Mesai Takibinde Biyometrik Veri: 2026/921 İlke Kararı ve PDKS KVKK Uyumu

Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı"nı aldı; karar 2 Haziran 2026 tarihli Resmî Gazete'de yayımlandı. 27 Ağustos 2026'da ise Kurum, veri sorumlularından gelen görüş talepleri üzerine açıklayıcı bir kamuoyu duyurusu yayımladı.

Bu iki metin birlikte okunduğunda, Türkiye'de parmak izi veya avuç içi ile mesai takibi yapan her işletmenin gözden geçirmesi gereken bir tablo çıkıyor. Bu rehber, kararın ne söylediğini, hangi istisnaların bulunduğunu ve PDKS KVKK uyumu için pratikte hangi yolların açık kaldığını anlatıyor.

Bu içerik bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kendi yapılandırmanız için mutlaka bir hukukçuya danışın.

Karar Ne Diyor?

Kurul'un değerlendirmesi üç adımda ilerliyor.

Birincisi, biyometrik veri özel nitelikli kişisel veridir. 6698 sayılı Kanun'un 6'ncı maddesi özel nitelikli verileri sınırlı sayıda sayar ve biyometrik veriler bu listede yer alır. Kurul, bu kategorilerin kıyas yoluyla genişletilemeyeceğini de ayrıca vurguluyor.

İkincisi, "biz sadece matematiksel kod saklıyoruz" savunması kabul edilmiyor. Kuruma iletilen görüş taleplerinde avuç içi taraması veya parmak izinden üretilen verilerin biyometrik sayılmaması gerektiği ileri sürülmüş. Kurul bunu reddediyor ve Avrupa Birliği Genel Veri Koruma Tüzüğü'nün 51 numaralı gerekçesine atıf yapıyor: bir kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen veri biyometrik veridir. Verinin matematiksel bir koda çevrilerek veri tabanında saklanması bu niteliği ortadan kaldırmaz.

Üçüncüsü, açık rıza da yeterli değil. Karara göre yalnızca mesai takibi amacıyla yapılan biyometrik veri işleme, Kanun'un 6'ncı maddesindeki işleme şartlarından hiçbirine dayanmıyor. Dahası, geçerli bir açık rıza bulunsa dahi bu işleme faaliyeti Kanun'un 4'üncü maddesindeki ölçülülük kriterini sağlamıyor.

Kurul'un dayanağı basit: işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü var, ancak bu yükümlülüğün biyometrik sistemlerle yerine getirilmesini öngören açık bir kanuni düzenleme yok. Amaç yasal, seçilen araç orantısız.

Biyometrik Veri Tam Olarak Neyi Kapsıyor?

Ulusal mevzuatta biyometrik verinin kapsamlı bir tanımı yok. Kurul, 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3'üncü maddesindeki tanıma atıf yapıyor: elektronik sistemler aracılığıyla kimlik tespiti ve doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler.

Buna GDPR gerekçesinden gelen "benzersiz tanımlamaya elverişli hale getirilmiş veri" ölçütü eklendiğinde, uygulamada şu tablo ortaya çıkıyor:

Yöntem	Biyometrik veri mi?	Mesai takibi için durum
Parmak izi okuyucu	Evet	İlke kararı kapsamında, sorunlu
Avuç içi / damar izi	Evet	İlke kararı kapsamında, sorunlu
Yüz tanıma	Kişiyi benzersiz tanımlamaya elverişliyse evet	İlke kararı kapsamında, sorunlu
Kart / etiket okutma	Hayır	Kapsam dışı
Telefonla dijital kimlik	Hayır	Kapsam dışı
Karekod okutma	Hayır	Kapsam dışı
T.C. kimlik kartı ile geçiş	Kart okunuyorsa hayır	Kapsam dışı

Ayrım şurada: sistem kimin geldiğini kişinin bedeninden mi okuyor, yoksa kişinin taşıdığı bir kimlikten mi? İkincisinde özel nitelikli veri işlenmiyor.

İstisna Var, Ama Dar

Karar mutlak bir yasak getirmiyor. Kurul, bazı tesis ve faaliyet alanlarının taşıdığı güvenlik riski nedeniyle genel değerlendirmeden ayrıldığını kabul ediyor. Bu alanlarda biyometrik sistemler yalnızca mesai takibine hizmet eden bir araç olmaktan çıkıp; kimlik doğrulama, yetkilendirme ve kritik alanlara erişim kontrolü gibi çok katmanlı güvenlik süreçlerinin parçası haline geliyor.

