Mesai Takibi Amacıyla Biyometrik Veri İşlenmesine İlişkin KVKK Kamuoyu Duyurusu: İlke Kararının Kapsamı ve Uygulamanın Sınırları

Kişisel Verileri Koruma Kurulu'nun ("Kurul") 29.04.2026 tarihli ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı ("İlke Kararı") 02.06.2026 tarihli Resmi Gazete'de yayımlanmıştı. İlke Kararı’nın yayımlanmasının ardından farklı sektörlerde faaliyet gösteren veri sorumluları tarafından Kişisel Verileri Koruma Kurumuna ("Kurum") çeşitli görüş talepleri iletilmiş, bu talepler doğrultusunda bazı hususların açıklığa kavuşturulması ihtiyacı doğmuştur.

Kurum, 27.08.2026 tarihinde yayımladığı kamuoyu duyurusu ile bu tereddütleri gidermiş ve İlke Kararının uygulama alanını netleştirmiştir.

Daha önce yayımladığımız "KVKK İlke Kararı: Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi" başlıklı yazımızda İlke Kararı’nın kapsamını, biyometrik verilerin özel nitelikli kişisel veri olarak tabi olduğu rejimi, açık rızanın işçi ve işveren ilişkisindeki güç dengesizliği nedeniyle tek başına yeterli hukuki dayanak oluşturmadığına ilişkin değerlendirmeyi ve Kurul’un atıf yaptığı yargı kararlarını ele almıştık. Bu yazımızda ise duyuru ile açıklığa kavuşturulan hususlar ve bunların veri sorumluları bakımından pratik sonuçları değerlendirilmektedir.

İlke Kararının Çıkış Noktasına İlişkin Hatırlatma

Çalışan devam takibinin dijital ortamda gerçekleştirilmesi ve işyeri güvenliğinin artırılması amacıyla biyometrik tanımlama sistemlerinin kullanımı giderek yaygınlaşmakta olup, Kurum bu uygulamanın kendisine intikal eden ihbar ve şikayetlerde en çok dile getirilen hukuka aykırılıklardan biri olduğunu tespit etmiştir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 6'ncı maddesinde özel nitelikli kişisel veriler sınırlı sayıda düzenlenmiş olup biyometrik veriler de bu kapsamda yer almaktadır. Kanunda sayılan özel nitelikli kişisel veri kategorilerinin kıyas yoluyla genişletilmesi mümkün değildir.

İş Kanununa İlişkin Çalışma Süreleri Yönetmeliği'nin "Çalışma süresinin belgelenmesi" başlıklı 9'uncu maddesi uyarınca işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik tanımlama sistemleri kullanılarak yerine getirilmesini öngören açık bir kanuni düzenleme bulunmamaktadır. Bu nedenle İlke Kararı ile, yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin Kanunun 6'ncı maddesinde öngörülen işleme şartlarından herhangi birine dayanmadığı, geçerli bir açık rıza bulunsa dahi bu faaliyetin Kanunun 4'üncü maddesinde düzenlenen ölçülülük kriterini sağlamayacağı değerlendirilmiştir.

Matematiksel Koda Dönüştürme Biyometrik Veri Niteliğini Ortadan Kaldırmıyor

Kuruma iletilen görüş taleplerinde, avuç içi taraması veya parmak izi alınması gibi yöntemlerle elde edilen verilerin biyometrik veri olarak değerlendirilmemesi gerektiği ileri sürülmüştür. Kurum bu yaklaşımı kabul etmemiştir. İlgili mevzuatta biyometrik veriye ilişkin kapsamlı bir tanım bulunmamakla birlikte, 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3'üncü maddesinde biyometrik veri, elektronik sistemler aracılığıyla kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlanmıştır.

Duyuruda ayrıca Avrupa Birliği Genel Veri Koruma Tüzüğü'nün 51 numaralı gerekçesine atıf yapılarak, belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen verilerin biyometrik veri niteliği taşıdığı belirtilmiştir. Dolayısıyla söz konusu verilerin matematiksel bir koda çevrilerek veri tabanında saklanması, verinin biyometrik veri niteliğini ortadan kaldırmamaktadır.

