KVKK 2026/921: Biyometrik Mesai Takibi Kararı

KVKK Kurulu, 2026/921 sayılı İlke Kararı ile biyometrik verilerin mesai takibi amacıyla kullanılmasını hukuka uygun bir yöntem olarak kabul etmiyor. Karar yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işlemlerini kapsıyor. Fotoğraf veya selfie ise tek başına otomatik olarak biyometrik veri sayılmıyor; değerlendirme, görüntünün kişiyi benzersiz biçimde tanımlamak veya doğrulamak için belirli bir teknik işleme tabi tutulup tutulmadığına bağlı.

Bu içerik genel bilgilendirme amaçlıdır; bağlayıcı hukuki görüş değildir. Kendi durumunuz için bir hukuk danışmanına veya veri koruma uzmanına başvurun.

2026/921 sayılı İlke Kararı nedir?

Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı ile işverenlerin personelin işe giriş ve çıkış saatlerini takip ederken biyometrik veri kullanmasını değerlendirdi. Karar 2 Haziran 2026 tarihinde duyuruldu ve aynı tarihli 33268 sayılı Resmî Gazete'de yayımlandı.

Kararda parmak izi, yüz tanıma, iris ve retina taraması gibi kişinin fiziksel veya fizyolojik özelliklerinden yararlanan yöntemler biyometrik tanımlama örnekleri arasında ele alınıyor.

İşverenlerin çalışanların çalışma sürelerini takip etmesi gereken durumlar bulunmasına rağmen Kurul, bu takibin özellikle biyometrik veri kullanılarak yapılmasını zorunlu kılan açık bir kanuni düzenleme bulunmadığını değerlendiriyor.

Kararın önemli noktalarından biri de ölçülülük ilkesi. Kurul, aynı amaca daha az müdahaleci yöntemlerle ulaşılabildiği durumlarda biyometrik verinin kullanılmasının gerekli ve ölçülü olup olmadığının ayrıca değerlendirilmesi gerektiğini belirtiyor.

Bu nedenle yalnızca çalışandan açık rıza alınmış olması, biyometrik mesai takibini tek başına hukuka uygun hale getirmiyor. Kurul, geçerli açık rıza bulunsa dahi mesai takibi için biyometrik veri kullanımının ölçülülük kriterini sağlamadığı sonucuna ulaşıyor.

Bu değerlendirme, bütün biyometrik veri kullanımının her durumda yasak olduğu anlamına gelmiyor. 27 Ağustos 2026 tarihli takip duyurusu, 2026/921'in özellikle mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerine ilişkin olduğunu açıkça belirtiyor. Diğer amaçlarla gerçekleştirilen işlemler kendi şartları içinde ayrıca değerlendirilmek zorunda.

Parmak izi ve yüz tanıma ile mesai takibinde ne değişti?

2026/921 açısından kritik ayrım, personelin çalışıp çalışmadığının doğrulanması amacıyla biyometrik özelliklerin kullanılmasında ortaya çıkıyor.

Örneğin bir sistem çalışanın:

• parmak izini,
• yüz özelliklerini,
• iris veya retina yapısını

kişiyi benzersiz biçimde tanımlamak veya doğrulamak amacıyla teknik olarak işliyorsa biyometrik veri işleme söz konusu olabilir.

Kurulun önceki kararları da bu değerlendirme açısından önem taşıyor. 27 Şubat 2020 tarihli 2020/167 sayılı Karar, biyometrik veri işleme ile ölçülülük ilkesini birlikte ele alıyor.

1 Aralık 2020 tarihli 2020/915 sayılı Karar ise personelin işe giriş ve çıkışının biyometrik yöntemlerle takip edilmesine ilişkin değerlendirmeler içeriyor ve fotoğraf ile biyometrik veri arasındaki ayrım bakımından da kaynak oluşturuyor.

27 Ağustos duyurusu hash kullanımını nasıl açıklıyor?

2026/921 sonrasında Kuruma iletilen görüş talepleri üzerine 27 Ağustos 2026'da ek bir kamuoyu duyurusu yayımlandı.

Burada önemli bir teknik konu netleştiriliyor: biyometrik verinin doğrudan görüntüsü veya ham biçimi yerine matematiksel bir kodunun saklanması, tek başına verinin biyometrik niteliğini ortadan kaldırmıyor.

Başka bir ifadeyle, kişinin benzersiz şekilde tanımlanması veya doğrulanması için oluşturulmuş biyometrik bir verinin hash veya başka bir matematiksel temsile dönüştürülmesi, işlemenin gerçek niteliğini değiştirmiyor.

Bu nedenle değerlendirmede yalnızca veritabanında hangi formatın saklandığına bakmak yeterli değil. Sistemin gerçekte hangi veriyi, hangi amaçla ve hangi teknik yöntemle işlediği incelenmeli.

Biyometrik PDKS yerine hangi yöntemler değerlendirilebilir?

2026/921 sayılı İlke Kararı, mesai takibinde daha az müdahaleci yöntemlere örnekler veriyor. Bunlar arasında:

• şifreli kart veya PIN tabanlı sistemler,
• geleneksel imza ve kâğıt devam çizelgeleri,
• RFID/NFC kimlik kartları,
• denetçi gözetiminde manuel giriş

bulunuyor.

Bu liste kapalı bir alternatif kataloğu değil. Yani yalnızca bu yöntemlerin kullanılabileceği sonucuna varılmamalı. İşverenin kullandığı yöntemin amaç, gereklilik, veri minimizasyonu ve ölçülülük bakımından ayrıca değerlendirilmesi gerekiyor.

