İşyerinde İzleme Sistemlerinin Hukuka Uygunluğu: KVKK 2026/921 İlke Kararı Sonrası Durum

Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı, işyerlerinde mesai takibi amacıyla parmak izi gibi biyometrik verilerin işlenmesine ilişkin uzun süredir tartışılan bir konuyu netliğe kavuşturdu. Karar yalnızca parmak iziyle sınırlı bir mesele gibi görünse de, aslında kamera ile izleme ve araç takip sistemleri dahil olmak üzere işverenin çalışanı gözetim altında tutma yetkisinin genel sınırlarını yeniden çizmektedir.

Bu yazıda işyerinde izleme sistemlerinin hukuka uygunluk şartları, 2026/921 sayılı kararın getirdiği değişiklik ve işverenlerin bu karar sonrası dikkat etmesi gereken hususlar ele alınmaktadır.

Anayasal Temel: Kişisel Verilerin Korunmasını İsteme Hakkı

Türkiye Cumhuriyeti Anayasası’nın 20. maddesi, 2010 yılında eklenen fıkrayla herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğunu, bu hakkın kişinin verileri hakkında bilgilendirilme, bunlara erişme, düzeltilmesini veya silinmesini talep etme ve amacına uygun kullanılıp kullanılmadığını öğrenmeyi kapsadığını düzenler.

Aynı fıkra, kişisel verilerin ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceğini açıkça hükme bağlar. İşveren-çalışan ilişkisindeki her izleme uygulaması, bu anayasal çerçevenin içinde değerlendirilmek zorundadır.

KVKK’nın Genel İlkeleri: Ölçülülük Sınırı

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4. maddesi, kişisel verilerin işlenmesinde uyulması zorunlu ilkeleri sayar: hukuka ve dürüstlük kuralına uygunluk, doğruluk ve güncellik, belirli-açık-meşru amaçlarla işlenme, amaçla bağlantılı-sınırlı-ölçülü olma ve gerektiği süre kadar muhafaza edilme.

İşyerinde bir izleme sisteminin hukuka uygun olması için tek başına bir hukuki dayanağının bulunması yetmez; aynı zamanda bu ölçülülük testini de geçmesi gerekir: aynı amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa, daha invaziv yöntemin tercih edilmesi ölçülülük ilkesine aykırılık oluşturur.

İşyerinde Açık Rızanın Geçerliliği Sorunu

KVKK’nın 5. maddesi, kişisel verilerin kural olarak ilgili kişinin açık rızası olmaksızın işlenemeyeceğini, açık rıza aranmaksızın işlemenin ancak kanunda sayılan istisnai şartlardan birinin varlığında mümkün olduğunu düzenler. Ancak iş ilişkisinde açık rızanın geçerliliği, doktrinde ve Kurul kararlarında tartışmalıdır: işçi ile işveren arasındaki yapısal güç dengesizliği, rızanın 6698 sayılı Kanun’un 3. maddesinde tanımlanan “özgür iradeyle açıklanan rıza” niteliğini taşıyıp taşımadığı konusunda ciddi tereddüt yaratır.

Bir çalışanın, işini kaybetme endişesiyle imzaladığı bir rıza beyanının hukuken serbest kabul edilip edilemeyeceği, işyeri izleme sistemlerinin en tartışmalı noktasıdır.

Biyometrik Veri: Özel Nitelikli Kişisel Veri

KVKK’nın 6. maddesi, kişilerin biyometrik ve genetik verilerini, ırk, sağlık, dini inanç gibi diğer hassas veri kategorileriyle birlikte “özel nitelikli kişisel veri” olarak tanımlar ve bu verilerin işlenmesini kural olarak yasaklar. Aynı maddenin üçüncü fıkrası, özel nitelikli verilerin ancak açık rıza, kanunlarda açıkça öngörülme, hayati tehlike, hakkın tesisi-korunması gibi sınırlı istisnalarla işlenebileceğini düzenler.

Parmak izi, avuç içi damar izi, yüz tanıma verisi gibi mesai takibinde kullanılan tüm biyometrik ölçümler bu kapsamdadır; dolayısıyla bu verilerin işlenmesi, sıradan bir kişisel veriye göre çok daha sıkı bir hukuki denetime tabidir.

2026/921 Sayılı İlke Kararı Ne Diyor?

Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı, mesai takibi amacıyla biyometrik veri işlenmesini doğrudan konu almıştır. Karar, işçi-işveren ilişkisinde mevcut yapısal güç dengesizliğinin, açık rızanın özgür iradeye dayanıp dayanmadığı konusunda ciddi tereddüt yarattığını; geçerli bir açık rıza bulunsa dahi, mesai takibi amacıyla biyometrik veri işlenmesinin ölçülülük kriterini sağlamayacağını tespit etmiştir.

Kurul, mesai takibinin şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi daha az müdahaleci alternatif yöntemlerle sağlanması gerektiğini ilke olarak benimsemiştir.

Karar, KVKK’nın 4. maddesindeki ölçülülük ilkesi, 6. maddesinin üçüncü fıkrasındaki işleme şartları, 12. maddesinin birinci fıkrasındaki veri güvenliği yükümlülüğü ve 18. maddesindeki yaptırım hükümlerine dayandırılmış; 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanmıştır.

Kamera ile İzleme: Ayrı Bir Değerlendirme

Kurulun 04.08.2022 tarihli ve 2022/797 sayılı kararı, işyerinde güvenlik kamerası ve giriş-çıkışlarda yüz tanıma sistemi kullanılmasını konu almıştır.

