Biyometrik Mesai Takibi ve KVKK: 2026 İlke Kararı Sonrası İşveren Kontrol Listesi

Biyometrik mesai takip sistemleri; çalışanların işe giriş ve çıkış saatlerini parmak izi, yüz tanıma, avuç içi, iris, retina veya benzeri kişiye özgü fiziksel özellikler üzerinden kayıt altına alan teknolojik sistemlerdir. Bu sistemler hızlı ve kullanışlı görünmekle birlikte çalışanların özel nitelikli kişisel verilerinin işlenmesine neden olduğu için ciddi hukuki, teknik ve idari sorumluluklar doğurur.

Kişisel Verileri Koruma Kurulu tarafından alınan 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı, mesai takibi amacıyla biyometrik veri işlenmesine ilişkin işveren uygulamalarını doğrudan etkileyen önemli bir düzenleme niteliğindedir. Kararda; çalışma sürelerinin takip edilmesi gerektiğine ilişkin mevzuat hükümleri bulunmasına rağmen bu takibin biyometrik veri kullanılarak yapılmasını zorunlu kılan açık bir kanuni düzenleme bulunmadığı değerlendirilmiştir.

Kurul ayrıca kartlı geçiş, PIN kodu, RFID veya NFC kartı, imza çizelgesi ve denetçi gözetiminde manuel giriş gibi daha az müdahaleci yöntemler mevcutken mesai takibi için biyometrik veri kullanılmasının ölçülülük ilkesini karşılamayacağını belirtmiştir.

Biyometrik veri nedir?

Biyometrik veri; bir kişinin fiziksel, fizyolojik veya davranışsal özelliklerinin özel teknik yöntemlerle işlenmesi sonucunda kişinin benzersiz biçimde tanınmasını veya kimliğinin doğrulanmasını sağlayan kişisel verilerdir.

Fizyolojik biyometrik veri örnekleri

• Parmak izi
• Yüz geometrisi
• İris yapısı
• Retina yapısı
• Avuç içi izi
• El geometrisi
• Damar izi
• Sesin biyometrik özellikleri

Davranışsal biyometrik veri örnekleri

• Klavyeye basma biçimi
• İmza atma hareketleri
• Yürüme biçimi
• Cihaz kullanım alışkanlıkları
• Ekrana dokunma ve basınç özellikleri

Bir çalışanın yalnızca fotoğrafının bulunması her durumda biyometrik veri işlendiği anlamına gelmez. Ancak yüz görüntüsü özel teknik yöntemlerle kişinin benzersiz biçimde tanımlanması veya doğrulanması amacıyla işleniyorsa biyometrik veri niteliği kazanabilir.

Biyometrik veriler neden daha sıkı korunur?

Biyometrik veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veri olarak kabul edilir. Bu verilerin önemli özelliklerinden biri, çoğunlukla kişiden ayrılamaması ve kolaylıkla değiştirilememesidir.

Bir çalışanın kartı veya şifresi ele geçirildiğinde kart değiştirilebilir ya da yeni şifre oluşturulabilir. Ancak parmak izi veya yüz geometrisi gibi biyometrik özelliklerin değiştirilmesi çoğu durumda mümkün değildir. Bu nedenle biyometrik veri ihlali, sıradan bir parola ihlalinden daha ağır ve uzun süreli sonuçlar doğurabilir.

Biyometrik veri işlemenin başlıca riskleri

• Kimlik doğrulama bilgilerinin kötüye kullanılması
• Yetkisiz kişilerin sisteme erişmesi
• Verilerin başka amaçlarla kullanılması
• Çalışanların sürekli izleniyormuş hissine kapılması
• Verilerin yurt dışına aktarılması
• Tedarikçi sistemlerinde saklanması
• İşten ayrılan çalışan verilerinin silinmemesi
• Biyometrik şablonların başka veri tabanlarıyla eşleştirilmesi
• Veri ihlali sonrasında verinin değiştirilememesi

Mesai takibi neden yapılır?

İşverenlerin çalışma sürelerini, fazla mesaileri, işe giriş ve çıkış saatlerini, devamsızlıkları ve vardiya düzenini takip etmesi iş organizasyonu açısından gerekli olabilir. Ancak mesai takibinin gerekli olması, bu takibin mutlaka biyometrik yöntemle yapılmasını haklı hâle getirmez.

Amaç ile kullanılan yöntem birbirinden ayrı değerlendirilmelidir. Çalışma süresini takip etmek meşru bir amaç olabilir; buna rağmen aynı amaca daha az kişisel veri işleyen bir yöntemle ulaşılması mümkünse biyometrik veri kullanılması ölçüsüz kabul edilebilir.

2026/921 sayılı İlke Kararı ne getiriyor?

Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı, çalışanların devam ve mesai kontrolünde biyometrik veri işlenmesi konusunda işverenlere açık bir yönlendirme getirmiştir.