Ancak istisnadan yararlanmak için üç koşulun birlikte sağlanması gerekiyor:

• İşleme yalnızca gerçekten kritik alanlar ve kişilerle sınırlı olmalı

• Alternatif yöntemler yetersiz kalmalı

• İşleme, somut güvenlik ihtiyacıyla ölçülü olmalı

Kanun'un 28'inci maddesinin birinci fıkrasının (ç) bendi de millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni ve ekonomik güvenlik için ayrı bir alan açıyor. Kurul burada da uyarıyor: bu istisna biyometrik veri kullanımını sınırsız hale getirmiyor, her somut olayda ayrı değerlendirme gerekiyor.

Belirleyici soru şu: biyometrik veri işleme "mesai takibi" amacını aşıp güvenliğin sağlanmasına mı hizmet ediyor? Cevap hayırsa istisna işlemiyor.

Kurul ayrıca mesai takibi dışında kalan biyometrik işleme faaliyetlerinin bu ilke kararı kapsamında değerlendirilmeyeceğini, hukuka uygunluğun veri sorumlusu tarafından somut olaya göre değerlendirilmesi gerektiğini belirtiyor.

Şu Anda Parmak İzi Kullanıyorsanız

Sistemi bir gecede söküp atmak gerekmiyor, ama bir plan gerekiyor. PDKS KVKK uyumu için izlenecek sıra şöyle işler:

Envanter çıkarın. Hangi lokasyonda hangi yöntem kullanılıyor, veri nerede saklanıyor, kaç kişinin verisi var, kaç yıldır tutuluyor?

Amacı ayrıştırın. Bu okuyucu sadece giriş-çıkış saati mi kaydediyor, yoksa kritik bir alana erişimi mi yetkilendiriyor? İkisi aynı cihazda yapılıyorsa amaçlar birbirinden ayrılmalı.

Alternatifi test edin. Mesai takibi tarafı için biyometrik olmayan bir yönteme geçiş mümkün mü? Kurul'un "alternatif yöntemlerin yetersiz kalması" ölçütü, alternatifin denenmiş olmasını gerektiriyor.

Veriyi imha planına bağlayın. Geçiş tamamlandığında eski biyometrik kayıtların saklanmaya devam etmesi için bir sebep kalmaz. İmha, kişisel veri saklama ve imha politikanızda tanımlı yöntemle yapılmalı ve kayıt altına alınmalı.

Belgeleri güncelleyin. Aydınlatma metni, açık rıza formları (artık gerekmiyorsa kaldırılmalı), VERBİS kaydı, veri işleyen sözleşmeleri ve saklama-imha politikası yeni duruma göre yeniden yazılmalı.

PDKS KVKK Uyumu İçin Açık Kalan Yollar

Mesai takibinin kendisi meşru bir amaç; sorun yöntemde. Biyometrik veri işlemeden çalışan devam takibi yapmanın bugün kullanılan başlıca yolları şunlar:

Telefonla dijital kimlik. Çalışanın telefonu, sunucuda tanımlı bir dijital kimliği taşır. Turnike veya kapıya yaklaşıldığında geçiş bu kimlik üzerinden doğrulanır. Bedenden hiçbir veri okunmaz.

Karekod okutma. Sabit bir noktadaki veya ekrandaki karekodun okutulmasıyla kayıt oluşur. Kopyalanmaya karşı süreli kod kullanımı yaygın bir önlemdir.

T.C. kimlik kartı veya pasaport. Kişinin zaten taşıdığı resmî kimlik belgesinin okutulması. Belgedeki çipten kimlik doğrulanır, parmak izi alınmaz.

Kart veya etiket. Klasik yöntem. Kayıp kart ve ödünç verme sorunlarını beraberinde getirir, ancak biyometrik veri işlemez.

Armongate'in PDKS ve geçiş kontrol çözümleri akıllı telefon, T.C. kimlik kartı ve pasaportla temassız geçiş üzerine kuruludur; mesai takibi için biyometrik veri işlemeyi gerektirmez. Sistemin nasıl çalıştığını PDKS çözümümüzsayfasında inceleyebilirsiniz.

