Parmak İzi ile Mesai Takibi Yasak mı? KVKK Kuralları (2026)

Türkiye'de on binlerce işyerinin girişinde hâlâ parmak izi okuyucular ve yüz tanıma kameraları duruyor. Personel devam kontrol sistemi (PDKS) satıcıları bu cihazları yıllarca «kart unutma ve kart devretme sorununu kökten çözen» pratik bir yatırım olarak pazarladı. Oysa hukuki zemin 2019'dan beri adım adım kaydı ve 2026 yazında tablo tamamen netleşti: biyometrik veriyle mesai takibi Türkiye'de artık açıkça hukuka aykırı kabul ediliyor.

Kısacası: Parmak izi, yüz tanıma, iris veya avuç içi taramasıyla mesai takibi, Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı uyarınca, çalışandan açık rıza alınsa bile hukuka aykırıdır. Biyometrik veri, 6698 sayılı KVKK'nın 6. maddesine göre özel nitelikli kişisel veridir; kart, PIN veya konum bazlı yoklama gibi alternatifler varken işlenmesi ölçülülük ilkesini ihlal eder.

Bu rehberde, işveren gözüyle bilmeniz gereken her şeyi topladık: yasağın hangi kararlara dayandığı, açık rızanın neden sizi kurtarmadığı, 2026 yılı için geçerli idari para cezası tutarları ve biyometrik veri işlemeden mesai takibini sürdürmenin hukuka uygun yolları. Tüm tutarlar ve karar numaraları, Kişisel Verileri Koruma Kurumu (kvkk.gov.tr), Anayasa Mahkemesi ve Resmî Gazete kaynaklarından doğrulanmıştır.

Parmak izi ile mesai takibi yasak mı?

Evet; 2026 itibarıyla cevap bu kadar net. Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararıyla, işyerlerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik yöntemlerin kullanılmasını hukuka aykırı ilan etti. Karar 2 Haziran 2026'da Resmî Gazete'de yayımlanarak yürürlüğe girdi ve kvkk.gov.tr üzerinden kamuoyu duyurusuyla açıklandı. Resmî Gazete'de yayımlanan ilke kararları yalnızca somut bir şikâyetin taraflarını değil, özel sektör ve kamu ayrımı olmaksızın tüm veri sorumlularını bağlar. Duyuruda ayrıca bir geçiş veya uyum süresi de öngörülmedi; yani cihazı «bir süre daha» çalıştırmanın hukuki bir dayanağı yok.

Bu karar gökten inmedi; yedi yıllık istikrarlı bir içtihat zincirinin son halkası. Kurul daha 2019'da, spor salonlarının üye girişinde el ve avuç içi okutma sistemlerini incelemiş, biyometrik veri işlemenin amaçla «bağlantılı, sınırlı ve ölçülü olma» ilkesiyle bağdaşmadığına hükmetmiş ve uygulamanın ivedilikle durdurulmasını talimatlandırmıştı. Sonraki yıllarda Anayasa Mahkemesi ve Danıştay da aynı yönde kararlar verdi. Zinciri tek tabloda görmek, riskin ne kadar eskiye dayandığını da gösteriyor:

Biyometrik veri neden bu kadar sıkı korunuyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi (mevzuat.gov.tr), biyometrik ve genetik verileri, sağlık verisi ve ceza mahkûmiyeti gibi kategorilerle birlikte «özel nitelikli kişisel veri» olarak sayar. Kurumun Eylül 2021'de yayımladığı Biyometrik Veri İşleme Rehberi'ne göre biyometrik veri, kişinin fizyolojik veya davranışsal özelliklerinden elde edilen ve o kişiyi tek başına, ayırt edici biçimde tanımlayan veridir: parmak izi, yüz, iris, retina, avuç içi ve damar izi bu tanımın tam merkezindedir.

Sıkı korumanın pratik gerekçesi değiştirilemezliktir. Sızan bir kart numarası iptal edilir, unutulan bir PIN yenilenir; ama parmak izi ömür boyu aynı kalır. Bir PDKS veri tabanından sızan biyometrik şablon, çalışan için kalıcı bir kimlik hırsızlığı riski yaratır. Mart 2024'te 7499 sayılı Kanun'la KVKK'nın 6. maddesindeki işleme şartları genişletildi ve istihdam alanındaki hukuki yükümlülükler gibi yeni istisnalar eklendi; ancak Kurul, 2026/921 sayılı kararında bu istisnaların hiçbirinin mesai takibini karşılamadığını değerlendirdi. Türk hukukunda işverene «çalışanın biyometrik verisiyle devam kontrolü yap» diyen bir kanun hükmü bulunmuyor; geriye kalan tek dayanak olan açık rıza ise aşağıda göreceğiniz gibi bu senaryoda çoğu zaman geçersiz.

Açık rıza alsam da olmaz mı?

