Giriş

Türkiye’de fabrikalardan hastanelere, belediyelerden plazalara kadar binlerce iş yerinde her sabah aynı sahne tekrarlanır: çalışanlar parmaklarını bir okuyucuya bastırır veya yüzlerini bir kameraya gösterir, turnike açılır ve mesai kaydı düşülür. Bu sistemleri kullanan kurumların büyük kısmı, topladıkları biyometrik kişisel veri niteliğindeki bilgilerin hukuki statüsünü ve teknik risklerini hiç sorgulamamıştır. “Biyometrik yöntem en güvenlisidir” varsayımı, sektörde uzun süre sorgusuz kabul görmüştür. Oysa hem Türk yargısının yıllar içinde biriktirdiği içtihat, hem de biyometrik sistemlerin mühendislik gerçekleri bu varsayımın tam tersini söylemektedir. 2026 yılının Haziran ayında yayımlanan ilke kararı, bu tartışmayı büyük ölçüde kapatmıştır.

2026/921 Sayılı İlke Kararının Analizi

Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı, 02 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Karar, mesai takibinde biyometrik kişisel veri işleyen hem kamu hem özel sektördeki tüm veri sorumlularını bağlamaktadır.

Kararın özü tek cümleye indirgenebilir: çalışanların işe giriş çıkış saatlerinin takibi meşru bir amaçtır; ancak bu takibin parmak izi, yüz tanıma, iris, retina veya avuç içi damar izi gibi biyometrik yöntemlerle yapılması kural olarak hukuka aykırıdır. Üstelik bu sonuç, çalışanın açık rızası alınmış olsa bile değişmez. Kurul bu sonuca üç halkalı bir gerekçe zinciriyle ulaşmaktadır.

Kanuni Dayanak Yokluğu

4857 sayılı İş Kanunu’nun 63, 67 ve 75’inci maddeleri ile İş Kanunu’na İlişkin Çalışma Süreleri Yönetmeliği’nin 9’uncu maddesi, işverene çalışma sürelerini takip etme ve belgeleme yükümlülüğü getirir. Ancak mevzuatın hiçbir hükmü bu takibin biyometrik kişisel veri işlenerek yapılmasını öngörmez. Dolayısıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6’ncı maddesinin üçüncü fıkrasında aranan “kanunlarda açıkça öngörülme” şartı karşılanmamaktadır.

Açık Rızanın Geçersizliği

Biyometrik kişisel veri, 6698 sayılı Kanun’un 6’ncı maddesi uyarınca özel nitelikli kişisel veridir ve işlenmesi kural olarak yasaktır; istisnalar sınırlı sayıda sayılmıştır ve kıyas yoluyla genişletilemez. İstihdam ilişkisine uygulanabilecek istisna bentlerinin hiçbiri mesai takibini kapsamadığından, geriye tek olası dayanak olarak açık rıza kalmaktadır. Kurul tam bu noktada net bir tespit yapmaktadır: Kanun’un 3’üncü maddesine göre açık rıza “belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan” rızadır. İşçi ile işveren arasındaki yapısal güç dengesizliği nedeniyle çalışanın rıza vermeme veya rızasını geri çekme özgürlüğü fiilen bulunmaz; rıza göstermemenin olumsuz sonuç doğurabileceği endişesi tek başına rızayı sakatlar. Kurul ayrıca ince bir noktaya işaret etmektedir: rızanın her an geri alınabilir olması, biyometrik sistemin sürekliliğini zaten imkânsız kılar. Bu nedenle açık rıza, mesai takibi için biyometrik kişisel veri işlemeye geçerli bir hukuki zemin oluşturmaz.