Bu tespit uygulamada sıkça karşılaşılan bir savunmayı doğrudan karşılamaktadır. Sistemde ham parmak izi görüntüsünün değil yalnızca şablon veya hash değerinin tutulması, işleme faaliyetinin özel nitelikli kişisel veri rejimi dışında değerlendirilmesi sonucunu doğurmamaktadır.

İlke Kararının Kapsamı Mesai Takibi Amacıyla Sınırlıdır

Duyuru ile açıklığa kavuşturulan ikinci husus, İlke Kararının kapsamına ilişkindir. İlke Kararı, çalışan devam takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerini konu almaktadır. Mesai takibi dışında kalan biyometrik veri işleme faaliyetleri ise İlke Kararı kapsamında değerlendirilmeyecektir. Bu faaliyetlerin hukuka uygunluğu, veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumluları tarafından değerlendirilecektir. Kuruma bu hususta intikal edecek ihbar veya şikayetlere ilişkin olarak Kurul tarafından her somut olay özelinde ayrıca değerlendirme yapılacaktır.

Bu husus, İlke Kararı’nın biyometrik veri işlemeyi her durumda yasakladığı yönündeki yorumu bertaraf etmektedir. Ancak kapsam dışında kalmak, hukuka uygunluk karinesi anlamına gelmemektedir. Aksine, değerlendirme yükü veri sorumlusunun üzerinde kalmakta ve bu değerlendirmenin ölçülülük ve hesap verebilirlik ilkesi gereği belgelendirilmesi önem taşımaktadır.

Güvenlik Riski Yüksek Tesisler Bakımından Değerlendirme

Kurum, bazı tesis ve faaliyet alanlarının taşıdıkları güvenlik riski ve olası ihlallerin doğurabileceği sonuçlar nedeniyle genel değerlendirmeden ayrıldığını belirtmiştir.

Bu alanlarda biyometrik tanımlama sistemleri yalnızca mesai takibine hizmet eden bir araç olmaktan çıkmakta; kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin ayrılmaz bir parçası haline gelmektedir. Bu itibarla, söz konusu alanlarda biyometrik veri işlenmesinin amacı personelin çalışma saatlerinin izlenmesi değil, çoğu durumda doğrudan güvenliğin ve kritik altyapıların güvenliğinin sağlanmasıdır.

Bununla birlikte bu ayrım sınırsız bir serbesti tanımamaktadır. Bu alanlarda gerçekleştirilecek biyometrik veri işleme faaliyetlerinin de yalnızca gerekli kritik alanlarla ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işleme faaliyetinin somut güvenlik ihtiyacıyla ölçülü olması gerekmektedir.

Uygulamada dikkat edilmesi gereken nokta, kritik alana erişim kontrolü amacıyla toplanan biyometrik verinin aynı zamanda mesai takibi amacıyla kullanılmasıdır. Böyle bir kullanım, işleme faaliyetini yeniden İlke Kararı’nın kapsamına sokabilecektir. Bu nedenle güvenlik amacıyla yürütülen sistem ile mesai ve puantaj süreçlerinin veri akışı bakımından birbirinden ayrılması önem taşımaktadır.

Kanunun 28'inci Maddesi Kapsamındaki İstisna

Duyuruda, Kanunun 28'inci maddesinin birinci fıkrasının ç bendi uyarınca milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik gerçekleştirilen veri işleme faaliyetlerinin belirli şartlar altında Kanun kapsamı dışında kalabileceği belirtilmiştir.

Bu istisna büyük ölçekli kamu güvenliği kurumları açısından önemli bir esneklik alanı sağlamakla birlikte, biyometrik veri kullanımını sınırsız hâle getirmemektedir. Her somut olay bakımından, güvenlik açığı riskinin ağırlığı, alternatif yöntemlerin yetersizliği ve işleme faaliyetinin amacı dikkate alınarak değerlendirilmelidir.