Sık Sorulan Sorular

Parmak izi ile mesai takibi tamamen yasaklandı mı? Karar, yalnızca mesai takibi amacıyla yapılan biyometrik veri işlemenin Kanun'un 6'ncı maddesindeki şartlara dayanmadığını ve açık rıza olsa bile ölçülülük kriterini sağlamadığını değerlendiriyor. Yüksek güvenlik riski taşıyan kritik alanlar için dar bir istisna alanı bırakıyor.

Çalışanlarımdan açık rıza alsam yeterli olur mu? Kurul'un duyurusuna göre geçerli bir açık rıza bulunsa dahi bu işleme faaliyeti Kanun'un 4'üncü maddesindeki ölçülülük kriterini sağlamıyor.

Yüz tanıma da bu kapsamda mı? Yüz tanıma, kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilmiş veri ürettiği ölçüde biyometrik veri sayılır. Mesai takibi amacıyla kullanımı aynı değerlendirmeye tabidir.

Verileri şifreli saklıyoruz, yine de biyometrik veri mi sayılır? Kurul, verinin matematiksel bir koda çevrilerek veri tabanında saklanmasının biyometrik veri niteliğini ortadan kaldırmadığını açıkça belirtiyor.

Fabrikamızın kritik üretim alanı için kullanabilir miyiz? İstisna kapıyı tamamen kapatmıyor, ancak üç koşul birlikte aranıyor: yalnızca kritik alan ve kişilerle sınırlı olma, alternatiflerin yetersiz kalması ve somut güvenlik ihtiyacıyla ölçülülük. Amacın mesai takibini aşması gerekiyor.

Mevcut biyometrik kayıtları ne yapmalıyız? Geçiş tamamlandıktan sonra bu verilerin işlenme amacı ortadan kalkar. Saklama ve imha politikanızda tanımlı yöntemle imha edilmesi ve işlemin kayıt altına alınması beklenir.

PDKS KVKK uyumu için tek yapmamız gereken biyometrik yöntemden çıkmak mı? Hayır. Yöntem değişikliği en görünür adımdır, ancak aydınlatma metni, saklama süresi, erişim yetkileri ve veri işleyen sözleşmeleri de aynı anda gözden geçirilmelidir.

Karar hangi tarihten beri yürürlükte? İlke kararı 29.04.2026 tarihli olup 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır. Kurum, 27 Ağustos 2026'da açıklayıcı bir kamuoyu duyurusu daha yayımlamıştır.

Biyometrik olmayan yönteme geçmek ne kadar sürer? Kurulum modeline göre değişir. Bulut tabanlı ve mobil kimlik kullanan sistemlerde donanım değişikliği sınırlı olduğundan geçiş genellikle daha kısa sürer; kesin süre için mevcut kapı ve turnike altyapınızın incelenmesi gerekir.

Mesai takibi dışında biyometrik veri işleyebilir miyiz? Kurul, mesai takibi dışında kalan faaliyetlerin bu ilke kararı kapsamında değerlendirilmeyeceğini, hukuka uygunluğun veri sorumlusu tarafından somut olayın özelliklerine göre değerlendirilmesi gerektiğini belirtiyor.

Biyometrik veri işlemeden mesai takibi güvenli olur mu? Kimlik doğrulama gücü yöntemin biyometrik olup olmamasıyla değil, tasarımıyla ilgilidir. Cihaz eşleştirme, süreli kod, konum sınırı ve çift doğrulama gibi önlemler kart tabanlı sistemlerdeki ödünç verme sorununu büyük ölçüde kapatır.

Kaynaklar: KVKK — 2026/921 sayılı İlke Kararı'na ilişkin kamuoyu duyurusu · 6698 sayılı Kişisel Verilerin Korunması Kanunu m.4, m.6, m.28 · 5490 sayılı Nüfus Hizmetleri Kanunu m.3

PDKS KVKK uyumu bir kerelik bir proje değil, sistemin kurulumuyla birlikte yürüyen bir düzendir; yöntem değişikliği yalnızca ilk adımdır.

Biyometrik veri işlemeden çalışan devam takibi kurmak için Armongate PDKS çözümünü inceleyin.