Kararın temel değerlendirmeleri

• İşverenlerin çalışma sürelerini takip etmesine ilişkin hukuki yükümlülükler bulunabilir.
• Mesai takibinin biyometrik veri işlenerek yapılmasını zorunlu kılan açık bir kanun hükmü bulunmamaktadır.
• İşçi ile işveren arasında yapısal bir güç dengesizliği bulunmaktadır.
• Çalışanın verdiği açık rızanın her durumda özgür iradeye dayandığı kabul edilemez.
• Açık rızanın geri alınabilir olması, biyometrik sistemin sürdürülebilirliğini etkileyebilir.
• Daha az müdahaleci alternatif yöntemler bulunuyorsa biyometrik yöntem ölçülü değildir.
• Geçerli açık rıza bulunsa dahi ölçülülük ilkesine aykırı veri işleme hukuka uygun kabul edilmez.
• Mesai takibinde kart, PIN, RFID, NFC, imza çizelgesi veya manuel yöntemler kullanılmalıdır.

Açık rıza neden tek başına yeterli değildir?

İşverenler geçmişte biyometrik mesai sistemlerini hukuka uygun hâle getirmek amacıyla çalışanlardan açık rıza almayı tercih edebiliyordu. Ancak açık rıza, bir veri işleme faaliyetindeki tüm hukuka uygunluk sorunlarını ortadan kaldırmaz.

Açık rızanın geçerli olabilmesi için belirli bir konuya ilişkin olması, çalışanın yeterince bilgilendirilmesi ve rızanın özgür iradeyle verilmesi gerekir. İşçi ile işveren arasındaki güç ilişkisi nedeniyle çalışan, rıza vermediğinde işe alınmayacağını, vardiyasının değiştirileceğini, yöneticisiyle sorun yaşayacağını veya başka bir olumsuzlukla karşılaşacağını düşünebilir.

Açık rızanın özgür iradeye dayanmadığını gösterebilecek durumlar

• Rıza vermeyen çalışana alternatif yöntem sunulmaması
• Biyometrik kayıt vermenin işe giriş şartı hâline getirilmesi
• Rıza vermeyen çalışanın tesise alınmaması
• Çalışana gerçek bir seçim hakkı tanınmaması
• Rızanın geri alınması hâlinde yaptırım uygulanması
• Aydınlatma ve açık rıza metinlerinin tek belge hâlinde sunulması
• Çalışana metni inceleme imkânı verilmemesi
• Rızanın hangi veriyi ve hangi amacı kapsadığının açıklanmaması

Çalışandan alınan imzalı bir formun bulunması, açık rızanın otomatik olarak geçerli olduğu anlamına gelmez. Ayrıca rıza geçerli olsa bile veri işleme faaliyetinin amaçla bağlantılı, sınırlı ve ölçülü olması gerekir.

Ölçülülük ilkesi ne anlama gelir?

Ölçülülük, ulaşılmak istenen amaç ile kullanılan veri işleme yöntemi arasında makul bir denge kurulmasını gerektirir. İşveren yalnızca kullanışlı, hızlı veya manipülasyona dirençli olduğu için daha fazla kişisel veri işleyen yöntemi tercih edemez.

Bir sistemin teknolojik olarak gelişmiş olması, hukuken gerekli veya ölçülü olduğu anlamına gelmez. Mesai takibi kart, PIN veya imza yöntemiyle yapılabiliyorsa çalışanın parmak izi ya da yüz geometrisinin işlenmesi gereğinden ağır bir müdahale oluşturabilir.

Ölçülülük değerlendirmesinde sorulması gereken sorular

• Veri işleme faaliyeti belirlenen amaca ulaşmaya uygun mu?
• Aynı amaç daha az kişisel veriyle gerçekleştirilebilir mi?
• Biyometrik yöntemin kullanılması gerçekten zorunlu mu?
• Kartlı veya PIN kodlu sistem neden yeterli değil?
• İşlenen veri miktarı gereğinden fazla mı?
• Veri tüm çalışanlardan mı toplanıyor?
• Uygulama belirli bir alanla sınırlandırılabilir mi?
• Çalışanın özel hayatına yapılan müdahale amaçla dengeli mi?

Veri minimizasyonu neden önemlidir?

Veri minimizasyonu, yalnızca belirlenen amaç için gerekli olan en az miktarda kişisel verinin işlenmesini ifade eder. Mesai takibi için çalışanın kimliği, personel numarası ve giriş-çıkış saati yeterliyse çalışanın benzersiz biyolojik özelliklerinin kaydedilmesi gereğinden fazla veri işleme oluşturabilir.

