Parmak İzi ile Mesai Takibi Yasaklandı mı? KVKK Kararı

Kısa cevap: Kurul "yasak" kelimesini kullanmıyor, ama varılan yer pratikte aynı. Kişisel Verileri Koruma Kurulu, yalnızca mesai takibi için parmak izi, yüz tanıma, iris ya da retina taraması gibi biyometrik verilerin işlenmesinin Kanundaki hiçbir işleme şartına dayanmadığını söylüyor. Çalışanın geçerli açık rızası olsa bile bu işlemenin ölçülü olmadığını belirtiyor. İşveren çalışma sürelerini kaydetmeye devam etmek zorunda; bunu kart, PIN, imza çizelgesi gibi daha az müdahaleci yollarla yapması gerekiyor.

Bu yazı, Kurulun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı'nın sade bir özetidir. Hukuki tavsiye değildir. Kendi işyerinizle ilgili kararı hukukçunuzla birlikte verin. Her maddenin yanında resmî kaynağın linki var.

Kurulun kararı ne diyor?

Karar, 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı" adıyla yayımlandı. Kurum aynı gün kamuoyu duyurusu yaptı. Ana noktalar şunlar:

• Biyometrik veri özel nitelikli kişisel veridir. 6698 sayılı Kanun'un 6. maddesine göre bu verilerin işlenmesi kural olarak yasaktır. Yalnızca maddede sayılan durumlardan biri varsa işlenebilir.
• Kayıt tutma zorunluluğu biyometriği gerektirmez. Mevzuat işverene çalışma sürelerini "uygun araçlarla belgeleme" yükümlülüğü veriyor (Kurul, İş Kanunu'na İlişkin Çalışma Süreleri Yönetmeliği'nin 9. maddesini anıyor). Ama takibin biyometrik sistemle yapılmasını öngören açık bir kanun hükmü yok. Bu yüzden "kanunlarda açıkça öngörülme" şartına dayanılamıyor.
• Diğer şartlar da uymuyor. Kurula göre 6. maddedeki öteki şartların hiçbiri mesai takibine uygulanamıyor. Uygulamada geriye açık rıza kalıyor.
• Açık rıza tek başına yetmiyor. İşçi ile işveren arasındaki güç dengesizliği, rızanın özgür iradeyle verilip verilmediğini şüpheli hâle getiriyor.
• Ölçülülük ilkesi. Daha az müdahaleci yöntemler varken, geçerli bir açık rıza olsa bile mesai takibi için biyometrik veri işlemek Kanun'un 4. maddesindeki ölçülülük ilkesini karşılamıyor.
• Kurulun saydığı alternatifler: şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt devam çizelgeleri, RFID/NFC kimlik kartları, denetçi gözetiminde elle giriş.
• Yaptırım. Karara uymayan veri sorumluları hakkında Kanun'un 18. maddesi uyarınca işlem yapılacağı belirtiliyor. 18. madde idari para cezalarını düzenler. Kurul ne bir tutar ne de bir geçiş süresi belirtti.

Karar gerekçesinde iki yargı kararı da anılıyor. Anayasa Mahkemesi 10.03.2022 tarihli kararında, bir belediyede parmak izi sistemiyle mesai takibinin kanuni dayanağı olmadığı için kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermişti. Danıştay da avuç içi damar okuyucuyla mesai takibine ilişkin bir davada ölçülülük ilkesini esas almıştı.

