29.04.2026 Tarihli ve 2026/921 Sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”na İlişkin Görüş Talepleri Hakkında Kamuoyu Duyurusu

Bilindiği üzere, çalışan devam takibinin dijital ortamda gerçekleştirilmesi ve işyeri güvenliğinin artırılması amacıyla kurum ve kuruluşlar tarafından biyometrik tanımlama sistemlerinin kullanımının giderek yaygınlaştığı görülmektedir. Bu durumun Kişisel Verileri Koruma Kurumuna (Kurum) intikal eden ihbar ve şikâyetlerde en çok dile getirilen hukuka aykırılıklardan biri olduğu tespit edilmiştir. Bu doğrultuda uygulamada ortaya çıkan tereddütlerin giderilmesi ve veri sorumlularının hukuki yükümlülükleri hususunda kamuoyunun bilgilendirilmesi amacıyla Kişisel Verileri Koruma Kurulu (Kurul) tarafından 29.04.2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı” alınmış; söz konusu İlke Kararı 02.06.2026 tarihli Resmî Gazete’de yayımlanmıştır.

İlke Kararı’nın yayımlanmasının ardından, Kurumumuza farklı sektörlerde faaliyet gösteren veri sorumluları tarafından çeşitli görüş talepleri iletilmiş olup, bu talepler doğrultusunda konuya ilişkin bazı hususların açıklığa kavuşturulması ihtiyacı hasıl olmuştur.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 6’ncı maddesinde özel nitelikli kişisel veriler sınırlı sayıda düzenlenmiş olup biyometrik veriler de bu kapsamda yer almaktadır. Kanun kapsamında sayılan özel nitelikli kişisel veri kategorilerinin kıyas yoluyla genişletilmesi de mümkün değildir.

Ulusal mevzuatta biyometrik veriye ilişkin kapsamlı bir tanım bulunmamakla birlikte 5490 sayılı Nüfus Hizmetleri Kanunu’nun 3’üncü maddesinde biyometrik veri, elektronik sistemler aracılığı ile kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlanmıştır.

Kuruma iletilen görüş taleplerinde, avuç içi taraması veya parmak izi alınması gibi yöntemlerle elde edilen verilerin biyometrik veri olarak değerlendirilmemesi gerektiği yönünde görüşler ileri sürülmüştür. Ancak Avrupa Birliği Veri Koruma Tüzüğü 51 numaralı gerekçesinde (Recital 51) ifade edildiği üzere, belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen veriler biyometrik veri niteliği taşımaktadır. Dolayısıyla, söz konusu verilerin matematiksel bir koda çevrilerek veri tabanında saklanması, biyometrik veri niteliğini ortadan kaldırmamaktadır.

Konuya ilişkin mevzuat incelendiğinde, işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğü bulunmakla birlikte, bu yükümlülüğün biyometrik tanımlama sistemleri kullanılarak yerine getirilmesini öngören açık kanuni bir düzenleme bulunmamaktadır. Bu nedenle, çalışanların mesai takibinin biyometrik veri işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir.

Bu kapsamda, 2026/921 sayılı İlke Kararı ile yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin Kanun’un 6’ncı maddesinde öngörülen işleme şartlarından herhangi birine dayanmadığı, ayrıca geçerli bir açık rıza bulunsa dahi söz konusu işleme faaliyetinin Kanun’un 4’üncü maddesinde düzenlenen ölçülülük kriterini sağlamayacağı değerlendirilmiştir.

Bununla birlikte, bazı tesis ve faaliyet alanları, taşıdıkları güvenlik riski ve olası ihlallerin doğurabileceği sonuçlar nedeniyle genel değerlendirmeden ayrılmaktadır. Bu alanlarda biyometrik tanımlama sistemleri, yalnızca mesai takibine hizmet eden bir araç olmaktan çıkmakta; kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin ayrılmaz bir parçası haline gelmektedir. Bu itibarla bu tür alanlarda biyometrik veri işlenmesinin amacı personelin çalışma saatlerinin izlenmesi değil çoğu durumda doğrudan güvenliğin ve kritik altyapıların güvenliğinin sağlanması olarak ortaya çıkmaktadır. Dolayısıyla, bu alanlarda gerçekleştirilecek biyometrik veri işleme faaliyetlerinin de yalnızca gerekli kritik alanlarla ve kişilerle sınırlı olması, alternatif yöntemlerin yetersiz kalması ve işleme faaliyetinin somut güvenlik ihtiyacıyla da ölçülü olması gerekmektedir.

Öte yandan, Kanun’un 28’inci maddesinin birinci fıkrasının (ç) bendi uyarınca millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik gerçekleştirilen veri işleme faaliyetleri belirli şartlar altında Kanun kapsamı dışında kalabilmektedir. Ancak bu istisna, büyük ölçekli kamu güvenliği kurumları açısından önemli bir esneklik alanı sağlamış olmakla birlikte biyometrik veri kullanımını sınırsız hale getirmemekte; her somut olay bakımından güvenlik riskinin ağırlığı, alternatif yöntemlerin yetersizliği ve işleme faaliyetinin amacı dikkate alınarak değerlendirme yapılmasını gerektirmektedir. Bu çerçevede Kurulun anılan İlke Kararı’na uyum sağlanması konusunda belirleyici olan husus, biyometrik veri işlemenin “mesai takibi” amacını aşarak, kamu güvenliğinin sağlanmasına yönelik kullanılıp kullanılmadığı ile ilişkilidir.

Sonuç olarak;

- Çalışan devam takibi (mesai takibi) amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleri bakımından veri sorumlularının 29.04.2026 tarih ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı doğrultusunda hareket etmeleri gerekmektedir.

- Mesai takibi dışında kalan biyometrik veri işleme faaliyetleri ise anılan İlke Kararı kapsamında değerlendirilmeyecek olup faaliyetin hukuka uygunluğu, veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumluları tarafından değerlendirilmelidir. Kurumumuza bu hususta intikal edecek ihbar veya şikâyetlere ilişkin olarak ise Kurul tarafından her somut olay özelinde ayrıca değerlendirme yapılacaktır.

Kamuoyuna saygıyla duyurulur.