Yüz tanıma sistemi kurmayı düşünen bir işletme için ilk soru genellikle şudur: "Bu sistem KVKK'ya uygun mu?" Kısa cevap: sistemin kendisi değil, hangi amaçla, kimlere ve nasıl uygulandığı belirleyicidir. Bu yazıda Kişisel Verileri Koruma Kurulu'nun biyometrik veriye bakışını, çalışanlar için getirilen son sınırlamayı ve kurulumdan önce yanıtlamanız gereken soruları özetliyoruz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kendi durumunuz için bir hukukçuya danışın.
Yüz verisi neden "özel nitelikli" kişisel veridir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), parmak izi, yüz tanıma, iris gibi bir kişinin fiziksel özelliklerinden teknik yöntemlerle elde edilen ve kişiyi benzersiz biçimde tanımlayan verileri biyometrik veri olarak ele alır. Biyometrik veri, Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri sayılır. Gerekçesi basit: şifrenizi değiştirebilirsiniz, yüzünüzü değiştiremezsiniz. Böyle bir veri sızdığında zarar geri döndürülemez.
Özel nitelikli verilerin işlenmesinde iki katman vardır:
- Kanun'da sayılan işleme şartlarından birinin bulunması (çoğu durumda açık rıza).
- Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararıyla belirlediği yeterli önlemlerin alınması. Bunlar arasında yazılı bir politika, erişim yetkilerinin tanımlanıp düzenli denetlenmesi ve verilerin şifreleme gibi kriptografik yöntemlerle korunması yer alır.
Yalnızca yasal dayanak yetmez: ölçülülük
Kurul'un biyometrik veriye ilişkin rehberi, hukuki dayanağın tek başına yeterli olmadığını vurgular. Veri işleme; gereklilik, ölçülülük ve veri minimizasyonu ilkelerine de uymalıdır. Kendinize şunu sormanız gerekir: Aynı amaca daha az müdahaleci bir yöntemle (kart, PIN, kimlik kontrolü gibi) ulaşabilir miydim? Cevap "evet" ise biyometrik yöntem ölçülü sayılmayabilir.
Rıza konusunda da kural nettir: Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmelidir. Rıza vermeyen kişiye makul bir alternatif sunulmuyorsa, verilen rızanın özgür olduğunu savunmak zorlaşır.
Çalışanlar için kritik gelişme: mesai takibi
Kurul, 29.04.2026 tarihli ve 2026/921 sayılı ilke kararıyla mesai takibi amacıyla biyometrik veri işlenmesini ele aldı ve karar Haziran 2026'da kamuoyuna duyuruldu. Karar; parmak izi, yüz tanıma, iris ve retina taraması gibi sistemleri kapsıyor. Duyurudan öne çıkan noktalar:
- Çalışma sürelerinin kayıt altına alınması yasal bir yükümlülüktür, ancak bunu biyometrik veriyle yapmayı zorunlu kılan açık bir hüküm yoktur.
- İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanın rızasının özgür iradeye dayandığı tartışmalıdır. Biyometrik veriyi yalnızca açık rızaya dayanarak mesai takibi için işlemek yeterli bir hukuki zemin sayılmamış, ayrıca ölçülü de bulunmamıştır.
- Şifreli kart, PIN, RFID/NFC kimlik kartı, imza veya denetçi gözetiminde giriş gibi daha az müdahaleci alternatifler varken biyometrik yöntem tercih edilmemelidir.
- Kurul, ilkelere aykırı uygulamalar hakkında yaptırım hükümlerinin uygulanabileceğini belirtti.
Bu karar öncesinde de Kurul, bir fabrikada işe giriş-çıkışlarda yüz tanıma kullanılmasını (2022/797 sayılı karar) ölçülülük ilkesine aykırı bularak idari para cezası vermiş, alternatif yöntemler varken biyometrik verinin işlenmesini ve çok amaçlı toplu rıza metinlerini sorunlu görmüştü.
Karar doğrudan mesai takibine odaklanıyor; güvenlik veya erişim kontrolü gibi diğer amaçları ayrıca düzenlemiyor. Bu, o amaçlar için serbestlik anlamına gelmez: Aynı ölçülülük değerlendirmesi orada da yapılır.
KKTC'de durum nasıl?
