Biyometrik Verilerin
KVKK Kapsamında İşlenmesi

Parmak İzi, Yüz Tanıma, El Geometrisi: "Kolaylık" mı, İhlal mi?

Bir spor salonunun üye girişinde parmak izi okutma sistemi, bir ofisin mesai giriş-çıkışında yüz tanıma turnikesi, bir hizmet binasının kapısında el geometrisi taraması... Biyometrik tanımlama sistemleri, "şifre unutmaz", "kart kaybolmaz" gibi pratik gerekçelerle son yıllarda hızla yaygınlaştı. Ancak Kişisel Verileri Koruma Kurulu'nun (Kurul) istikrarlı kararları ve 2026 yılında yayımlanan en güncel ilke kararı, bu uygulamaların büyük çoğunluğunun 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) aykırı olduğunu göstermektedir.

Bu yazıda, biyometrik verinin KVKK'daki özel konumunu; Kurul'un spor salonu, işyeri ve kamu kurumu örneklerinden oluşan istikrarlı içtihadını ve özellikle Kurul'un 29/04/2026 tarihli ve 2026/921 sayılı, mesai takibi amacıyla biyometrik veri işlenmesini genel ilke düzeyinde yasaklayan güncel kararını ele alıyor, işverenler ve üyelik esaslı işletmeler için bir kontrol listesi sunuyoruz.

Hukuki Çerçeve: Biyometrik Veri Neden "Özel Nitelikli"dir?

• KVKK m.6 — Özel nitelikli kişisel veri: Madde, "biyometrik ve genetik veriler"i açıkça özel nitelikli kişisel veri sayar. Bu verilerin işlenmesi KURAL OLARAK YASAKTIR; ancak açık rıza (m.6/3-a) veya kanunda açıkça öngörülme (m.6/3-b) gibi sınırlı istisnalardan biri varsa mümkündür. Diğer istisnalar (sağlık hizmeti, istihdam/iş sağlığı yükümlülüğü vb.) biyometrik tanımlama sistemlerine kural olarak uymaz.
• KVKK m.4 — Ölçülülük ilkesi: Veri işleme, "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmalıdır. Kurul'un istikrarlı yaklaşımı: daha az müdahaleci bir alternatif varsa (kart, PIN, imza), biyometrik veri işlemek ölçülülük ilkesine aykırıdır — bu değerlendirme, açık rıza var olsa dahi ayrı ve bağımsız bir engel oluşturur.
• KVKK m.10 — Aydınlatma yükümlülüğü: Veri sorumlusu, biyometrik veriyi toplarken amacı, hukuki sebebi ve aktarım ihtimalini AYRI ve AÇIK bir aydınlatma metniyle bildirmelidir; genel bir üyelik/iş sözleşmesi metnine gömülü belirsiz ifadeler yeterli değildir.
• KVKK m.7 — Silme/yok etme: İşlemeyi gerektiren sebep ortadan kalkınca (üyelik/iş ilişkisi bitince veya talep üzerine) biyometrik veri derhal silinmelidir; "teknik olarak silinemez" savunması Kurul tarafından kabul edilmemiştir (aşağıda 2020/915).

2026/921 Sayılı İlke Kararı: Mesai Takibinde Biyometrik Veri Yasak

Kurul'un 29/04/2026 tarihli ve 2026/921 sayılı ilke kararı, önceki münferit olay kararlarındaki (aşağıda) dağınık ilkeleri tek ve genel bir kural hâline getirmiştir: işverenlerin mesai (giriş-çıkış/devam) takibi amacıyla parmak izi, yüz tanıma, iris/retina taraması gibi biyometrik yöntemler kullanması, açık rıza alınmış olsa dahi KVKK'ya aykırıdır.

