Bu kontrol listesi neyi değerlendirir?
Kişisel Verileri Koruma Kurulu, 2026/921 sayılı İlke Kararı’yla mesai takibi amacıyla biyometrik veri işlenmesini kural olarak hukuka aykırı saydı. Karar 2 Haziran 2026’da Resmî Gazete’de yayımlandı. Parmak izi ya da yüz tanımalı PDKS kullanan işyerleri için bu, hem yöntemin değiştirilmesi hem de toplanmış verilerin akıbeti anlamına gelir. Yukarıdaki sorular; biyometrik yöntem kullanımı, alternatif sunulup sunulmadığı, aydınlatma, VERBİS ve imha yükümlülükleri üzerinden genel bir risk görünümü verir.
İlgili idari para cezaları (2026)
| İhlal (KVKK md. 18) | Alt sınır | Üst sınır |
|---|---|---|
| Kurul kararlarını yerine getirmeme | 427.263 TL | 17.092.242 TL |
| Veri güvenliği yükümlülükleri | 256.357 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim | 341.809 TL | 17.092.242 TL |
| Aydınlatma yükümlülüğü | 85.437 TL | 1.709.200 TL |
Tutarlar 2026 yeniden değerleme oranıyla güncellenmiştir ve veri sorumlusu (firma) başına uygulanır. Kurul, ihlalin niteliğine göre bu aralıkta karar verir; kontrol listesi kesin bir ceza tutarı söylemez.
Biyometrik veri neden ayrı korunur?
KVKK, biyometrik verileri özel nitelikli kişisel veriler arasında sayar. Parmak izi ya da yüz geometrisi gibi veriler değiştirilemez; bir kez sızdıklarında şifre gibi yenilenemezler. Bu nedenle özel nitelikli verilerin işlenmesi sıkı şartlara bağlıdır ve işlenmeleri gereken amaçla ölçülü olmak zorundadır. İlke Kararı, mesai takibi gibi daha az müdahaleci yöntemlerle karşılanabilecek bir amaç için biyometrik veri işlenmesini bu ölçülülük ilkesi açısından değerlendirir.
Karar kimleri ilgilendirir?
Çalışanlarının giriş-çıkışını veya mesaisini parmak izi, yüz tanıma, avuç içi ya da iris okuyan cihazlarla takip eden tüm işverenleri ilgilendirir. İşyerinin büyüklüğü ya da sektörü fark etmez; cezalar veri sorumlusu olan işverene uygulanır. Cihazı bir tedarikçiden kiralamak ya da verilerin cihazda tutulması, işverenin veri sorumlusu olarak yükümlülüğünü ortadan kaldırmaz.
Biyometrik olmayan yöntemlere geçiş
- Yöntemi değiştirin: PIN/kod, kart (RFID/NFC), QR kod, dijital ya da kâğıt çizelge gibi biyometrik veri gerektirmeyen yöntemler kullanın.
- Eski verileri imha edin: Cihazda ve sunucuda tutulan parmak izi/yüz şablonlarını imha politikanıza uygun şekilde silin, işlemi kayıt altına alın.
- Belgeleri güncelleyin: Aydınlatma metnini, kişisel veri envanterini ve gerekiyorsa VERBİS kaydını yeni yönteme göre düzenleyin.
- Çalışanları bilgilendirin: Yeni giriş-çıkış yöntemini ve verilerin nasıl işlendiğini açıkça anlatın.
Kontrol listesinin sınırları
Bu araç bir ön değerlendirmedir; hukuki görüş yerine geçmez. İşyerinize özgü durumlar (örneğin yüksek güvenlikli alanlara giriş gibi mesai takibi dışındaki amaçlar) ayrıca değerlendirilmelidir. Kesin değerlendirme için bir hukukçuya ya da veri koruma danışmanına başvurun.
Mesai takibinin kendisini planlamak için çalışma saati hesaplama ve puantaj şablonu araçlarını kullanabilirsiniz.