Türkiye'deki KVKK ve Kurul kararları KKTC'de doğrudan uygulanmaz. KKTC'de 89/2007 sayılı Kişisel Verilerin Korunması Yasası geçerlidir ve bu yasa kapsamında bir Kişisel Verileri Koruma Kurulu çalışır. Yüz görüntüsü KKTC'de de kişisel veridir; bilgilendirme (aydınlatma) ve veri güvenliği yükümlülükleri geçerlidir. Yasa, "hassas veri" tanımında biyometrik veriyi açıkça saymaz, ancak bu, yüz tanıma için ek bir kural aranmayacağı anlamına gelmez. Hem KKTC'de hem Türkiye'de faaliyet gösteren veya her iki ülkeden çalışanı olan işletmeler için yerel bir hukuk danışmanından görüş almak en doğrusudur.
Kurulumdan önce yanıtlamanız gereken 7 soru
- Amaç nedir? Giriş-çıkış güvenliği mi, ziyaretçi kaydı mı, mesai takibi mi? Amaç netleşmeden yöntem seçilmemelidir.
- Daha hafif bir alternatif var mı? Kart, PIN veya kimlik kontrolü aynı işi görüyorsa neden biyometrik?
- Kimler kapsanıyor? Çalışanlar, ziyaretçiler, müşteriler? Çalışanlar için rıza zayıf bir dayanaktır.
- Rıza ve alternatif: Katılmak istemeyen kişiye eşdeğer, cezasız bir seçenek sunuluyor mu?
- Aydınlatma: Kimlerin hangi verisinin, hangi amaçla, ne kadar süre işleneceği yazılı olarak anlatılıyor mu?
- Güvenlik: Veriler şifreleniyor mu, kimler erişebiliyor, erişimler kayıt altında mı? Fotoğraf mı yoksa matematiksel şablon mu saklanıyor?
- Saklama ve silme: Verinin ne zaman ve nasıl silineceği belli mi? Ayrılan çalışanın ve ziyaretçinin verisi ne olacak? (Türkiye'de ayrıca veri sorumluları sicili yükümlülüğünüzün olup olmadığını kontrol edin.)
Kamera yerleşimi de önemlidir: Tuvalet, soyunma odası gibi mahremiyet beklentisi yüksek alanlara yakın kameralar, Kurul kararlarında ayrıca sorun olarak değerlendirilmiştir.
MIO Tech olarak nasıl yaklaşıyoruz?
Yüz tanıma sistemlerimizi (Face Guard, SelfPass, Presence) kurmadan önce amacı, gerekliliği ve alternatif yöntemleri sizinle birlikte değerlendiriyoruz. Aydınlatma ve rıza süreçlerini, veri saklama ve silme ayarlarını işletmenizin ihtiyacına göre planlıyoruz. Bazı durumlarda doğru cevap biyometrik olmayan bir yöntemdir; bunu da açıkça söyleriz.
Projeniz için değerlendirme yapmak isterseniz bizimle iletişime geçin.
Sık sorulan sorular
Yüz tanıma sistemi KVKK'ya aykırı mıdır?
Hayır, sistem tek başına aykırı değildir. Hukuka uygunluk; amaca, hukuki dayanağa, ölçülülüğe, aydınlatmaya ve alınan güvenlik önlemlerine bağlıdır. Çalışanların mesai takibinde ise Kurul'un son kararı nedeniyle biyometrik yöntemden kaçınılması gerekir.
Çalışandan açık rıza alırsam mesai takibinde yüz tanıma kullanabilir miyim?
Kurul'un 2026/921 sayılı ilke kararına göre mesai takibi amacıyla biyometrik veri işlemek için yalnızca açık rızaya dayanmak yeterli bir hukuki zemin sayılmıyor ve ölçülü de bulunmuyor. Kart, PIN veya RFID gibi alternatifler önerilmektedir.
Ziyaretçiler için yüz tanıma kullanılabilir mi?
Ziyaretçiler için açık rıza çalışanlara göre daha anlamlı bir dayanak olabilir; ancak ölçülülük ve alternatif sunma yükümlülüğü yine geçerlidir. Katılmak istemeyen ziyaretçi için kimlik kontrolü gibi bir seçenek bulunmalıdır.
Yüz verileri ne kadar süre saklanmalıdır?
Amaç için gerekli olan süreden fazla saklanmamalıdır. Süreyi önceden belirleyin, aydınlatma metninde yazın ve süre dolduğunda veriyi silin ya da anonim hale getirin.