Kararın gerekçesi iki ayrı ayaktan oluşuyor:

• İstihdam ilişkisinde "özgür irade" sorunu: Kurul, işçi-işveren ilişkisindeki yapısal eşitsizliğin rızanın geçerliliğini baştan sakatladığını tespit etmiştir: "Özellikle işçi-işveren ilişkisinde mevcut olan yapısal güç dengesizliği, açık rızanın özgür iradeye dayanıp dayanmadığı hususunda ciddi tereddütler doğurmaktadır." Kurul'a göre, çalışanın rıza göstermeme veya rızasını geri çekme imkânı etkin biçimde sunulmuyorsa ya da rıza göstermemek çalışan için olumsuz sonuç doğurabiliyorsa, "çalışanın gerçek bir seçeneğe sahip olduğu söylenemeyeceğinden rızanın özgür iradeye dayandığından da söz etmek mümkün olmayacaktır."
• Ölçülülük ilkesi — rıza geçerli olsa dahi yetersiz: Kurul, rızanın istisnaen geçerli sayıldığı varsayımda dahi "alternatif, daha az müdahaleci yöntemlerin varlığı karşısında ilgili kişilerin açık rızası bulunsa dahi mesai takibi amacıyla biyometrik veri işlenmesinin Kanun'un 4'üncü maddesinde yer alan genel ilkeler kapsamında ölçülülük kriterini sağlamayacağını" belirtmiştir.

Kurul'un Münferit Olay Kararlarından Örnekler

2026/921 sayılı ilke kararı, aslında Kurul'un yıllardır spor salonu, işyeri ve kamu kurumu örneklerinde tekrarladığı ilkelerin genelleşmiş hâlidir:

• Spor salonu — flagship karar (2019/81 ve 2019/165): Üye giriş-çıkışı için el/avuç okutma sistemi kullanan iki spor salonu hakkında Kurul dört tespit yapmıştır: (1) el/parmak izi taraması özel nitelikli biyometrik veridir; (2) giriş kontrolü RFID/kart gibi alternatiflerle sağlanabilecekken biyometrik veri toplanması ölçülülük ilkesine aykırıdır; (3) hizmetten yararlanmanın biyometrik veri şartına bağlanması, rızayı özgür iradeyle verilmemiş ve dolayısıyla GEÇERSİZ kılar; (4) verilerin TV ekranında görünür olması veri güvenliği ihlalidir. Sonuç: iki ayrı idari para cezası + biyometrik verinin ivedilikle yok edilmesi talimatı.
• İşyerinde biyometrik + yurt dışı aktarım (2020/404): İşveren, parmak izi dahil çalışan verilerini aydınlatmasız işlemiş ve rıza vermeyenlerin özlük dosyasını "eksik" saymıştır. Kurul, istihdam ilişkisinde özgür iradeyle rıza alınamayacağını — 2026/921'in altı yıl önceki öncüsü niteliğinde — tespit etmiş, toplam 250.000 TL idari para cezası vermiştir.
• Belediye PDKS — "teknik olarak silinemez" savunması reddedildi (2020/915): Bir belediye memuru parmak izi verisinin silinmesini istemiş, belediye "teknik olarak imkânsız" demiştir. Kurul, alternatif giriş-çıkış yöntemlerinin yeterli olduğunu belirterek tüm parmak izi verisinin ivedilikle imhasını talimatlandırmıştır — kuralın kamu kurumları için de aynı şekilde uygulandığına dair önemli bir emsal.
• Ceza tutarları (2020/167, 2022/662): Spor salonunda avuç içi/parmak izi taraması 225.000 TL; bina girişinde açık rızasız el geometrisi uygulaması 100.000 TL idari para cezasıyla sonuçlanmıştır — biyometrik veri ihlallerinde ceza tutarlarının düşük olmadığını gösteren güncel referanslar.
• Biyometrik imza da aynı rejime tabi (2020/649): Kurul, tablet/elektronik ortamda alınan biyometrik imzanın da özel nitelikli kişisel veri olduğuna, Türk Borçlar Kanunu'ndaki imza hükmünün KVKK'nın "kanunlarda öngörülme" istisnasını KARŞILAMADIĞINA karar vermiştir — e-imza/tablet imza platformu kullanan işletmeler için ayrı bir açık rıza+aydınlatma gerekliliği doğurur.
• Özel nitelikli veri kombinasyonu (2022/1357): Bir spor salonunda üyelerin kan grubu (özel nitelikli sağlık verisi) ve biyometrik verileri birlikte, açık rızasız ve aydınlatmasız işlenmiş; Kurul 100.000 TL idari para cezası vermiş ve aydınlatma/rıza metinlerinin ayrı düzenlenmesini istemiştir.

