Parmak İzi Mesai Takibi 2026’da Hukuka Uygun mu?

Kısa cevap: Parmak İzi Mesai Takibi, 2026/921 sayılı Kişisel Verileri Koruma Kurulu İlke Kararı uyarınca kural olarak hukuka uygun kabul edilemez. İşverenin parmak izi, avuç içi, damar izi veya yüz tanıma ile yalnız giriş-çıkış ve mesai takibi yapmasında çalışanın açık rızası da ölçüsüzlüğü ortadan kaldırmaz. İşveren çalışma süresini belgelemek zorunda olabilir; ancak kart, kişisel kod, turnike kaydı veya imzalı çizelge gibi daha az müdahaleci yöntemler varken biyometrik veri kullanmasını öngören açık bir kanuni düzenleme bulunmamaktadır. Kritik güvenlik alanlarında amaç gerçekten mesai değil kimlik doğrulama ve yetkisiz erişimi önleme ise somut risk, alternatiflerin yetersizliği ve sınırlı kullanım ayrıca değerlendirilebilir. Mevcut sistem kullanan işveren, veriyi durdurma, silme, alternatif kurma ve delilli uyum planını gecikmeden ele almalıdır.

Parmak İzi Mesai Takibi için 2026/921 sayılı İlke Kararı ne getiriyor?

Kişisel Verileri Koruma Kurulu, işyerlerinde yaygınlaşan biyometrik devam kontrolünü özel olarak ele aldı. Kurumun 10 Eylül 2026 tarihli açıklamasına göre, yalnız çalışan devam ve mesai takibi için biyometrik veri işlenmesi 6698 sayılı Kanun’un 6. maddesindeki işleme şartlarından birine dayanmamakta; geçerli açık rıza bulunduğu varsayılsa bile Kanun’un 4. maddesindeki ölçülülük kriterini karşılamamaktadır.

Bu yaklaşım, işverenin mesaiyi takip edemeyeceği anlamına gelmez. İş hukukundaki çalışma süresini izleme ve ücret hesabını belgeleme ihtiyacı devam eder. Sınırlama, bu amaca ulaşmak için kişinin değiştirilemeyen fiziksel özelliğinin kullanılmasına yöneliktir. Kart veya kod unutulabilir ve yenilenebilir; sızan parmak izi şablonu ise parola gibi değiştirilemez. Müdahalenin ağırlığı bu nedenle farklıdır.

Parmak izi, yüz görüntüsü ve matematiksel şablon nasıl değerlendirilir?

Parmak izi, damar izi, avuç içi veya yüz geometrisi belirli bir teknik yöntemle kişiyi benzersiz biçimde tanımlamak ya da doğrulamak için işleniyorsa biyometrik veri niteliği taşır. Cihazın ham fotoğraf yerine sayısal bir şablon üretmesi sonucu değiştirmez. Kurum açıklaması, matematiksel koda çevrilerek veri tabanında tutulmasının biyometrik niteliği ortadan kaldırmadığını açıkça vurgular.

Her yüz görüntüsü otomatik olarak biyometrik değildir. Personel kartındaki fotoğraf ile turnikede yüzün ölçüm noktalarına ayrılarak şablonla karşılaştırılması farklı işlemlerdir. Değerlendirmede cihazın pazarlama adı değil; verinin nasıl çıkarıldığı, benzersiz tanıma/doğrulama için kullanılıp kullanılmadığı ve hangi sonuçla eşleştirildiği önemlidir.

Özel nitelikli veri olması hangi ek yükümlülükleri doğurur?

Biyometrik veri, 6698 sayılı Kanun’da sınırlı sayılan özel nitelikli kişisel verilerdendir. İşleme şartının bulunması yanında Kurulca belirlenen yeterli önlemlerin alınması gerekir. Rol bazlı erişim, kriptografik koruma, işlem logu, ayrı ortam, veri aktarım kontrolü, eğitim ve olay yönetimi bu katmanın parçalarıdır. Teknik güvenliğin güçlü olması, işleme amacı hukuka aykırı veya ölçüsüzse faaliyeti tek başına meşrulaştırmaz.