Olmaz; Kurulun 2026/921 sayılı kararının en kritik cümlesi tam olarak bu. Gerekçe üç ayağa dayanıyor. Birincisi güç dengesizliği: Kurul, işçi-işveren ilişkisindeki güç asimetrisi nedeniyle açık rızanın özgür iradeye dayanıp dayanmadığının şüpheli olduğunu vurguluyor. İşe alımın veya işte kalmanın fiilen parmak izi vermeye bağlandığı bir ortamda «gönüllü» rızadan söz edilemez; rızasını esirgeyen ya da sonradan geri çeken çalışanın yaptırımla karşılaşma ihtimali, rızayı baştan sakatlar.

İkincisi ölçülülük: KVKK'nın 4. maddesi, verilerin «işlendikleri amaçla bağlantılı, sınırlı ve ölçülü» olmasını şart koşar. Mesai takibinin amacı, kimin ne zaman gelip gittiğini kaydetmektir; bu amaç kart, kod, imza veya konum doğrulamasıyla da eksiksiz karşılanır. Daha az müdahaleci yöntem varken en hassas veri kategorisine uzanmak, rıza olsa bile orantısızdır. Kurul bu mantığı 2019/81 sayılı spor salonu kararında, yani ortada iş ilişkisi bile yokken, üyelik ilişkisinde dahi uygulamıştı. Üçüncüsü kanunilik: Anayasa Mahkemesi, 10 Mart 2022 tarihli kararında (başvuru no 2018/11988), bir belediyenin memurlarını parmak iziyle takip etmesini, bu işlemeye dayanak olabilecek açık bir kanuni düzenleme bulunmadığı için Anayasa'nın 20. maddesindeki kişisel verilerin korunmasını isteme hakkının ihlali saydı.

Kurumun 2021 tarihli Biyometrik Veri İşleme Rehberi, biyometrik işlemenin istisnaen hukuka uygun olabileceği hallerde bile veri sorumlusuna ağır bir ispat yükü yükler:

• İşleme, amaca ulaşmak için zorunlu olmalı; elverişlilik, gereklilik ve orantılılık testinin üçünü birden geçmeli
• Veri yalnızca gerekli süre boyunca saklanmalı, süre dolunca derhâl imha edilmeli
• Neden başka bir yöntemin değil de o biyometrik yöntemin seçildiği yazılı olarak gerekçelendirilip belgelenmeli
• Amaç için gerekmeyen hiçbir ek veri (örneğin genetik bilgi) toplanmamalı
• Rıza gösterilmezse çalışana veya üyeye biyometrik olmayan bir alternatif fiilen sunulmalı

Rutin mesai takibi bu testin daha ilk basamağında elenir: zorunluluk yoktur, çünkü alternatif her zaman vardır.

Yüz tanıma ile PDKS kullanılabilir mi?

Hayır. Pandemi döneminde «temassız ve hijyenik» argümanıyla yaygınlaşan yüz tanımalı PDKS cihazları, hukuken parmak izi okuyucularla aynı rejime tabi. 2026/921 sayılı İlke Kararı; parmak izi, yüz tanıma, iris ve retina taramasını açıkça sayarak hepsini mesai takibi amacıyla kullanılamaz ilan ediyor. Avuç içi ve damar izi okuma da kapsam dışı değil: Danıştay 12. Dairesi, 2023 yılında verdiği kararla (E. 2021/3870, K. 2023/2548) bir kamu işyerinde avuç içi damar izi okuma sistemiyle mesai takibini hukuka aykırı buldu.

Cihaz satıcılarının sık kullandığı «biz fotoğraf saklamıyoruz, sadece matematiksel şablon tutuyoruz» savunması da sonucu değiştirmez. Şablon, ham görüntüden türetilmiş olsa bile kişiyi tek başına ve ayırt edici biçimde tanımlamaya yarar; dolayısıyla Rehber'deki biyometrik veri tanımının içinde kalır ve aynı korumaya tabidir. Aynı şekilde verinin cihazda yerel olarak tutulması, buluta gönderilmemesi de işlemeyi hukuka uygun hâle getirmez; KVKK açısından kaydetme anında işleme zaten gerçekleşmiştir.

Parmak izi ile mesai takibinin cezası ne kadar?

İdari para cezaları KVKK'nın 18. maddesinde düzenleniyor ve her yıl yeniden değerleme oranıyla güncelleniyor; 2026 tutarları yüzde 25,49'luk oranla artırılmış hâliyle şöyle:

Hangi kalemin uygulanacağını Kurul somut olaya göre belirler; biyometrik PDKS vakaları tipik olarak veri güvenliği ve genel ilkeler ekseninde cezalandırılıyor. Resmî Gazete'de yayımlanmış bir İlke Kararına rağmen cihazı çalıştırmaya devam eden işveren içinse üst sınırı 17.092.242 TL olan «Kurul kararlarının yerine getirilmemesi» kalemi gündeme gelir. Ceza, veri sorumlusu tüzel kişiliğe kesilir; kamu kurumlarında ise sorumlu personel hakkında disiplin hükümleri işletilir.