Kontrol Listesi

1. Mesai/PDKS sisteminde biyometrik yöntemi bırak: 2026/921 sayılı ilke kararı uyarınca personel devam takibinde parmak izi/yüz tanıma KULLANILMAMALI; şifreli kart, PIN, RFID/NFC veya denetçi gözetiminde elle giriş gibi alternatiflere geçilmelidir.
2. Hizmeti biyometrik veri şartına bağlama: "Üye olmak/hizmet almak istiyorsan parmak izi ver" modeli, rızayı GEÇERSİZ kılar (2019/81-165); alternatif erişim yolu her zaman sunulmalıdır.
3. Aydınlatma metnini ayır: Biyometrik veri için amaç, hukuki sebep ve aktarım ihtimalini içeren AYRI ve açık bir aydınlatma metni hazırlanmalı (m.10); genel üyelik/iş sözleşmesine gömülü belirsiz ifadeler yeterli değildir (2020/404, 2022/1357).
4. Rıza vermeyeni cezalandırma: Rıza göstermeyen çalışan/üyenin özlük dosyasının "eksik" sayılması veya hizmetten mahrum bırakılması, rızanın özgür iradeye dayanmadığı sonucunu doğurur (2020/404, 2026/921).
5. Silme talebini "teknik imkânsızlık" ile reddetme: Üyelik/iş ilişkisi sona erdiğinde veya talep geldiğinde biyometrik veri ivedilikle silinmeli; "sistemden çıkarılamaz" savunması Kurul tarafından kabul görmemektedir (2020/915).
6. Elektronik/biyometrik imza platformlarını da denetle: Tablet imza, e-imza gibi sistemler de aynı özel nitelikli veri rejimine tabidir; ayrı açık rıza ve aydınlatma gerektirir (2020/649).
7. Veri güvenliğini unutma: Biyometrik veriye ilişkin bilgilerin (ad, son giriş saati vb.) üçüncü kişilerce görülebilir ekranlarda/sistemlerde gösterilmesi ayrı bir veri güvenliği ihlalidir (2019/81-165).

Sonuç

Kurul'un 2019'dan bu yana istikrarlı biçimde işlediği biyometrik veri içtihadı, 2026/921 sayılı ilke kararıyla artık münferit olay kararlarının ötesinde genel ve bağlayıcı bir kural hâline gelmiştir: istihdam ilişkisinde açık rıza çoğu zaman "özgür irade" testini geçemez, ve daha az müdahaleci bir alternatif varsa biyometrik veri işlemek ölçülülük ilkesine aykırıdır. Halihazırda parmak izi, yüz tanıma veya el geometrisi tabanlı bir sistem kullanan işverenler ve üyelik esaslı işletmeler için pratik öncelik, bu sistemleri gözden geçirip Kurul'un önerdiği alternatif yöntemlerden birine geçiş planı oluşturmaktır.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.4, 6, 7, 10, 18 (mevzuat.gov.tr)
• KVKK Kurulu, 29/04/2026 t. 2026/921 s. İlke Kararı Kamuoyu Duyurusu — kvkk.gov.tr
• KVKK Kurulu, 25/03 ve 31/05/2019 t. 2019/81 ve 2019/165 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 20/05/2020 t. 2020/404 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 01/12/2020 t. 2020/915 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 27/02/2020 t. 2020/167 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 07/07/2022 t. 2022/662 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 27/08/2020 t. 2020/649 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 23/12/2022 t. 2022/1357 s. Karar Özeti — kvkk.gov.tr