Turnike tedarikçisi veriyi kendi sunucusunda tutuyorsa veri işleyen ilişkisi, alt hizmet sağlayıcılar ve veri merkezi ülkesi incelenir. Sistemin internete kapalı olması riski azaltabilir; fakat işleme şartı ve ölçülülük sorusunu ortadan kaldırmaz. İşveren, verinin cihazda mı merkezde mi, ham biçimde mi şablon hâlinde mi, ne kadar süreyle tutulduğunu gösterebilmelidir.

Çalışanın açık rızası neden mesai takibini kurtarmaz?

Açık rızanın belirli, bilgilendirilmiş ve özgür olması gerekir. İş ilişkisindeki ekonomik ve hiyerarşik güç farkı, “rıza formu imzalamayan içeri giremez” yaklaşımında özgürlüğü tartışmalı hâle getirir. Daha önemlisi, İlke Kararı sırf mesai takibi bakımından geçerli rıza varsayılsa dahi biyometrik işlemenin ölçülülük şartını sağlamayacağını belirtir. Bu nedenle yeni rıza formu imzalatmak temel sorunu çözmez.

İşverenin meşru amacı, çalışanın kaçta geldiğini ve çıktığını doğru kaydetmektir. Bu sonuç kart, kişisel şifre, mobil uygulamanın ölçülü ayarı, imzalı çizelge veya güvenlik personeli kaydıyla elde edilebiliyorsa değiştirilemez biyometrik özelliğin kullanılması gerekli değildir. Alternatifin biraz daha maliyetli veya idari açıdan zahmetli olması, tek başına biyometriyi zorunlu hâle getirmez.

Kritik alan güvenliği istisnası nasıl anlaşılmalıdır?

Kurum, bazı tesis ve faaliyetlerin güvenlik riski nedeniyle genel mesai değerlendirmesinden ayrılabileceğini açıklar. Biyometri gerçekten kritik alana erişim, kimlik doğrulama ve yetkilendirme zincirinin parçasıysa amaç mesai kaydı değildir. Yine de işleme yalnız gerekli kritik bölge ve kişilerle sınırlı olmalı; alternatif yöntemlerin yetersizliği gösterilmeli ve somut güvenlik ihtiyacıyla ölçülü kalmalıdır.

Fabrikanın her kapısını “kritik alan”, bütün personeli de “kritik kullanıcı” ilan etmek yeterli değildir. Tehlikeli madde odası, savunma altyapısı veya yüksek güvenlikli veri merkezi ile ofis yemekhanesi aynı riskte değildir. Fiziksel risk analizi, mevzuat yükümlülüğü, erişim yetki matrisi ve alternatif yöntem testi dosyalanmalıdır. Kamu güvenliği istisnası da biyometrik kullanımı sınırsızlaştırmaz.

Güvenlik sistemi mesai hesabına da veri gönderiyorsa ne olur?

Kritik alan için hukuka uygun kurulan erişim kaydının sonradan bütün ücret ve performans hesabında kullanılması amaç genişlemesi yaratır. Güvenlik logu, zorunlu olay incelemesi için sınırlı tutulabilir; bordro sistemine düzenli aktarım ise yeniden hukuki sebep ve ölçülülük analizi gerektirir. Aynı cihazın iki işlevi olması, mesai amacını İlke Kararı dışına çıkarmaz.

Mevcut biyometrik sistem kullanan işveren ne yapmalı?

1. İşlemeyi haritalayın: Hangi lokasyonda, hangi çalışan için, hangi cihaz ve amaçla biyometrik veri işlendiğini belirleyin.
2. Yeni kaydı durdurun: Sırf mesai amaçlı kayıtların sürmesini otomatik kabul etmeyin; acil geçiş kararı oluşturun.
3. Alternatifi devreye alın: Kart, kod veya başka ölçülü yöntemde vardiya, fazla çalışma ve uzaktan çalışma ihtiyaçlarını çözün.
4. Tedarikçiyi dahil edin: Cihaz, sunucu, yedek, bulut ve teknik destek kopyalarının nerede olduğunu yazılı doğrulatın.
5. Silme planı hazırlayın: Hukuki saklama sebebi bulunmayan biyometrik şablonların silme/yok etme prosedürünü ve tutanağını oluşturun.
6. Metinleri güncelleyin: Çalışan aydınlatması, politika, VERBİS envanteri ve sözleşmeler gerçek yeni akışla uyumlu olsun.
7. Ücret delilini koruyun: Eski giriş-çıkış zamanları biyometrik şablondan ayrıştırılabiliyorsa hukuki saklama amacı ayrıca incelensin.
8. Kritik alanları yeniden test edin: Güvenlik amacı iddia edilen her bölge için risk ve alternatif yöntem raporu hazırlayın.

