Parmak İziyle Personel Takibi: KVKK 2026 Kontrolü

Personel mesaisini yalnızca parmak izi veya yüz tanımayla takip eden işletmeler, 2 Haziran 2026’da yayımlanan KVKK İlke Kararı sonrası sistemi bu ay gözden geçirmelidir. Çalışandan imzalı izin alınması tek başına yeterli olmayabilir; kart, kişisel kod veya denetimli imza gibi daha sınırlı yöntemlerle puantajı sürdürmek çoğu işletme için değerlendirilmesi gereken seçenektir.

Parmak iziyle personel takibi yasak mı?

Her durumda yasak olduğu söylenemez; ancak yalnızca işe giriş ve çıkış saatini kaydetmek için parmak izi veya yüz tanıma kullanmak hukuken sorunlu olabilir.

Kişisel Verileri Koruma Kurulu (KVKK), 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı ile bu konuyu özellikle ele aldı. Karar, 2 Haziran 2026 tarihinde Resmî Gazete’de yayımlandı. Kurulun değerlendirmesine göre işverenin çalışma sürelerini takip etme yükümlülüğü vardır; fakat bu yükümlülük, her işletmenin mutlaka parmak izi ya da yüz tanıma kullanmasını gerektirmez.

Parmak izi, yüz tanıma, göz irisi ve retina taraması, kişiyi fiziksel özelliklerinden tanımaya yarayan biyometrik veri kapsamındadır. Biyometrik veri, kişinin değiştiremeyeceği vücut özelliklerine ilişkin hassas bilgidir. Bu nedenle normal bir isim, telefon numarası veya personel kartı numarasından daha dikkatli ele alınır.

Örneğin bir otelde resepsiyon, kat hizmetleri ve mutfak ekibinin vardiya başlangıcını görmek için girişte yüz okutuluyorsa; amaç yalnızca “kim saat kaçta geldi?” sorusuna cevap vermektir. Aynı sonuca personele özel kart, kişisel kod veya yöneticinin denetlediği imza çizelgesi ile ulaşılabiliyorsa, biyometrik yöntem gereğinden ağır kabul edilebilir.

Çalışandan imza almak sistemi yeterli hâle getirir mi?

Hayır. Açık rıza formu imzalatmak, mesai takibinde biyometrik veri kullanımını tek başına güvenli veya uygun hâle getirmez.

Çalışan ile işveren arasındaki ilişki eşit güçte değildir. İşe devam etmek, vardiyasını kaybetmemek veya yöneticiyle sorun yaşamamak isteyen bir çalışan, aslında istemese bile formu imzalamış olabilir. KVKK, bu nedenle çalışanların verdiği rızanın her zaman özgür iradeye dayandığının varsayılamayacağını vurguluyor.

Burada iki belgeyi birbirine karıştırmamak gerekir:

• Aydınlatma metni, işletmenin hangi bilgiyi, hangi amaçla, ne kadar süreyle kullandığını çalışanına anlatan bilgilendirmedir.
• Açık rıza, kişinin belirli bir veri kullanımı için özgürce onay vermesidir.

Bir personele aydınlatma metni vermek, ondan ayrıca onay almak anlamına gelmez. Onay formu imzalatmak da işletmenin veri kullanımını otomatik olarak uygun yapmaz. Önce gerçekten parmak izi veya yüz verisine ihtiyaç olup olmadığı değerlendirilmelidir.

Bu ayrım, işe giriş evraklarını hazırlayan insan kaynakları sorumlusu, muhasebe ofisi ve cihazı kuran firma tarafından birlikte netleştirilmelidir. “Herkes imzaladı” yaklaşımı, olası bir çalışan şikâyetinde yeterli açıklama olmayabilir.

İşletmeniz bu ay hangi kontrolleri yapmalı?

Önce hangi cihazın ne topladığını öğrenin, sonra yalnızca mesai amacıyla kullanılan biyometrik sistemi kartlı veya kodlu bir seçeneğe geçirme planı yapın.

Cihazın kapıda duruyor olması, sistemin nasıl çalıştığını bildiğiniz anlamına gelmez. Bazı işletmelerde cihazı eski bir tedarikçi kurmuş, şifreleri başka bir çalışan biliyor veya kayıtların nerede tutulduğu net değil. Otel sezonu, restoranın yoğun servisi ya da klinikteki randevu akışı devam ederken aceleyle cihazı sökmek yerine, düzenli bir geçiş planı izleyin.

