Kişisel Verileri Koruma Kurumu, çalışanların mesai takibinde biyometrik veri kullanımına ilişkin yeni bir açıklama yayımladı. Kurum, parmak izi ve avuç içi taramasıyla elde edilen verilerin matematiksel koda dönüştürülmesinin biyometrik veri niteliğini ortadan kaldırmadığını açıkladı. Mesai takibi amacıyla biyometrik veri kullanımında haziran ayında belirlenen kurallar geçerliliğini koruyor.
Kişisel Verileri Koruma Kurumu, çalışanların mesai takibinde parmak izi, avuç içi ve benzeri biyometrik verilerin kullanılmasına ilişkin uygulamada ortaya çıkan sorulara açıklık getirdi.
Kurumun 27 Ağustos 2026 tarihli açıklaması, Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” sonrasında farklı sektörlerdeki veri sorumlularından gelen görüş talepleri üzerine yayımlandı. İlke kararı, 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanmıştı.
Koda Dönüştürülen Parmak İzi de Biyometrik Veri
KVKK’ya iletilen görüşlerde, avuç içi taraması veya parmak izi alınması sonucunda elde edilen verilerin doğrudan görüntü olarak saklanmayıp matematiksel bir koda dönüştürülmesi halinde biyometrik veri olarak değerlendirilmemesi gerektiği yönünde görüşler sunuldu.
Kurum bu yaklaşımı kabul etmedi.
KVKK, kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli hale getirilen verilerin biyometrik veri niteliği taşıdığını belirtti. Bu nedenle parmak izi veya avuç içinden elde edilen verinin matematiksel bir koda çevrilerek veri tabanında saklanması, verinin biyometrik niteliğini değiştirmiyor.
6698 sayılı Kanun kapsamında biyometrik veriler özel nitelikli kişisel veri kategorisinde bulunuyor.
Kurum ayrıca 5490 sayılı Nüfus Hizmetleri Kanunu’ndaki tanıma işaret ederek parmak izi, damar izi ve el ayasından kimlik tespiti veya doğrulaması amacıyla elde edilen kişiye özgü verilerin biyometrik veri kapsamına girdiğini hatırlattı.
Açık Rıza Mesai Takibi İçin Yeterli Olmuyor
KVKK’nın haziran ayında yayımlanan ilke kararındaki temel yaklaşım da yeni açıklamayla korundu.
İşverenlerin çalışanların çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunuyor. Ancak mevzuatta bu takibin biyometrik sistemler kullanılarak yapılmasını öngören açık bir düzenleme yer almıyor.
Kurul, yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin 6698 sayılı Kanun’un 6’ncı maddesinde öngörülen veri işleme şartlarından birine dayanmadığını değerlendiriyor.
Çalışanın geçerli bir açık rıza vermesi de tek başına yeterli kabul edilmiyor.
Bunun temelinde işçi ile işveren arasındaki güç dengesi ve ölçülülük ilkesi bulunuyor. Aynı amaca kart, PIN veya benzeri daha az müdahaleci yöntemlerle ulaşılabildiği durumda biyometrik veri işlenmesi ölçülü kabul edilmiyor.
KVKK Mesai Takibi İçin Alternatif Sistemleri İşaret Ediyor
Kurul, çalışanların devam ve mesai kontrolünde biyometrik tanımlama sistemleri yerine daha az müdahaleci yöntemlerin kullanılmasını istiyor.
Haziran ayında yayımlanan ilke kararında alternatifler arasında şifreli kart veya PIN sistemleri, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ve denetçi gözetiminde elle giriş yöntemleri sıralanmıştı.
Veri sorumlularının bu ilkelere uygun hareket etmemesi halinde 6698 sayılı Kanun’un 18’inci maddesi kapsamında işlem yapılabileceği de Kurul kararında belirtiliyor.
Kritik Güvenlik Alanları İçin Ayrı Değerlendirme Yapılabilecek
27 Ağustos tarihli yeni açıklamanın haziran kararına eklediği en önemli ayrıntılardan biri, yüksek güvenlik riski bulunan tesisler ve faaliyet alanlarına ilişkin değerlendirme oldu.
KVKK, bazı alanlarda biyometrik tanımlama sistemlerinin çalışma saatlerini takip etmenin ötesinde kimlik doğrulama, yetkilendirme ve kritik bölgelere erişimin kontrolü amacıyla kullanılabileceğini belirtiyor.
