İşyerine Girişte Parmak İzi veya Yüz Tanıma Zorunlu Olabilir mi? 2026 Mesai Takibi Kararı

Kapıdaki cihazın adı değil, yaptığı işlem önemlidir

Bir işyerinde çalışanlardan her sabah parmak izlerini okutmalarının veya kameraya bakarak kimliklerini doğrulamalarının istenmesi, yalnızca pratik bir giriş yöntemi olarak görülebilir. Oysa çalışma saatini belirlemek için kullanılan kayıtla kişiyi biyolojik özelliklerinden tanımaya yarayan veri aynı nitelikte değildir. İlk soru cihazın markası değil, hangi veriyi nasıl işlediği ve bunun hangi amaçla kullanıldığıdır.

Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli 2026/921 sayılı ilke kararı, yalnızca mesai takibi amacıyla biyometrik veri işlenmesinde daha az müdahaleci alternatiflere yönelinmesini öngörür. Dolayısıyla sıradan personel devam kontrolünde “Onay formunu imzaladınız, uygulama artık tartışılamaz” yaklaşımı güncel çerçeveyi karşılamaz. Buna karşılık kritik bir alanın güvenliği için yapılan kimlik doğrulaması ayrı özellikler taşıyabilir. İşyerindeki bütün cihazları aynı gerekçeyle tek başlık altında değerlendirmek yerine gerçek işleyişin ortaya konulması gerekir.

Hangi görüntü veya kayıt biyometrik veri sayılır?

6698 sayılı Kanunun güncel 6. maddesi biyometrik verileri özel nitelikli kişisel veriler arasında sayar. Bir kişinin fotoğrafının bulunması ile bu görüntünün teknik yöntemlerle benzersiz kimlik tanıma veya doğrulama için işlenmesi birbirinden ayrılmalıdır. Bu nedenle her kamera kaydının kendiliğinden aynı biyometrik işlem olduğu veya yüz görüntüsünden üretilen her kaydın sıradan fotoğraftan ibaret kaldığı söylenemez.

Çalışanın anlamak istediği sorular somutlaştırılabilir: Sistem yüz görüntüsünü yalnızca güvenlik görevlisine mi gösteriyor, yoksa kayıtlı kimlikle otomatik eşleştirme mi yapıyor? Parmak okutulduğunda hangi veri üretiliyor, bu veri çalışan numarasıyla nasıl ilişkilendiriliyor? Aynı terminal farklı işlevler yürütüyorsa her işlev ayrı açıklanmalıdır. Satıcının ürün adında “akıllı kart” veya “temassız giriş” demesi yeterli bilgi vermez. İşletmenin de cihazın kullanma kılavuzunu hukuki değerlendirme yerine koymadan teknik akışı anlayabilecek bir açıklama hazırlaması gerekir.

Mesai takibi için 2026 kararının getirdiği yaklaşım

Kurulun 2026/921 sayılı kararına ilişkin resmî açıklaması; mesai takibinde biyometrik veri işlemenin Kanunun 6. maddesindeki şartlara dayanmadığını ve geçerli açık rıza bulunsa bile ölçülülük kriterini sağlamadığını belirtir. Kart, PIN veya devam çizelgesi gibi alternatiflerle takip yapılması gerektiği açıklanır. Bu değerlendirme, işverenin çalışma sürelerini belgelemek istemesiyle seçtiği aracın hukuka uygunluğunu ayrı ele alır.

Pratik sonuç, bir işletmenin bütün devam kontrolünü aynı şekilde sürdürüp yalnızca form başlığını değiştirmesinin yeterli olmamasıdır. Örneğin kayıtlar her gün bordro sistemine aktarılıyor ve temel kullanım çalışanların giriş saatlerini hesaplamaksa, cihazın yanında güvenlik amacını belirten bir levha bulunması gerçek amacı tek başına değiştirmez. İnsan kaynakları, bilgi işlem ve tesis yönetimi sistemden ne aldıklarını birlikte açıklamalıdır. Böylece günlük çalışma kontrolünün hangi noktada biyometrik veriye bağlandığı anlaşılır; kararın uygulanacağı faaliyet görünür hale gelir.

Kritik alan güvenliği ile normal devam kontrolü aynı mı?

