Personel Giriş Çıkış Takibi Yasal Olarak Zorunlu mu? Parmak İzi, QR Kod ve KVKK (2026)

Personel Giriş Çıkış Takibi Yasal Olarak Zorunlu mu?

Kısa cevap: Zorunlu olan şey çalışma sürelerinin kayıt altına alınması ve belgelenmesidir — bunu parmak iziyle yapmak zorunlu değildir. Mevzuatta "personel giriş çıkış takip sistemi kurun" diyen bir hüküm yoktur; ancak işveren çalışma sürelerini belgelemek, günlük çalışmanın başlama ve bitiş saatlerini işyerinde duyurmak ve fazla çalışma uyuşmazlığında çalışılan süreyi ispatlamak durumundadır. Yöntem seçimi işverene bırakılmıştır ve tam da bu nedenle en az müdahaleci yöntem tercih edilmelidir: parmak izi ve yüz tanıma özel nitelikli kişisel veridir (6698 sayılı Kanun md. 6), kart, PIN ve QR kod ise biyometrik veri işlemez.

Soru genellikle iki ayrı soruyu içerir ve karıştırıldığında yanlış cevap üretir:

Yani "PDKS zorunlu mu?" sorusunun doğru hâli şudur: kayıt zorunludur, cihaz zorunlu değildir. Kayıt yöntemi seçilirken ölçüt uygunluk değil gerekliliktir — aynı amaca daha az kişisel veri işleyerek ulaşılabiliyorsa, fazlasını işlemek hukuka aykırı hâle gelir.

Kayıt Zorunluluğunun Kaynağı: Hangi Kural Neyi İstiyor?

Çalışma süresi kaydı tek bir maddeye değil, birbirini tamamlayan dört yükümlülüğe dayanır:

1. Çalışma süresinin belgelenmesi. İş Kanununa İlişkin Çalışma Süreleri Yönetmeliği işverene, işçilerin çalışma sürelerini uygun şekillerde belgeleme yükümlülüğü getirir. "Uygun şekil" tanımlanmamıştır; imzalı puantaj cetveli de, elektronik giriş-çıkış kaydı da bu tanıma girer.
2. Çalışma saatlerinin duyurulması. Günlük çalışmanın başlama ve bitiş saatleri ile dinlenme saatleri işyerlerinde işçilere duyurulur (4857 sayılı İş Kanunu md. 67). Bu, kaydın kendisinden ayrı bir yükümlülüktür ve vardiyalı düzende özellikle önem kazanır.
3. Fazla çalışmanın ispatı. Fazla çalışma uyuşmazlıklarında işveren yazılı kayıt (puantaj, imzalı ücret hesap pusulası, giriş-çıkış kaydı) sunamazsa, çalışanın iddiası tanık beyanıyla kanıtlanabilir hâle gelir. Kayıt tutmamanın bedeli çoğunlukla bir idari ceza değil, kaybedilen bir davadır.
4. İşyeri kayıtlarının saklanması. 5510 sayılı Kanun md. 86 uyarınca işveren, işyeri defter, kayıt ve belgelerini ilgili olduğu yılı takip eden yıl başından itibaren on yıl süreyle saklamak ve SGK denetimine ibraz etmek zorundadır. Puantaj ve giriş-çıkış kayıtlarının saklama süresini pratikte belirleyen kural budur.

Dikkat edilmesi gereken nokta şu: bu dört yükümlülüğün hiçbiri hangi teknolojinin kullanılacağını söylemez. Mevzuat sonucu ister — doğrulanabilir bir çalışma süresi kaydı — yöntemi işverene bırakır. Yöntem seçimini sınırlayan kural ise iş mevzuatında değil, veri koruma mevzuatındadır.

Birincil kaynaklar: 4857 sayılı İş Kanunu — Resmî Gazete, 10 Haziran 2003, sayı 25134 (çalışma saatlerinin duyurulması md. 67, fazla çalışma md. 41) · İş Kanununa İlişkin Çalışma Süreleri Yönetmeliği · 5510 sayılı Kanun — Resmî Gazete, 16 Haziran 2006, sayı 26200 (işyeri kayıtlarının saklanması md. 86).

