Yüz Tanıma ve Parmak İzi ile Mesai Takibi Yasaklandı: KVKK 2026/921 Kararı

Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararıyla iş yerlerinde mesai takibi amacıyla parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik verilerin işlenmesini hukuka aykırı kabul etti. Kararın en çarpıcı yanı şu: çalışanın AÇIK RIZASI olsa bile bu yöntemler kullanılamıyor. Karar 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi.

Karar tam olarak ne diyor?

Kurulun gerekçesi iki ayağa dayanıyor. Birincisi kanunilik: iş mevzuatı işverene çalışma sürelerini takip etme ve belgeleme yükümlülüğü verir, ama bu takibin biyometrik sistemlerle yapılmasını öngören açık bir kanuni düzenleme yoktur. İkincisi ölçülülük: mesai takibi gibi bir amaç için, geri dönülmez nitelikte ve kişiye sıkı sıkıya bağlı biyometrik veri işlemek, daha az müdahaleci yöntemler dururken orantısızdır. Çalışanın rızasının işe alım ilişkisindeki güç dengesizliği nedeniyle 'özgür irade' sayılamayacağı da yıllardır bilinen içtihattı; ilke kararı bunu genel kural hâline getirdi.

Elinde yüz tanıma / parmak izi cihazı olan işletme ne yapmalı?

• Biyometrik doğrulamayı kullanmayı bırakın: karar ilke kararıdır, tüm veri sorumluları için bağlayıcı yorum niteliği taşır.
• Toplanmış biyometrik verinin imhasını planlayın: KVKK'daki silme/yok etme/anonimleştirme yükümlülükleri işlemeye devam eder ve imhanın kayıt altına alınması gerekir.
• Aydınlatma metinlerinizi ve envanterinizi güncelleyin: biyometrik veri kategorisi işleme envanterinizden çıkmalı.
• Bu adımların hukuki ayrıntısı için avukatınıza ya da KVKK danışmanınıza başvurun — bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir.

Yasal alternatifler neler?

Kurul, mesai takibinin kart veya PIN tabanlı sistemler, mobil uygulamalar ve RFID/NFC gibi daha az müdahaleci yöntemlerle yapılabileceğine işaret ediyor. QR kod + GPS doğrulaması da bu sınıftadır: kimlik biyometrik bir özellikten değil, çalışanın kendi hesabındaki oturumdan gelir; vücuda ait hiçbir veri işlenmez.

EasyWayQR bu ilkeyle tasarlandı: biyometrik veri hiç toplanmaz, konum yalnızca okutma anında şubeye uzaklığı doğrulamak için işlenir, sürekli takip yapılmaz ve saklama süresi dolan kayıtların konum ve cihaz bilgileri anonimleştirilir. Parmak izi cihazınızı kaldırırken yerine koyacağınız sistemin de aynı özeni göstermesini isteyin — hangi ürünü seçerseniz seçin.

Kararın kaynağı: KVKK'nın 2026/921 sayılı ilke kararına ilişkin kamuoyu duyurusu (kvkk.gov.tr)