Parmak izi ve yüz tanımayla mesai takibi bitti: PDKS’nizi neyle değiştireceksiniz?

Ankara OSB’lerindeki fabrikaların büyük bölümünde giriş kapısında parmak izi okuyan bir terminal var ve çoğu 2026 Haziran’ından beri hukuka aykırı durumda. Bu yazı, kararın ne dediğini, neyin kapsamda olup olmadığını ve mevcut sistemi terminalleri çöpe atmadan nasıl dönüştüreceğinizi anlatıyor.

Karar tam olarak ne diyor?

Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı ilke kararında, mesai takibi amacıyla biyometrik veri işlenmesinin 6698 sayılı Kanun’un 6’ncı maddesindeki işleme şartlarından herhangi birine dayanmadan gerçekleştirildiğini tespit etti. Karar 2 Haziran 2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girdi.

Kararın en çok yanlış anlaşılan tarafı burası: çalışanın onay vermesi durumu değiştirmiyor. İş ilişkisinde işveren ile çalışan arasında eşit olmayan bir güç dengesi bulunduğu için, bu ilişkide alınan rızanın özgür iradeyle verildiği kabul edilmiyor. Yani “personelimizden imzalı muvafakat aldık” savunması bu konuda işe yaramıyor.

İkinci nokta ölçülülük: aynı sonucu — kimin ne zaman girdiğini bilmek — daha az müdahaleci yöntemlerle elde etmek mümkünken, geri alınamaz nitelikteki biyometrik veriyi toplamak gerekli ve ölçülü sayılmıyor. Parmak izi değiştirilemez; sızdığında yeni bir parmak izi alamazsınız. Kartı ise kaybettiğinizde iptal edip yenisini verirsiniz. Kurulun mantığı özetle bu.

Kapsamda ne var, ne yok?

Kararın metni “mesai takibi amacıyla” biyometrik veri işlenmesini konu alıyor. İş yeri girişi, fiziksel erişim kontrolü veya yüksek güvenlikli alanlar için ayrıca tanımlanmış bir istisna da getirmiyor.

Pratikte kafa karıştıran durum şu: sahadaki terminallerin çoğu hem kapıyı açıyor hem mesai kaydı üretiyor. Böyle bir cihazda parmak izi okutmanın hangi amaca hizmet ettiği ayrıştırılabilir bir soru değil — sistem zaten ikisini birden yapıyor. Bu yüzden sahadaki uygulanabilir yaklaşım, mesai kaydı üreten her biyometrik terminali kapsamda kabul edip dönüşüm planına almak oluyor. Kendi tesisinizdeki kurulumun hukuki değerlendirmesini hukuk danışmanınızla yapmanız gerekir; biz sistemi hangi kurguya geçirirseniz ona uygun kuruyoruz.

Bir başka sık soru: “biz parmak izini saklamıyoruz, cihaz sadece matematiksel bir kod üretiyor.” Bu ayrım uygulamada koruma sağlamıyor — kod, kişinin biyolojik özelliğinden türetildiği ve o kişiyi tekil olarak tanımlamaya yaradığı sürece niteliği değişmiyor.

Kurulun işaret ettiği yasal alternatifler

Karar yalnızca yasaklamıyor, yerine ne konabileceğini de sayıyor:

Terminalleri çöpe atmanız gerekmiyor

Bu kararla ilgili en çok yapılan hata, tüm PDKS altyapısının sıfırdan yenileneceğini varsaymak. Sahada gördüğümüz tablo genellikle bunun tersi:

• Terminallerin büyük bölümü zaten kart okuyabiliyor. Çok sayıda parmak izi terminali aynı zamanda RFID kart okuyucusu içerir. Bu cihazlarda yapılacak iş, biyometrik doğrulamayı kapatıp kart moduna geçmek ve cihazda kayıtlı biyometrik şablonları silmek.
• Kablolama ve kapı donanımı aynen kalır. Elektrikli kilit, buton, besleme hattı ve kontrol paneli değişmez. Maliyetin büyük kısmı burada olduğu için bu önemli.
• Yazılım tarafı çoğu zaman aynı yazılımla devam eder. PDKS yazılımı kaydı hangi yöntemle aldığına bakmaz; kullanıcı-kart eşleşmesi tanımlanır ve raporlama aynı şekilde çalışır.
• Gerçekten değişmesi gereken cihaz sadece kart okuyamayan, yalnızca biyometrik çalışan terminallerdir. Tesis genelinde bu genelde bir avuç cihaz olur.

Dönüşümü adım adım nasıl yapıyoruz

1. Envanter. Hangi kapıda hangi model terminal var, hangisi kart okuyabiliyor, hangisi okuyamıyor — tek sayfalık bir tabloya çıkarıyoruz. Bu adım olmadan verilen her teklif tahmindir.
2. Kart kararı. Personel sayısı, ziyaretçi trafiği ve yemekhane/otopark gibi ek kullanımlar dikkate alınarak kart teknolojisi seçilir. Kopyalanması kolay eski nesil kartlar yerine şifreli kart önerdiğimiz durumlar var; bu, kart devri riskini de azaltıyor.
3. Biyometrik şablonların silinmesi. Sistemi kart moduna almak tek başına yeterli değil — cihazlarda ve sunucuda duran mevcut parmak izi/yüz şablonlarının silinmesi ve bu işlemin kayıt altına alınması gerekir. Bu adım en sık atlanan adım.
4. Kart basımı ve personele dağıtım. Fotoğraflı kimlik kartı olarak bastırılması ziyaretçi ve alt yüklenici ayrımını da kolaylaştırıyor.
5. Bordro entegrasyonu. Mesai verisinin bordro veya ERP tarafına aktarımı zaten kuruluysa dokunulmaz; kurulu değilse bu geçiş onu da düzeltmek için doğru an.
6. Belgelendirme. Aydınlatma metni, saklama ve imha politikası ile envanter kaydının güncellenmesi gerekir. Biz sistemi buna uygun kuruyoruz; metinlerin hazırlanması hukuk tarafının işi.

Bunu ertelemenin maliyeti

Kararda bir geçiş süresi tanınmadı. Uygunsuzluk, Kanun’un 18’inci maddesi kapsamında idari para cezasına konu olabiliyor. Ancak sahada bizim gördüğümüz asıl risk ceza değil, zamanlama: aynı anda çok sayıda işletme kart sistemine geçmek isteyince kart ve okuyucu tedarikinde gecikme yaşanıyor. Envanteri şimdi çıkarmak, cihazı üç ay sonra bulmaya çalışmaktan ucuz.

İkinci bir nokta daha var: bu geçiş, uzun süredir ertelenen başka bir işi de beraberinde çözme fırsatı. Çoğu tesiste kapı geçiş kaydı ile kamera kaydı birbirinden bağımsız duruyor; kart sistemine geçerken ikisini eşleştirmek, kart devri sorununu da kapatıyor ve olay incelemesini dakikalar mertebesine indiriyor.

Sık sorulanlar

İlgili yazılar

Bu hizmeti verdiğimiz bölgeler

Ankara’da yerinde çalıştığımız sanayi bölgeleri — bölgeye özgü notlar ve saha durumları için:

• Başkent OSB / Malıköy
• Anadolu OSB
• Alcı ve Sincan Çevresi