Ölçülülük İlkesi

Kararın omurgası, 6698 sayılı Kanun’un 4’üncü maddesindeki “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesidir. Kurul bu ilkeyi üç ayrı teste ayırmaktadır: yöntemin amaca uygunluğu, daha az müdahaleci alternatiflerin tüketilip tüketilmediği ve müdahalenin boyutu. Mesai takibi, sınırlı bir idari amaçtır. Piyasada şifreli kart, PIN, RFID/NFC kart ve imza çizelgesi gibi çok daha az müdahaleci yöntemler mevcutken, kişinin en hassas ve geri döndürülemez verisini işlemek ölçülülük ilkesini ihlal eder. Sonuç olarak, geçerli bir açık rıza bulunsa dahi bu işleme faaliyeti hukuka aykırıdır.

Yaptırım Boyutu

İlke kararına aykırılık, 6698 sayılı Kanun’un 12’nci maddesindeki veri güvenliği yükümlülüğünün ihlali sayılır ve 18’inci madde uyarınca idari para cezasına konu olur. 2026 yılı için yeniden değerleme oranıyla güncellenen tutarlara göre bu ihlalin cezası 256.357 TL alt sınırdan başlayıp 17.092.242 TL üst sınıra kadar çıkabilmektedir. Kurul, kararında 15’inci maddenin altıncı fıkrasına dayanarak ihlalin “yaygın” olduğunu tespit etmiş ve bu nedenle münferit karar yerine bağlayıcı ilke kararı yolunu seçmiştir.

İdari cezadan daha kritik bir risk, hukuka aykırı yöntemle toplanan mesai kayıtlarının, fazla mesai veya işe devamsızlık uyuşmazlıklarında delil olarak kullanılamaması ihtimalidir. Bir işveren için yıllarca biriktirilen giriş çıkış kayıtlarının mahkemede geçersiz sayılması, para cezasından çok daha ağır sonuçlar doğurabilir.

Türk Yargısının İçtihat Birikimi

2026/921 sayılı karar bir sürpriz değildir; Danıştay, KVKK Kurulu ve Anayasa Mahkemesinin on yılı aşkın süredir aynı yönde verdiği kararların idari düzlemde tescilidir.

Danıştay Kararları

İlk önemli halka, Danıştay 5. Dairesinin 10.12.2013 tarihli, 2013/5342 E. ve 2013/9525 K. sayılı kararıdır. Konya’daki bir hastanede parmak izi ile mesai takibine karşı açılan davada Danıştay, uygulamanın özel hayatın gizliliği kapsamında olduğunu, yasal dayanağının bulunmadığını ve ölçülülük ilkesine aykırı düştüğünü belirterek yerel mahkeme kararını bozmuştur. Dikkat çekici olan, bu kararın 6698 sayılı Kanun henüz yürürlüğe girmeden verilmiş olmasıdır. Daha yakın tarihte Danıştay 12. Dairesi, 2021/3870 E. ve 2023/2548 K. sayılı kararıyla bir kamu teşekkülünün avuç içi damar okuyucu ile mesai takibini iptal etmiş; bu karar Danıştay İdari Dava Daireleri Kurulunun 2024/225 E. ve 2024/2625 K. sayılı kararıyla onanmıştır. 2026/921 sayılı ilke kararı da gerekçesinde doğrudan bu içtihada atıf yapmaktadır.

KVKK Kurulu Kararları

Kurulun bu alandaki ilk emsal kararları spor salonlarıyla ilgilidir. 25.03.2019 tarihli ve 2019/81 sayılı karar ile 31.05.2019 tarihli ve 2019/165 sayılı karar, üye girişinde avuç içi ve parmak izi taramasını incelemiş; giriş kontrolünün alternatif yollarla sağlanması mümkünken biyometrik kişisel veri toplanmasının ölçülülük ilkesine aykırı olduğuna, açık rızanın aşırı veri işlemeyi meşrulaştıramayacağına hükmetmiştir.

