Biyometrik Sistem Yerine Hangi Mesai Takip Yöntemi Kullanılmalı?

Question

Accepted Answer

Biyometrik Sistem Yerine Hangi Mesai Takip Yöntemi Kullanılmalı?

İlgili çalışma alanı → Kişisel Verilerin Korunması: Çalışan verileri, veri sorumlusu yükümlülükleri ve Kurul kararları için çalışma alanı.

Kısa cevap: Kişisel Verileri Koruma Kurulu'nun (KVKK Kurulu) 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, mesai takibinde kullanılabilecek alternatifleri saymıştır: şifreli kart sistemleri, PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID veya NFC kimlik kartları, denetçi gözetiminde elle giriş. Bu yöntemler özel nitelikli veri işlemediği için 6698 sayılı Kanun bakımından çok daha düşük risk taşır.

1. Kurulun Saydığı Alternatifler

02.06.2026 tarihli Resmî Gazete'de yayımlanan İlke Kararı, mesai takibi amacıyla parmak izi, yüz tanıma, iris veya retina verisi işlenmesini açık rıza bulunsa dahi hukuka aykırı saymış; yerine kullanılacak yöntemleri yukarıdaki gibi somutlaştırmıştır. Kurul daha önce iş yerinde yüz tanıma sistemini denetlediği kararında da manyetik kart, RFID etiketi ve cep telefonuna gönderilecek doğrulama kodunu uygulanabilir alternatif olarak göstermişti.

Bu yöntemlerde işlenen veri sicil numarası, ad soyad ve giriş çıkış saatidir. Bunlar genel nitelikli kişisel veridir; 6698 sayılı Kanun m. 5 kapsamında iş sözleşmesinin ifası ve işverenin hukuki yükümlülüğü şartlarına dayandırılabilir. Açık rıza aranmaz.

2. Kart Paylaşımı Sorunu Nasıl Çözülür

İşverenin en sık dile getirdiği itiraz, kartın başkasına okutulabilmesidir. Kurul bu itirazı hukuki bir gerekçe saymaz.

Önemli: Kurula göre kötüye kullanım riski, çalışanların bu konuda uyarılması, tespit halinde uygulanacak yaptırımların önceden belirlenmesi ve çalışanlara duyurulmasıyla, yani disiplin hukuku araçlarıyla karşılanmalıdır. Bir yöntemin kötüye kullanılabilir olması, onun yerine özel nitelikli veri işlemeyi meşru kılmaz.

Uygulamada kart paylaşımına karşı ek teknik önlemler de mümkündür: turnike ile kapı sensörünün eşleştirilmesi, aynı kartın arka arkaya okutulmasının engellenmesi, konum doğrulamalı mobil uygulama. Bunların hiçbiri biyometrik veri işlemez.

3. Ölçülülük Değerlendirmesi Yazılı Olmalı

İşveren, sistem seçimini belgelemekle yükümlüdür. İspat yükü veri sorumlusundadır; sözlü savunma sonuç doğurmaz. Değerlendirme metninde takip sisteminin amacı, seçilen yöntem ve işlenen veri kategorileri gösterilmelidir.

Mesai takibi bakımından ölçülülük değerlendirmesinin sonucu artık İlke Kararı ile peşinen belirlenmiştir; işverenin biyometrik yöntemi gerekçelendiren bir değerlendirme hazırlaması sonuç doğurmaz. Halihazırda biyometrik sistem kullanılıyorsa durdurulmalı, toplanan biyometrik veriler ve doğrulama verileri 6698 sayılı Kanun m. 7 ile ilgili yönetmelik uyarınca imha edilmeli, imha işlemi log kaydı gibi belgelerle kanıtlanmalıdır. Çerçevenin bütünü için iş yerinde biyometrik veri ile mesai takibi makalesine bakılabilir.

4. Seçilen Yöntemde de Uyum Gerekir

Kart veya mobil doğrulamaya geçmek yükümlülükleri tümüyle ortadan kaldırmaz. Aydınlatma metni güncellenmeli; hangi kişisel verinin hangi amaç ve hangi hukuki sebeple işlendiği açıkça gösterilmelidir. Kurul, aydınlatma metninde bu eşleştirmenin yapılmamasını ayrı bir eksiklik saymaktadır.

Giriş çıkış kayıtları için saklama süresi belirlenmeli, süre sonunda imha edilmelidir. Kayıtlara erişim yetkisi sınırlandırılmalı ve erişim logları tutulmalıdır. Konum verisi toplayan mobil çözümlerde mesai dışı konum takibi yapılmadığı teknik olarak güvence altına alınmalıdır. Metnin kurgusu için KVKK aydınlatma metni rehberi izlenebilir.

5. Riski Gösteren Yaptırım

Kurul, işe giriş çıkışta yüz tanıma sistemi kullanan bir veri sorumlusuna 6698 sayılı Kanun m. 18 uyarınca 500.000 TL idari para cezası uygulamış; ayrıca biyometrik veri işlemenin ivedilikle durdurulmasını, giriş çıkışın alternatif yollarla sağlanmasını ve toplanan tüm verilerin imhasını talimatlandırmıştır.

Yaptırım yalnızca para cezasından ibaret değildir: sistemin durdurulması, yatırımın karşılıksız kalması anlamına gelir. Bu nedenle ölçülülük değerlendirmesi satın alma öncesinde yapılmalıdır. Kararın çözümlemesi için iş yerinde yüz tanıma sistemi: KVKK Kurul kararı analizine bakılabilir¹.

İlgili içerikler için bkz. İş Yerinde Biyometrik Veri ile Mesai Takibi, İş Yerinde Parmak İzi ile Mesai Takibi Yasal Mı?, Çalışan Kişisel Verileri Nasıl İşlenir? ve Kişisel Verilerin Korunması.

Kişisel Verileri Koruma Kurulu, "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı", 29.04.2026 tarihli ve 2026/921 sayılı Karar, RG 02.06.2026. Ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 4, m. 5, m. 6, m. 7, m. 10 ve m. 18, RG 07.04.2016/29677. Önceki Kurul uygulaması için bkz. Kişisel Verileri Koruma Kurulu, 04.08.2022, 2022/797. ↩