Silme işlemi nasıl belgelenir?

Uygulamadaki çalışan hesabını kapatmak veriyi mutlaka silmez. Cihaz belleği, merkez sunucu, bulut paneli, yedek, test ortamı ve tedarikçi destek kopyası ayrı kontrol edilmelidir. Ham görüntü tutulmadığı söyleniyorsa şablonun ve eşleme anahtarının nerede bulunduğu belirlenmelidir. Silme veya yok etme, yetkili kişilerce tutanak altına alınmalı; uygulanan yöntem ve kapsam açıklanmalıdır.

Giriş-çıkış saatleri ücret uyuşmazlığı için gerekliyse, biyometrik tanımlayıcı ile zaman kaydını birbirinden ayırma imkânı araştırılır. Amaç, geçmiş bordro delilini koruma gerekçesiyle değiştirilemez biyometrik şablonu gereksiz saklamamaktır. Saklama ve silme süreleri periyodik imha politikasına yansıtılır.

Biyometrik mesai dosyasında belge ve delil tablosu

Çalışan hangi başvuru ve şikâyet yollarını kullanabilir?

Çalışan, veri sorumlusuna başvurarak biyometrik verisinin işlenip işlenmediğini, amacını, hukuki sebebini, tedarikçileri, saklama süresini ve silme sonucunu sorabilir. Yanlış kayıtların düzeltilmesini, şartları varsa verinin silinmesini/yok edilmesini ve aktarılmış taraflara bildirim yapılmasını isteyebilir. İşveren başvuruyu en kısa sürede ve en geç 30 gün içinde cevaplamalıdır.

Cevap yetersizse cevabın öğrenilmesinden itibaren 30 gün ve her hâlde ilk başvurudan itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyet yolu değerlendirilir. İşverenin başvuru nedeniyle çalışanı baskıya maruz bırakması ayrı iş hukuku sonuçları doğurabilir. İşçilik alacağı veya feshe bağlı uyuşmazlıkta zorunlu arabuluculuk ve iş mahkemesi yolu talebin türüne göre ayrıca izlenir.

İspat yükü, iş davası ve tazminat nasıl ayrılır?

İşveren biyometrik işlemenin amacı, dayanağı, gerekliliği, güvenliği ve silme sürecini kendi kayıtlarıyla gösterebilmelidir. Çalışan ise cihazın kullanıldığını gösteren fotoğraf, talimat, rıza formu, bordro, giriş ekranı ve başvuru cevabını hukuka uygun biçimde koruyabilir. Başka çalışanın biyometrik verisini elde etmeye çalışmak yeni bir ihlal yaratır.

Biyometrik sistemdeki puantajın fazla çalışma iddiasında kullanılması, sistemin KVKK’ya uygunluğundan farklı bir delil tartışmasıdır. Kayıtların doğruluğu, tek taraflı değiştirilebilirliği ve diğer işyeri delilleri birlikte değerlendirilir. Veri ihlali nedeniyle zarar iddiası varsa kişisel veri ihlalinde tazminat şartları ayrı incelenir; sonuç otomatik değildir.

Tedbir ve kanun yolu seçenekleri

Devam eden ölçüsüz veri işlemenin durdurulması, verinin silinmesi veya delilin korunması için izlenecek yol olayın niteliğine göre değişir. Kurul başvurusu, iş davası, özel hukuk tazminatı ve ceza şikâyeti aynı merci değildir. Acil ve geri dönülmez zarar iddiasında ihtiyati tedbir şartları görevli mahkemede yaklaşık ispat ve ölçülülükle değerlendirilir.