Veri minimizasyonu kapsamında yapılabilecekler

• Biyometrik sistem yerine kart veya PIN kullanmak
• Gereksiz kamera kaydını kapatmak
• Konum bilgisini sürekli takip etmemek
• Yalnızca giriş ve çıkış zamanını kaydetmek
• Mesai kayıtlarını amaç dışı performans takibinde kullanmamak
• Gereksiz veri alanlarını sistemden kaldırmak
• Saklama süresi sona eren kayıtları silmek
• Veriye erişebilen kişi sayısını sınırlandırmak

İşverenler hangi alternatif yöntemleri kullanabilir?

2026 tarihli İlke Kararında biyometrik mesai takibi yerine kullanılabilecek daha az müdahaleci yöntemlere açıkça dikkat çekilmiştir.

Şifreli personel kartı

Her çalışana özel kart verilerek giriş ve çıkış saatleri kaydedilebilir. Kartların başkası tarafından kullanılmasını önlemek için kişisel PIN, güvenlik görevlisi kontrolü veya rastgele denetim uygulanabilir.

PIN tabanlı sistem

Çalışanların kendilerine özel kullanıcı kodu veya şifre ile giriş yapması sağlanabilir. Şifrelerin paylaşılmasını önlemek için periyodik değişiklik ve işlem kayıtları kullanılabilir.

RFID veya NFC personel kartı

Temassız kartlar, çalışanların giriş ve çıkış işlemlerini hızlı biçimde tamamlamasını sağlayabilir. Kartın kaybolması hâlinde kart iptal edilerek yenisi tanımlanabilir.

İmza ve kâğıt bazlı devam çizelgesi

Çalışanların işe giriş ve çıkış saatleri imzalı çizelgelerle takip edilebilir. Bu yöntemde kayıtların değiştirilmesini önlemek için yönetici veya vardiya sorumlusu kontrolü uygulanabilir.

Denetçi gözetiminde manuel kayıt

İşe giriş ve çıkış işlemleri güvenlik veya vardiya görevlisi tarafından personel listesi üzerinden kayıt altına alınabilir.

Kurumsal mobil uygulama

Mobil uygulamalar kullanılacaksa sürekli konum takibi yerine yalnızca işe giriş anında sınırlı doğrulama yapılması değerlendirilmelidir. Konum, cihaz bilgisi ve ağ bilgilerinin işlenmesi ayrıca hukuki analize tabi tutulmalıdır.

Kartın başkasına okutulması biyometrik sistemi haklı çıkarır mı?

İşverenlerin biyometrik sistem tercih etme gerekçelerinden biri, personel kartlarının çalışanlar arasında paylaşılabileceği iddiasıdır. Ancak bir yöntemin kötüye kullanılma ihtimali, otomatik olarak daha ağır bir veri işleme yönteminin kullanılmasını haklı hâle getirmez.

Öncelikle daha az müdahaleci yöntemi güçlendirecek tedbirler uygulanmalıdır.

• Kartla birlikte kişisel PIN kullanmak
• Kart okutma alanında vardiya sorumlusu bulundurmak
• Kart paylaşımını disiplin prosedüründe düzenlemek
• Şüpheli giriş kayıtlarını incelemek
• Aynı kartın kısa sürede farklı noktalarda kullanımını engellemek
• Kayıp kartları derhal iptal etmek
• Çalışanlara düzenli bilgilendirme yapmak

Mesai takibi ile tesis güvenliği aynı amaç değildir

Çalışanların işe giriş ve çıkış saatlerini takip etmek ile yüksek güvenlikli bir alana yetkisiz kişilerin girmesini önlemek birbirinden farklı amaçlardır. İşverenin amaçları açık, belirli ve birbirinden ayrılmış olmalıdır.

Mesai takibi amacıyla toplanan bir veri sonradan disiplin, performans, konum takibi, üretim hızı veya davranış analizi için kullanılamaz. Yeni bir kullanım amacı ortaya çıkarsa ayrıca hukuki değerlendirme yapılmalıdır.

Amaçların ayrı değerlendirilmesi gereken örnekler

• Mesai ve devam kontrolü
• Tesise giriş güvenliği
• Yüksek güvenlikli bölgeye erişim
• İş sağlığı ve güvenliği kontrolü
• Ziyaretçi giriş kaydı
• Yemekhane kullanım takibi
• Servis kullanım kaydı
• Üretim alanı yetkilendirmesi

Yüksek güvenlikli alanlarda biyometrik sistem kullanılabilir mi?

Mesai takibi dışında çok yüksek güvenlik gerektiren belirli alanlara erişim için biyometrik sistem kullanılması ayrı bir değerlendirme gerektirebilir. Ancak yalnızca “güvenlik” ifadesinin kullanılması yeterli değildir.

