Yüz tanıma PDKS, giriş ve çıkışı çalışanın yüzünü okutarak kaydeder; ancak mesai takibinde kullanımı 2026'da KVKK kararıyla sınırlandı. Kişisel Verileri Koruma Kurulu 29.04.2026 tarihli ve 2026/921 sayılı ilke kararıyla, mesai takibinde biyometrik veri işlenmesinin açık rıza alınsa dahi ölçülülük ilkesini sağlamayacağını duyurdu. Bu yüzden yeni bir PDKS kurulumunda önce hukuki çerçeveye, sonra teknolojiye bakmak gerekir.
Yüz verisi neden özel nitelikli?
6698 sayılı Kişisel Verilerin Korunması Kanunu md. 6/1, biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayar. Yüz tanıma cihazı fotoğrafı değil, yüzden çıkarılan ve kişiyi tekil olarak tanımlayan matematiksel bir şablonu saklar; bu şablon biyometrik veridir.
7499 sayılı Kanunla değiştirilen ve 1 Haziran 2024'te yürürlüğe giren md. 6/3'e göre özel nitelikli verilerin işlenmesi kural olarak yasaktır ve ancak sayılan şartlardan biri varsa mümkündür: açık rıza, kanunlarda açıkça öngörülme, hayati tehlike, alenileştirme, bir hakkın tesisi, sağlık hizmetleri, istihdam ve iş sağlığı alanındaki hukuki yükümlülük ve belirli kâr amacı gütmeyen kuruluşlar. Md. 6/4, ayrıca Kurulun belirlediği yeterli önlemlerin alınmasını şart koşar.
Kurul kararları ne diyor?
2020/915 sayılı karar
Kurul, parmak iziyle mesai takibi yapan bir kamu kurumu hakkındaki şikâyette (01.12.2020 tarihli, 2020/915 sayılı karar) işe giriş ve çıkışın sicil numarası, şifreli giriş ve ıslak imza gibi alternatif yollarla sağlanabildiğini tespit etti. Üstün güvenlik önlemi gerektirmeyen bir durumda parmak izi sisteminin kurulmasını md. 4'teki genel ilkelere aykırı buldu; sistemin kaldırılmasına ve toplanan verilerin imha edilmesine karar verdi.
2026/921 sayılı ilke kararı
Kurulun kamuoyu duyurusunda yer alan tespitler:
- Mevzuatta çalışma sürelerinin takibi düzenlenmiştir, ancak takibin biyometrik veriyle yapılmasını öngören açık bir hüküm yoktur. Bu nedenle "kanunlarda açıkça öngörülme" şartına dayanılamaz.
- İşçi ile işveren arasındaki güç dengesizliği nedeniyle açık rızanın özgür iradeye dayandığı konusunda tereddüt vardır; açık rıza tek başına yeterli hukuki zemin oluşturmaz. Rızanın geri alınabilmesi de sistemin sürekliliğini bozar.
- Daha az müdahaleci alternatif yöntemler varken, açık rıza bulunsa dahi mesai takibi amacıyla biyometrik veri işlenmesi ölçülülük kriterini sağlamaz.
- Mesai takibi şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi yollarla sağlanmalıdır.
- Bu hususlara uyulmadığı tespit edilirse veri sorumlusu hakkında Kanunun 18. maddesi uyarınca işlem yapılacaktır.
Kararın konusu mesai takibidir. Yüksek güvenlik gerektiren bir alana (örneğin kritik bir sunucu odası ya da tehlikeli madde deposu) erişimin denetlenmesi ayrı bir amaçtır ve ayrı bir değerlendirme gerektirir; 2020/915 sayılı karar da üstün güvenlik önlemi ihtiyacını ayrı tutar. Böyle bir alan için biyometri düşünülüyorsa amaç, alternatiflerin neden yetersiz olduğu ve alınacak önlemler yazılı olarak değerlendirilmeli, kişisel veriler konusunda danışmanlık alınmalıdır.
Mevcut yüz tanıma cihazınız varsa
- Cihazın mesai takibi için kullanımını durdurun ve yerine alternatif bir yöntem kurun (kart, kart + PIN, mobil uygulama).
- Cihazda ve yazılımda saklanan yüz şablonlarını, kişisel verilerin silinmesi ve yok edilmesine ilişkin yönetmeliğe uygun biçimde imha edin; imhayı tutanakla belgeleyin.
- Şablonlar başka bir yazılıma ya da hizmet sağlayıcıya aktarıldıysa, oradaki kopyaların da silinmesini isteyin.
- Kişisel veri envanterinizi ve çalışan aydınlatma metninizi güncelleyin.
- Cihaz yüz tanımayı kapatıp yalnız kart okuyucu olarak çalışabiliyorsa, kart modunda kullanmaya devam etmek mümkündür.
Aydınlatma metninin kamera ve görüntü kaydı tarafı KVKK kamera aydınlatma metni yazısında ayrıca ele alınıyor.
Teknik taraf: 2D, 3D ve canlılık tespiti
Hukuki olarak uygun bir kullanım alanı belirlendiğinde teknoloji seçimi de önemlidir, çünkü ucuz cihazlar kolay kandırılır.
| 2D yüz tanıma | 3D ya da kızılötesi destekli, canlılık tespitli | |
|---|---|---|
| Nasıl çalışır | Normal kamera görüntüsünden yüz hatları | Derinlik ya da kızılötesi görüntüyle yüzün hacmi ve canlı dokusu |
| Fotoğraf veya ekranla kandırma | Canlılık tespiti yoksa mümkün | Büyük ölçüde engellenir |
| Işık | Arkadan güçlü ışık, karanlık ve yansıma performansı düşürür | Kızılötesi sayesinde ışıktan daha az etkilenir |
| Maske, gözlük, kask | Tanıma oranı düşer | Daha dayanıklı, yine de sınırlı |
| Kullanım | Düşük riskli, iç mekân | Yüksek riskli alan erişimi |
Canlılık tespiti (liveness), okutulan yüzün fotoğraf, video ya da maske değil gerçek bir insan olduğunu doğrular. Satın alma şartnamesine yalnız "yüz tanıma" değil, canlılık tespitinin yöntemi ve şablonların nerede, şifreli olarak mı saklandığı yazılmalıdır.
Karar tablosu
| Amaç | Önerilen yöntem |
|---|---|
| Mesai takibi, puantaj | Kart, kart + PIN, mobil uygulama; biyometri kullanılmaz |
| Genel kapı ve turnike geçişi | Kart; şüpheli kayıtları doğrulamak için kapı kamerası |
| Yüksek güvenlikli oda erişimi | Kart + PIN; biyometri ancak ayrı hukuki değerlendirmeyle |
| Başkası yerine okutmayı önlemek | Turnike (tek kişi geçişi) + kamera görüntüsüyle karşılaştırma |
Kart ve PIN tabanlı sistemlerin nasıl çalıştığını ve kopyalanmaya dayanıklı kart türlerini kartlı geçiş sistemi nasıl çalışır yazısında, kayıtların puantaja nasıl dönüştüğünü PDKS nedir yazısında anlattık.
Personel takip ve kartlı geçiş kurulumlarında mesai takibini ilke kararına uygun yöntemlerle kuruyor, mevcut biyometrik cihazı olan işletmelerde cihazın kart moduna alınmasını ve şablonların silinmesini planlıyoruz. Turnike ve kapı tarafı personel giriş-çıkış ve geçiş kontrolü kapsamında aynı kartla çalışır.
Kaynak: 6698 sayılı KVKK md. 4 ve 6, KVKK 2026/921 sayılı ilke kararı duyurusu, KVKK 2020/915 sayılı karar özeti
Destek ve teklif
Bu konudaki kurulum ve destek talepleriniz için iletişim formunu kullanabilirsiniz.
Teklif alın