2025'te paylaştığımız "PDKS'de parmak izi ve yüz tanımaya KVKK'dan kırmızı kart" içeriğimizde, mesai takibi için biyometrik veri toplamanın ölçüsüz bulunduğunu ve çalışanın rızasının tek başına yeterli olmadığını anlatmıştık. O zaman bireysel mahkeme ve Kurul kararlarına dayanıyorduk. Şimdi Kişisel Verileri Koruma Kurulu aynı ilkeyi, tüm şirketleri doğrudan bağlayan resmi bir ilke kararına dönüştürdü.

Kısacası değişen hukuk değil; kuralın bağlayıcılığı, kapsamı ve görünürlüğü oldu.

Aslında bu yeni bir konu değil

Bu konunun hukuki zemini bir süredir vardı. Biyometrik veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli (hassas) kişisel veri sayılıyor; Anayasa Mahkemesi parmak iziyle mesai takibini temel hak ihlali olarak değerlendirmiş, KVK Kurulu da yüz tanıma gibi sistemleri kullanan şirketlere yaptırım uygulamıştı.

Yani "kart veya şifre gibi alternatifler varken biyometrik veri toplamak orantısızdır" ilkesi yeni keşfedilmiş bir şey değil.

Değişen şey, bu ilkenin artık dağınık kararlar yerine tek ve genel bir metinde toplanmış olması.

Peki ne değişti?

Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, 2 Haziran 2026 tarihli Resmi Gazete'de yayımlandı. Önceki kararlar somut olaylara özeldi; "şu şirket şu olayda yanlış yaptı" niteliğindeydi. İlke kararı ise farklı:

• Genelleşti. Kural artık herkese uygulanıyor; "o başka bir şirketin davasıydı" savunması geçerli değil.
• Resmileşti ve görünür oldu. Resmi Gazete'de yayımlandığı için "haberim yoktu" demek artık çok daha zor.
• Çerçeve netleşti. Açık rıza bulunsa bile mesai takibi için biyometrik veri işlenmesinin Kanun'un 4. maddesindeki ölçülülük, gereklilik ve amaçla sınırlılık ilkelerini karşılamadığı; kabul edilen alternatiflerin neler olduğu ve uyulmaması halinde uygulanacak yaptırım tek metinde açıkça ortaya kondu.

Mesai takibini nasıl yapabilirsiniz?

Kurul, biyometrik sistemler yerine çalışanların temel haklarını daha az zedeleyen alternatifleri işaret etti:

• QR kod ile giriş-çıkış
• Şifreli kart veya PIN tabanlı sistemler
• RFID/NFC kimlik kartları
• Geleneksel imza ve kağıt bazlı devam çizelgeleri
• Denetçi gözetiminde elle giriş kaydı

Halihazırda biyometrik bir mesai takip sistemi kullanıyorsanız yapılacaklar net. Sistemi durdurun, daha az müdahaleci bir yönteme geçin ve bugüne kadar topladığınız biyometrik verilerin durumunu gözden geçirin.

Bir de sık düşülen bir yanılgıya değinelim. "Ama çalışandan rıza aldık" demek tek başına yeterli değil. Bir çalışan işini kaybetme kaygısıyla imza atıyorsa, o rıza özgür iradeyle verilmiş sayılmaz. Çalışana "parmak izi vermiyorum" deme imkanı ve bunun yerine herhangi bir dezavantaj yaşamadan kullanabileceği bir alternatif sunmuyorsanız, alınan rızanın hukuki geçerliliği olmuyor.

Uymazsanız ne oluyor?

Karar yalnızca özel sektörü değil, kamu kurumlarını da bağlıyor. Belirtilen ilkelere uymayan, çalışanlarının biyometrik verilerini toplamayı veya sistemlerinde tutmayı sürdüren veri sorumluları hakkında 6698 sayılı Kanun'un 18. maddesi kapsamında idari yaptırım uygulanabilecek. Bu yüzden mevcut uygulamaların vakit kaybetmeden gözden geçirilmesinde fayda var.

Kolay İK bu konuda nerede duruyor?

Mesai ve devam takibini, çalışanların hassas verilerini toplamaya gerek kalmadan, gizlilik dostu yöntemlerle sunmayı baştan beri önemsedik. Çalışanların biyometrik verisini riske atmadan da doğru, güvenilir ve denetlenebilir bir mesai takibi mümkün; üstelik artık bu, mevzuatın da net beklentisi haline geldi.

Mesai takip yönteminizi gözden geçirmek için doğru zaman. Bu karar bir kısıtlama gibi görünse de aslında daha sağlıklı bir uygulamaya geçişin davetiyesi.

PDKS uygulamasını mevcut paketinizle birlikte tamamen ücretsiz kullanabilirsiniz.

Kaynak

Kişisel Verileri Koruma Kurumu kamuoyu duyurusu: https://www.kvkk.gov.tr/Icerik/8762/mesai-takibi-amaciyla-biyometrik-veri-islenmesi-hakkinda-kisisel-verileri-koruma-kurulunun-29-04-2026-tarihli-ve-2026-921-sayili-ilke-kararina-iliskin-kamuoyu-duyurusu