İşverenin belgelemesi gereken konular

• Korunması gereken somut güvenlik riski
• Alanla ilgili kanuni veya sözleşmesel yükümlülükler
• Alternatif güvenlik yöntemlerinin neden yetersiz olduğu
• Biyometrik sistemin yalnızca belirli kişilerle sınırlandırılması
• Verinin merkezi veri tabanında tutulup tutulmadığı
• Verinin cihaz içerisinde şablon olarak saklanıp saklanmadığı
• Erişim ve saklama süreleri
• Risk değerlendirmesi sonuçları
• Alınan teknik ve idari tedbirler

Bir tesisin yalnızca üretim tesisi veya organize sanayi bölgesinde bulunması, kendiliğinden biyometrik veri işlenmesini zorunlu ve ölçülü hâle getirmez.

Biyometrik şablon ile ham görüntü arasında fark var mı?

Bazı sistem sağlayıcıları parmak izi veya yüz görüntüsünü doğrudan saklamadıklarını, yalnızca matematiksel şablon tuttuklarını belirtebilir. Ancak bu durum verinin biyometrik niteliğini otomatik olarak ortadan kaldırmaz.

Matematiksel şablon kişinin kimliğini doğrulamak veya kişiyi benzersiz biçimde ayırt etmek için kullanılıyorsa özel nitelikli kişisel veri olarak değerlendirilebilir. Şablonun ham görüntüye dönüştürülememesi güvenlik riskini azaltabilir; fakat hukuka uygunluk için tek başına yeterli değildir.

Mevcut biyometrik sistem kullanan işverenler ne yapmalıdır?

Mesai takibinde hâlen parmak izi, yüz tanıma veya benzeri biyometrik sistem kullanan işverenlerin uygulamayı yalnızca açık rıza metni yenileyerek devam ettirmesi yeterli olmayacaktır.

Uygulanabilecek geçiş planı

1. Mevcut veri işleme faaliyetini derhal hukuki ve teknik incelemeye alın.
2. Biyometrik sistemin hangi amaçla kullanıldığını yazılı olarak belirleyin.
3. Sistemin mesai takibi için kullanılıp kullanılmadığını tespit edin.
4. İşlenen biyometrik veri türlerini envanter hâline getirin.
5. Verilerin cihazda mı, şirket sunucusunda mı yoksa tedarikçide mi tutulduğunu belirleyin.
6. Biyometrik veri aktarımının bulunup bulunmadığını inceleyin.
7. Kart, PIN, RFID, NFC veya imza çizelgesi alternatiflerinden uygun olanı seçin.
8. Yeni sisteme geçiş takvimi oluşturun.
9. Biyometrik veri toplamayı durdurun.
10. Eski çalışanların ve aktif çalışanların kayıtlarını tespit edin.
11. Saklanmasını gerektiren geçerli bir hukuki sebep yoksa biyometrik verileri silin veya yok edin.
12. Silme ve yok etme işlemini tutanakla kayıt altına alın.
13. Tedarikçinin elindeki kopyaların da silindiğini doğrulayın.
14. Aydınlatma metinlerini ve kişisel veri envanterini güncelleyin.
15. Yeni sistemin erişim, saklama ve güvenlik kurallarını yazılı hâle getirin.

Eski biyometrik veriler nasıl silinmelidir?

İşleme amacı ortadan kalkmış ve verinin saklanmasını gerektiren başka bir hukuki sebep bulunmuyorsa kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir. Biyometrik verilerin gerçek anlamda anonim hâle getirilmesi çoğu uygulamada güç olabileceğinden silme veya yok etme yöntemleri ayrıca değerlendirilmelidir.

Silme sürecinde kontrol edilmesi gereken alanlar

• Biyometrik cihazın dahili hafızası
• Yerel bilgisayar ve sunucular
• Bulut tabanlı yönetim paneli
• Yedekleme dosyaları
• Veri tabanı kopyaları
• Teknik servis kayıtları
• Yazılım tedarikçisinin sunucuları
• Mobil yönetim uygulamaları
• Test ve deneme ortamları
• Dışa aktarılan raporlar

Silme tutanağında bulunması gereken bilgiler

• Silinen veri kategorisi
• İlgili çalışan grubu
• Silme tarihi
• Uygulanan silme veya yok etme yöntemi
• İşlemi gerçekleştiren yetkili
• Kontrolü yapan kişi
• Tedarikçi teyidi
• Yedekleme sistemine ilişkin açıklama

Aydınlatma yükümlülüğü nasıl yerine getirilmelidir?

İşveren, çalışanların kişisel verilerini toplamadan önce veri sorumlusu sıfatıyla aydınlatma yükümlülüğünü yerine getirmelidir. Aydınlatma metni açık, anlaşılır ve çalışanın kolaylıkla erişebileceği biçimde hazırlanmalıdır.