Kurumun ifadesiyle, İlke Kararına uyum bakımından belirleyici olan husus, biyometrik veri işlemenin mesai takibi amacını aşarak kamu güvenliğinin sağlanmasına yönelik kullanılıp kullanılmadığı ile ilişkilidir.

Veri Sorumluları Bakımından Yapılması Gerekenler

Duyuru sonrasında şirketlerin aşağıdaki başlıkları gözden geçirmesi önem taşımaktadır:

• Mevcut mesai takip sisteminde biyometrik veri işlenip işlenmediğinin tespit edilmesi. Parmak izi, avuç içi okuma, yüz tanıma ve benzeri yöntemler, şablon veya matematiksel kod olarak saklansa dahi biyometrik veri kapsamındadır.
• Mesai takibinin şifreli kart veya PIN tabanlı sistemler, RFID ve NFC kimlik kartları, kağıt bazlı devam çizelgeleri ya da denetçi gözetiminde elle giriş gibi alternatif yöntemlerle sağlanmasına yönelik geçiş planının hazırlanması
• Biyometrik veri işlenen diğer süreçlerin amaç bazında ayrıştırılması. Kritik alana erişim kontrolü amacıyla işlenen verinin puantaj veya bordro süreçlerine aktarılıp aktarılmadığının kontrol edilmesi.
• Güvenlik amacına dayanılan hallerde, alternatif yöntemlerin neden yetersiz kaldığına ve işleme faaliyetinin somut güvenlik ihtiyacıyla neden ölçülü olduğuna ilişkin değerlendirmenin yazılı hale getirilmesi.
• Açık rızaya dayanılarak yürütülen mesai takibi uygulamalarının sonlandırılması ve bu kapsamda daha önce elde edilen biyometrik verilerin Kişisel Veri Saklama ve İmha Politikası çerçevesinde imha edilmesi.
• Aydınlatma metinleri, açık rıza beyanları, kişisel veri işleme envanteri ve VERBİS kayıtlarının güncellenmesi.
• Biyometrik sistem tedarikçileri ile akdedilen sözleşmelerin, veri işleyen sıfatı, saklama süreleri ve imha yükümlülükleri bakımından gözden geçirilmesi.

Kurul tarafından daha önce vurgulandığı üzere, bu hususlar Kanunun 12'nci maddesinin birinci fıkrası uyarınca veri sorumluları tarafından alınması gereken idari ve teknik tedbirler kapsamındadır. Belirtilen hususlara uygun hareket edilmediğinin tespiti hâlinde ilgili veri sorumluları hakkında Kanunun 18'inci maddesi hükümleri gereği işlem tesis edilecektir.

Sonuç ve Değerlendirme

Kamuoyu duyurusu, İlke Kararı’nın yükümlülüklerini değiştirmemekte; kapsamını ve uygulama sınırlarını netleştirmektedir. Duyuru sonrasında tablo şu şekilde özetlenebilir: mesai takibi amacıyla biyometrik veri işlenmesi, açık rıza alınmış olsa dahi hukuka aykırıdır. Mesai takibi dışındaki amaçlar ise İlke Kararı’nın kapsamı dışında olmakla birlikte, ölçülülük ve gereklilik değerlendirmesi bu kez doğrudan veri sorumlusunun sorumluluğundadır.

Bu nedenle şirketlerin temel kontrol sorusu şu olmalıdır: Biyometrik veri işleyen sistemimizin gerçek amacı nedir, bu amaç aynı güvenlik seviyesini sağlayan daha az müdahaleci bir yöntemle karşılanabilir mi ve bu değerlendirme belgelendirilmiş midir?

Bu sorunun yazılı bir değerlendirmeye dayanan net bir cevabı bulunmuyorsa, mevcut uygulamanın İlke Kararı ve duyuru kapsamında yeniden ele alınması gerekmektedir.

Konu ile ilgili duyuruya buradan ulaşabilirsiniz.