Bu durumda veri işleme faaliyetinin temel amacı personelin giriş-çıkış saatini kaydetmek yerine tesis veya kritik altyapının güvenliğini sağlamak olarak değerlendirilebiliyor.
Ancak burada da biyometrik veri kullanımına sınırsız bir alan açılmıyor.
Kurum, biyometrik veri işlemenin yalnızca gerekli kritik alanlar ve kişilerle sınırlandırılması, alternatif yöntemlerin yetersiz kalması ve uygulamanın somut güvenlik ihtiyacıyla ölçülü olması gerektiğini vurguluyor.
Kamu Güvenliği İstisnası da Sınırsız Kullanılamayacak
KVKK açıklamasında 6698 sayılı Kanun’un 28’inci maddesine de yer verdi.
Millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik belirli veri işleme faaliyetleri Kanunun bazı hükümlerinden istisna tutulabiliyor.
Kurum, bu düzenlemenin özellikle büyük ölçekli kamu güvenliği kurumları açısından bir esneklik sağladığını ancak biyometrik veri kullanımına sınırsız yetki vermediğini belirtiyor.
Her olayda güvenlik riskinin ağırlığı, alternatif yöntemlerin yeterliliği ve biyometrik verinin hangi amaçla işlendiği ayrıca değerlendirilecek.
Mesai Takibi ile Güvenlik Amaçlı Kullanım Birbirinden Ayrılıyor
Yeni açıklamayla birlikte KVKK’nın çizdiği ayrım daha belirgin hale geldi.
Çalışanın işyerine ne zaman geldiğini ve ne zaman ayrıldığını belirlemek amacıyla parmak izi veya avuç içi gibi biyometrik verilerin kullanılması, 2026/921 sayılı İlke Kararı kapsamındaki mesai takibi olarak değerlendiriliyor.
Buna karşılık yüksek güvenlik gerektiren bir tesiste belirli bir kritik alana yalnızca yetkili personelin girişini sağlamak amacıyla biyometrik doğrulama kullanılması, farklı bir veri işleme amacı olarak ele alınabilecek.
Bu tür uygulamalarda hukuka uygunluk, işin niteliği, güvenlik ihtiyacı, erişilen alan, biyometrik verisi işlenen kişiler ve daha az müdahaleci alternatiflerin yeterliliği üzerinden ayrı ayrı değerlendirilecek.
Hazirandaki İlke Kararının Ardından Yeni Açıklama Geldi
FintekWins’te 2 Haziran 2026’da yayımlanan 2026/921 sayılı İlke Kararını daha önce ayrıntılı biçimde ele almıştık.
O kararda KVKK, mesai takibi amacıyla biyometrik veri kullanımında açık rızanın yeterli hukuki dayanak oluşturmadığını ve alternatif yöntemler varken biyometrik sistemlerin ölçülülük kriterini karşılamadığını açıklamıştı.
27 Ağustos tarihli açıklama bu yaklaşımı değiştirmiyor. Yeni duyuru özellikle veri sorumlularının ilke kararından sonra yönelttiği iki soruya yanıt veriyor: Biyometrik verinin koda çevrilmesi hukuki niteliğini değiştiriyor mu ve yüksek güvenlik gerektiren alanlarda biyometrik sistemler kullanılabilir mi?
İlk soruya yanıt açık. Matematiksel koda dönüştürme biyometrik veri niteliğini ortadan kaldırmıyor. İkinci başlıkta ise kullanım amacı ve ölçülülük esas alınarak somut olay bazında değerlendirme yapılacak.
Veri Sorumluları İçin Teknik Tasarım da Önem Kazanıyor
KVKK’nın son açıklaması, personel takip ve erişim kontrol sistemleri geliştiren teknoloji şirketlerini de doğrudan ilgilendiriyor.
Bir biyometrik verinin görüntü biçiminde saklanmaması veya algoritma tarafından şablona dönüştürülmesi, bu veriyi KVKK kapsamından çıkarmıyor. Dolayısıyla ürünün teknik mimarisi kadar hangi verinin hangi amaçla işlendiği ve aynı sonuca daha az müdahaleci yöntemlerle ulaşılıp ulaşılamadığı önem taşıyor.
Özellikle personel devam kontrolü, fiziksel erişim yönetimi, kimlik doğrulama ve yüksek güvenlikli tesis çözümlerinin birbirinden ayrılması gerekiyor. Kurumun yeni açıklaması, biyometrik teknoloji kullanımında “veriyi nasıl sakladığınız” kadar “neden işlediğiniz” sorusunu da merkezde tutuyor.