Aydınlatma metninde bulunması gereken temel bilgiler

• Veri sorumlusunun kimliği
• İşlenen kişisel veri kategorileri
• Kişisel verilerin hangi amaçlarla işlendiği
• Verilerin kimlere ve hangi amaçlarla aktarılabileceği
• Veri toplama yöntemi
• Veri işlemenin hukuki sebebi
• Çalışanın KVKK kapsamındaki hakları
• Başvuru yöntemi ve iletişim bilgileri

Aydınlatma metni ile açık rıza metni aynı belge içerisinde birbirine bağlı biçimde sunulmamalıdır. Aydınlatma yükümlülüğü, çalışanın rızasından bağımsız bir yükümlülüktür.

Kişisel veri envanteri güncellenmeli mi?

Biyometrik sistem kullanan veya bu sistemden vazgeçen işverenlerin kişisel veri işleme envanterini güncellemesi gerekir. Envanter yalnızca genel ifadelerden oluşmamalı; verinin nasıl toplandığını, nerede tutulduğunu, kimlere aktarıldığını ve ne kadar süre saklandığını göstermelidir.

Envanterde yer alması gereken başlıklar

• Veri işleme faaliyeti
• İşlenen veri kategorisi
• İlgili kişi grubu
• Veri işleme amacı
• Hukuki sebep
• Veri toplama yöntemi
• Verinin saklandığı ortam
• Saklama süresi
• Alıcı grupları
• Yurt dışı aktarım durumu
• Teknik ve idari tedbirler

VERBİS kaydı kontrol edilmeli mi?

Veri Sorumluları Siciline kayıt yükümlülüğü bulunan işverenlerin VERBİS bildirimleri ile fiilî veri işleme faaliyetleri uyumlu olmalıdır. Biyometrik veri işleme sona erdirildiyse veya veri kategorilerinde değişiklik yapıldıysa kayıtların güncelliği kontrol edilmelidir.

VERBİS kaydının yapılmış olması, veri işleme faaliyetinin kendiliğinden hukuka uygun olduğu anlamına gelmez. Sicil kaydı bir şeffaflık yükümlülüğüdür; hukuki sebep, ölçülülük ve veri güvenliği şartlarının ayrıca sağlanması gerekir.

Tedarikçi firma kullanılıyorsa nelere dikkat edilmelidir?

Biyometrik cihaz veya personel takip yazılımı çoğu zaman dış hizmet sağlayıcı tarafından kurulur. Bu durumda işveren veri sorumlusu, hizmet sağlayıcı ise yürüttüğü faaliyetin niteliğine göre veri işleyen olabilir.

Tedarikçi sözleşmesinde bulunması gereken konular

• İşlenen veri kategorileri
• Veri işleme amacı ve kapsamı
• Verilerin nerede saklanacağı
• Verilerin başka müşterilerle karıştırılmaması
• Alt yüklenici kullanımı
• Yurt dışı sunucu kullanımı
• Erişim yetkileri
• Gizlilik yükümlülüğü
• Veri ihlali bildirim süresi
• Sözleşme bitiminde verilerin silinmesi
• Yedeklerin nasıl yok edileceği
• Denetim ve raporlama hakkı
• Teknik güvenlik standartları

“Veriler cihazda tutulmaktadır” şeklindeki sözlü açıklama yeterli kabul edilmemelidir. Veri akışı teknik olarak incelenmeli ve yazılı güvence alınmalıdır.

Yurt dışı veri aktarımı riski

Bulut tabanlı personel takip sistemlerinde biyometrik şablonlar, çalışan bilgileri, giriş-çıkış kayıtları veya cihaz logları yurt dışındaki sunuculara aktarılabilir. İşverenler yazılımın yalnızca Türkiye’de satılıyor olmasına bakmamalıdır.

Yurt dışı aktarımı bakımından sorulması gerekenler

• Sunucular hangi ülkede bulunuyor?
• Veriler hangi şirketler tarafından işleniyor?
• Teknik destek ekibi verilere yurt dışından erişiyor mu?
• Yedeklemeler hangi ülkelerde tutuluyor?
• Alt hizmet sağlayıcılar bulunuyor mu?
• Yurt dışı aktarımı için geçerli hukuki mekanizma mevcut mu?
• Aktarım kayıtları ve sözleşmeler güncel mi?

Özel nitelikli kişisel veriler için güvenlik önlemleri

Biyometrik verilerin işlenmesinde genel kişisel veri güvenliği tedbirlerine ek olarak özel nitelikli kişisel verilere uygun daha yüksek güvenlik standartları uygulanmalıdır.