İş ilişkisine doğrudan temas eden ilk karar ise 01.12.2020 tarihli ve 2020/915 sayılı karardır. Bir belediyede görev yapan memurun, mesai takibinde alınan parmak izinin silinmesi talebinin reddi üzerine yaptığı şikâyette Kurul, alternatif yöntemler varken parmak izi işlenmesini ölçüsüz bulmuş ve idari para cezası uygulamıştır. Bu kararda teknik açıdan öğretici bir ayrıntı vardır: veri sorumlusu, parmak izinin “şifrelenerek karakteristik bir şablona dönüştürüldüğünü ve görüntüsünün geri alınamayacağını” savunmuştur. Kurul bu savunmayı yeterli görmemiştir; çünkü mesele verinin nasıl saklandığı değil, o verinin işlenmesinin en baştan gerekli olup olmadığıdır. Aynı savunmada geçen “pandemi döneminde ıslak imza yöntemine geçildiği” ifadesi ise Kurul açısından tam tersini kanıtlamıştır: alternatif yöntem sorunsuz çalışabiliyorsa, biyometrik işleme hiçbir zaman zorunlu değildir.

Anayasa Mahkemesi Kararı

Anayasa Mahkemesi Genel Kurulu, 10.03.2022 tarihli ve 2018/11988 başvuru numaralı kararıyla (19 Nisan 2022 tarihli ve 31814 sayılı Resmî Gazete) tabloyu tamamlamıştır. Bir belediye çalışanının parmak izi ile mesai takibine ilişkin başvurusunda Mahkeme, Anayasa’nın 20’nci maddesinin üçüncü fıkrası uyarınca kişisel verilerin ancak kanunda öngörülen hallerde veya açık rıza ile işlenebileceğini, 657 sayılı Devlet Memurları Kanunu ve 5393 sayılı Belediye Kanunu’nda biyometrik mesai takibine dair açık bir düzenleme bulunmadığını tespit ederek kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermiştir.

Avrupa Perspektifi: GDPR ve Veri Koruma Otoriteleri

Türkiye’nin vardığı sonuç, Avrupa uygulamasıyla büyük ölçüde paraleldir. GDPR’ın 9’uncu maddesi, kimlik tespiti amacıyla işlenen biyometrik kişisel veriyi özel kategori veri sayar ve işlenmesini kural olarak yasaklar. Avrupa Veri Koruma Kurulu (EDPB) ve ulusal otoriteler, istihdam ilişkisindeki güç dengesizliği nedeniyle çalışan rızasının “özgürce verilmiş” sayılamayacağı yönünde istikrarlı bir çizgi izlemektedir.

En çarpıcı örnek Hollanda’dan gelmiştir. Hollanda veri koruma otoritesi (Autoriteit Persoonsgegevens), çalışanlarını mesai kaydı için parmak izi taratmaya zorlayan bir şirkete 30 Nisan 2020’de 725.000 avro ceza kesmiş; kararında çalışanların çoğunun “rıza vermek zorunda hissettiğini” tespit etmiştir. Ceza, şirketin pandemi dönemindeki mali durumu gerekçesiyle itiraz üzerine 50.000 avroya indirilmiş, ancak ihlal tespiti aynen korunmuştur. Fransa’da CNIL, iş yerinde biyometri kullanımını 2019’da yayımladığı standart düzenlemeyle sıkı bir gerekçelendirme rejimine bağlamıştır: işveren, yüksek güvenlik ihtiyacını ve kart gibi daha az müdahaleci yöntemlerin nesnel olarak yetersiz kaldığını kanıtlamak ve bir veri koruma etki değerlendirmesi (DPIA) yapmak zorundadır. İspanya, Belçika ve İtalya otoriteleri de benzer kısıtlayıcı yaklaşımı benimsemiştir.

Teknik Boyut: Biyometrik Kişisel Veri Neden “En Güvenli” Yöntem Değildir?

“Biyometrik veri şifreleniyor, geri döndürülemez, dolayısıyla güvenli” cümlesi hem kısmen doğru hem de yanıltıcıdır. Bunu anlamak için sistemlerin nasıl çalıştığına bakmak gerekir.