1. Tüm giriş-çıkış noktalarını listeleyin. Resepsiyon, personel girişi, depo, mutfak, şube veya klinik bölümü dahil hangi noktada parmak izi ya da yüz tanıma kullanıldığını yazın.
2. Kullanım amacını her cihaz için ayırın. Cihaz sadece vardiya başlangıcını mı kaydediyor, yoksa kasa, ilaç dolabı, arşiv odası gibi kritik bir alana girişi de mi kontrol ediyor? Bu iki amaç aynı değerlendirilmez.
3. Mevcut kayıtları ve tedarikçi belgelerini bulun. Cihazı sağlayan firmayla yapılan sözleşmeyi, çalışanlara verilen metinleri, kullanım kılavuzunu ve kimlerin yönetim ekranına eriştiğini bir dosyada toplayın.
4. Biyometrik olmayan alternatifi seçin. Her personele özel kart, kişisel kod veya denetimli imza yöntemi arasından iş akışınıza uygun olanı belirleyin. Vardiyalı bir otel ile tek şubeli mağazanın ihtiyacı aynı olmayabilir.
5. Geçiş gününü ve sorumluları belirleyin. Kartları kim teslim edecek, kayıp kartı kim iptal edecek, unutulan giriş kaydı kim tarafından düzeltilecek ve yönetici raporu kimde olacak? Bunları yazılı hâle getirin.
6. Çalışanları önceden bilgilendirin. Yeni yöntemin başlama tarihini, kartını veya kodunu nasıl kullanacaklarını ve hatalı kayıt olduğunda kime başvuracaklarını açıkça anlatın.
7. Eski veriler için ayrıca karar verin. Eski parmak izi veya yüz kayıtlarının ne yapılacağı, saklama gerekliliği ve silme süreci işletmenizin durumuna göre değerlendirilmelidir. Bu noktada personel işlemlerinizi bilen hukuk veya insan kaynakları danışmanından görüş alın.

Bu listeyi tamamlamadan yeni bir yüz tanıma cihazı satın almayın. Satın alma kararında “cihaz hızlı okuyor” veya “personel birbirinin yerine kart basamasın” gerekçesi tek başına yeterli bir değerlendirme değildir.

Otel, restoran ve klinik için hangi yöntemler kullanılabilir?

KVKK, daha az müdahaleci yöntemler olarak şifreli personel kartı, kişisel kod, temassız kart, imza çizelgesi ve denetimli manuel kaydı örnek gösteriyor.

Temassız kart, çalışanın kendisine tanımlanmış kartı okuyucuya yaklaştırmasıyla giriş-çıkış saatinin kaydedildiği yöntemdir. Kişisel kod ise çalışanın yalnızca kendisinin bildiği bir numarayla kayıt oluşturmasıdır. Hangi yöntemin uygun olduğu; çalışan sayısına, şube düzenine, vardiya yoğunluğuna ve yöneticinin kontrol ihtiyacına göre belirlenir.

İşletme durumu	Değerlendirilebilecek yöntem	Uygulamada dikkat edilecek konu
Sezonluk çalışanı olan otel	Personel kartı ve vardiya listesi	İşe ayrılan personelin kartı aynı gün kapatılmalı, vardiya değişikliği kayda alınmalıdır.
Yoğun servis yapan restoran	Kişisel kod ve yönetici onayı	Unutulan veya hatalı girişler gerekçesiyle birlikte sorumlu yönetici tarafından düzeltilmelidir.
Birden fazla şubesi olan mağaza	Şubeye göre tanımlı kart sistemi	Her şubenin günlük giriş-çıkış özeti yönetici tarafından kontrol edilmelidir.
Randevulu çalışan klinik	Kartlı takip ve randevu planı karşılaştırması	Çalışma kaydı ile hekimin veya personelin randevu programı arasında fark varsa açıklama süreci belirlenmelidir.

Kartlı veya kodlu takipte “başkası yerine giriş yapılması” endişesi olabilir. Bu risk, biyometrik veri toplamadan da azaltılabilir: yöneticinin vardiya başlangıcında kontrolü, beklenmeyen kayıtlar için onay adımı, kayıp kartın anında kapatılması ve düzenli rapor incelemesi etkili tedbirlerdir. Amaç yüzde yüz kusursuz bir cihaz değil; işletmenin ihtiyacına uygun, ölçülü ve denetlenebilir bir süreç kurmaktır.

Güvenlik için yüz tanıma kullanılıyorsa durum değişir mi?

Kritik bir alana erişimi sınırlandırma amacı, yalnızca mesai takibinden farklı değerlendirilebilir; yine de kullanım gerekli kişiler ve alanlarla sınırlı olmalıdır.

Örneğin otelin genel personel girişinde herkesin vardiyasını takip etmek ile yalnızca kasa odası, ilaç saklama alanı veya yüksek güvenlik gerektiren özel bir arşive erişimi kontrol etmek aynı değildir. Ancak “güvenlik” ifadesini genel bir gerekçe olarak kullanmak yeterli olmaz.

İşletmenin şu sorulara yazılı ve somut cevap verebilmesi gerekir: Bu alan neden kritik? Her çalışanın erişimine neden izin verilmiyor? Kart, anahtar veya kod ile aynı güvenlik seviyesi sağlanabilir mi? Biyometrik yöntem kullanılacaksa hangi personel, hangi kapı ve hangi süreyle kapsamda olacak? Bu değerlendirme yapılmadan mesai cihazını “güvenlik cihazı” olarak adlandırmak riski ortadan kaldırmaz.

