KVKK ilke kararı Resmî Gazete'de: mesai takibinde parmak izi ve yüz tanıma dönemi sona eriyor

Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı", 2 Haziran 2026 tarihli Resmî Gazete'de yayımlandı. Karar, personel devam kontrol sistemlerinde (PDKS) parmak izi, avuç içi veya yüz tanıma kullanan çok sayıda işvereni doğrudan ilgilendiriyor.

Kararın özü

Kararla ilgili yayımlanan değerlendirmelere ve Kurum'un sonraki açıklamasına göre:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• İşverenin çalışma sürelerini kayıt altına alma yükümlülüğü bulunuyor; ancak bunun biyometrik sistemlerle yapılmasına açıkça izin veren bir kanun hükmü yok.
• Yalnızca mesai takibi amacıyla biyometrik veri işlenmesi, Kanun'un 6'ncı maddesindeki işleme şartlarını karşılamıyor ve 4'üncü maddedeki ölçülülük ilkesine aykırı düşüyor.
• Daha az müdahaleci alternatifler varken çalışanın açık rızası da bu işlemeyi hukuka uygun hâle getirmiyor.
• Biyometrik verinin matematiksel bir koda (şablona) dönüştürülerek saklanması, onu biyometrik veri olmaktan çıkarmıyor.

Kurum'un 28 Ağustos açıklaması

Farklı sektörlerden gelen görüş talepleri üzerine Kurum, 28 Ağustos 2026'da kamuoyu duyurusu yayımladı. Duyuruda, kritik tesisler ve yüksek güvenlikli alanlarda kimlik doğrulama ve kritik bölgelere giriş kontrolü için biyometrik verinin kullanılabileceği, ancak bunun gerekli alan ve kişilerle sınırlı, alternatiflerin yetersiz kaldığı ve güvenlik ihtiyacıyla orantılı durumlarla kısıtlı olması gerektiği belirtildi. Ulusal güvenlik ve kamu düzeni istisnasının da sınırsız biyometrik kullanım imkânı tanımadığı vurgulandı. Mesai takibi dışındaki biyometrik işleme faaliyetleri kararın kapsamında değil; bunların hukuka uygunluğunu veri sorumluları kendisi değerlendirecek, şikâyetler ise somut olay bazında incelenecek.

Haberlere yansıyan kaynaklarda karar için ayrı bir geçiş veya uyum süresi belirtilmiyor.

Ne yapılmalı?

• Biyometrik PDKS kullanan işverenler, sistemin yalnızca mesai takibi amacıyla kullanılıp kullanılmadığını belirlemeli ve kart, PIN veya benzeri alternatiflere geçişi planlamalıdır.
• Hâlihazırda toplanmış biyometrik şablonlar için silme ve imha süreçleri yürütülmeli, kayıt altına alınmalıdır.
• Yüksek güvenlikli alanlarda biyometrik giriş kontrolü sürdürülecekse gereklilik ve orantılılık değerlendirmesi yazılı olarak hazırlanmalıdır.