Kurulun veri sorumlusuna yönelik kararı tebliğ edildiğinde, kararın gecikmeksizin ve en geç 30 gün içinde yerine getirilmesi gerekir. İdari para cezası tutarları her yıl değişebileceğinden başvuru veya karar tarihindeki resmî cetvel esas alınmalıdır.

Üç işyeri senaryosu

Senaryo 1: Ofiste parmak iziyle turnike

Bir yazılım şirketi yalnız giriş ve öğle molası saatini ölçmek için parmak izi okutmaktadır. Kart sistemiyle aynı sonuç elde edilebilir; kritik güvenlik gerekçesi yoktur. İmzalı rıza formları ölçülülük sorununu çözmez. İşveren kartlı sisteme geçip cihaz, sunucu ve yedeklerdeki şablonları belgeli biçimde silmelidir.

Senaryo 2: Yüksek güvenlikli laboratuvar

Belirli laboratuvara yetkisiz erişim insan sağlığı ve kritik altyapı riski yaratmaktadır. Biyometri yalnız yetkili az sayıdaki kişi ve laboratuvar kapısıyla sınırlıdır; ofis ve yemekhane girişinde kart kullanılır. Risk raporu, çift faktör, alternatiflerin yetersizliği ve kısa log süresi belgelenir. Laboratuvar geçişi bordro mesaisine otomatik aktarılmaz.

Senaryo 3: Yüz tanımalı mobil puantaj

Saha çalışanı uygulamada selfie çekerek vardiya başlatır; görüntü yabancı buluta gider ve konumla eşleştirilir. İşlem yalnız mesai içindir. Yüz şablonuna ek olarak konum ve yurt dışı aktarım riski vardır. İşveren kişisel kod, cihaz doğrulaması veya yönetici onayı gibi daha az müdahaleci seçenekleri değerlendirir ve eski kayıtların tüm kopyalarını tespit eder.

Biyometrik mesai sistemlerinde sık yapılan 10 hata

1. Yeni rıza formunu çözüm sanmak: İlke Kararı, sırf mesai amacı bakımından ölçülülük sorununu rızadan bağımsız ele alır.
2. Şablonun biyometrik olmadığını söylemek: Matematiksel koda dönüşüm veri niteliğini kaldırmaz.
3. Her kapıyı kritik alan ilan etmek: Güvenlik ihtiyacı alan ve kişi bazında somutlaştırılmalıdır.
4. Cihazı kapatınca verinin silindiğini varsaymak: Sunucu, bulut, yedek ve tedarikçi kopyaları kalabilir.
5. Puantaj zorunluluğunu biyometri zorunluluğu sanmak: Çalışma süresi daha az müdahaleci yöntemle kaydedilebilir.
6. Güvenlik logunu bordro için yeniden kullanmak: Yeni amaç ayrıca hukuki ve ölçülü olmalıdır.
7. Tedarikçi sözleşmesini incelememek: Destek erişimi, alt işleyen ve veri merkezi gözden kaçar.
8. Alternatifsiz rıza almak: İşe giriş veya ücret baskısı rızanın özgürlüğünü zedeler.
9. Eski çalışan verisini saklamak: İşten ayrılma sonrası gereksiz biyometrik şablon ciddi risk yaratır.
10. Çalışan başvurusuna genel metin göndermek: Sistem, alıcı, süre ve silme sonucu somut cevaplanmalıdır.

İşveren için 30 günlük uyum kontrolü

İlk hafta sistem ve kopya envanteri çıkarılmalı, ikinci hafta alternatif puantaj devreye alınmalı, üçüncü hafta silme ve tedarikçi doğrulaması tamamlanmalı, dördüncü hafta politika, aydınlatma, erişim matrisi ve eğitim güncellenmelidir. Bu takvim kanuni bir hoşgörü süresi değildir; işletmenin kontrollü ve belgeli geçiş planı örneğidir. Risk yüksekse işlem daha hızlı durdurulmalıdır.

Mesai dışı kritik erişim kullanımı devam edecekse aynı projede ayrıştırılmalı; amaç, alan, kişi, veri, saklama ve bordro bağlantısı teknik olarak sınırlandırılmalıdır. kamera ve sesle çalışan takibi de biyometri yerine otomatik ve sınırsız bir alternatif değildir; her izleme aracı kendi gereklilik ve ölçülülük testine tabidir.