27 Ağustos 2026 açıklamasıyla ne netleşti?

Karardan sonra farklı sektörlerden gelen sorular üzerine Kurum, 27.08.2026'da kvkk.gov.tr'de ikinci bir duyuru yayımladı. Bu duyuruda dört nokta öne çıkıyor:

• Şablona çevirmek durumu değiştirmiyor. Parmak izi ya da avuç içi taramasından elde edilen verinin matematiksel bir koda çevrilip saklanması, onun biyometrik veri olmasını ortadan kaldırmıyor.
• Karar yalnız mesai takibi amacını kapsıyor. Mesai takibi dışındaki biyometrik işlemeler bu kararın kapsamında değerlendirilmiyor. Bunların hukuka uygunluğunu veri sorumlusu kendisi değerlendirmeli. Kuruma gelen şikâyetler her olay için ayrıca incelenecek.
• Yüksek güvenlik riski taşıyan alanlar ayrı. Bazı tesislerde biyometrik sistemler kritik alanlara erişimi kontrol eden güvenlik süreçlerinin parçası olabiliyor. Bu durumda bile işleme yalnızca gerekli alanlarla ve kişilerle sınırlı olmalı, alternatif yöntemler yetersiz kalmalı ve somut güvenlik ihtiyacıyla ölçülü olmalı.
• Kamu güvenliği istisnası sınırsız değil. Kanun'un 28. maddesindeki millî savunma, kamu güvenliği gibi istisnalar her olayda ayrıca değerlendirme gerektiriyor. Belirleyici soru, biyometrik işlemenin mesai takibi amacını aşıp aşmadığı.

Hangi yöntemler kararın kapsamına giriyor?

Kurul örnekleri "gibi" diye sayıyor; yani liste kapalı değil. Belirleyici olan, yöntemin kişiyi vücuduna ait bir özellikle tanıyıp tanımadığı.

Karar kimleri kapsıyor?

Karar metni sektör ayrımı yapmıyor; mesai takibi için biyometrik sistem kullanan "veri sorumlularına" hitap ediyor. Kadıköy'de iki şubeli bir kafe, Gebze'de vardiyalı çalışan bir fabrika ya da sahada nöbet tutan bir güvenlik firması aynı soruyla karşı karşıya. Gerekçede kamu kurumlarına ilişkin yargı kararları da yer alıyor. Yüksek güvenlik riski taşıyan tesisler ve kamu güvenliği istisnası için yukarıdaki 27 Ağustos açıklamasına bakın.

Çalışan açık rıza verirse neden yetmiyor?

Kanun açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlıyor. Kurul üç gerekçe gösteriyor:

1. Gerçek seçenek yok. İşe girerken önüne parmak izi onay formu konan bir çalışan "hayır" dediğinde ne olacağını bilemez. Rıza vermemenin olumsuz sonuç doğurabileceği bir ilişkide rızanın özgür olduğu söylenemez.
2. Rıza geri alınabilir. Çalışan rızasını istediği an geri çekebilir. Bu da biyometrik sistemin sürekliliğini zaten bozar; sistem yalnızca rızaya dayandırılamaz.
3. Ölçülülük. Rıza geçerli olsa bile kart, PIN ya da imza çizelgesi gibi daha az müdahaleci yollar varken, değiştirilemeyen bir vücut verisini mesai saati için toplamak orantılı değil. Parmak iziniz çalınırsa şifre gibi yenileyemezsiniz.

İşveren olarak şimdi ne yapmalısınız?

Aşağıdaki liste bir başlangıç noktasıdır. Her adımı işyerinizin durumuna göre hukukçunuzla doğrulayın.