Parmak İzi ve Yüz Tanıma Neden En Riskli Yöntem? (KVKK md. 6)

Kısa cevap: Parmak izi, avuç içi damar izi ve yüz tanıma biyometrik veridir ve 6698 sayılı Kanun md. 6 uyarınca özel nitelikli kişisel veri sayılır. Özel nitelikli veriler yalnızca kanunda öngörülen şartlarla işlenebilir ve her hâlde md. 4'teki ölçülülük ilkesine tabidir: aynı amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa biyometrik veri işlemek hukuka aykırı hâle gelir. Giriş-çıkış takibi, kart veya QR kod gibi biyometrik olmayan yöntemlerle sağlanabildiği için parmak izi bu testi geçmekte zorlanır — çalışanın açık rızası alınmış olsa bile.

Buradaki hukuki mekanizmayı anlamak, doğru kararı vermenin tamamıdır:

• Biyometrik veri değiştirilemez. Şifre sızarsa değiştirilir, kart kaybolursa iptal edilir; parmak izi sızdığında geri alınamaz. Riskin bu kalıcılığı, mevzuatın bu veri kategorisini neden ayrı bir rejime tabi tuttuğunun temel gerekçesidir.
• Açık rıza tek başına aklamaz. İş ilişkisinde çalışan ile işveren arasında bağımlılık vardır; işe devam edebilmek için verilen bir rızanın "özgür iradeyle" verildiğini savunmak güçtür. Ayrıca rıza, ölçülülük ilkesinin yerini tutmaz: gereksiz bir veri işleme, rıza alınsa da amaçla sınırlı ve ölçülü olma ilkesine aykırı kalır.
• Alternatifin varlığı belirleyicidir. Ölçülülük testinde sorulan soru "bu yöntem işe yarıyor mu" değil, "daha az veri işleyen bir yöntemle aynı sonuca ulaşılabilir mi"dir. Kart, PIN ve QR kod bu sonucu ürettiği için biyometrik yöntemin gerekliliğini savunmak zorlaşır.
• Yedek yöntem sunmak yetmeyebilir. "İsteyen parmak izi kullanır, istemeyen kart" düzeni, kart yönteminin zaten yeterli olduğunu gösterdiği için biyometrik seçeneğin gerekliliği argümanını çürütür.

Kişisel Verileri Koruma Kurulu'nun biyometrik verilerin işlenmesine ilişkin rehberi de aynı yaklaşımı benimser: biyometrik veri işleme, amaca ulaşmak için zorunlu olduğu ve daha hafif bir alternatifin bulunmadığı hâllerle sınırlı tutulmalı, işlenecekse ayrı bir aydınlatma, ayrıca alınan açık rıza, sıkı erişim yetkilendirmesi ve şablon verinin geri döndürülemez biçimde saklanması gibi ek güvenlik tedbirleriyle birlikte uygulanmalıdır.

Birincil kaynaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu — Resmî Gazete, 7 Nisan 2016, sayı 29677 (genel ilkeler md. 4, özel nitelikli kişisel veriler md. 6 — bu madde 2024 yılında 7499 sayılı Kanunla yeniden düzenlenmiştir; aydınlatma yükümlülüğü md. 10, veri güvenliği md. 12) · Kişisel Verileri Koruma Kurulu'nun biyometrik verilerin işlenmesine ilişkin rehberi (kvkk.gov.tr).

KVKK 2026/921 Sayılı İlke Kararı: Parmak İziyle Mesai Takibi Artık Açık Rızayla da Yapılamıyor

Kısa cevap: Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı ile mesai takibi amacıyla biyometrik veri işlenmesini hukuka aykırı bulmuştur. Karar, 02.06.2026 tarihinde Kurum tarafından kamuoyu duyurusuyla yayımlanmıştır. Kurul'un gerekçesi iki ayaklıdır: (1) mesai takibinin biyometrik veriyle yapılmasını öngören açık bir kanuni düzenleme yoktur ve işleme, 6698 sayılı Kanun md. 6'daki şartlardan hiçbirine dayanmamaktadır; (2) işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle açık rızanın özgür iradeye dayandığı kabul edilemez. Yani rıza alınmış olması uygulamayı hukuka uygun hâle getirmez.

Bu rehberin önceki bölümünde anlatılan ölçülülük mantığı, artık soyut bir yorum değil; numaralı ve tarihli bir Kurul kararının gerekçesidir. İşveren tarafında sonuç nettir: parmak izi, yüz tanıma, iris ve retina taramasıyla mesai takibi yapan bir sistem, çalışanlar imza vermiş olsa dahi savunulabilir değildir.