Kurumun 27 Ağustos 2026 tarihli açıklaması, yalnızca mesai takibini kritik alanlara erişim ve yetkilendirme gibi güvenlik süreçlerinden ayırır. Güvenlik amaçlı değerlendirmede somut ihtiyaç, alternatiflerin yetersizliği ve işlemenin gerekli alanlarla kişilerle sınırlanması önemlidir. Bu ayrım her işyerinin genel kapısını otomatik olarak kritik alan ilan edebileceği anlamına gelmez.

İşletme hangi riskten korunmak istediğini açıkça gösterebilmelidir. Bir odada özel güvenlik ihtiyacı bulunduğu düşünülüyorsa, o odaya hiç girmeyen personelin biyometrik kaydının neden alındığı ayrıca sorulur. Aynı kayıtla bütün binanın mesai kontrolünü yürütmek de ayrı bir kullanım yaratır. Kritik alana giriş yetkisi ile ücret hesabına veri gönderilmesi farklı amaçlardır. Amaçların aynı cihazda buluşması, birbirlerini kendiliğinden hukuka uygun hale getirmez. Teknik tasarımda ayrıştırılabilen işlevlerin idari belgelerde de anlaşılır biçimde ayrılması gerekir.

Somut güvenlik değerlendirmesinde binanın bütün alanlarının aynı hassasiyeti taşımadığı gösterilebilir. Çalışan yemekhaneye, toplantı odasına ve sınırlı erişim bölgesine aynı yetkiyle girmiyorsa, veri toplama kapsamının da neden tekleştirildiği açıklanmalıdır. Bu ayrım yalnızca kâğıt üzerindeki bölüm listesinde kalmamalı; kapı yetkileri ve sistem ayarlarıyla karşılaştırılmalıdır. İşletmenin genel güvenlik hedefi ile her kişi hakkında gerçekleştirilen işlem arasında izlenebilir bir bağlantı kurulması önemlidir.

Kod veya şablon saklanması hukuki değerlendirmeyi bitirir mi?

Kurumun Ağustos açıklaması, parmak izi veya benzeri verinin matematiksel kod ya da şablon halinde tutulmasının biyometrik niteliğini ortadan kaldırmadığını vurgular. Bu nedenle “Görüntü saklamıyoruz, sadece sayı tutuyoruz” cevabı tek başına yeterli değildir. Önemli olan kaydın kişiyi tanımaya yarayan teknik işlevi ve işlemdeki kullanımıdır.

İşletme tedarikçiden aldığı teknik açıklamayı çalışanların anlayacağı biçime çevirebilir. Cihaz üzerinde tutulan kayıtla merkezi sunucuya aktarılan kayıt aynı olmayabilir; yedekler veya bakım erişimi de ayrıca bulunabilir. Bütün sistemin yerel çalıştığı söyleniyorsa bunun gerçekte ne anlama geldiği anlaşılmalıdır. Hukuki dayanak sorunu ile teknik koruma sorunu da ayrıdır: Daha güvenli saklanan bir kayıt, gereksiz toplama sorununu kendiliğinden çözmez. Tersine hukuki temelin bulunması da kontrolsüz erişimi haklı kılmaz. İnceleme bu iki boyutu birlikte ele almalıdır.

Tedarikçi değişikliğinde de eski teknik açıklama yeni ürüne otomatik uygulanmamalıdır. Önceki cihazın yalnızca yerel eşleştirme yaptığı söylenmişken yeni sürümün farklı bir hizmete bağlanması mümkündür. Kurum içinde kimsenin fark etmediği bir özellik değişikliği, çalışanlara yapılan açıklamayı geride bırakabilir. Bu nedenle bakım veya güncelleme sürecinde hangi işlevlerin değiştiğini sorabilecek sorumlu kişinin belirlenmesi, cihaz kurulumunun tek seferlik satın alma işlemi gibi görülmesini önler.

Rıza formu ve alternatif kart uygulamada nasıl ele alınmalı?

İşçi ile işveren arasındaki güç farkı, çalışanın bir formu hangi koşullarda imzaladığını anlamayı gerektirir. Özellikle sisteme katılmamanın işe geç kalmış sayılma, binaya alınmama veya olumsuz değerlendirilme korkusu doğurduğu bir ortamda, yalnızca imza sayısına bakarak serbest tercih bulunduğu sonucuna varılamaz. Ancak mesele sadece daha iyi bir rıza formu hazırlamak da değildir; mesai amaçlı uygulama için güncel karar ayrıca dikkate alınır.