1. Durumu tespit edin. Mesai takibinde parmak izi, yüz ya da avuç içi okuyucu kullanıyor musunuz? Hangi cihaz, kim yönetiyor, veriler nerede duruyor (cihazda, sunucuda, tedarikçide)? Cihazın "yalnızca şablon sakladığını" söylemesi verinin biyometrik olmasını değiştirmiyor.
2. Yeni biyometrik kaydı durdurun. Yeni başlayan çalışandan mesai takibi için parmak izi ya da yüz kaydı almayın.
3. Alternatif yöntemi seçin. Aşağıdaki karşılaştırma tablosu işletmenizin yapısına uygun yöntemi seçmenize yardım eder.
4. Eski verinin silinmesini planlayın. Kanun'un 7. maddesine göre işleme sebebi ortadan kalkan kişisel veri silinir, yok edilir veya anonim hâle getirilir. Yöntemi ve zamanlamayı hukukçunuzla belirleyin; cihaz tedarikçinizden silme işleminin nasıl yapıldığını ve kaydını isteyin. Ayrıntı için Kurumun silme ve yok etme sayfası.
5. Aydınlatma metnini ve VERBİS kaydını güncelleyin. Yeni yöntem hangi veriyi işliyorsa (kart numarası, konum vb.) aydınlatma metninde yer almalı. VERBİS kayıt yükümlülüğünüz varsa kaydınızı da güncelleyin.
6. Çalışanları bilgilendirin. Neyin neden değiştiğini, yeni yöntemin nasıl çalıştığını ve hangi verinin hangi anda işlendiğini açıkça anlatın.

Biyometrik olmayan yöntemler nasıl karşılaştırılır?

Kâğıt imza föyü de Kurulun saydığı alternatiflerden biri; küçük ve tek şubeli bir işletme için yeterli olabilir. Fark, kurulum, güvenilirlik ve ay sonu emeğinde çıkıyor.

Hiçbir biyometrik olmayan yöntem, telefonunu, kartını ya da şifresini arkadaşına veren çalışanı tamamen durduramaz. Bu yüzden yöntemin yanında yöneticinin kayıtlara düzenli bakması da gerekir.

Kime hangisi uygun? Az kişili, tek şubeli bir fırın için kâğıt çizelge ya da basit bir PIN yeterli olabilir. Tek giriş kapısı olan bir fabrikada kartlı sistem iş görür. Birden fazla şubesi olan, vardiyalı çalışan ya da personeli müşteri sahasında çalışan işletmelerde telefonla giriş daha pratik: her noktaya cihaz kurmak gerekmez ve kayıtlar tek yerde toplanır.

Mobil ve QR kodlu PDKS'de KVKK açısından nelere dikkat edilmeli?

Telefonla giriş biyometrik değildir, bu yüzden 2026/921 sayılı kararın konusu değildir. Ama konum da kişisel veridir ve Kanun'un genel kuralları geçerlidir:

• Aydınlatma: Çalışanlarınıza konumun hangi anda alındığını, kimin gördüğünü ve ne kadar saklandığını aydınlatma metninizle bildirin. Bu yükümlülük veri sorumlusu olarak işverendedir.
• Amaçla sınırlı işleme: Konumun yalnızca giriş ve çıkış anında alınması, gün boyu takip yapılmaması verinin en aza indirilmesi açısından tercih edilen bir tasarımdır. Bu bir hukuki değerlendirme değildir; kendi kullanımınızı hukukçunuzla değerlendirin.
• Saklama süresi ve erişim: Kayıtları kimlerin görebileceğini ve ne kadar süre tutulacağını baştan belirleyin.

UR Work'te giriş çıkış nasıl çalışıyor?

UR Work PDKS bu ihtiyaca göre kurgulandı. Somut olarak:

• Biyometrik veri işlenmez. Uygulama parmak izi ya da yüz verisi toplamaz. Ek cihaz da gerekmez: çalışan kendi telefonundaki UR Work uygulamasını kullanır.
• Konum yalnızca işlem anında okunur. Çalışan giriş, çıkış ya da mola düğmesine bastığında konum bir kez alınır. Kayda giriş ve çıkış konumu ile lokasyona olan mesafe yazılır. Uygulama arka planda konum izlemez.
• Mesafe sınırını siz belirlersiniz. Her lokasyonu haritada işaretlersiniz. İzin verilen mesafeyi (metre) ve mesafe kontrolünü (kapalı, uyar ya da engelle) şube ayarlarında seçersiniz.
• İsterseniz QR poster eklersiniz. QR girişi açık bir lokasyonda çalışan, işyerindeki posterdeki karekodu okutmadan giriş ya da çıkış yapamaz. Poster kodunu yenilediğinizde eski posterler geçersiz olur.