İdari tedbirler

• Özel nitelikli kişisel veri politikası hazırlanması
• Yetkili çalışanlara düzenli eğitim verilmesi
• Gizlilik sözleşmelerinin imzalanması
• Erişim yetkilerinin görevle sınırlandırılması
• Yetkilerin periyodik olarak kontrol edilmesi
• İşten ayrılanların erişiminin derhal kapatılması
• Veri ihlali müdahale planı hazırlanması
• Tedarikçilerin düzenli denetlenmesi
• Saklama ve imha politikasının uygulanması
• İşlem kayıtlarının tutulması

Teknik tedbirler

• Verilerin güçlü kriptografik yöntemlerle korunması
• Şifreleme anahtarlarının ayrı ortamda saklanması
• Çok faktörlü kimlik doğrulama kullanılması
• Yetkisiz dış bağlantıların engellenmesi
• Güvenlik duvarı ve ağ segmentasyonu uygulanması
• Yazılım güncellemelerinin düzenli yapılması
• Zafiyet ve sızma testlerinin gerçekleştirilmesi
• Erişim loglarının kayıt altına alınması
• Logların yetkisiz değişikliğe karşı korunması
• Güvenli yedekleme ve yok etme süreçleri kurulması

Çalışanın işten ayrılması durumunda ne yapılmalıdır?

İşten ayrılan çalışanın biyometrik sisteme ve personel takip uygulamasına ilişkin yetkileri derhal kaldırılmalıdır. Verinin saklanmasını gerektiren geçerli bir hukuki sebep bulunup bulunmadığı ayrıca değerlendirilmelidir.

İşten çıkış kontrol listesi

• Çalışanın sistem erişimini kapatın.
• Personel kartını teslim alın.
• Mobil uygulama yetkisini kaldırın.
• Biyometrik kaydı cihazdan silin.
• Sunucu ve bulut kopyalarını kontrol edin.
• Tedarikçiye silme talimatı gönderin.
• Silme işlemini kayıt altına alın.
• Giriş-çıkış kayıtlarının saklama süresini kontrol edin.
• Hukuki uyuşmazlık ihtiyacı varsa yalnızca gerekli kayıtları koruyun.

Mesai kayıtları ne kadar süre saklanmalıdır?

Tüm işletmeler için geçerli tek bir saklama süresi belirlemek doğru değildir. Süre; iş hukuku yükümlülükleri, ücret ve fazla mesai uyuşmazlıkları, bordro süreçleri, dava zamanaşımı süreleri ve işletmenin somut faaliyetleri dikkate alınarak belirlenmelidir.

Saklama süresi “süresiz” olarak tanımlanmamalıdır. Her veri kategorisi için hukuki gerekçesi bulunan belirli bir süre belirlenmeli ve sürenin sonunda periyodik imha işlemi yapılmalıdır.

Mesai kayıtları başka amaçlarla kullanılabilir mi?

Giriş ve çıkış kayıtları yalnızca toplandığı amaçlarla uyumlu biçimde kullanılmalıdır. Çalışanların mesai verilerinden kapsamlı davranış profili çıkarılması, kişilerin sürekli izlenmesi veya ilgisiz performans değerlendirmeleri yapılması yeni ve ayrı bir veri işleme faaliyeti oluşturabilir.

Amaç dışı kullanım riski taşıyan örnekler

• Çalışanın tuvalet ve mola sürelerini ayrıntılı izlemek
• Her hareketini konum verisiyle takip etmek
• Giriş kayıtlarından kişilik veya sadakat analizi çıkarmak
• Yemekhane kullanımını performansla ilişkilendirmek
• Verileri başka grup şirketleriyle paylaşmak
• Kayıtları reklam veya pazarlama amacıyla kullanmak

Çalışanlar hangi haklara sahiptir?

Çalışanlar, işlenen kişisel verileri hakkında veri sorumlusuna başvurarak KVKK kapsamındaki haklarını kullanabilir.

Çalışanın başlıca hakları

• Kişisel verisinin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• Verinin işlenme amacını öğrenme
• Verinin amacına uygun kullanılıp kullanılmadığını öğrenme
• Verilerin aktarıldığı üçüncü kişileri öğrenme
• Eksik veya yanlış verilerin düzeltilmesini isteme
• Şartları oluşmuşsa verilerin silinmesini veya yok edilmesini isteme
• Düzeltme ve silme işlemlerinin alıcılara bildirilmesini isteme
• Otomatik analiz sonucunda aleyhe sonuç çıkmasına itiraz etme
• Kanuna aykırı işleme nedeniyle zarar görürse tazminat talep etme

Çalışan başvuruları nasıl yönetilmelidir?

İşveren, çalışanların kişisel veri başvurularını alabileceği yazılı bir prosedür oluşturmalıdır. İnsan kaynakları, hukuk ve bilgi teknolojileri birimleri başvurunun kapsamına göre birlikte çalışmalıdır.

Başvuru yönetim süreci

1. Başvuruyu kayıt altına alın.
2. Başvuru sahibinin kimliğini doğrulayın.
3. Talep edilen veri kategorilerini belirleyin.
4. İnsan kaynakları ve bilgi teknolojileri kayıtlarını inceleyin.
5. Tedarikçiden gerekli bilgileri alın.
6. Yasal süre içerisinde cevap hazırlayın.
7. Yapılan işlemleri kayıt altına alın.
8. Gerekliyse veri düzeltme veya silme işlemi uygulayın.