Template Mimarisi ve Hash Problemi

Parmak veya yüz okunduğunda ham görüntü genellikle saklanmaz. Bunun yerine özellik çıkarımı yapılır: minutiae noktaları veya bir öznitelik vektörü hesaplanır ve bir şablon (template) üretilir. Ancak burada kritik bir mühendislik gerçeği devreye girer: biyometrik şablon, bir parola gibi klasik yöntemle hash’lenemez. Aynı parmağın iki farklı okuması hiçbir zaman bit düzeyinde aynı çıkmaz; her okumada gürültü vardır. SHA-256 gibi bir hash fonksiyonu ise girdideki tek bitlik değişikliğe tamamen farklı çıktı üretir. Bu nedenle biyometride eşleştirme “bulanık” (fuzzy) olmak zorundadır ve sistemler ya şablonu eşleştirilebilir biçimde tutar, ya fuzzy extractor / secure sketch gibi özel şemalar kullanır, ya da BioHashing benzeri dönüşümlere başvurur. Literatürde BioHashing bile ön görüntü (pre-image) ve bağlama (linkage) saldırılarına karşı zayıf bulunmuştur.

İptal edilebilir biyometri (cancelable biometrics) araştırmaları tam olarak bu problemi çözmeye çalışır: ISO/IEC 24745 standardı, şablonun geri döndürülemezlik, bağlanamazlık ve iptal edilebilirlik özelliklerini taşımasını şart koşar. Ne var ki sahadaki düşük maliyetli PDKS cihazlarının büyük bölümü bu akademik korumaları uygulamaz; üreticinin kapalı formatında şablon tutar ve güvenliğini formatın gizliliğine dayandırır. Güvenlik mühendisliğinde “security by obscurity” olarak bilinen bu yaklaşım, en zayıf güvenlik modellerinden biridir.

Geri Alınamazlık Problemi

Parola çalındığında değiştirilir, kart çalındığında iptal edilip yenisi basılır. Biyometrik kişisel veri ise bir kez sızdığında geri dönüşü olmayan bir varlıktır; parmak izi veya yüz geometrisi değiştirilemez. Kurul kararının gerekçesinde geçen “ele geçirilmeleri halinde değiştirilmelerinin veya geri alınmalarının mümkün olmaması” ifadesi, hukuki bir retorik değil, doğrudan bir mühendislik gerçeğidir. Bu risk teorik de değildir: 2019 yılında Suprema’nın BioStar 2 platformunda, şifrelenmemiş ve korumasız bir veritabanında yaklaşık 27,8 milyon kayıt ve 1 milyondan fazla parmak izi ile yüz tanıma verisi, düz metin kullanıcı adı ve parolalarla birlikte erişilebilir durumda bulunmuştur. Sistem, 83 ülkede yaklaşık 5.700 kuruluşta bina erişimi ve personel takibi için kullanılmaktaydı. Sızan parolalar değiştirilebilir; sızan parmak izleri değiştirilemez.

Hata Oranları ve Sahtecilik Saldırıları

Doğruluk tarafı da kusursuz değildir. Her biyometrik sistem iki hata türü üretir: yanlış kabul (FAR/FMR) ve yanlış ret (FRR/FNMR). Bu iki oran bir eşik değeriyle birbirine karşı ayarlanır; biri düşürüldüğünde diğeri yükselir. NIST’in yüz tanıma testlerinde (FRVT 1:1) en iyi algoritmalar dahi, yüksek kaliteli fotoğraflarda on binde bir yanlış eşleşme oranında yaklaşık binde 0,3 düzeyinde yanlış ret üretir; kontrolsüz gerçek dünya koşullarında bu oranlar belirgin biçimde artar. Bunun üzerine sunum saldırıları (presentation attack) eklenir: jelatin parmak, silikon kalıp, yüksek çözünürlüklü fotoğraf veya 3D maske ile sistemler aldatılabilir. ISO/IEC 30107 standardının varlık sebebi, tam olarak bu saldırıları ve canlılık tespitini (liveness detection) tanımlamaktır.