QR kod tek başına bir güvence değildir: posterin fotoğrafı çekilip paylaşılabilir. Bu yüzden UR Work'te QR, konum kontrolüyle birlikte çalışır ve yönetici her kaydın giriş konumunu ve mesafesini görebilir.

Unutulan giriş için çalışan uygulamadan eksik giriş/çıkış talebi açar, yönetici onaylar. Vardiyası başlayıp giriş yapmayan çalışana 5., 15., 30., 60. ve 120. dakikada hatırlatma gider. Telefonu olmayan bir çalışan için yönetici, kaydı çalışan adına panelden girebilir.

Lokasyonu ekleyip QR posteri yazdırmak birkaç dakika sürer. Adımları kısa videomuzda görebilirsiniz:

Oynattığınızda video YouTube’dan yüklenir.

Video açılmazsa: Lokasyon ekleme ve QR posteri (YouTube).

UR Work'ün kendi kişisel veri işleme esaslarını KVKK sayfamızda bulabilirsiniz.

Parmak izinden telefonla girişe bir haftada nasıl geçilir?

Yeni bir giriş yöntemi, ekip her gün kullandığında işe yarar. Bu plan, ilk haftada herkesin alışmasını hedefler.

1. Gün 0: lokasyon ve poster. Şubenizi haritada işaretleyin, izin verilen mesafeyi girin. İlk hafta mesafe kontrolünü "uyar" modunda bırakın: menzil dışındaki giriş kaydedilir ama işaretlenir. QR posteri yazdırıp asın. Eski parmak izi cihazını mesai için kullanmayı bırakacağınız günü baştan belirleyin.
2. Gün 0: duyuru ve aydınlatma. Çalışanlara yeni yöntemi ve konumun ne zaman alındığını anlatan kısa bir mesaj gönderin. Aydınlatma metniniz hazır olsun.
3. Gün 0-1: çalışanları ekleyin. Tek tek ya da Excel ile ekleyin. Her çalışana giriş bilgileri e-postayla gider.
4. Gün 1: ilk giriş birlikte. Vardiya başında 15 dakikalık bir toplantıda herkes uygulamayı kurar ve ilk girişini yöneticinin yanında yapar. Sorunlar orada çözülür.
5. Gün 1-7: her gün 5 dakika kontrol. PDKS Kayıtları'na bakın: vardiyası olan herkes giriş yaptı mı? Giriş yapmayanla aynı gün konuşun, eksik giriş taleplerini 24 saat içinde onaylayın.
6. Gün 7: değerlendirme. Herkes düzenli giriş yapıyorsa mesafe kontrolünü "engelle"ye alın ve QR girişini açın.
7. Ay sonu: puantaj. Kayıtlar Puantaj Raporu'nda çalışılan saat, mesai ve devamsızlık olarak toplanır; raporu Excel'e aktarıp muhasebeye verirsiniz.

UR Work'ü 7 gün ücretsiz deneyebilirsiniz; kredi kartı gerekmez. Beş kişiye kadar ekipler için ücretsiz kullanım da var; ayrıntılar fiyatlandırma sayfasında. Ücretsiz hesap açın, ilk lokasyonunuzu ekleyin ve ekibinizle bir hafta deneyin. PDKS'nin genel işleyişini PDKS yazımızda anlatıyoruz.

Sık sorulan sorular

Parmak izi ile mesai takibi yasaklandı mı?

Kurul "yasak" kelimesini kullanmadı, ama 2026/921 sayılı İlke Kararı'yla yalnızca mesai takibi için parmak izi işlemenin Kanun'daki hiçbir işleme şartına dayanmadığını ve açık rıza olsa bile ölçülü olmadığını açıkladı. Pratikte işverenin mesai takibini kart, PIN, imza çizelgesi gibi biyometrik olmayan bir yöntemle yapması bekleniyor.

