Parmak izi PDKS ve KVKK konusunda artık net bir çerçeve var: Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararına göre mesai takibi amacıyla parmak izi, yüz, iris gibi biyometrik verilerin işlenmesi, çalışanın açık rızası olsa dahi ölçülülük ilkesini karşılamıyor. Mesai takibi kart, PIN ya da RFID/NFC kimlik kartıyla yapılmalı.
Kurul, karara uymayan veri sorumluları hakkında Kanun'un 18. maddesine göre işlem yapılacağını da duyurdu. Parmak izli PDKS kullanan işverenlerin kartlı bir yönteme geçişi ve mevcut biyometrik verilerin imhasını planlaması gerekiyor.
Bu yazı hukuki görüş değildir; kararın ne dediğini, işverenin önündeki somut adımları ve geçişin teknik tarafını anlatır. Kendi durumunuz için bir hukuk danışmanıyla birlikte değerlendirme yapmanızı öneririz. Kart, PDKS ve geçiş kontrolü üzerine diğer rehberler Geçiş Kontrolü ve PDKS sayfamızda.
Biyometrik PDKS neden bu kadar yaygınlaştı?
Personel devam kontrol sistemlerinde parmak izli cihazlar yıllarca "arkadaşının yerine kart basma" sorununa kesin çözüm olarak satıldı. Kart unutulmaz, başkasına verilemez, kurulumu kolaydır. Birçok fabrikada, şantiyede ve mağazada bugün hâlâ duvarda bir parmak izi terminali ve yanında imzalatılmış bir açık rıza formu bulunuyor. Sahada ise bu cihazların kuru, yıpranmış ya da kirli parmakta sık sık okuma hatası verdiği görülür; nedenlerini parmak izi okumuyor sorunu yazımızda anlattık.
Sorun, bu uygulamanın hukuki dayanağının zayıf kalmasıydı. Parmak izi ve yüz görüntüsü, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesinde özel nitelikli kişisel veri olarak sayılan biyometrik verilerdir (KVKK — 6698 sayılı Kanun, Madde 6). Bu veriler ancak Kanun'da sayılan sınırlı şartlardan biri varsa işlenebilir ve Kurul'un belirlediği ek güvenlik önlemlerini gerektirir. Uygulamada işverenlerin çoğu tek dayanak olarak çalışandan alınan açık rızayı kullanıyordu. Oysa biyometri, kurumun genel KVKK uyum sürecinin en hassas kalemidir: envanter, aydınlatma, saklama süresi ve güvenlik önlemleri birlikte kurgulanmadan tek bir rıza formu bu yükü taşıyamaz.
Parmak izi PDKS ve KVKK: 2026/921 sayılı ilke kararının özü
Kurum, 2 Haziran 2026'da yayımladığı kamuoyu duyurusunda biyometrik mesai takibinin kendisine gelen ihbar ve şikâyetlerde en çok karşılaşılan konulardan biri olduğunu belirtti. Kararın gerekçesi üç noktada toplanıyor:
- Kanunda açık bir dayanak yok. Mevzuat işverene çalışma sürelerini takip etme yükümlülüğü veriyor, ancak bunun biyometrik yöntemle yapılmasını öngörmüyor. Bu nedenle "kanunlarda açıkça öngörülme" şartına dayanılamıyor.
- Açık rıza tek başına yeterli değil. İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle, rıza göstermemenin olumsuz sonuç doğurabileceği bir ortamda verilen rızanın özgür iradeye dayandığı söylenemiyor. Rızanın geri alınabilmesi de sistemin sürekliliğini zaten bozuyor.
- Ölçülülük sağlanmıyor. Daha az müdahaleci alternatifler varken biyometri kullanmak, Kanun'un 4. maddesindeki genel ilkelere aykırı düşüyor.
Kurul'a göre mesai takibi, biyometrik tanımlama sistemleri yerine "şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollar ile" sağlanmalı. (KVKK — 2026/921 sayılı İlke Kararına ilişkin kamuoyu duyurusu)
Karar, yüz tanıma ve iris taramasını da açıkça kapsıyor. Yani parmak izinden yüz tanımaya geçmek sorunu çözmüyor.