Teknik tablo özetle şudur: biyometrik mesai takibi, geri döndürülemez ve iptal edilemez bir veriyi, çoğunlukla zayıf korunan cihazlarda, hata payıyla çalışan ve sahteciliğe açık bir sistemle, yalnızca “kim ne zaman geldi” düzeyinde düşük kritiklikte bir amaç için toplar. Kazanılan güvenlik, alınan riskin yanında küçük kalır. Bu değerlendirme, ölçülülük ilkesinin mühendislik diline çevrilmiş halinden başka bir şey değildir.

Mesai Takibinde Biyometrik Kişisel Veriye Alternatifler

İlke kararı işverenleri boşlukta bırakmamaktadır; şifreli kart veya PIN tabanlı sistemler, imza çizelgeleri, RFID/NFC kimlik kartları ve denetim altında elle giriş gibi alternatifleri açıkça saymaktadır. Aşağıdaki tablo, biyometrik kişisel veri işlemeden mesai takibi sağlayan yöntemleri güvenlik mühendisliği perspektifiyle genişleterek karşılaştırmaktadır.

Yöntem	Avantajlar	Dikkat Edilmesi Gerekenler
RFID/NFC kart + PIN	Düşük maliyet, hızlı geçiş, kart kaybında anında iptal, özel nitelikli veri yok, iki faktörlü doğrulama (sahip olunan + bilinen).	Tek başına kart, başkası adına giriş (buddy punching) riskine açıktır; PIN eklenmeli ve kart fotoğraflı kimlikle eşlenmelidir.
Mobil uygulama + geofencing	Donanım maliyeti yok, saha ve çok lokasyonlu ekipler için ideal, konum doğrulaması giriş anında yapılır.	Konum verisi de kişisel veridir; yalnızca giriş çıkış anında toplanmalı, sürekli takip yapılmamalı, aydınlatma metni net olmalıdır.
Dönen QR kod / Bluetooth beacon	Düşük maliyet, fiziksel mevcudiyet kanıtı, biyometrik veri içermez.	Statik QR kod fotoğraflanıp paylaşılabilir; mutlaka zaman sınırlı, dönüşümlü kod kullanılmalıdır.
Kart + biyometrik olmayan kamera kaydı	Buddy punching’i caydırır; görüntü yalnızca gerektiğinde insan denetçi tarafından incelenir, otomatik yüz eşleştirme yapılmaz.	Görüntü kaydı da kişisel veridir; saklama süresi sınırlanmalı, erişim kısıtlanmalı, yüz tanıma modülü kapalı olmalıdır.
FIDO2 / passkey tabanlı doğrulama	Özel anahtar cihazın güvenli donanımında kalır, işverene yalnızca kriptografik imza ulaşır, oltalamaya dirençlidir, veri minimizasyonunun örnek uygulamasıdır.	Kurulum ve cihaz yönetimi emek ister; anahtar kurtarma senaryoları önceden planlanmalıdır.

 

FIDO2 yaklaşımı özel bir vurguyu hak etmektedir: kullanıcı cihazını bir PIN veya cihaz üzerindeki biyometriyle açsa bile, o biyometrik kişisel veri cihazdan hiç çıkmaz ve işverene asla ulaşmaz. İşveren yalnızca asimetrik kriptografiyle üretilmiş bir imzayı doğrular. Böylece çalışan, telefonunu parmak iziyle açtığında dahi işveren tarafında hiçbir biyometrik veri işlenmiş olmaz. Bu mimari, 6698 sayılı Kanun’un 4’üncü maddesindeki veri minimizasyonu ilkesinin örnek düzeyinde bir uygulamasıdır.