Kurul'un işaret ettiği hukuka uygun alternatifler — kamuoyu duyurusunda sayılan yöntemler şunlardır: şifreli kart sistemleri, PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ve denetçi gözetiminde elle giriş. Bu listede biyometrik hiçbir yöntem yoktur; buna karşılık listenin tamamı kimliği doğrulayan ama değiştirilemez bir vücut özelliği işlemeyen yöntemlerden oluşur. empuno PDKS modülü bu mantığa uygun çalışır: kimlik doğrulaması kısa ömürlü QR kod ve uygulama oturumu üzerinden yapılır, biyometrik şablon hiçbir aşamada üretilmez veya saklanmaz.

Halihazırda parmak izi okuyucu kullanan işveren ne yapmalı? Sıra şudur: (1) biyometrik toplamayı durdurun; (2) cihazda ve sunucuda tutulan biyometrik şablonları imha edin ve imha işlemini tutanakla kayıt altına alın; (3) biyometrik olmayan bir yönteme geçin; (4) aydınlatma metnini ve VERBİS kaydınızdaki veri kategorilerini güncelleyin; (5) saklama ve imha politikanızı yeni yönteme göre revize edin. Cihazın satın alınmış olması, kullanımına devam etmek için bir gerekçe oluşturmaz.

Yöntem Karşılaştırma Tablosu: Parmak İzi, Yüz Tanıma, Kart, QR Kod ve Konum

Aşağıdaki tablo, aynı amacı (çalışma süresinin doğrulanabilir kaydı) sağlayan yöntemleri işlenen veri türü ve KVKK riski bakımından karşılaştırır. Sıralama, veri koruma riskine göre düşükten yükseğe doğrudur:

QR kodun neden düşük riskli olduğu sık sorulur: QR kod bir kimlik doğrulama aracıdır, kimlik ölçüm aracı değildir. Sistem, kişinin bedenine ait hiçbir özelliği ölçmez; yalnızca "bu kullanıcı, bu anda, bu ekrana okuttu" bilgisini üretir. Kodun paylaşılarak kötüye kullanılması riski ise kodun ömrünü kısaltarak yönetilir — kod saniyeler içinde geçersizleşiyorsa uzaktan paylaşım pratikte işe yaramaz. Bu yaklaşım, veri koruma riskini artırmadan doğrulama gücünü yükselttiği için ölçülülük testine en uygun çözümlerden biridir.

Yöntem seçerken sorulacak dört soru şudur: (1) Bu veri olmadan aynı sonuca ulaşabilir miyim? (2) Verinin saklama süresi belirli mi? (3) Veriye kimlerin erişeceği yetkiyle sınırlı mı? (4) Çalışan neyin, neden, ne kadar süre işlendiğini yazılı olarak biliyor mu? Dördüne birden "evet" diyemeyen bir kurgu, teknolojisi ne olursa olsun uyumlu değildir.

Konum Doğrulaması (GPS) KVKK Açısından Nasıl Kurgulanır?

Saha ve uzaktan çalışmada konum doğrulaması, işyeri dışında çalışan personelin mesai başlangıcını teyit etmenin en pratik yoludur. Konum verisi biyometrik veri değildir ve özel nitelikli sayılmaz; ancak kişisel veridir ve amaç aşımına en açık kategorilerden biridir. Uyumlu kurgunun beş kuralı vardır:

1. Sürekli izleme değil, anlık doğrulama. Konum yalnızca giriş ve çıkış anında, çalışanın kendi eylemiyle alınmalıdır. Mesai boyunca arka planda konum toplamak, amacı (çalışma süresinin kaydı) aşar ve ölçülülük ilkesine aykırı hâle gelir.
2. Ham koordinat yerine sonuç. Sistemin kaydetmesi gereken bilgi genellikle "şu koordinatta bulundu" değil, "tanımlı şube/şantiye alanının içindeydi" sonucudur. Ham koordinatı hiç saklamamak, aynı amaca daha az veriyle ulaşmaktır.
3. Mesai dışında toplama yok. Vardiya dışındaki saatlerde konum alınmamalı, uygulama bu süre boyunca konum izni kullanmamalıdır.
4. Aydınlatma metni bu kullanımı açıkça anlatmalı. "Kişisel verileriniz işlenmektedir" düzeyinde genel bir metin yeterli değildir; hangi anda, hangi veri, hangi amaçla, ne kadar süreyle ve kime aktarılarak işlendiği yazılmalıdır (6698 sayılı Kanun md. 10).
5. Saklama süresi ve imha planlanmalı. Konum doğrulama kayıtları, çalışma süresi kaydının saklanma süresini aşacak şekilde tutulmamalıdır; kişisel veri saklama ve imha politikasında bu veri kalemi ayrıca gösterilmelidir.