Sahada sık duyulan bir savunma da şudur: "Cihaz parmak izinin görüntüsünü değil, yalnızca matematiksel şablonunu saklıyor." Şablon da kişiyi tekil olarak tanımlamak için üretilir ve biyometrik tanımlama sisteminin ta kendisidir. Kurul yöntemin kendisini ölçülü bulmadığı için, verinin hangi biçimde saklandığı tek başına bir hukuki dayanak oluşturmaz. Aynı şekilde, cihazın "yalnızca yerel olarak" çalışması da işlemenin varlığını ortadan kaldırmaz.
Hareketsiz kalmanın maliyeti
Kuruma yapılan başvurular hızla artıyor. KVKK 2025 Yılı Faaliyet Raporu'na göre 2024'te 9.059 olan ihbar ve şikâyet başvurusu sayısı 2025'te 12.512'ye çıktı; Kurul aynı yıl 42 toplantıda 2.528 karar aldı ve 876 veri sorumlusu hakkında idari para cezası uyguladı. Biyometrik mesai takibi, bir çalışanın tek bir şikâyetiyle incelemeye konu olabilecek, görünür bir uygulamadır.
Avrupa'daki örnek de yol gösterici. Hollanda veri koruma otoritesi 2020'de, çalışanlarının parmak izini devam ve mesai kaydı için tarayan bir şirkete 725.000 euro para cezası verdi; gerekçe, geçerli bir açık rızanın ve başka bir istisnanın bulunmamasıydı (Biometric Update — Hollanda veri koruma otoritesinin parmak izli PDKS cezası). Türkiye'deki ilke kararı benzer bir mantığa dayanıyor.
Para cezası tek maliyet de değil. Biyometrik veri sızarsa, kartın aksine değiştirilemez; Kurul'a 72 saat içinde ihlal bildirimi, çalışanlara bilgilendirme ve itibar kaybı birlikte gelir. Üstelik biyometrik cihazın ürettiği puantaj verisinin hukuka aykırı elde edildiği ileri sürülürse, fazla mesai ve devamsızlık uyuşmazlıklarında işverenin elindeki kayıt da tartışmalı hale gelebilir.
Parmak izli PDKS'den kartlı sisteme geçiş: 7 adım
Geçiş, cihazı söküp yerine kart okuyucu takmaktan ibaret değildir. Veriyi, belgeleri ve süreci birlikte ele almak gerekir.
- Envanter çıkarın. Hangi lokasyonda, kaç terminalde biyometrik veri işleniyor? Şablonlar cihazda mı, sunucuda mı, bir hizmet sağlayıcının bulutunda mı tutuluyor? Taşeron ve stajyer kayıtlarını da unutmayın.
- Yeni biyometrik kaydı durdurun. Yeni işe girenleri doğrudan kartlı yönteme alın; eski yöntemle kayıt büyütmeyin.
- Alternatif yöntemi belirleyin. Çoğu işletme için 13,56 MHz RFID kartlı bir kartlı geçiş sistemi en pratik seçenektir; ziyaretçi ve taşeron için süreli QR kod eklenebilir. Kart teknolojisinin farkını 125 kHz ve 13,56 MHz karşılaştırmamızda anlatıyoruz.
- Geçişi vardiya planıyla eşleştirin. Puantajın bordro dönemi ortasında iki kaynaktan beslenmemesi için geçiş tarihini dönem başına denk getirin; paralel çalışma süresini kısa tutun.
- Biyometrik verilerin imhasını planlayın ve belgeleyin. Cihazlardaki ve sunuculardaki şablonların silinmesi, kişisel verileri saklama ve imha politikanıza uygun yapılmalı ve tutanakla kayda geçmelidir.
- Belgeleri güncelleyin. Aydınlatma metnini, kişisel veri envanterini ve Veri Sorumluları Sicili'ndeki (VERBİS) kaydınızı yeni duruma göre düzeltin; artık kullanılmayan açık rıza formlarını geri çekin.
- Çalışanlara açıklayın. Neyin, neden değiştiğini ve eski verilerin silindiğini kısa bir duyuruyla paylaşın. Bu, güveni de artırır.
Yüksek güvenlikli alanlar ne olacak?