Veri ihlali yaşanırsa ne yapılmalıdır?

Biyometrik veri içeren bir sistemde yetkisiz erişim, veri sızıntısı, kötü amaçlı yazılım, yanlış kişiye gönderim veya cihaz kaybı yaşanması hâlinde olay veri ihlali kapsamında değerlendirilebilir.

İhlal müdahale planında bulunması gereken adımlar

• İhlalin kaynağını belirlemek
• Sisteme erişimi sınırlandırmak
• Etkilenen veri ve kişi sayısını tespit etmek
• Log kayıtlarını korumak
• Tedarikçiden teknik rapor istemek
• İhlalin olası sonuçlarını değerlendirmek
• Gerekli bildirimleri yapmak
• Çalışanları uygun biçimde bilgilendirmek
• Tekrarını önleyici tedbirleri uygulamak
• Tüm süreci yazılı olarak kayıt altına almak

Biyometrik sistem satın almadan önce sorulması gereken sorular

• Sistem hangi biyometrik veriyi işliyor?
• Ham görüntü mü, matematiksel şablon mu saklanıyor?
• Veriler cihaz dışına aktarılıyor mu?
• Veri merkezi hangi ülkede bulunuyor?
• Tedarikçi verilere erişebiliyor mu?
• Alt hizmet sağlayıcı kullanılıyor mu?
• Veri şifreleniyor mu?
• Silinen kayıtlar yedeklerden de kaldırılıyor mu?
• İşlem logları tutuluyor mu?
• Yetkilendirme sistemi bulunuyor mu?
• Çok faktörlü kimlik doğrulama kullanılabiliyor mu?
• Sözleşme sona erdiğinde veriler nasıl teslim ediliyor veya siliniyor?
• Kartlı ya da PIN tabanlı alternatif sunuluyor mu?
• Sistem mesai takibi dışında başka analizler yapıyor mu?

İşverenlerin en sık yaptığı hatalar

• Biyometrik sistemin hukuka uygunluğunu yalnızca açık rızaya dayandırmak
• Çalışana alternatif yöntem sunmamak
• Aydınlatma ve açık rıza metinlerini birleştirmek
• Mesai takibi ile güvenlik amacını birbirine karıştırmak
• Tedarikçinin sözlü açıklamalarına güvenmek
• Verilerin nerede tutulduğunu bilmemek
• Yurt dışı aktarımını kontrol etmemek
• İşten ayrılan çalışanların verilerini silmemek
• Saklama süresini belirsiz bırakmak
• Erişim yetkilerini sınırlandırmamak
• Veri ihlali planı hazırlamamak
• Kişisel veri envanterini güncellememek
• Yeni İlke Kararı sonrasında sistemi kullanmaya devam etmek

2026 için işveren biyometrik mesai kontrol listesi

1. Mesai takibinde biyometrik veri kullanıp kullanmadığınızı tespit edin.
2. Parmak izi, yüz tanıma, avuç içi ve benzeri sistemleri envanter hâline getirin.
3. 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı doğrultusunda uygulamayı değerlendirin.
4. Mesai takibi için biyometrik veri toplamayı durdurun.
5. Kart, PIN, RFID, NFC veya imza çizelgesi gibi alternatif yöntem seçin.
6. Mevcut biyometrik kayıtların tüm kopyalarını belirleyin.
7. Cihaz, sunucu, bulut ve yedekleme alanlarını kontrol edin.
8. Hukuki sebebi kalmayan biyometrik verileri silin veya yok edin.
9. Silme ve yok etme işlemlerini tutanakla kayıt altına alın.
10. Tedarikçi firmanın elindeki verilerin silindiğini doğrulayın.
11. Kişisel veri envanterini güncelleyin.
12. VERBİS bildirimlerinin güncelliğini kontrol edin.
13. Çalışan aydınlatma metinlerini yenileyin.
14. Yeni personel takip sisteminin saklama sürelerini belirleyin.
15. Erişim yetkilerini görev ve süreyle sınırlandırın.
16. İşten ayrılan çalışanların yetkilerini derhal kaldırın.
17. Özel nitelikli veri güvenliği politikasını gözden geçirin.
18. İnsan kaynakları ve bilgi teknolojileri çalışanlarına eğitim verin.
19. Tedarikçi sözleşmelerine veri güvenliği hükümleri ekleyin.
20. Yurt dışı veri aktarımı bulunup bulunmadığını denetleyin.
21. Veri ihlali müdahale planı hazırlayın.
22. Çalışan başvuru prosedürünü güncelleyin.
23. Uygulamayı belirli aralıklarla hukuk ve bilgi güvenliği yönünden denetleyin.

