Şirketlerin, fabrikaların veya plazaların girişlerinde güvenlik ve mesai kontrolü amacıyla uzun yıllardır yaygın olarak kullanılan parmak izi okuyucuları ve yüz tanıma sistemleri, yeni KVKK mevzuatıyla birlikte hukuki bir mayın tarlasına dönüşmüştür[cite: 1]. İşverenlerin "Personelimden imza aldım, onayları var" savunması, veri mahremiyeti alanındaki en güncel ilke kararıyla tamamen geçersiz kılınmıştır[cite: 1].
Yasal Risk: 17.092.242 TL'ye Varan İdari Para Cezası
Kişisel Verileri Koruma Kurulu'nun yeni ilke kararında belirtilen alternatif sistemlere geçiş yapmayan ve personelin biyometrik verisini kopyalamaya devam eden şirketler (veri sorumluları) hakkında, 6698 sayılı Kanun'un 18'inci maddesi kapsamında 256.357 TL’den 17.092.242 TL’ye kadar ağır idari para cezası kesileceği hüküm altına alınmıştır[cite: 1]. Bu ceza, olası bir çalışan şikayeti anında doğrudan şirketin mali bilançosuna yansıyacaktır.
Neden "Açık Rıza" Alınsa Bile Yasak? (Ölçülülük İlkesi)
İşverenlerin KVKK denetimlerinde en çok güvendikleri yasal kalkan olan "Personel Açık Rıza Beyanı", biyometrik veri işlenmesi söz konusu olduğunda Kurul tarafından yetersiz bulunmuştur[cite: 1]. Bunun hukuki gerekçesi şudur:
KVKK Madde 4'te yer alan genel ilkelere göre, kişisel verilerin işlenmesi "amaçla bağlantılı, sınırlı ve ölçülü" olmak zorundadır[cite: 1]. Bir personelin işe saat kaçta geldiğini tespit etmek (mesai takibi) nispeten basit bir idari işlemdir. Bu basit işlemi gerçekleştirmek için kişinin değiştirilemez, en mahrem ve genetik verisi olan parmak izini veya yüz haritasını kaydetmek "Ölçülülük İlkesine" doğrudan aykırıdır[cite: 1]. Mevzuatta mesai takibinin biyometrik veriyle yapılmasına dair açık bir kanun hükmü bulunmadığından, bu eylem temel hakların ihlali olarak kabul edilmektedir[cite: 1].
Parmak izi, yüz tanıma, iris, retina veya ses tanıma gibi kişiyi benzersiz ve kesin olarak tanımlayan genetik/fiziksel verilerin tamamı "özel nitelikli kişisel veri" statüsündedir[cite: 1].
İşverenin "personel girişini takip etme" menfaati ile personelin "biyometrik mahremiyeti" teraziye konduğunda, Kurul mahremiyeti üstün tutmuş ve alternatif, daha az müdahaleci yöntemlerin varlığı karşısında işlemi ölçüsüz bulmuştur[cite: 1].
KVKK Ceza Sınırları ve İdari Yaptırımlar
Şirketlerin karşı karşıya kaldığı finansal ceza riskinin yasal sınırları 2026 yılı güncellemelerine göre aşağıdaki tabloda özetlenmiştir:
| İhlal Türü | Alt Sınır (TL) | Üst Sınır (TL) |
|---|---|---|
| Veri Güvenliğine İlişkin Yükümlülüklerin İhlali (Biyometrik Veri) | 256.357 TL | 17.092.242 TL |
İK Departmanları Hangi Alternatif Yöntemleri Kullanmalı?
Söz konusu ilke kararında KVKK Kurulu, şirketlerin mesai (PDKS) takibi yapmak için "daha az müdahaleci alternatif yöntemlere" geçmesi gerektiğini açıkça belirtmiştir[cite: 1]. Şirketinizin ceza riskinden kurtulması için İnsan Kaynakları departmanınızın derhal geçiş yapabileceği yasal ve güvenli yöntemler şunlardır[cite: 1]:
- Şifreli Kart ve Çip Sistemleri: RFID veya NFC teknolojisine sahip personel kimlik kartları okutularak yapılan geçişler[cite: 1].
- PIN Tabanlı Sistemler: Çalışana atanan özel rakamsal şifrelerin (PIN) tuşlanarak turnikelerden geçilmesi[cite: 1].
- Geleneksel İmza Çizelgeleri: Personelin giriş-çıkış saatlerini manuel olarak imzaladığı kâğıt bazlı puantaj formları[cite: 1].
- Denetçi Gözetiminde Manuel Giriş: Güvenlik veya denetçi personelin gözetimi altında yapılan elle giriş yöntemleri[cite: 1].
Geçmişte Toplanan Biyometrik Veriler Ne Olacak?
Sadece yeni sistemlere geçmek yeterli değildir. Şirket sunucularında veya PDKS yazılımlarının veri tabanlarında geçmişten bugüne kadar kaydedilmiş olan tüm parmak izi ve yüz tanıma verilerinin, Kişisel Verileri Koruma Kurumu'nun "Veri İmha Politikası" standartlarına uygun olarak derhal ve geri döndürülemez şekilde silinmesi (veya anonim hale getirilmesi) yasal bir zorunluluktur. Bu imha sürecinin bir tutanakla kayıt altına alınması, olası denetimlerde şirketinizi kurtaracak en önemli belgedir.