İdari para cezası riskin tamamı da değil. Türk Ceza Kanunu'nun 135. maddesi (mevzuat.gov.tr), kişisel verileri hukuka aykırı olarak kaydeden kişi için bir yıldan üç yıla kadar hapis cezası öngörür. Buna çalışanların açabileceği manevi tazminat davaları, Kurulun geçmiş kararlarında olduğu gibi toplanan tüm biyometrik kayıtların yok edilmesi talimatı ve kamuoyuna yansıyan kararların itibar maliyeti eklenir. Kısaca: cihazın satın alma bedeli, doğurabileceği yükümlülüklerin yanında yuvarlama hatası kadar kalıyor.

Biyometrik veri işlemeden mesai takibi nasıl yapılır?

İyi haber: Kurul yasağı ilan ederken hukuka uygun alternatifleri de bizzat saydı. Kamuoyu duyurusunda şifreli kart veya PIN tabanlı sistemler, RFID ve NFC personel kartları, imzalı kâğıt çizelgeler ve amir gözetiminde manuel kayıt, biyometrik veri gerektirmeyen meşru yöntemler olarak sıralandı. Bunlara sektörde giderek yaygınlaşan mobil uygulama üzerinden konum doğrulamalı yoklamayı da eklemek gerekir. Seçenekleri yan yana koyalım:

Konum bazlı yöntemi seçerken bir çizgiye dikkat etmek gerekiyor: konum verisi özel nitelikli değildir ama yine de kişisel veridir. Hukuka uygun kurgu, çalışanın vardiya başında ve sonunda, işyeri konumunda tek seferlik bir doğrulama yapmasıdır; mesai boyunca kesintisiz konum izlemek, biyometrik tartışmasındaki aynı ölçülülük duvarına çarpar. Aydınlatma metninde konumun yalnızca yoklama anında, yalnızca devam kontrolü amacıyla işlendiğini açıkça yazmak ve veriyi buna göre sınırlamak şarttır. imRoster'ın kullandığı model tam olarak bu çizgide durur: çalışan vardiyasını telefonundan görür, vardiya başında işyeri konumunda tek dokunuşla check-in yapar; sistem hiçbir biyometrik veri işlemez, konum sürekli izlenmez, yalnızca yoklama anında doğrulanır ve yönetici çizelge ile devam durumunu aynı ekranda takip eder.

Örnek: biyometrik veri olmadan haftalık yoklama planı

Aşağıdaki tablo, iki vardiyalı küçük bir işletmenin bir haftasını, her vardiyanın hangi yöntemle yoklandığıyla birlikte gösteriyor. Aynı yapıyı kendi ekibinize kopyalayıp uyarlayabilirsiniz; kritik olan, yoklama sütununda hiçbir biyometrik yöntemin yer almamasıdır.

Parmak izi cihazınız hâlâ duruyorsa ne yapmalısınız?

İlke Kararı yayımlandığına ve ek bir uyum süresi tanınmadığına göre, elinde biyometrik PDKS bulunan her işverenin yapılacaklar listesi bellidir:

• Cihazların mesai takibi amacıyla veri toplamasını derhâl durdurun; okuyucuyu kapatmak yetmez, kayıt akışının kesildiğini doğrulayın
• Bugüne kadar toplanan parmak izi, yüz ve şablon kayıtlarını, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun şekilde imha edin ve imha tutanağı düzenleyin
• Çalışanları hem imha işlemi hem de yeni yoklama yöntemi hakkında yazılı olarak bilgilendirin
• VERBİS kaydınızda ve kişisel veri işleme envanterinizde biyometrik veri kategorisini güncelleyin
• Aydınlatma metinlerinizi yeni yönteme (kart, PIN veya konum bazlı yoklama) göre yeniden yazın
• Yeni sistemde de veri minimizasyonuna sadık kalın: yalnızca ad, vardiya saati ve yoklama kaydı gibi gerekli alanları toplayın, saklama sürelerini tanımlayın

Geçişi büyütmeye gerek yok: kart ve kod tabanlı sistemler yıllardır olgun, mobil ve konum bazlı yoklama ise çizelge yönetimiyle birleştiğinde çoğu işletmede cihaz yatırımını tamamen gereksiz kılıyor. Vardiya planını ve yoklamayı tek yerde toplamak isteyen ekipler, çizelgeyi imRoster gibi bir araca kurdurup devam kontrolünü telefon üzerinden yürüterek hem KVKK riskini sıfırlayabilir hem de bordroya temiz veri aktarabilir. Hukuken güvenli taraf artık teknolojik olarak da zahmetsiz taraf; parmak izi cihazına dönmek için geçerli bir neden kalmadı.

Sıkça Sorulan Sorular