Yüz tanıma ile mesai takibi yasal mı?

Yüz tanıma, Kurulun kararda saydığı örnekler arasında. Parmak iziyle aynı değerlendirme geçerli: yalnızca mesai takibi amacıyla yüz verisi işlemek Kurula göre işleme şartlarına dayanmıyor ve ölçülülük ilkesini karşılamıyor. İris ve retina taraması için de durum aynı.

Çalışan açık rıza verirse parmak izi kullanılabilir mi?

Kurula göre hayır. İş ilişkisindeki güç dengesizliği nedeniyle rızanın özgür iradeyle verildiği şüpheli; rıza geri alınabildiği için de sistem yalnız rızaya dayandırılamaz. Kurul ayrıca, geçerli bir açık rıza bulunsa bile daha az müdahaleci yöntemler varken bu işlemenin ölçülülük ilkesini karşılamayacağını söylüyor.

Karar kamu kurumlarını da kapsıyor mu?

Karar metni kamu ve özel sektör ayrımı yapmıyor; gerekçesinde bir belediyede parmak iziyle mesai takibine ilişkin Anayasa Mahkemesi kararına da dayanıyor. Kurumun 27.08.2026 duyurusu, Kanun'un 28. maddesindeki kamu güvenliği gibi istisnaların sınırsız olmadığını ve her olayda ayrıca değerlendirileceğini belirtiyor. Kendi kurumunuzun durumunu hukukçunuzla değerlendirin.

Uymayan işverene ceza var mı?

Karar, uymayan veri sorumluları hakkında Kanun'un 18. maddesi uyarınca işlem yapılacağını söylüyor. 18. madde idari para cezalarını düzenler. Kurul bu karar için bir tutar ya da geçiş süresi açıklamadı; somut bir şikâyette ne olacağı her olayın kendi koşullarına bağlı.

Parmak izi cihazı kapı geçişi gibi başka bir amaçla kullanılabilir mi?

Kurumun 27.08.2026 duyurusuna göre mesai takibi dışındaki biyometrik işlemeler bu kararın kapsamında değil. Bunların hukuka uygunluğunu veri sorumlusu, amaca ve işin niteliğine göre kendisi değerlendirmeli; şikâyetler tek tek incelenecek. Aynı cihazı hem kapı hem mesai için kullanıyorsanız hukukçunuza danışın.

Cihaz parmak izini şifreli bir kod olarak saklıyorsa durum değişir mi?

Hayır. Kurumun 27.08.2026 duyurusu, parmak izi veya avuç içi verisinin matematiksel bir koda çevrilip saklanmasının biyometrik veri niteliğini ortadan kaldırmadığını açıkça söylüyor.

Mobil PDKS veya QR kod ile mesai takibi yasal mı?

Telefonla konum ya da QR kod üzerinden giriş biyometrik değildir; bu yüzden 2026/921 sayılı kararın konusu değildir. Kurul bu yöntemleri alternatif listesinde ayrıca anmıyor. Konum kişisel veri olduğu için çalışanların aydınlatılması ve konumun amaçla sınırlı işlenmesi gerekir; kendi kullanımınızı hukukçunuzla değerlendirin.

Kaynaklar

• Resmî Gazete, 2 Haziran 2026, sayı 33268: Kişisel Verileri Koruma Kurulunun 29/04/2026 tarihli ve 2026/921 sayılı kararı
• KVKK kamuoyu duyurusu, 2 Haziran 2026
• KVKK kamuoyu duyurusu (görüş talepleri), 27 Ağustos 2026
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
• KVKK İlke Kararları listesi

Bu yazı bilgilendirme amaçlıdır ve hukuki görüş ya da tavsiye niteliği taşımaz. Kendi işyerinize ilişkin kararlar için bir hukukçuya danışın. Son güncelleme: 5 Kasım 2026.