Kişisel Verileri Koruma Kurulu (“Kurul”) 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararında, mesai takibinin biyometrik veri (parmak izi, yüz tanıma, iris veya retina taraması) yöntemlerle yapılmasının hukuka aykırılık teşkil ettiğini ortaya koymuştur.[1] Bu konuda ayrıca 27 Ağustos 2026 tarihinde, uygulamadaki tereddütlere ilişkin kamuoyu duyurusu yayımlanmıştır.
Bu yazıda, parmak izi ve yüz tanıma gibi biyometrik verilerle mesai takibinin (işçilerin işe giriş çıkışlarının kayıt altına alınması) hukuka uygunluğu, Kişisel Verileri Koruma Kurulunun güncel kararları ve duyuruları ile inceleme konusu yapılacaktır.
Kurulun 29.04.2026 tarihli ve 2026/921 Sayılı İlke Kararı
Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı, işverenlerin çalışanlarının işe giriş-çıkış saatlerini takip etmelerine olanak sağlayan yöntemlerin kişisel verilerin ihlali oluşturup oluşturmayacağına dair esasları belirlemektedir.
Kurul özetle;
- İşverenlerin çalışanlarının çalışma sürelerini takip etme yükümlülüğü bulunduğu ancak bu takibin ne şekilde ve hangi araçlarla yapılacağının açıkça düzenleme altına alınmadığını,
- Mesai takibi için biyometrik veri kullanılmasını zorunlu kılan bir kanuni düzenleme bulunmadığını,
- Geçerli açık rıza bulunsa dahi yalnızca mesai takibi amacıyla biyometrik veri kullanılmasının ölçülülük şartını sağlamadığını,
belirterek; geçerli açık rıza bulunsa dahi söz konusu takip yönteminin hukuka aykırı olduğu, bunun yerine kişisel verilerin ihlali sonucu doğurmayan alternatif yöntemlerin kullanılması gerektiğini bildirmiştir.
İşveren Parmak İzi ve Yüz Tanıma Gibi Biyometrik Veriler ile Mesai Takibi Yapabilir Mi?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 6. maddesinde, biyometrik ve genetik verilerin özel nitelikli kişisel veri olduğu düzenleme altına alınmıştır.
Kurul’un söz konusu İlke Kararında, çalışma sürelerinin takibinin biyometrik veri kullanılarak yapılmasının hukuka aykırılık teşkil ettiği belirtilmiştir.
Buna göre, çalışanların işe giriş-çıkış saatlerinin ve işe devam durumlarının takip edilmesi amacıyla parmak izi, yüz tanıma sistemleri veya bu yöndeki diğer sistemlerin uygulanması hukuka aykırıdır.
İşçinin Açık Rızasının Bulunması Durumu
Kurul, işçiden alınmış geçerli bir açık rıza bulunsa dahi, yalnızca mesai takibi amacıyla biyometrik veri işlenmesinin KVKK’nın 4. maddesinde yer alan ölçülülük kriterini karşılamayacağına karar vermiştir.
Bu nedenle, çalışanın bu yöndeki açık rızasının yazılı olarak alınması halinde dahi söz konusu veriler ile mesai takibi yapılamayacaktır. Bir başka anlatımla, işçinin açık ve yazılı rızasının alınması, biyometrik verilerle mesai takibini hukuka uygun hale getirmemektedir.
İşverenler Mesai Takibini Nasıl Yapabilir?
Her ne kadar söz konusu biyometrik veriler kullanılmak suretiyle işçinin mesai takibinin yapılması hukuka aykırılık teşkil etse de işverenler tarafından bu konuda alternatif yolların kullanılması mümkündür.
İşverenler;
- RFID / NFC Akıllı Kartlar
- PIN / Şifreli Giriş Sistemleri
- Mobil Uygulama / QR Kod
- Fiziki imza ve kağıt bazlı çizelgeler (puantaj çizelgeleri)
- Denetçi gözetiminde el ile kayıt
gibi araçlar kullanarak işçilerin işe giriş-çıkış saatlerini takip edebileceklerdir. Bu alternatiflerin kullanmasında, yürürlükteki yasal mevzuat ve kurul kararları uyarınca herhangi bir hukuka aykırılık durumu söz konusu değildir. Şu kadar ki, bu alternatif yollar kullanılırken de ilgili kişisel veri düzenlemeleri göz önüne alınmalıdır.
