldığını çıkarın.
2. 2Biyometrik olmayan bir yönteme geçin: kart, PIN, QR kod ya da konum doğrulamalı mobil PDKS.
3. 3Mesai takibi için toplanmış biyometrik verileri, saklama ve imha politikanıza uygun şekilde silin ya da yok edin (KVKK md. 7); cihaz ve yazılım sağlayıcınızdan da silme teyidi alın.
4. 4Aydınlatma metninizi ve veri envanterinizi (VERBİS kaydı varsa) yeni yönteme göre güncelleyin.
5. 5Güvenlik amaçlı erişim kontrolünde biyometrik kullanmaya devam edecekseniz, bunun yalnızca gerekli alan ve kişilerle sınırlı olduğunu belgeleyin.

Kararda belirli bir geçiş süresi öngörülmemiştir. Kurul, karara uyulmadığının tespiti halinde Kanun'un 18. maddesindeki idari yaptırımların uygulanacağını belirtmiştir.

Biyometrikten mobil PDKS'ye geçiş

Parmak izi okuyucunun yerine mobil PDKS kullanıldığında cihaz değişikliği gerekmez: personel kendi telefonuyla şubedeki QR kodu okutur ya da konum seçer, hesap tek bir telefona bağlıdır ve konum GPS ile doğrulanır. Telefonu olmayan personel girişteki tablete kişisel QR kodunu gösterir.

Personelix PDKS parmak izi ya da yüz verisi toplamaz. Geçiş aynı gün yapılabilir: şubeler haritada işaretlenir, vardiyalar ve personel tanımlanır, personel uygulamayı indirip ilk girişini yapar.