Kişisel Verileri Koruma Kurulu'nun 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı, 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır. Karar, çalışanların mesai ve devam takibinde kullanılan parmak izi, yüz tanıma ve benzeri biyometrik sistemlere ilişkin ilkeleri belirlemektedir. Kararın özü: biyometrik veri işleme ancak ölçülülük ilkesine uygun, alternatif yöntemlerin yetersiz kaldığı durumlarda ve sıkı güvenlik koşullarıyla hukuka uygundur.
İlke Kararı Ne Anlama Gelir ve Neden Önemlidir?
İlke kararları, Kurul'un tekil şikâyetleri aşan, genel uygulamayı yönlendiren ve tüm veri sorumluları için bağlayıcı nitelik taşıyan kararlarıdır. Resmî Gazete'de yayımlanmaları bu bağlayıcılığın göstergesidir. 2026/921 sayılı karar, Türkiye'de yüzbinlerce işyerinde kullanılan biyometrik PDKS (personel devam kontrol sistemi) uygulamalarını doğrudan etkilemektedir.
Kararın zamanlaması tesadüf değildir: parmak izi ve yüz tanıma tabanlı mesai sistemleri son yıllarda hızla yaygınlaşmış, buna paralel olarak Kurul'a yapılan çalışan şikâyetleri de artmıştır. Karar, bu alandaki parçalı içtihadı tek bir ilke çerçevesinde toplamaktadır.
Kararın Temel İlkeleri: İşverenler İçin Ne Değişti?
Karar metninden çıkan temel ilkeler şu şekilde özetlenebilir:
- Biyometrik veri, KVKK Md. 6 kapsamında özel nitelikli kişisel veridir ve işlenmesi en sıkı koruma rejimine tabidir
- Mesai takibi amacı, tek başına biyometrik veri işlemeyi meşrulaştırmaz — ölçülülük testi uygulanır
- Kart, şifre, mobil uygulama gibi daha az müdahaleci alternatiflerle aynı amaca ulaşılabiliyorsa, biyometrik sistem ölçüsüz kabul edilir
- İşveren, biyometrik sistemi neden zorunlu gördüğünü somut olarak gerekçelendirmek ve belgelendirmek zorundadır
- Çalışandan alınan açık rıza, iş ilişkisindeki bağımlılık nedeniyle 'özgür irade' şüphesi taşır — tek başına güvenli dayanak değildir
- Biyometrik şablonların şifreli saklanması, ham görüntünün tutulmaması ve erişim kayıtlarının loglanması teknik zorunluluktur
Ölçülülük Testi: Sisteminiz Geçer mi?
Kararın merkezindeki ölçülülük değerlendirmesini kendi işyerinize şu sorularla uygulayabilirsiniz:
| SORU | GEÇER CEVAP | RİSKLİ CEVAP |
|---|---|---|
| Mesai takibi için kart/mobil sistem denendiniz mi? | Denendi, somut suistimal belgelendi | Hayır, doğrudan biyometrik kuruldu |
| Biyometrik zorunluluğu belgeli mi? | Yazılı gerekçe ve risk analizi mevcut | Sözlü/tesadüfi karar |
| Alternatif sunuluyor mu? | İsteyene kartlı geçiş seçeneği var | Tüm çalışanlara zorunlu |
| Ham biyometrik görüntü saklanıyor mu? | Yalnızca şifreli matematiksel şablon | Ham parmak izi/yüz görüntüsü tutuluyor |
| Veri işleme envanterinde ve VERBİS'te beyan var mı? | Evet, güncel | Beyan edilmemiş |
DijiLegal Yorumu: Kararın Pratik Sonuçları
Kanaatimizce bu karar, biyometrik PDKS kullanan işyerlerinin önemli bir bölümünü uyumsuz konuma düşürmektedir. Uygulamada sistemlerin çoğu 'kolaylık' saikiyle kurulmuş olup, ölçülülük gerekçelendirmesi ve alternatif sunumu içermemektedir.
İşverenlere önerimiz üç aşamalıdır: Birincisi, mevcut biyometrik sisteminizi yukarıdaki test üzerinden derhal değerlendirin. İkincisi, ölçülülük gerekçesi zayıfsa kartlı veya mobil tabanlı alternatife geçişi planlayın; biyometrik sistemi ancak belgelenmiş suistimal riski olan sınırlı alanlarda (örneğin yüksek güvenlikli bölümler) tutun. Üçüncüsü, sistemde kalmaya karar verirseniz teknik mimariyi (şablon şifreleme, ham veri imhası, erişim logları) ve dokümantasyonu (gerekçe raporu, aydınlatma metni, VERBİS beyanı) kararın standartlarına yükseltin.
Kararın bir diğer önemli mesajı sektöre yöneliktir: PDKS yazılımı ve donanımı satan firmaların 'KVKK uyumlu' pazarlama iddiaları, ancak bu ilke kararının teknik gereklerini karşılıyorsa geçerlidir. Sistem satın alırken tedarikçinizden bu uyumun yazılı taahhüdünü isteyin.
Sıkça Sorulan Sorular
Parmak izi ile mesai takibi tamamen yasak mı?
Hayır, tamamen yasak değildir; ancak 2026/921 sayılı İlke Kararı uyarınca ölçülülük testinden geçmesi gerekir. Daha az müdahaleci yöntemlerle aynı amaca ulaşılabiliyorsa biyometrik sistem hukuka aykırı kabul edilir.
Çalışanlardan açık rıza alırsak sorun çözülür mü?
Tek başına hayır. Kurul, iş ilişkisindeki bağımlılık nedeniyle çalışan rızasının özgür iradeye dayanmayabileceğini kabul etmektedir. Rıza, ölçülülük gerekçesinin yerine geçmez.
Yüz tanıma ile parmak izi arasında hukuki fark var mı?
İkisi de biyometrik ve özel nitelikli veridir; aynı sıkı rejime tabidir. Yüz tanıma, uzaktan ve fark edilmeden işlenebilme potansiyeli nedeniyle bazı senaryolarda daha yüksek riskli değerlendirilebilir.
Mevcut biyometrik sistemimizi ne yapmalıyız?
Ölçülülük testini uygulayın: gerekçeniz belgeliyse teknik mimariyi karar standartlarına yükseltin; değilse kartlı veya mobil alternatife geçiş planlayın. Her iki durumda da VERBİS beyanınızı ve aydınlatma metinlerinizi güncelleyin.
İlke kararına aykırılığın yaptırımı nedir?
Özel nitelikli verinin hukuka aykırı işlenmesi, 2026 itibarıyla 256.357 TL ile 17.092.242 TL arasında idari para cezasına ve TCK kapsamında cezai sorumluluğa yol açabilir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 2026/921 sayılı İlke Kararı, 2 Haziran 2026 tarihli Resmî Gazete (resmigazete.gov.tr), 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).