Hukuka Aykırılık Halinde İdari ve Adli Yaptırımlar
Söz konusu ilke kararına ve yürürlükteki yasal mevzuata aykırı olarak işlem yapan işverenler için çeşitli idari ve adli yaptırımların meydana gelmesi söz konusudur.
KVKK’nın 18. Maddesinde, kanundaki yükümlülüklere uymayan gerçek kişiler ile özel hukuk tüzel kişilerine verilecek idari para cezaları düzenleme altına alınmıştır. Somut olayın özelliklerine göre, kurul kararına aykırı şekilde biyometrik veri ile mesai takibi yapan işverenlerin, bu madde hükmünde yer alan cezalar ile karşı karşıya gelmesi mümkündür.
Öte yandan biyometrik verisi hukuka aykırı şekilde işlenen ve buna zorlanan işçi, iş sözleşmesini 4857 sayılı İş Kanunu m. 24/II uyarınca haklı nedenle fesih imkanı kazanabilecektir. İş akdinin haklı nedenle sonlanması neticesinde kıdem tazminatı ve diğer işçilik alacaklarının yanı sıra, işçi tarafından manevi tazminat talepleri yönünden dava açılması durumu söz konusu olacaktır.
Bu nedenlerle, işverenlerin hem KVKK uyarınca idari para cezalarından hem de işçilerin iş sözleşmelerinden doğan tazminat haklarından sorumlu tutulmamaları için, mesai takibi uygulamalarını hukuka uygun bir biçimde yürütmeleri önem arz etmektedir.
Kişisel Verileri Koruma Kurumu’nun 27 Ağustos 2026 Tarihli Açıklaması
Kişisel Verileri Koruma Kurumu 27 Ağustos 2026 tarihli açıklaması ile, İlke Kararının kapsamı ve uygulama alanı bulmayacağı istisnai halleri açıklamıştır..[2]
Bu açıklamaya göre, yalnızca çalışan devam ve mesai takibi amacıyla biyometrik veri işlenmesi hâlinde 2026/921 sayılı İlke Kararı uygulanacaktır. Bunun dışında, bazı tesis ve faaliyet alanlarında, taşıdıkları güvenlik riski ve olası ihlallerin doğurabileceği sonuçlar nedeniyle parmak izi veya yüz tanıma gibi biyometrik verilerin kullanılması mümkün olabilmektedir.
Açıklamada özellikle, bu alanlarda gerçekleştirilecek biyometrik veri işleme faaliyetlerinin de yalnızca gerekli kritik alanlarla ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işleme faaliyetinin somut güvenlik ihtiyacıyla da ölçülü olması gerektiğini belirtmiştir.
Buna göre, biyometrik veri işlemenin “mesai takibi” amacını aşarak, kamu güvenliğinin sağlanmasına yönelik olduğu hallerde ilke kararı uygulanmayacaktır.
Önemle belirtmek gerekir ki, kurulun açıklamasında, bu hususta oluşabilecek ihbar ve şikayetlerde her olayın somut özelliklerine göre değerlendirme yapılacağı belirtilmiştir.
Sonuç
Kural olarak, parmak izi, yüz tanıma veya benzeri biyometrik sistemlerin kullanılması yoluyla mesai takibi yapılması (işçilerin işe giriş çıkışlarının kayıt altına alınması) kişisel verilerin korunması kurallarına aykırılık teşkil etmektedir.
Bu kapsamda, Kurul’un 27 Ağustos 2026 tarihli açıklaması dışında kalan hallerde, KVKK uyumlu alternatif yöntemlerine entegre olunarak mesai takibinin yürütülmesi önem arz etmektedir.
Saygılarımızla,
Av. Serkan Solmaz
[1] Kişisel Verileri Koruma Kurulu’nun 2 Haziran 2026 tarihli 33268 Sayılı Resmî Gazete’de yayımlanan 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı
[2] 29.04.2026 Tarihli ve 2026/921 Sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”na İlişkin Görüş Talepleri Hakkında Kamuoyu Duyurusu. erişim: https://www.kvkk.gov.tr/Icerik/8912/29-04-2026-tarihli-ve-2026-921-sayili-mesai-takibi-amaciyla-biyometrik-veri-islenmesi-hakkinda-ilke-karari-na-iliskin-gorus-talepleri-hakkinda-kamuoyu-duyurusu