Kart gibi biyometrik olmayan yönteme geçiş planlanırken çalışanın günlük işleyişi düşünülmelidir. Kart teslimi, kayıp kartın yönetimi, vardiya değişikliği ve ziyaretçi girişleri düzenlenmezse eski terminal fiilen kullanılmaya devam edebilir. Alternatif sadece bir yöneticiye başvurulduğunda açılan istisnai bir yol olarak kalıyorsa rutin süreç hâlâ eski sistem üzerinde yürüyebilir. Geçişin tamamlandığı, yalnızca yeni cihaz alınmasından değil; fiilî giriş ve devam kontrolünün yeni işleyişle yapılabilmesinden anlaşılır. Çalışanların hangi kapıdan nasıl gireceğinin açıkça anlatılması bu nedenle önemlidir.

Geçiş gününde teknik aksaklık yaşayan personel için kimin yardımcı olacağı da belirlenmelidir. Kartın henüz hazırlanmadığı bir durumda kişinin yeniden biyometrik kayda yönlendirilmesi, ilan edilen yeni yöntemin uygulamada sürdürülemediğini gösterebilir. Plan; vardiyalı çalışanı, yeni işe başlayanı ve geçici görevlendirmeyle geleni de kapsamalıdır. Bu ayrıntılar önemsiz idari işlemler gibi görünse de yeni iletişim ve giriş düzeninin günlük hayatta gerçekten çalışmasını sağlar.

İşveren mevcut sistemi incelerken hangi kayıtları ayırmalı?

Sistem envanterinde önce kayıtlı kişi grupları belirlenebilir: Mevcut çalışanlar, eski çalışanlar, taşeron personeli ve ziyaretçiler aynı veri tabanında birikmiş olabilir. Ardından cihazın ne ürettiği, bilgilerin nereye aktarıldığı ve raporların kimlerce kullanıldığı anlaşılmalıdır. Sadece terminaldeki listeye bakmak, merkezde veya hizmet sağlayıcıda başka kopya bulunup bulunmadığını açıklamayabilir.

Mesai yöntemi değiştirilirken önceki devam kayıtlarıyla biyometrik şablonlar birbirine karıştırılmamalıdır. İşletmenin geçmiş çalışma sürelerine ilişkin belge ihtiyacı bulunması, eski kimlik doğrulama verisinin her koşulda aynı biçimde saklanmasını gerektirmez. Hangi kaydın hangi amaç ve dayanakla tutulacağı ayrı incelenmelidir. Kullanımdan kaldırılmış cihaz satılacak veya bakım firmasına verilecekse içerideki veri ayrıca düşünülmelidir. Bu işlem yalnızca donanım teslimi gibi görülürse eski çalışanların tanımları cihazla birlikte kurumun kontrolünden çıkabilir. Geçişte sorumlu birim ve tamamlanma kaydı belirlenmesi bu karışıklıkları azaltır.

Bir sistemin kullanımını durdurmak ile eski kayıtların yönetimini tamamlamak da farklı aşamalardır. Ana girişte yeni kart cihazı çalışmaya başlasa bile önceki eşleştirme veri tabanı başka bir sunucuda aktif kalabilir. Proje kapanışında yalnızca donanım montaj tutanağı değil, hangi işlevin kapatıldığı ve kalan verilerin nasıl değerlendirileceği de takip edilmelidir. Bu kontrol, teknik ekiple insan kaynaklarının aynı işlemin tamamlandığını farklı biçimde anlamasını azaltır.

Tamamen varsayımsal örnek: Depo kapısı ile personel turnikesi

Tamamen varsayımsal bir olayda Antalya'da faaliyet gösteren bir işletmenin bütün personeli ana girişte yüz tanımadan geçirilsin. Aynı sistem giriş saatlerini maaş hesaplamasına aktarsın. İşletmede ayrıca sınırlı sayıda kişinin girdiği özel bir bölüm bulunsun ve yönetim bütün sistemi bu bölümün güvenliğiyle açıklasın. Burada ana girişteki mesai takibi ile özel bölümün erişim kontrolü aynı gerekçeye bağlanmadan ayrı incelenmelidir.