Biyometrik mesai takibi hakkında sık sorulan sorular

1. Çalışan yazılı rıza verirse parmak iziyle mesai tutulabilir mi?

Sırf mesai takibi amacıyla hayır; Kurul, geçerli rıza varsayılsa dahi işlemenin ölçülülük kriterini karşılamayacağını değerlendirir.

2. Yüz fotoğrafı biyometrik veri midir?

Her fotoğraf otomatik biyometrik değildir. Benzersiz tanıma veya doğrulama için teknik işleme tabi tutulması belirleyicidir.

3. Parmak izi cihazda tutuluyor, internete çıkmıyorsa sorun çözülür mü?

Yerel saklama güvenlik riskini azaltabilir; fakat sırf mesai amacı için işleme şartı ve ölçülülük sorununu kaldırmaz.

4. Kart paylaşımı yapıldığı için biyometri zorunlu olabilir mi?

Suistimal riski tek başına yeterli değildir. Kişisel kod, denetim, kart-fotoğraf eşleştirmesi gibi daha az müdahaleci seçenekler incelenmelidir.

5. Kritik altyapıda biyometri her yerde kullanılabilir mi?

Hayır. Yalnız gerekli kritik alan ve kişiler, alternatiflerin yetersizliği ve somut güvenlik riskiyle ölçülü kullanım değerlendirilir.

6. Eski parmak izi kayıtları hemen silinmeli mi?

İşleme şartı kalmayan şablonlar için silme/yok etme planı gecikmeden uygulanmalıdır; tüm kopyalar ve yedekler kapsanmalıdır.

7. Giriş-çıkış saatleri de silinir mi?

Zaman kayıtlarının iş hukuku ve ücret bakımından saklama sebebi ayrı olabilir. Biyometrik şablondan ayrıştırma değerlendirilmelidir.

8. Çalışan Kurula doğrudan şikâyet edebilir mi?

Kural olarak önce veri sorumlusuna başvuru gerekir; cevap ve 30/60 günlük süreler sonrasında Kurul yolu izlenir.

9. Sistem yüzü saklamıyor, yalnız eşleşme sonucu üretiyorsa KVKK uygulanır mı?

Eşleşme için çıkarılan şablon ve sonuç kişiye bağlanıyorsa kişisel veri işleme devam edebilir. Teknik mimari incelenmelidir.

10. Biyometrik kayıt fazla mesai davasında kullanılabilir mi?

Kaydın hukuka uygunluğu, bütünlüğü ve diğer delillerle uyumu mahkemece değerlendirilir; kayıt tek başına kesin sonuç yaratmaz.

11. İşveren sistemi kaldırdığı için geçmiş ihlal kapanır mı?

Kaldırma riski azaltır; geçmiş işleme, saklama, aktarım ve başvurular ayrıca incelenebilir. Geçişin belgelenmesi önemlidir.

Dosya incelemesine hazırlanırken

İşveren; cihaz dokümanı, sözleşme, veri akışı, rıza ve aydınlatma metinleri, tedarikçi/ülke listesi, alternatif yöntem analizi, kritik alan risk raporu ve silme tutanaklarını hazırlamalıdır. Çalışan; imzalatılan form, cihaz fotoğrafı, yazılı talimat, puantaj/bordro, şirket cevabı ve tarihleri hukuka uygun biçimde korumalıdır. Türkiye’nin her yerinden çevrim içi ön inceleme yapılabilir; sistem görülmeden ihlal, işe iade veya tazminat sonucu garanti edilemez.

Resmî kaynaklar

• KVKK – 2026/921 sayılı biyometrik mesai İlke Kararına ilişkin açıklama
• 2 Haziran 2026 tarihli Resmî Gazete
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK – Özel nitelikli kişisel verilerde yeterli önlemler kararı

Yazar: Av. Emirhan Keskin
Son kontrol tarihi: 19.09.2026

Bu içerik genel bilgilendirme amaçlıdır. İşyerinin güvenlik riski, cihazın teknik işleyişi, iş hukuku kayıtları ve çalışan talepleri somut olayda ayrıca değerlendirilmelidir.