KVKK cezası ne kadar olabilir?

2026 yılında veri güvenliği yükümlülüklerine aykırılık için öngörülen idari para cezası 256.357 TL ile 17.092.242 TL arasındadır; bu tutar parmak izi cihazı olan her işletmeye otomatik uygulanmaz.

KVKK’nın 10 Eylül 2026 tarihli güncel ceza tutarlarında yer alan bu aralık, ihlalin niteliğine ve hangi yükümlülüğün ihlal edildiğine göre değişir. Bir çalışan şikâyeti, yetersiz bilgilendirme, gereğinden fazla veri kullanımı veya verinin korunmasındaki eksiklikler farklı başlıklarda ele alınabilir.

Bu nedenle “cihazı yıllardır kullanıyoruz, şimdiye kadar şikâyet olmadı” yaklaşımı güvenli değildir. Ceza tutarı dışında çalışanla uyuşmazlık, işyeri güveninin zedelenmesi, cihaz değişim maliyeti ve geçiş döneminde puantaj hataları da işletmenin karşılaşabileceği sonuçlardır. Erken planlanan kartlı veya kodlu geçiş, yoğun sezonda aniden süreç değiştirmekten daha yönetilebilir olur.

Personel takip sistemi kurulurken kimden destek alınmalı?

Hukuki uygunluk için personel süreçlerinizi bilen bir hukuk veya insan kaynakları uzmanından, günlük kullanım ve raporlama düzeni için ise işletme yazılımı sağlayıcısından destek alın.

İyi bir çözüm yalnızca giriş saatini yazmaz. Vardiya planı, izin kaydı, şube veya departman bazlı özet, gecikme bildirimi ve yöneticinin günlük kontrolü aynı düzenin içinde düşünülmelidir. Böylece resepsiyon sorumlusu, restoran müdürü veya klinik yöneticisi her gün ayrı dosya takip etmek zorunda kalmaz.

Plato Yazılım, işletmenizin çalışma düzenine göre kartlı veya kişisel kodlu giriş-çıkış, vardiya ve izin takibi, şube bazlı raporlar ve yönetici özetleri için planlama desteği sunabilir. İhtiyacınıza uygun otomasyon seçeneklerini hizmetlerimiz sayfasından inceleyebilirsiniz.

Sıkça Sorulan Sorular

Parmak izi cihazını hemen kaldırmak zorunda mıyım?

Yalnızca mesai takibi için kullanılıyorsa sistemi bu ay incelemeniz ve alternatif geçiş planı yapmanız gerekir. Ancak cihazın kritik alan güvenliği gibi ayrı bir kullanım amacı varsa, bu amacın gerçekten gerekli ve sınırlı olup olmadığı ayrıca değerlendirilmelidir. Mevcut kayıtların kapatılması veya silinmesi konusunda işletmenizin durumuna göre uzman görüşü alın.

Personel kartı ile puantaj nasıl tutulur?

Her çalışana kendine ait bir kart verilir. Çalışan vardiya başında ve sonunda kartını okutur; sistem saat kaydını oluşturur. Yönetici günlük veya haftalık özeti kontrol eder. Kayıp kart, unutulan giriş ve vardiya değişikliği için kimin onay vereceği baştan belirlenirse puantaj düzenli yürür.

PIN ile giriş-çıkış yapmak güvenli mi?

PIN, çalışana özel kişisel koddur. Kod paylaşılmamalı, yeni personel işe başladığında ayrı kod oluşturulmalı ve işten ayrılan kişinin kodu kapatılmalıdır. Hatalı veya şüpheli kayıtlar için yönetici onayı ve kayıt düzeltme notu eklemek, süreci daha denetlenebilir kılar.

Yüz tanıma sistemi olan işletmeye kesin ceza kesilir mi?

Hayır. Cezanın uygulanıp uygulanmayacağı ve tutarı, somut olayın özelliklerine göre değerlendirilir. Buna rağmen yalnızca mesai saatini izlemek için yüz tanıma kullanmak, KVKK’nın 2026 İlke Kararı ışığında işletmenin açıklama yapmasını gerektirebilecek bir risk oluşturur.

Aydınlatma metni çalışanların imzalayacağı izin belgesi midir?

Hayır. Aydınlatma metni, çalışana verilerinin nasıl kullanıldığını anlatır. Açık rıza ise farklı bir onay işlemidir. Üstelik mesai takibinde açık rıza alınmış olması, biyometrik veri kullanımının ölçülü olduğu anlamına tek başına gelmez.

İşletmenizde parmak izi veya yüz tanıma ile personel takibi yapılıyorsa, mevcut sistemi ve alternatifleri birlikte değerlendirelim. Fethiye ve Muğla’daki işletmeniz için ihtiyacınıza uygun personel takip ve otomasyon çözümünü bizimle iletişime geçerek planlayabilirsiniz.