KVKK: Mesai Takibinde Parmak İzi ve Avuç İçi Taraması Biyometrik Veri Sayılıyor

Kişisel Verileri Koruma Kurumu (KVKK), çalışanların mesai takibinde kullanılan parmak izi ve avuç içi taramalarının biyometrik veri niteliğinde olduğunu açıkladı. Kurum, bu verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanmasının da biyometrik veri statüsünü ortadan kaldırmadığını bildirdi.

KVKK’nın 27 Ağustos 2026 tarihli açıklaması, mesai takibinde biyometrik veri kullanımına ilişkin 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı sonrasında farklı sektörlerden gelen görüş talepleri üzerine yayımlandı. Söz konusu ilke kararı 2 Haziran’da Resmî Gazete’de yayımlanmıştı.

Kurum, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında biyometrik verilerin özel nitelikli kişisel veri olduğunu hatırlattı. Parmak izi, damar izi ve el ayasından elde edilen, kişiyi benzersiz biçimde tanımlama veya doğrulamaya yarayan verilerin bu kapsamda değerlendirildiği belirtildi.

Çalışanın Açık Rızası Mesai Takibi için Tek Başına Yeterli Değil

KVKK, işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunduğunu ancak bu işlemin biyometrik sistemlerle yapılmasını zorunlu kılan açık bir kanuni düzenleme olmadığını belirtti.

Kurulun ilke kararında, işçi ile işveren arasındaki güç dengesizliği nedeniyle çalışanın verdiği açık rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddüt bulunduğu belirtilmişti. Ayrıca geçerli bir açık rıza bulunsa bile mesai takibi amacıyla biyometrik veri kullanılmasının ölçülülük kriterini sağlamadığı değerlendirilmişti.

Bu nedenle çalışan devam takibinin parmak izi, yüz tanıma veya benzeri biyometrik yöntemler yerine şifreli kart veya PIN tabanlı sistemler, imza ve kağıt çizelgeleri, RFID veya NFC kimlik kartları ve gerektiğinde elle giriş gibi daha az müdahaleci yöntemlerle yapılması gerektiği belirtiliyor.

Kritik Güvenlik Alanlarında Ayrı Değerlendirme Yapılabilecek

KVKK’nın yeni açıklaması, ilke kararının yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerini kapsadığını da netleştirdi. Mesai takibi dışındaki biyometrik veri kullanımlarının otomatik olarak aynı değerlendirmeye tabi tutulmayacağı belirtildi.

Özellikle yüksek güvenlik riski taşıyan tesislerde biyometrik sistemlerin yalnızca personelin çalışma saatlerini kaydetmek için değil, kimlik doğrulama, yetkilendirme ve kritik alanlara erişimi kontrol etme amacıyla kullanılabileceği ifade edildi.

Bu tür uygulamalarda da biyometrik veri kullanımının gerekli alan ve kişilerle sınırlandırılması, daha az müdahaleci alternatiflerin yetersiz kalması ve uygulamanın somut güvenlik ihtiyacıyla ölçülü olması gerekiyor.

KVKK, mesai takibi yapan veri sorumlularının 2026/921 sayılı İlke Kararı doğrultusunda hareket etmesi gerektiğini bildirdi. Mesai takibi dışındaki uygulamalarda ise hukuka uygunluğun veri işleme amacı, yapılan iş ve somut olayın özelliklerine göre değerlendirilmesi gerekecek. Kuruma ulaşan ihbar ve şikayetler de Kurul tarafından olay bazında incelenecek.