Aynı şekilde Kurulun listesinde yer almayan bir yöntemin yalnızca bu nedenle otomatik olarak hukuka aykırı olduğu da söylenemez.

Fotoğraf veya selfie ile puantaj biyometrik midir?

Burada fotoğraf ile yüz tanıma sistemini birbirinden ayırmak gerekiyor.

Kurulun 2020/167 ve 2020/915 sayılı kararlarında kullanılan çerçeveye göre fotoğrafın işlenmesi tek başına doğrudan biyometrik veri işleme anlamına gelmez. Biyometrik nitelik, görüntünün bir gerçek kişiyi benzersiz şekilde tanımlamak veya doğrulamak için belirli bir teknik yöntemle işlenmesi halinde ortaya çıkar.

Kurumun Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehberi de biyometrik işlemenin değerlendirilmesinde amaç, kullanılan teknik yöntem, gereklilik ve ölçülülük gibi kriterlerin birlikte ele alınması gerektiğini ortaya koyuyor.

Dolayısıyla "her selfie biyometrik veridir" demek de, "selfie hiçbir zaman biyometrik değildir" demek de doğru bir genelleme olmaz.

Önemli olan görüntünün nasıl işlendiğidir. Yüz tanıma, biyometrik template veya embedding üretimi gibi kişinin benzersiz tanımlanmasına veya doğrulanmasına yönelik teknik işlemler varsa değerlendirme değişir.

ROTA'da selfie doğrulaması nasıl çalışıyor?

ROTA'nın mevcut aydınlatma metnindeki ürün tanımı şu şekildedir:

"standart görsel kanıt; kimlik doğrulama/biyometrik eşleştirme yapılmaz."

ROTA'nın mevcut giriş-çıkış tasarımı GPS konumu ile zorunlu selfie kaydını birlikte kullanıyor; yüz tanıma veya biyometrik eşleştirme yapılmıyor.

İç veri işleme envanterinde de giriş/çıkış özçekimleri "biyometrik amaçlı işlenmez; kimlik teyidi/mevcudiyet doğrulaması" şeklinde sınıflandırılıyor.

Bu tasarım, 2026/921'de ele alınan parmak izi veya yüz tanıma yoluyla biyometrik tanımlama modeliyle aynı değildir.

Ancak bu ayrım ROTA'nın Kurul tarafından onaylandığı veya otomatik olarak KVKK'ya uygun olduğu anlamına gelmez. Konum ve fotoğraf verisinin işlenmesi KVKK m.4 ve m.5 bakımından ayrıca değerlendirilmelidir.

Ayrıca çalışanların ROTA üzerindeki vardiya, konum, giriş-çıkış ve benzeri iş gücü verileri açısından veri sorumlusu ilgili işverendir; Luminis bu verileri işverenin talimatları doğrultusunda veri işleyen sıfatıyla işler.

ROTA'nın zaman ve devam takibi (puantaj) özelliğinin GPS ve selfie akışını nasıl çalıştırdığını, konum verisinin KVKK kapsamında nasıl işlendiğini ise ayrı olarak çalışan konum verisi ve KVKK rehberimizde inceleyebilirsiniz.

İşverenler 2026/921 sonrasında neyi kontrol etmeli?

Karar sonrasında mevcut personel takip sistemini değerlendirirken yalnızca sağlayıcının ürüne verdiği isme bakmak yeterli değil.

İşverenler için pratik kontrol listesi:

1. Mevcut yöntemi teknik olarak tespit edin. Parmak izi, yüz görüntüsü, fotoğraf, konum, kart veya başka hangi verilerin toplandığını ve sistemin bu veriler üzerinde hangi işlemleri yaptığını belirleyin.
2. İşleme amacını ayırın. Mesai takibi amacıyla kullanılan veriler ile güvenlik veya başka bir amaçla işlenen verileri birbirine karıştırmayın. 2026/921 özellikle mesai takibi amacını ele alıyor.
3. Yalnız açık rızaya güvenmeyin. Biyometrik veri kullanımında açık rızanın bulunması, ölçülülük değerlendirmesinin yerine geçmiyor.
4. Daha az müdahaleci alternatifleri değerlendirin ve belgeleyin. Aynı mesai takip amacına daha az kişisel veri işleyerek ulaşılabilecek yöntemlerin bulunup bulunmadığını inceleyin.
5. Belgeleri gerçek sistemle uyumlu tutun. Aydınlatma metni, kişisel veri işleme envanteri, erişim ve saklama kayıtları fiilen kullanılan teknolojiyle çelişmemeli. Doğru bir puantaj kaydı da bu uyumun bir parçasıdır.
6. Vendor terminolojisi yerine gerçek teknik işleme bakın. Özellikle görüntü kullanılan sistemlerde yüz tanıma, template, embedding veya başka bir benzersiz tanımlama/doğrulama sürecinin bulunup bulunmadığını teknik olarak doğrulayın.

Kaynaklar

1. KVKK Kurulu — 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, kamuoyu duyurusu — 02.06.2026
2. Resmî Gazete — 02.06.2026 / 33268
3. KVKK — 27.08.2026 tarihli 2026/921 görüş talepleri hakkında kamuoyu duyurusu
4. KVKK Kurulu — 01.12.2020 tarihli ve 2020/915 sayılı Karar
5. KVKK Kurulu — 27.02.2020 tarihli ve 2020/167 sayılı Karar
6. KVKK — Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber