Biyometrik Veri Hukuku 2026: KVKK m.6 Kapsamında Parmak İzi, Yüz Tanıma ve Açık Rıza

Biyometrik veri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 6. maddesinde özel nitelikli kişisel veri olarak sayılıyor ve genel kişisel verilere göre çok daha sıkı bir işleme rejimine tabi. Parmak izi, avuç izi, yüz tanıma, iris taraması gibi sistemler işyerinde mesai takibi veya bina girişi amacıyla yaygınlaştıkça, KVKK Kurulu bu alanda hem münferit şikâyetlerde hem de yakın tarihli bir ilke kararında net sınırlar çizdi. Bu yazıda hangi verinin biyometrik sayıldığını, açık rızanın ne zaman yeterli olmadığını ve karşılaşılabilecek idari para cezalarını gerçek Kurul kararlarıyla anlatıyoruz.

Son güncelleme: 7 Eylül 2026 — KVKK m.6’nın 2/3/2024 tarih ve 7499 sayılı Kanunla değişik hâli ve 29.04.2026 tarihli 2026/921 sayılı İlke Kararı işlenmiştir.

İçindekiler

• Biyometrik Veri Nedir, Hangi Veriler Girer?
• İşleme Şartları: Açık Rıza Ne Zaman Yeterli, Ne Zaman Değil?
• 2026/921 Sayılı İlke Kararı: Mesai Takibinde Biyometrik Veri
• 2022/662 Sayılı Karar: El Geometrisi ile Bina Girişi
• Yaptırımlar ve 2026 Tutarları
• İtiraz, Dava ve Süreler
• Sıkça Sorulan Sorular

Biyometrik Veri Nedir, Hangi Veriler Girer?

KVKK m.6/1 “biyometrik ve genetik veriler”i özel nitelikli kişisel veri olarak sayıyor ancak kanunda ayrıntılı bir tanım veya kapalı bir liste yok. KVKK Kurulunun 2022/662 sayılı kararında bu boşluk somut bir olayla dolduruldu: bir işletme, üyelerinin bina girişinde “el geometrisi” (parmak izinden farklı olarak elin üç boyutlu ölçümü) okuyan bir cihaz kullanmış ve bunun parmak izinden farklı olduğu, dolayısıyla özel nitelikli veri olmadığı savunmasını yapmıştı. Kurul bu savunmayı reddetti: biyometri kavramının “yaşayan bir organizmanın ölçümü”nü ifade ettiğini, fizyolojik olmayan davranışsal nitelikteki bilgilerin dahi biyometrik veri tanımına girebileceğini, kriterin verinin kişiyi tek başına ve otomatik olarak teşhis veya doğrulama kapasitesi olduğunu vurguladı. Kurul kararında ayrıca Danıştay 15. Dairesinin 2014/4562 esas sayılı kararına, AB Genel Veri Koruma Tüzüğü (GDPR) m.4 tanımına ve AİHM’in S. ve Marper/Birleşik Krallık kararına da atıf yapılmıştır.

İşleme Şartları: Açık Rıza Ne Zaman Yeterli, Ne Zaman Değil?

KVKK m.6/3 (2/3/2024 tarih ve 7499 sayılı Kanunla değişik), özel nitelikli kişisel verilerin işlenmesini kural olarak yasaklıyor ve yalnızca şu hâllerden birinde işlemeye izin veriyor: (a) ilgili kişinin açık rızası, (b) kanunlarda açıkça öngörülmüş olması, (c) fiilî imkânsızlık nedeniyle rızasını açıklayamayan kişinin hayatı/beden bütünlüğünün korunması, (ç) verinin ilgili kişi tarafından zaten alenileştirilmiş olması, (d) bir hakkın tesisi/kullanılması/korunması için zorunluluk, (e) sağlık verilerinde sır saklama yükümlüsü kişi/kurumlarca kamu sağlığı amaçlı işleme, (f) istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler.

İşyerinde biyometrik sistemler söz konusu olduğunda pratikte akla ilk gelen dayanak açık rızadır (m.6/3-a). Ancak KVKK Kurulu, 2026/921 sayılı İlke Kararında bunun tek başına yeterli olmadığını açıkça ortaya koydu: işçi-işveren ilişkisindeki yapısal güç dengesizliği nedeniyle rızanın özgür iradeye dayanıp dayanmadığı şüphelidir ve rıza var olsa dahi işlem, KVKK m.4’teki ölçülülük (amaçla sınırlı ve orantılı olma) ilkesini karşılamavıdır. Kurula göre mesai takibi yükümlülüğünü biyometrik sistemle yerine getirmeyi öngören açık bir kanuni düzenleme bulunmadığından, bu yöntem çoğu durumda hukuka aykırılık oluşturur.

2026/921 Sayılı İlke Kararı: Mesai Takibinde Biyometrik Veri

KVKK Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararını (RG 02.06.2026 tarihli Resmî Gazete’de yayımlandı) doğrudan bu konuda aldı. Karara göre:

• Çalışan devam (mesai) takibinin biyometrik tanımlama sistemleriyle yapılması, KVKK’ya en çok yansıyan ihbar/şikâyet konularından biridir.
• İşverenlerin çalışma sürelerini belgeleme yükümlülüğü bulunmakla birlikte, bunu biyometrik sistemle yapmayı öngören açık bir kanuni düzenleme yoktur.
• Mesai takibi amaçlı biyometrik veri işleme, KVKK m.6’daki işleme şartlarından birine dayanmıyorsa hukuka aykırıdır; geçerli bir açık rıza bulunsa dahi işlem, KVKK m.4’teki ölçülülük kriterini karşılamayabilir.
• Kararda ayrıca rızanın geri alınmasının biyometrik sistemin sürekliliğini bozacağı belirtilerek, salt açık rızaya dayanmanın yeterli bir hukuki zemin oluşturmayacağı vurgulanmıştır.
• İlke Kararı yalnızca mesai takibini kapsar; mesai takibi dışındaki biyometrik veri işleme faaliyetleri (örneğin güvenlik amaçlı erişim kontrolü) somut olay bazında ayrıca değerlendirilir.

Kaynak: KVKK Kurumu — İlke Kararları sayfası (Erişim: 7 Eylül 2026).

2022/662 Sayılı Karar: El Geometrisi ile Bina Girişi

Somut bir uyuşmazlıkta, bir işletme üyelerinin hizmet binasına girişini “el geometrisi” okuyan bir cihazla denetliyordu; ilgili kişi açık rızası alınmadan bu verinin işlendiğini iddia ederek KVKK’ya şikâyette bulundu. Veri sorumlusu, el geometrisinin parmak izinden farklı olarak kişiye özgü olmadığını, dolayısıyla özel nitelikli veri sayılmaması gerektiğini savundu. KVKK Kurulu 07.07.2022 tarihli ve 2022/662 sayılı kararında:

• El geometrisinin, elin 31.000 noktadan üç boyutlu taranmasıyla elde edilen, kişiyi otomatik olarak doğrulayan bir kimlik denetleme yöntemi olduğunu, bu nedenle biyometrik veri (dolayısıyla özel nitelikli kişisel veri) sayıldığını,
• Veri sorumlusunun KVKK m.6’da sayılan işleme şartlarından hiçbirine dayanmadan bu veriyi işlediğini ve m.12’deki veri güvenliği yükümlülüğünü ihlal ettiğini,
• Bu nedenle KVKK m.18/1-b uyarınca veri sorumlusuna 100.000 TL idari para cezası uygulanmasına,
• Biyometrik veri işleme faaliyetinin KVKK m.15/7 uyarınca durdurulmasına ve mevcut verilerin ivedilikle yok edilmesine

karar vermiştir. Kaynak: KVKK Kurumu — 07.07.2022 tarihli ve 2022/662 sayılı Karar Özeti (Erişim: 7 Eylül 2026).

Yaptırımlar ve 2026 Tutarları

Yukarıdaki tutarlar KVKK m.18’in 2/3/2024 tarih ve 7499 sayılı Kanunla değişik hâlidir; Kurul ayrıca her yıl bu tutarları yeniden değerleme oranına göre güncelleyebilir. 2022/662 sayılı kararda somut olayda uygulanan 100.000 TL ceza, m.18/1-b’nin (o tarihteki) üst sınırına yakın bir tutardı.

İtiraz, Dava ve Süreler

Sıkça Sorulan Sorular

Parmak izi ile mesai takibi yapmak yasal mı?

KVKK Kurulunun 2026/921 sayılı İlke Kararına göre, salt mesai takibi amacıyla biyometrik veri (parmak izi dahil) işlenmesi, açık kanuni bir dayanağı olmadığı ve çoğu durumda ölçülülük ilkesini karşılamadığı için hukuka aykırı kabul edilmektedir; geçerli bir açık rıza alınmış olsa dahi bu sonuç değişmeyebilir.

Yüz tanıma sistemi kurmak için açık rıza yeterli mi?

Tek başına yeterli olmayabilir. KVKK m.6/3 açık rızayı hukuka uygunluk sebeplerinden biri olarak sayar, ancak Kurul içtihadı işveren-çalışan gibi güç dengesizliği bulunan ilişkilerde rızanın özgürlüğünü ve işlemin ölçülülüğünü ayrıca sorgular.

Biyometrik veri ihlali nereye şikâyet edilir?

Kişisel Verileri Koruma Kurumu’na (KVKK) elektronik başvuru sistemi veya yazılı dilekçeyle şikâyette bulunulabilir; öncelikle veri sorumlusuna KVKK m.13 uyarınca başvuru yapılması ve 30 gün içinde cevap alınamaması veya cevabın yetersiz bulunması gerekir.

İşveren biyometrik veriyi işten çıkışta silmek zorunda mı?

Evet. KVKK m.7 uyarınca işleme sebebi ortadan kalkan (örneğin üyelik/çalışma ilişkisi sona eren) kişisel veriler silinir, yok edilir veya anonim hâle getirilir; 2022/662 sayılı kararda da Kurul bu yükümlülüğü ayrıca vurgulamıştır.

Bina girişinde parmak izi okutmak zorunlu tutulabilir mi?

Hayır, bu bir zorunluluk değildir. KVKK Kurulu 2022/662 sayılı kararında, alternatif ve daha az müdahaleci yöntemler (kartlı geçiş, şifre gibi) varken biyometrik sistem dayatılmasını hukuka aykırı bulmuştur.

Biyometrik veri ihlalinde ceza ne kadar olabilir?

Veri güvenliği yükümlülüğüne aykırılık (KVKK m.12) 15.000 TL ile 1.000.000 TL arasında idari para cezasını gerektirir (m.18/1-b); somut bir olayda Kurul 100.000 TL ceza uygulamıştır (2022/662 sayılı karar).

KVKK’nın idari para cezasına nasıl itiraz edilir?

Kararın tebliğinden itibaren 60 gün içinde yetkili idare mahkemesinde iptal davası açılabilir (KVKK m.18/3, İYUK m.7).

Güvenlik amaçlı biyometrik sistemler de aynı sıkı rejime mi tabi?

Evet, güvenlik amaçlı kullanım da özel nitelikli veri işleme sayılır ve KVKK m.6’daki şartlardan birine dayanmalıdır; ancak 2026/921 sayılı İlke Kararı yalnızca mesai takibini kapsadığından, güvenlik amaçlı sistemler somut olayȅ�n özelliklerine göre ayrıca değerlendirilir.

Biyometrik veri yurt dışına aktarılabilir mi?

Özel nitelikli kişisel veri olan biyometrik verinin yurt dışına aktarımı, KVKK’nın veri aktarımına ilişkin genel hükümlerindeki (m.9) ek güvencelere tabidir; Kurul, hukuka aykırı gördüğü durumlarda aktarımın durdurulmasına da karar verebilir (KVKK m.15/7).

Okul veya spor salonu gibi yerler öğrenci/üye biyometrik verisi toplayabilir mi?

Toplayabilmesi için KVKK m.6/3’teki şartlardan birine (genellikle açık rıza) dayanması, aydınlatma yükümlülüğünü yerine getirmesi ve ölçülülük ilkesine uygun, amaçla sınırlı bir uygulama kurması gerekir; aksi hâlde KVKK Kurulu şikâyet üzerine idari yaptırım uygulayabilir.

İlgili Hizmet Alanlarımız

• KVKK ve Veri Koruma Hukuku Danışmanlığı
• Bilişim ve Teknoloji Hukuku
• İş Hukuku Danışmanlığı
• İdari Dava ve İptal Davası Avukatlığı

Resmî Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK Kurumu — İlke Kararları (2026/921 sayilı karar dahil)
• KVKK Kurumu — 2022/662 Sayılı Karar Özeti

Hazırlayan

Bu rehber, Av. Bilal ALYAR (İstanbul Barosu) tarafından mevzuat.gov.tr ve kvkk.gov.tr üzerinden erişilen resmÞ metinler esas alınarak hazırlanmıştır.