Mesai Takibinde Parmak İzi ve Yüz Tanıma Yasal Mı?

Mesai Takibinde Parmak İzi ve Yüz Tanıma Yasal Mı? KVKK’nın 2026/921 Sayılı İlke Kararı İncelemesi

İşyerlerinde mesai takibi, personel devam kontrolü ve güvenliğin sağlanması amacıyla biyometrik veri (parmak izi, yüz tanıma, retina tarama vb.) işleyen sistemlerin kullanımı son yıllarda oldukça yaygınlaşmıştır. Ancak Kişisel Verileri Koruma Kurulu (Kurul), 29.04.2026 tarih ve 2026/921 sayılı yeni İlke Kararı ile bu uygulamaların hukuki sınırlarını net bir şekilde çizmiş ve işverenler açısından ciddi idari para cezası risklerini gündeme taşımıştır.

Bu makalede, Kurul’un güncel ilke kararı ışığında mesai takibinde biyometrik veri işlenmesinin İş Hukuku ve Kişisel Verilerin Korunması Hukuku (KVKK) bakımından yasal durumunu analiz edeceğiz.

1. Biyometrik Veri Nedir ve Neden Özel Niteliklidir?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesi uyarınca, biyometrik veriler "özel nitelikli kişisel veri" sınıfına girmektedir. Parmak izi, yüz geometrisi, retina ve iris gibi veriler, kişiyi diğer bireylerden kesin olarak ayıran, taklit edilemez ve ele geçirilmesi halinde telafisi imkansız zararlar doğurabilecek verilerdir.

Bu sebeple, KVKK mevzuatında özel nitelikli kişisel verilerin işlenmesi, sıradan verilere kıyasla çok daha sıkı şartlara bağlanmış ve kanuni bir zorunluluk olmadıkça işlenmesi yasaklanmıştır.

2. İşverenin Yönetim Hakkı ve Çalışma Sürelerini Takip Yükümlülüğü

4857 sayılı İş Kanunu uyarınca işverenlerin, işçilerin mesai saatlerini, fazla çalışmalarını ve dinlenme sürelerini kayıt altına alma ve gerektiğinde ispatlama yükümlülüğü bulunmaktadır. Ancak bu yasal yükümlülük, işverenlere mesai takibini mutlaka işçinin vücut bütünlüğüne müdahale teşkil eden biyometrik verilerle yapma hakkı vermemektedir.

Başka bir ifadeyle; çalışma sürelerinin denetlenmesi yasal bir zorunluluk iken, bu denetimin biyometrik sistemlerle gerçekleştirilmesi yasal bir zorunluluk değildir.

3. İşçi ve İşveren İlişkisinde "Açık Rıza" Neden Geçersizdir?

Uygulamada birçok işveren, mesai takibinde parmak izi veya yüz tanıma sistemi kullanırken çalışanlardan "Açık Rıza Beyanı" alarak hukuki riskleri bertaraf ettiğini düşünmektedir. Ancak KVKK'nın temel kurallarından biri rızanın "özgür iradeye" dayanmasıdır.

Kişisel Verileri Koruma Kurulu, 2026/921 sayılı İlke Kararı'nda işçi ve işveren arasındaki ekonomik ve idari güç dengesizliğine dikkat çekmiştir. İşçinin; işe alınmama, iş akdinin feshedilmesi veya mobbinge maruz kalma endişesiyle rıza göstermek zorunda hissettiği durumlarda alınan açık rıza, hukuk önünde "özgür iradeyle verilmiş geçerli bir rıza" olarak kabul edilmemektedir.

4. Ölçülülük ve Veri Minimizasyonu İlkesi

KVKK m. 4 kapsamında, işlenen tüm kişisel verilerin yasal ilkelere uygun olması zorunludur. Bunların başında "ölçülülük" ilkesi gelir. Ölçülülük ilkesi uyarınca; bir amaca ulaşmak için kişilerin haklarına en az müdahale eden yöntemin seçilmesi gerekir.

Mesai takibi amacıyla kullanılabilecek alternatif yöntemler şunlardır:

• Şifreli veya PIN kodlu geçiş sistemleri,

• RFID veya NFC tabanlı personel kartları,

• Klasik imza föyleri ve dijital uygulamalar.

Çalışanların mesai saatlerini denetlemek için bu az müdahaleci yöntemler mevcutken, doğrudan biyometrik veri işlenmesi ölçülülük ilkesine aykırıdır. Kurul da bu gerekçeyle, işçinin rızası olsa dahi biyometrik veri kullanımının ölçülülük kriterini taşımadığına karar vermiştir.

5. İşverenler Hukuki Riskleri Önlemek İçin Ne Yapmalı?

Kurul’un bu bağlayıcı ilke kararı doğrultusunda işverenlerin acilen şu adımları atması gerekmektedir:

1. Sistemlerin Gözden Geçirilmesi: İşyerindeki parmak izi, yüz tanıma veya retina tarama gibi geçiş sistemlerinin tespiti.

2. Alternatif Yöntemlere Geçiş: Biyometrik sistemlerin kaldırılarak yerine şifreli kart veya PIN tabanlı sistemlerin entegre edilmesi.

3. Veri İmhası: Mevcut biyometrik veri tabanlarının KVKK Veri İmha Politikası'na uygun olarak tamamen silinmesi ve imha tutanağı düzenlenmesi.

Sonuç ve Hukuki Değerlendirme

Kişisel Verileri Koruma Kurulu’nun 2026/921 sayılı İlke Kararı, iş yerlerindeki mesai kontrol sistemlerinde yeni bir dönemi başlatmıştır. İşverenlerin yönetim hakkı, çalışanların kişisel verilerinin korunması hakkından üstün değildir. Hukuki yaptırımlar ve yüksek idari para cezalarıyla karşılaşmamak adına işverenlerin veri işleme süreçlerini acilen mevzuata uyumlu hale getirmesi elzemdir.

Bursa’da faaliyet gösteren Avukatlık & Arabuluculuk büromuzda, iş hukuku uyuşmazlıkları ve şirketlerin KVKK uyum süreçleri (kişisel verilerin korunması uyum projeleri) kapsamında güncel mevzuat ve kurul kararlarını yakından takip ederek hukuki danışmanlık hizmeti sunmaktayız.

Av. Arb. Muhammet Gül