İlke kararı mesai takibine ilişkindir. Sunucu odası, ilaç deposu ya da laboratuvar gibi bir alana fiziksel erişim için biyometri düşünülüyorsa, bu ayrı bir işleme amacıdır ve hukuki sebebi, gerekliliği ve daha az müdahaleci bir alternatifin (ör. kart + PIN) neden yetmediği ayrıca değerlendirilip belgelenmelidir. Bu tür az sayıdaki kapı için kart ile parmak izi geçiş çözümünü birlikte kurgulamak mümkündür; ancak bu kapıların verisi mesai takibi için kullanılmamalıdır. Yöntemlerin ayrıntılı karşılaştırması için parmak izi, kart ve yüz tanıma yazımıza bakabilirsiniz.
Digital Bridge bu geçişte nasıl yardımcı olur?
Biyometrik PDKS'den çıkışı hem hukuki hem teknik bir proje olarak ele alıyoruz:
- Uyum tarafı. KVKK uyum danışmanlığı kapsamında mevcut işleme faaliyetini, aydınlatma metinlerini, saklama ve imha politikasını ve VERBİS kaydını gözden geçiriyor; biyometrik şablonların imhasının nasıl belgeleneceğini planlıyoruz.
- Keşif ve tasarım. Her lokasyondaki terminalleri, kapı ve turnike altyapısını inceliyor; mevcut turnike ve kilitlerin korunup korunamayacağını belirliyoruz.
- Kurulum. Genel giriş ve devam kaydı için kartlı geçiş sistemi kuruyor, geçişi bordro dönemine göre planlıyoruz.
- Entegrasyon. Puantaj çıktısının İK ve bordro yazılımınıza aktarılması için İK, bordro ve personel yönetimi tarafındaki bağlantıyı kuruyoruz.
İhtiyaç analizinin ardından kapsamı, aşamaları ve bedeli gösteren yazılı bir teklif hazırlıyoruz. Türkiye'nin tüm illerine uzaktan ve yerinde hizmet veriyoruz; teknik destek 7/24 açık. Yeni bir PDKS yazılımı seçecekseniz PDKS programı seçimi rehberindeki on soru, aynı hataya ikinci kez düşmemenizi sağlar.
SmartPass: biyometri olmadan PDKS, kapı ve yemekhane
Kendi geliştirdiğimiz SmartPass, Kurul'un işaret ettiği yöntemle, yani RFID kartla çalışır ve biyometrik veri toplamaz. Parmak izli PDKS'den geçen bir üretim tesisinde gün şöyle işler:
Çalışan sabah nizamiye turnikesinde 13,56 MHz kartını okutur. Tek okumada turnike açılır, devam kaydı oluşur ve puantaj vardiya planına göre işler; ayrı bir PDKS cihazına gerek kalmaz. Öğlen yemekhanede aynı kartla, o gün hakkı varsa öğünü düşülür. Tesise gelen taşeron ekibi de kartla girer; firmanın sözleşmesi bitince kartları tek tek kapatmak gerekmez, ilk okutmada geçiş "Firma sözleşmesi dışında" nedeniyle reddedilir.
KVKK açısından öne çıkan özellikler:
- Kart numarası saklanmaz; okunduğu anda cihazda kuruma özel anahtarla tek yönlü özete çevrilir, raporlarda yalnız son dört hane görünür.
- Saklama süresi dolan kayıtlarda kişiyle ilişkilendiren alanlar her gün kendiliğinden silinir; ayrılan personelin adı, iletişim bilgileri ve fotoğrafı da silinir, sayılar ve raporlar korunur.
- Denetim kaydı: her değişiklik önceki ve sonraki değeriyle kayda geçer; geçiş ve denetim kayıtları özet zinciriyle bağlıdır, silme ya da değiştirme zincir doğrulamasında tespit edilir.
- 43 ayrı panel izni; örneğin yalnız puantaj görme ya da yalnız yemekhane raporu yetkisi verilebilir.
- Raporlar bordroya aktarılabilir; puantaj vardiya planına göre hesaplanır.
- Silme talebi tek yerden: Smart360 ailesinin kurum tarafında silinen kişinin SmartPass'teki adı ve kişisel bilgileri silinir, kartı iptal edilir; sayılar korunur.
Sonraki adım
Kaç lokasyonda, kaç biyometrik terminal kullandığınızı ve şablonların nerede tutulduğunu bir sayfada toplayın. Bu bilgiyle bizimle iletişime geçtiğinizde geçiş takvimini, imha adımlarını ve SmartPass'in sizin vardiya düzeninizle nasıl çalışacağını birlikte planlarız.