Karara konu olayda, tuvalet yakınlarına yerleştirilen kameraların çalışanların mahremiyet beklentisini ihlal ettiği, yüz tanıma sistemi için alınan rızanın istihdam ilişkisi içinde gerçek bir seçim hakkı sunmadığı için geçerli açık rıza sayılamayacağı ve manyetik kart ya da RFID etiketi gibi daha az müdahaleci yöntemler mevcutken biyometrik veri işlenmesinin orantısız olduğu tespit edilmiştir.

Kurul bu olayda 500.000 TL idari para cezasının yanında, kameraların konumunun düzeltilmesine ve toplanan biyometrik verilerin imha edilmesine karar vermiştir.

Bu karar, güvenlik kameralarının kural olarak hukuka uygun bir izleme aracı olabileceğini, ancak konumlandırma ve kapsam bakımından da ölçülülük denetimine tabi olduğunu göstermektedir.

Karar Sonrası Mevcut Sistemlerin Durumu

2026/921 sayılı ilke kararı, halihazırda biyometrik mesai takip sistemi kullanan işverenler için bir geçiş sorunu doğurmaktadır. Kararın ilke niteliği, benzer başvurularda Kurul’un aynı gerekçeyi tekrar uygulayacağını göstermektedir; bu nedenle mevcut sistemi sürdüren işverenlerin şikâyet veya resen inceleme halinde KVKK’nın 12. maddesindeki veri güvenliği yükümlülüğüne aykırılık ve 18. maddesindeki idari para cezası riskiyle karşılaşması olasıdır.

İşverenlerin, mevcut biyometrik sistemlerini kart, PIN veya RFID tabanlı alternatiflerle değiştirmesi, geçiş sürecinde toplanmış olan biyometrik verilerin KVKK’nın 7. maddesi çerçevesinde silinmesi veya yok edilmesi ve bu sürecin KVKK’nın 10. maddesindeki aydınlatma yükümlülüğüne uygun biçimde çalışanlara bildirilmesi önerilir.

Araç Takip Sistemleri

Şirket araçlarına yerleştirilen GPS tabanlı takip sistemleri, biyometrik veri kategorisine girmese de KVKK’nın 4. maddesindeki ölçülülük ilkesine tabidir.

Aracın yalnızca mesai saatleri içinde ve iş amacıyla takip edilmesi, çalışanın mesai dışı özel kullanımının izlenmemesi, işverenin bu konuda dikkat etmesi gereken temel sınırlardır. Aracın sürekli ve mesai dışı saatleri de kapsayacak şekilde izlenmesi, ölçülülük ilkesine aykırılık oluşturabilir.

Sık Sorulan Sorular

İşçi, parmak izi ile mesai takibine yazılı olarak rıza gösterirse sistem hukuka uygun hale gelir mi?

2026/921 sayılı ilke kararına göre hayır. Kurul, geçerli bir açık rıza bulunsa dahi mesai takibi amacıyla biyometrik veri işlenmesinin ölçülülük kriterini sağlamayacağını tespit etmiştir; çünkü aynı amaca daha az müdahaleci alternatif yöntemlerle ulaşılabilmektedir.

Kamera ile izleme tamamen yasak mıdır?

Hayır. Güvenlik amaçlı kamera kullanımı kural olarak meşru bir amaç sayılabilir; ancak kameraların konumu, kapsamı ve çalışanların mahremiyet beklediği alanları (tuvalet, dinlenme odası gibi) hedeflememesi gerekir. 2022/797 sayılı kararda asıl ihlal, kameraların konumlandırılmasından ve buna eklenen yüz tanıma sisteminden kaynaklanmıştır.

Mevcut biyometrik sistemini değiştirmeyen işveren için ne olur?

KVKK’nın 18. maddesi, veri güvenliğine ilişkin 12. madde yükümlülüklerine aykırılık için 15.000 ile 1.000.000 Türk lirası arasında idari para cezası öngörür. Şikâyet veya resen inceleme halinde Kurul, 2026/921 sayılı ilke kararını emsal alarak benzer yaptırımlar uygulayabilir.

İlke kararı, geçmişte alınmış rızaları geçersiz mi kılar?

İlke kararı, geçmişte verilen rızaların otomatik olarak hükümsüz sayılacağını düzenlemez; ancak Kurul’un ölçülülük değerlendirmesi ileriye dönük her başvuruda aynı gerekçeyle uygulanacağından, mevcut sistemin sürdürülmesi risk taşımaya devam eder.

Sonuç

2026/921 sayılı ilke kararı, işyerinde biyometrik veri kullanımı konusunda Kurul’un tutumunu netleştirmiş ve işverenlere alternatif, daha az müdahaleci yöntemlere geçiş yönünde açık bir işaret vermiştir. Kamera ve araç takip sistemleri için de aynı ölçülülük mantığı geçerlidir.

İşyerindeki mevcut izleme sistemlerinin KVKK’ya uygunluğunun gözden geçirilmesi, hem idari para cezası riskinin önlenmesi hem de olası bir şikâyet sürecinde hazırlıklı olunması bakımından önem taşımaktadır; bu değerlendirme için bir avukattan hukuki destek alınması önerilir.

Kaynakça

• Türkiye Cumhuriyeti Anayasası, madde 20
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 4, 5, 6, 12 ve 18 (Resmî Gazete: 7.4.2016, Sayı: 29677)
• Kişisel Verileri Koruma Kurulu’nun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı (Resmî Gazete: 2.6.2026)
• Kişisel Verileri Koruma Kurulu’nun 04.08.2022 tarihli ve 2022/797 sayılı Kararı