KVKK 2026/921 İlke Kararı ne diyor?
Kararın özü şu: çalışanların mesai takibi için parmak izi, yüz tanıma, iris, retina gibi biyometrik veri işlemek, çalışan açık rıza verse bile kural olarak hukuka aykırıdır. Kişisel Verileri Koruma Kurulu bu kararı 29 Nisan 2026 tarihinde, 2026/921 sayısıyla aldı. Karar 02.06.2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlandı.
İnternette iki farklı tarih görmenizin nedeni bu: 29 Nisan 2026 kararın alındığı, 02.06.2026 ise yayımlandığı tarihtir. İkisi de aynı karardır.
Kurul kararını dört temel gerekçeye dayandırıyor:
| Konu | Kurul'un değerlendirmesi |
|---|---|
| Biyometrik verinin niteliği | Biyometrik veri, 6698 sayılı Kanun'un 6. maddesine göre özel nitelikli kişisel veridir; ele geçirilirse değiştirilemez. |
| Kanuni dayanak | İşverenin çalışma sürelerini belgeleme yükümlülüğü var, ancak bunun biyometrik yöntemle yapılmasını öngören açık bir hüküm yok. |
| Açık rıza | İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle açık rıza tek başına yeterli bir hukuki zemin değildir. |
| Ölçülülük | Daha az müdahaleci yöntemler varken, açık rıza olsa bile biyometrik işleme Kanun'un 4. maddesindeki ölçülülük ilkesini karşılamaz. |
Kurul, belirtilen esaslara uyulmadığının tespiti hâlinde veri sorumluları hakkında Kanun'un 18. maddesine göre işlem yapılacağını da kararda açıkça yazıyor.
İşverenin mesai takibi yükümlülüğü ortadan kalktı mı?
Hayır, işverenin çalışma sürelerini kayda alma yükümlülüğü aynen devam ediyor; değişen yalnızca yöntem. Çalışma Süreleri Yönetmeliği'nin 9. maddesi işverenin, işçilerin çalışma sürelerini "uygun araçlarla" belgelemek zorunda olduğunu söyler.
Kurul da kararında bu yükümlülüğü kabul ediyor. Ancak İş Kanunu ve yönetmeliklerde takibin hangi araçla yapılacağı yazmadığı için, biyometrik yöntemin "kanunlarda açıkça öngörülme" şartına dayandırılamayacağını belirtiyor. Kısacası mesai takibi yapmaya devam edeceksiniz, ama parmak izi okuyucuyla değil.
Açık rıza neden yetmiyor?
Çünkü Kurul'a göre çalışan, işverenine "hayır" dediğinde olumsuz bir sonuçla karşılaşabileceğini düşünüyorsa gerçek bir seçeneğe sahip değildir. 6698 sayılı Kanun açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar; özgür irade şartı burada sorun yaratıyor.
Kararda iki ek gerekçe daha var:
- Rıza geri alınabilir. Çalışan rızasını geri çektiğinde biyometrik sistem o kişi için çalışmaz; bu da sistemin sürekliliğini zedeler. Kurul bu yüzden yalnız açık rızaya dayanmanın kural olarak yeterli bir zemin olmadığını söylüyor.
- Ölçülülük ayrı bir şarttır. Kanun'un 4. maddesi, verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Kurul, mesai takibinin sınırlı bir idari amaç olduğunu, bu amaç için biyometrik veri işlemenin geçerli bir açık rıza olsa bile ölçülü sayılamayacağını değerlendiriyor.
Yani çalışanlarınıza imzalattığınız rıza formları, mesai takibinde biyometrik okuyucu kullanmayı hukuka uygun hâle getirmiyor.
Karar hangi alternatif yöntemleri gösteriyor?
Karar, mesai takibinin biyometrik sistemler yerine şu yollarla sağlanması gerektiğini söylüyor (karar metnindeki ifadeyle): "şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş".
Kurul, bu alternatiflerin varlığının biyometrik veri işlemenin zorunlu olmadığını gösterdiğini belirtiyor. Kararda listelenmeyen yöntemler için ölçüt aynıdır: yöntem biyometrik veri işlememeli, amaca uygun ve ölçülü olmalı. Telefonla QR kod okutarak giriş-çıkış yapmak da biyometrik veri işlemeyen yöntemlerden biridir; ancak kararda ayrıca sayılmaz.
Yöntem seçerken kendi işyerinizin gerçeklerine bakın: çok şubeli bir işletmede ya da müşteri sahasında çalışan ekiplerde her noktaya kart okuyucu kurmak her zaman mümkün olmayabilir. Yöntemlerin karşılaştırması için PDKS nedir rehberimize bakabilirsiniz.
Ceza riski ne kadar?