Uygulamada en sık yapılan hata, konum doğrulamasını bir performans izleme aracına dönüştürmektir. Aynı veri iki farklı amaçla kullanıldığında, ikinci amaç için ayrı hukuki sebep ve ayrı aydınlatma gerekir; çalışma süresi kaydı için toplanan konumun "gün içinde nerede dolaştı" sorusuna cevap vermek üzere kullanılması amaçla sınırlılık ilkesinin ihlalidir.

Bu ilkelerin ürün tarafındaki karşılığı somuttur: empuno'nun dijital PDKS akışında giriş-çıkış, işyerinde üretilen kısa ömürlü QR kodun çalışanın kendi telefonuyla okutulmasıyla kaydedilir; biyometrik veri hiç işlenmez ve konum doğrulaması, kullanıldığı yerde arka plan izlemesi değil okutma anına bağlı bir teyittir. Sistemin nasıl çalıştığını PDKS nedir rehberinde ayrıntılı anlattık.

Yöntemleri Müdahale Derecesine Göre Sıralamak

2026/921 sayılı İlke Kararı doğrudan konum doğrulaması hakkında değildir; biyometrik veriye ilişkindir. Ancak kararın dayandığı ölçüt — aynı amaca daha az müdahaleyle ulaşılabiliyorsa daha müdahaleci yöntem gerekli sayılmaz — yönteme özgü değil, ilkeseldir ve konuma da uygulanır. Bu ölçütü uyguladığımızda mesai doğrulama yöntemleri şöyle sıralanır. Tablodaki "neden" sütunu, kararın ve 6698 sayılı Kanun md. 4'ün gerekçesine bağlıdır:

Sıralamanın pratik okunuşu şudur: 1 ve 2 numaralı yöntemlerden kaçının; 5 mümkünse 5'i seçin; sahada konum teyidi gerçekten gerekiyorsa 3 yerine 4'ü kurgulayın. Aradaki fark tek bir tasarım kararıdır — koordinatı kaydetmek yerine koordinatı yalnızca karşılaştırıp sonucu kaydetmek — ama ölçülülük değerlendirmesinde belirleyici olan tam da budur. Bir denetimde "neden bu yöntemi seçtiniz" sorusuna verilecek cevap, bu tablodaki gerekçe sütunudur; kararın kendisi kadar kararın belgelenmiş gerekçesi de aranır.

Not: Bu bölüm genel bilgilendirme amaçlıdır. 2026/921 sayılı İlke Kararı biyometrik veriye ilişkindir; konum yöntemlerine dair yukarıdaki sıralama, kararın ve 6698 sayılı Kanun md. 4'ün ilkelerinin uygulanmasından çıkarılmıştır, konum hakkında verilmiş ayrı bir Kurul kararı değildir.

İşveren İçin KVKK Uyum Kontrol Listesi: Aydınlatma, Saklama, İmha

Yöntem hangisi olursa olsun, personel takip verisi bir kişisel veri işleme faaliyetidir ve aşağıdaki sekiz adımın tamamlanması gerekir:

Son bir uyarı: KVKK uyumu, İş Kanunu yükümlülüğünü ortadan kaldırmaz. "Veri işlemeyelim" diyerek kayıt tutmamak, fazla çalışma uyuşmazlığında ispat aracını da yok eder. Doğru denge, kaydı tutmak ama en az veriyle tutmaktır: çalışma süresini doğrulayan, biyometrik veri işlemeyen, saklama süresi belirli ve erişimi yetkiye bağlı bir kayıt hem iş hukuku hem veri koruma tarafını aynı anda karşılar.

Birincil kaynaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu — Resmî Gazete, 7 Nisan 2016, sayı 29677 (aydınlatma md. 10, veri güvenliği md. 12, kabahatler md. 18) · 5510 sayılı Kanun md. 86 (işyeri kayıtlarının saklanması) · Kişisel Verileri Koruma Kurumu yayınları (kvkk.gov.tr). KVKK idari para cezaları her yıl yeniden değerleme oranıyla güncellenir; yürürlükteki tutarları Kurumun duyurularından teyit edin.