Buddy Punching Riskinin Değerlendirilmesi

İşverenlerin en sık dile getirdiği itiraz, kart tabanlı sistemlerde bir çalışanın arkadaşı adına giriş yapabilmesidir. Bu risk gerçektir; ancak çözümü biyometri değil, katmanlı doğrulamadır. Kimlik kanıtının (kart, PIN veya passkey) konum kanıtıyla (geofencing) birleştirilmesi, başkası adına giriş yapmayı pratikte imkânsız hale getirir. Buna anomali tespiti de eklenebilir: aynı kişinin kısa aralıkla iki farklı lokasyonda görünmesi veya olağan dışı saatlerde giriş yapması otomatik olarak işaretlenir. Unutulmaması gereken ilke şudur: hiçbir mesai sistemi kusursuz olmak zorunda değildir; yalnızca amaca uygun ve orantılı olmak zorundadır. Küçük bir sahtecilik riskini kapatmak için tüm çalışanların geri döndürülemez biyometrik kişisel verisini toplamak, Kurulun tam olarak ölçüsüz bulduğu yaklaşımdır.

Kurumlar İçin Geçiş Yol Haritası

Hâlen parmak izi veya yüz tanımalı PDKS kullanan kurumlar için önerilen adımlar sırasıyla şöyledir:

• Envanter: Hangi cihazın hangi veriyi, nerede ve ne kadar süreyle tuttuğu, şablonların şifreli olup olmadığı ve kimlerin erişebildiği belirlenmelidir.
• Durdurma ve imha: Biyometrik kişisel veri toplama derhal durdurulmalı, mevcut şablonlar Kişisel Veri Saklama ve İmha Politikası çerçevesinde güvenli biçimde imha edilmeli ve imha belgelenmelidir; ispat yükü veri sorumlusundadır.
• Hızlı geçiş: En pratik ilk adım RFID/NFC kart artı PIN kombinasyonudur; mevcut turnike altyapısı çoğu durumda kartı zaten okuyabildiğinden yalnızca biyometrik modülün devre dışı bırakılması yeterli olabilir.
• Saha ekipleri: Uzaktan ve çok lokasyonlu çalışanlar için mobil uygulama artı aktif geofencing kurgulanmalı, konum verisi yalnızca giriş çıkış anında toplanmalıdır.
• İleri seviye: Kritik sistem erişimi de söz konusuysa FIDO2/passkey mimarisine geçilerek hem mesai hem erişim doğrulaması biyometrik veri işlemeden çözülebilir.
• Belgeleme: Tüm bu tercihler bir veri koruma etki değerlendirmesiyle kayıt altına alınmalı ve biyometrik olmayan yöntemin neden seçildiği yazılı gerekçeye bağlanmalıdır.

İstisna eşiği konusunda da not düşmek gerekir: biyometrik doğrulamanın savunulabileceği tek senaryo, kanunda açıkça öngörülen ve alternatiflerin nesnel olarak yetersiz kaldığı, gerçekten yüksek güvenlik gerektiren ortamlardır. Avrupa uygulamasında verilen tipik örnek nükleer tesislerdir. Sıradan bir ofis, fabrika veya hastane mesaisi bu eşiğe girmez.

Sonuç

2026/921 sayılı İlke Kararı, Türk hukukunda on yılı aşkın süredir olgunlaşan bir içtihadın nihai noktasıdır. Danıştay 2013’te kanunilik ve ölçülülük çizgisini çizmiş, KVKK Kurulu 2019 ve 2020 kararlarıyla açık rızanın bu alandaki sınırlarını belirlemiş, Anayasa Mahkemesi 2022’de kanunilik şartını anayasal düzeyde teyit etmiştir. Kurul şimdi bu birikimi tek bir bağlayıcı ilkeye dönüştürmüştür. Kararın dikkat çekici yanı, hukuki gerekçesinin mühendislik gerçekleriyle birebir örtüşmesidir: biyometrik kişisel veri gibi geri döndürülemez bir varlığın, düşük kritiklikte bir amaç için, çoğunlukla zayıf korunan sistemlerde işlenmesi hem hukuken ölçüsüz hem teknik olarak savunulamaz bir tercihtir. Mesai takibi problemi, bugün kart, PIN, geofencing ve modern kriptografik doğrulama yöntemleriyle hem daha güvenli hem tamamen hukuka uygun biçimde çözülebilmektedir. İşverenler açısından soru artık “biyometri kullanılabilir mi” değil, “geçiş ne kadar hızlı tamamlanabilir” sorusudur.