Ceza, veri sorumlusu olan işverene kesilir ve 6698 sayılı Kanun'un 18. maddesine göre belirlenir; tutarlar her yıl yeniden değerleme oranıyla güncellenir. Karar hangi bendin uygulanacağını ayrıca belirtmiyor; konuyla en ilgili satırlar şunlar:
| İhlal (6698 m. 18) | 2026 alt sınır | 2026 üst sınır |
|---|---|---|
| Kurul kararlarını yerine getirmeme | 427.263 ₺ | 17.092.242 ₺ |
| Veri güvenliğine ilişkin yükümlülüklere aykırılık | 256.357 ₺ | 17.092.242 ₺ |
| Aydınlatma yükümlülüğüne aykırılık | 85.437 ₺ | 1.709.200 ₺ |
| VERBİS kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 ₺ | 17.092.242 ₺ |
Bu tutarlar çalışan başına değil, ihlal eden veri sorumlusu (firma) hakkında uygulanan aralıklardır. Kurul, Kanun'un 15. maddesine göre şikâyet üzerine ya da kendiliğinden inceleme yapabilir.
Biyometrik cihazı olan işveren şimdi ne yapmalı?
Biyometrik okuyucuyla mesai takibi yapıyorsanız, işleme için hukuki dayanak kalmadığını kabul ederek düzenli bir geçiş planı yapmanız gerekir. Aşağıdaki adımlar genel bir çerçevedir; işyerinize özel durum için bir hukukçuya danışın.
- Envanter çıkarın. Hangi şubede, hangi cihazda, kaç çalışanın parmak izi veya yüz verisinin bulunduğunu listeleyin.
- Biyometrik okumayla mesai takibini durdurun. Karar, bu amaçla biyometrik işlemenin Kanun'un 6. maddesindeki şartlardan hiçbirine dayanmadığını söylüyor.
- Kayıtlı biyometrik verileri silin veya yok edin. 6698 sayılı Kanun'un 7. maddesi, işlenmesini gerektiren sebepler ortadan kalkan verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini ister. İlgili yönetmelik bu işlemlerin kayıt altına alınmasını ve kayıtların en az üç yıl saklanmasını şart koşar; silme işlemini bir tutanakla belgeleyin. Cihaz üreticisinden, verinin cihazda ve varsa yazılımda nerede tutulduğunu öğrenin.
- Aydınlatma metninizi güncelleyin. Çalışanlara yönelik aydınlatma metninde artık biyometrik veri işlemesi yer almamalı (Kanun m. 10). VERBİS'e kayıt yükümlülüğünüz varsa kaydınızdaki veri kategorilerini de güncelleyin.
- Biyometrik olmayan bir yönteme geçin. Kararda sayılan yöntemlerden ya da biyometrik veri işlemeyen başka bir yöntemden işletmenize uygun olanı seçin.
- Çalışanlarınıza duyurun. Yeni giriş-çıkış yönteminin ne zaman başladığını ve nasıl kullanılacağını yazılı olarak bildirin.
Her biyometrik kullanım yasak mı?
Hayır, İlke Kararı yalnızca mesai (çalışan devam) takibi amacıyla yapılan biyometrik veri işlemeyi kapsar. Kişisel Verileri Koruma Kurumu, 27 Ağustos 2026 tarihli kamuoyu duyurusunda bunu açıkça yazdı: mesai takibi dışındaki biyometrik işlemeler bu kararın kapsamında değerlendirilmeyecek; hukuka uygunlukları veri sorumlusu tarafından somut olayın özelliklerine göre değerlendirilecek.
Aynı duyuruya göre kritik tesisler ve yüksek güvenlik gerektiren alanlar genel değerlendirmeden ayrılıyor. Bu alanlarda biyometrik sistemler kimlik doğrulama, yetkilendirme ve kritik bölgelere erişimin kontrolü için kullanılabilir; ancak kullanım gerekli kritik alanlar ve kişilerle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve işleme somut güvenlik ihtiyacıyla ölçülü olmalı. Bu istisna, aynı cihazı mesai takibi için kullanmaya izin vermez.
En sık yapılan hatalar nelerdir?
En yaygın hata, imzalı bir rıza formunun parmak izi okuyucuyu hukuka uygun hâle getirdiğini düşünmektir. Kararla birlikte sık duyulan yanlışlar şunlar:
- "Çalışana rıza formu imzalattık, sorun yok." Kurul, mesai takibinde açık rızanın tek başına yeterli olmadığını ve rıza olsa bile ölçülülük şartının sağlanmadığını söylüyor.
- "Cihaz görüntü değil şablon saklıyor, bu biyometrik veri sayılmaz." Kurum'un 27 Ağustos 2026 duyurusuna göre verinin matematiksel bir koda çevrilerek veri tabanında saklanması biyometrik veri niteliğini ortadan kaldırmaz.
- "Küçük işletmeyiz, kimse denetlemez." Kurul, karara gerekçe olarak bu konunun Kurum'a gelen ihbar ve şikâyetlerde en çok karşılaşılan konulardan biri olduğunu yazıyor. İnceleme bir çalışanın şikâyetiyle başlayabilir.
- "Geçiş süresi var." Karar metninde bir geçiş süresi yer almıyor.
Mesai kayıtlarının doğru tutulması fazla mesai ödemelerinde de önem taşır; ayrıntılar için fazla mesai kuralları rehberimize bakabilirsiniz.