İnsan kaynakları departmanının sorumlulukları

Biyometrik mesai takibi yalnızca bilgi teknolojileri veya güvenlik biriminin konusu değildir. İnsan kaynakları departmanı, çalışan verilerinin hangi amaçlarla işlendiğini ve mesai kayıtlarının hangi süreçlerde kullanıldığını yakından takip etmelidir.

İnsan kaynaklarının yapması gerekenler

• Çalışanlara doğru aydınlatma yapılmasını sağlamak
• Mesai kayıtlarının yalnızca gerekli amaçlarla kullanılmasını kontrol etmek
• İşten çıkışlarda sistem yetkilerini kapatmak
• Saklama sürelerini hukuk birimiyle belirlemek
• Personel dosyalarındaki gereksiz belgeleri temizlemek
• Çalışan başvurularını zamanında yanıtlamak
• Tedarikçi süreçlerini takip etmek
• Yöneticileri kişisel veri güvenliği konusunda bilgilendirmek
• Yeni personel takip sistemlerini devreye almadan önce değerlendirmek

Bilgi teknolojileri biriminin sorumlulukları

• Sistem mimarisini ve veri akışını belgelemek
• Verilerin nerede saklandığını tespit etmek
• Erişim yetkilerini sınırlandırmak
• Şifreleme ve çok faktörlü doğrulama uygulamak
• Logları kayıt altına almak
• Yazılım güncellemelerini yapmak
• Yedekleme sistemlerini kontrol etmek
• Silme taleplerinin tüm ortamlarda uygulanmasını sağlamak
• Tedarikçi erişimlerini denetlemek
• Veri ihlali durumunda teknik inceleme yapmak

Yönetici ve vardiya sorumlularının dikkat etmesi gerekenler

Mesai takip sistemi değiştirilirken yalnızca cihaz değişikliği yapılması yeterli değildir. Yeni sistemin çalışanlara açıklanması ve yöneticilerin sistemi keyfî biçimde kullanmasının önlenmesi gerekir.

• Çalışanlardan kişisel kartlarını paylaşmamalarını istemek
• Başkasının yerine kart okutulmasına izin vermemek
• Mesai kayıtlarını yalnızca yetkili kişilerle paylaşmak
• Çalışanların giriş-çıkış bilgilerini ortak alanda yayımlamamak
• Mesai kayıtlarını baskı veya yıldırma aracı olarak kullanmamak
• Hatalı kayıtlara ilişkin itiraz süreci oluşturmak
• Manuel düzeltmeleri gerekçesiyle birlikte kayıt altına almak

Sağlıklı bir personel devam takip sistemi nasıl kurulmalıdır?

Hukuka uygun ve işlevsel bir devam takip sistemi yalnızca cihaz seçimine dayanmaz. Sistem; görev dağılımı, veri güvenliği, itiraz mekanizması, saklama süresi ve yönetici kontrolleriyle birlikte tasarlanmalıdır.

Örnek uygulama modeli

• Çalışana kişisel RFID veya NFC kartı verilmesi
• Kartın kişisel PIN ile desteklenmesi
• Giriş ve çıkış kayıtlarının yalnızca yetkili personelce görülmesi
• Hatalı kayıtlar için çalışan itiraz ekranı oluşturulması
• Manuel değişikliklerin loglanması
• Mesai raporlarının bordro sistemiyle kontrollü aktarılması
• Saklama süresi dolan kayıtların otomatik silinmesi
• İşten çıkışta kart ve erişim yetkisinin kapatılması
• Periyodik yetki ve güvenlik kontrolü yapılması

İşverenler için sonuç ve yol haritası

2026 yılında mesai takibi amacıyla biyometrik veri kullanılması, yalnızca teknolojik kolaylık veya çalışanların açık rızası gerekçe gösterilerek sürdürülebilecek bir uygulama değildir. Kişisel Verileri Koruma Kurulunun 2026/921 sayılı İlke Kararı, daha az müdahaleci yöntemler mevcutken biyometrik veri işlenmesinin ölçülülük ilkesini karşılamayacağını açık biçimde ortaya koymaktadır.

Bu nedenle işverenlerin parmak izi ve yüz tanıma tabanlı mesai sistemlerini yeniden değerlendirmesi; kart, PIN, RFID, NFC veya kontrollü imza çizelgesi gibi alternatiflere geçmesi gerekir. Mevcut biyometrik kayıtların yalnızca cihazdan değil, sunucu, bulut, yedekleme ve tedarikçi ortamlarından da silinmesi önem taşır.

Hukuka uygun bir personel takip sistemi; en az veri işleme, açık amaç belirleme, sınırlı erişim, belirli saklama süresi, güvenli silme, çalışanların bilgilendirilmesi ve düzenli denetim ilkeleri üzerine kurulmalıdır.

Profesyonel işe alım desteği

İşletmeniz için doğru personeli bulma, aday ön eleme ve işe başlatma süreçlerinde SEA Academy İK ile iletişime geçebilirsiniz.