İlk aşamada sistemden alınan raporlar, kayıtlı personel listesi ve bölümlere göre yetkiler karşılaştırılabilir. Özel bölüme hiç erişimi olmayan çalışanların neden aynı biyometrik veri tabanında bulunduğu sorulur. Mesai takibi için biyometrik olmayan akış hazırlanırken özel bölümdeki güvenlik gerekliliği ve alternatifler ayrıca değerlendirilir. Çözüm, sisteme yeni bir isim vermek veya bütün çalışanlardan tekrar imza almak değildir. Örneğin amacı bir işyerinin kesin hukuki durumunu ilan etmek değil, farklı amaçların bir cihaz altında gizlenmesini önleyecek incelemeyi göstermektir.

Çalışan nasıl açıklama ve değişiklik talep edebilir?

Çalışan başvurusunda cihazın bulunduğu yeri, uygulamanın ne zamandan beri kullanıldığını ve kendisinden ne istendiğini açıklayabilir. Hangi verisinin işlendiği, işlemenin mesai mi güvenlik mi amaçladığı ve biyometrik olmayan yöntemin nasıl kullanılabileceği sorulabilir. İtiraz dilekçesi hazırlanırken başka çalışanların şablonlarını veya yetkili olunmayan sistem ekranlarını elde etmeye çalışmak yerine kişinin kendi deneyimine ilişkin kayıtlarla ilerlemek daha uygundur.

İşverenin cevabı, kullanılan ürünün reklam broşürünü göndermekle sınırlı kalmamalıdır. Çalışanın hangi işlemle karşılaştığı ve talep edilen değişikliğin günlük giriş düzenine nasıl yansıyacağı açıklanmalıdır. Devam kaydı konusunda sorun yaşanıyorsa, kişinin işyerine geldiğini gösteren olağan kayıtlarla biyometrik işleme itirazı ayrı takip edilebilir. Kişisel veri başvurusu ile ücret, disiplin veya iş sözleşmesi uyuşmazlığının her durumda aynı yol ve sonuçları taşıdığı varsayılmamalıdır. Her talep, ilgili işlem ve koşullar üzerinden değerlendirilmelidir.

Çalışan sistemin gerçekte ne yaptığına ilişkin bilgiye sahip değilse, başvurusunu kesin teknik iddialarla kurmak zorunda değildir. Örneğin yüz görüntüsünün merkezi sunucuda tutulduğunu bilmiyorsa bunu olmuş bir olay gibi yazmak yerine açıklanmasını isteyebilir. Kendisine verilen talimat ve karşılaştığı cihaz yeterli başlangıç bilgisi olabilir. Böylece başvuru, söylentiye dayanan geniş suçlamalar yerine işverenin cevaplayabileceği somut sorulara odaklanır.

Sık sorulan sorular ve uygulanabilir kontrol planı

Cihazdaki kayıt sadece bana aitse sorun kalmaz mı? Kayıtların kaç kişiyi kapsadığı önemli olsa da işlemin amacı ve gerekliliği ayrıca değerlendirilir. Tek bir çalışanın kaydını tutmak, devam kontrolündeki hukuki soruyu kendiliğinden ortadan kaldırmaz. Aynı şekilde çalışanların çoğunluğunun uygulamayı pratik bulması, diğer kişilerin karşılaştığı veri işleme faaliyetinin incelemesini gereksiz hale getirmez.

Kartı başkasının kullanması ihtimali biyometrik sistemi zorunlu kılar mı? İşletme kart yönetimindeki somut sorunları belirleyip daha az müdahaleci denetim seçeneklerini değerlendirebilir. Bir yöntemin kötü kullanılabilme ihtimali, seçilen her alternatifin hukuka uygun olduğu anlamına gelmez. Vardiya sorumlusunun kontrolü, giriş yetkilerinin güncellenmesi ve kayıp kart düzeni gibi organizasyon unsurları da değerlendirmeye dahildir. Teknik sorun için getirilen çözümün veri üzerindeki etkisi ayrıca düşünülmelidir.

Yüz tanıma sistemi kaldırıldığında bordro kayıtları da silinir mi? Farklı kayıt türleri aynı işlem gibi ele alınmamalıdır. Uygulanabilir plan; biyometrik kimlik doğrulama verisini, çalışma sürelerine ilişkin kayıtları, erişim yetkilerini ve cihazın bakım süreçlerini ayırır. Çalışana anlaşılır bir giriş yöntemi sunulması ve kullanılan sistemin gerçek amacının belgelenmesi, hem günlük işleyişi hem kişisel veri yükümlülüklerini daha açık hale getirir.