Yüz Tanıma Sistemleri ve KVKK: Biyometrik Veri, Açık Rıza, Alternatif Yöntem ve Teknik Tedbirler

Yüz tanıma KVKK kapsamında hangi veridir?

Yüz tanıma yoluyla kimlik doğrulama, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 6. maddesinde sayılan biyometrik veriyi işlemek demektir ve biyometrik veri özel nitelikli kişisel veridir. Kanun'daki özel nitelikli veri kategorileri sınırlı sayıdadır; ırk, din, sağlık, ceza mahkûmiyeti gibi verilerin yanında biyometrik ve genetik veriler de bu listededir.

Kanun biyometrik veriyi ayrıca tanımlamaz. Kurul, Resmî Gazete'de yayımladığı ilke kararında 5490 sayılı Nüfus Hizmetleri Kanunu'ndaki tanıma ve Avrupa Genel Veri Koruma Tüzüğü'nün (GDPR) tanımına dayanır. GDPR tanımı, yüz görüntüsü veya parmak izi verisi gibi bir kişinin özgün biçimde teşhis edilmesini sağlayan fiziksel, fizyolojik veya davranışsal özelliklere ilişkin, özel bir teknik işlemeden çıkan verileri kapsar. Kurul'a göre parmak izi ve iris/retina fizyolojik, yüz ve el geometrisi fiziksel; ses, imza dinamikleri ve klavye kullanım alışkanlıkları davranışsal biyometrik veri örnekleridir.

Her kamera görüntüsü biyometrik veri değildir. Kurul, güvenlik kamerasıyla toplanan görüntüleri genel nitelikli kişisel veri olarak değerlendirmiştir. Görüntüden yüz özelliklerini çıkarıp kişiyi bir şablonla eşleştiren yüz tanıma yazılımı devreye girdiğinde ise işleme biyometrik niteliğe geçer. Bu fark, sistemin hukuki şartlarını kökten değiştirir.

Verinin matematiksel koda ya da şablona çevrilerek saklanması biyometrik niteliği ortadan kaldırmaz. Kurul, 2022/797 sayılı kararında şirketin kodlama yoluyla veri azalttığı yönündeki savunmasının sonucu değiştirmediğini belirtmiştir; 2026/921 sayılı karara ilişkin duyuruda da aynı yaklaşım parmak izi ve avuç içi taraması için yinelenmiştir.

Yüzle giriş yasal mı? Özel nitelikli veri için işleme şartları

Yüz tanımalı giriş yasaktır diyen bir kanun maddesi yoktur; ancak Kanun'un 6. maddesine göre özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır ve yalnızca sayılan şartlardan birinin bulunduğu hâllerde mümkündür. Bu şartlar 2 Mart 2024 tarihli 7499 sayılı Kanun'la değiştirilmiş hâliyle şunlardır:

• a) İlgili kişinin açık rızasının olması.
• b) Kanunlarda açıkça öngörülmesi.
• c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• ç) İlgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması.
• d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• e) Sır saklama yükümlülüğü altındaki kişilerce veya yetkili kurumlarca kamu sağlığı, tıbbi teşhis, tedavi ve sağlık hizmetlerinin planlanması amacıyla gerekli olması.
• f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik ve sosyal hizmet alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.
• g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan kâr amacı gütmeyen kuruluşların üyelerine yönelik işlemesi.

Mesai takibinde yüz tanıma: 2026/921 sayılı ilke kararı

Kurul, 29.04.2026 tarihli ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı'nı 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete'de yayımlamıştır ve karar oybirliğiyle alınmıştır. Karar, parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerini çalışan devam takibi amacıyla kullanmanın hukuka uygun olmadığı sonucuna varır. Kararın dayandığı ana noktalar şunlardır:

• Kanuni dayanak yok: Çalışma sürelerinin takibine ilişkin hükümler vardır, fakat takibin nasıl yapılacağına ya da biyometrik veriyle yapılması gerektiğine dair açık hüküm yoktur; bu yüzden 6/3-(b) bendindeki kanunlarda açıkça öngörülme şartı sağlanmaz.
• Diğer şartlar uygulanmaz: (b), (c), (ç), (d), (e), (f) ve (g) bentlerinden hiçbiri mesai takibine uymadığından geriye açık rıza kalır.
• Açık rıza tek başına yeterli değil: İşçi-işveren ilişkisindeki güç dengesizliği, rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddüt doğurur.
• Ölçülülük sağlanmıyor: Daha az müdahaleci alternatifler varken, ilgili kişilerin açık rızası bulunsa dahi biyometrik işleme Kanun'un 4. maddesindeki ölçülülük kriterini karşılamaz.
• Gösterilen alternatifler: Şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş.
• Yaptırım: Kurul, kararda belirtilen hususlara uyulmadığı tespit edilirse veri sorumluları hakkında Kanun'un 18. maddesi kapsamında işlem yapılacağını duyurmuştur.

Karar mesai takibi dışındaki yüz tanımalı girişleri de kapsıyor mu?

İlke kararı yalnızca mesai takibi amacıyla yapılan biyometrik işlemeyi kapsar. Kurum'un 27 Ağustos 2026 tarihli kamuoyu duyurusuna göre mesai takibi dışındaki biyometrik işlemeler bu kararın kapsamında değerlendirilmez; hukuka uygunluk amaca, işin niteliğine ve somut olayın özelliklerine bakılarak veri sorumlusunca belirlenir ve Kurum şikâyetleri olay özelinde inceler.

Aynı duyuruda, yüksek güvenlik riski taşıyan tesis ve faaliyetlerde biyometrik sistemlerin kimlik doğrulama, yetkilendirme ve kritik alana erişim için kullanılabileceği, ancak bunun yalnızca gerekli alan ve kişilerle sınırlı kalması, alternatiflerin yetersiz olması ve somut güvenlik ihtiyacıyla orantılı olması gerektiği belirtilmiştir. Bu ifade, yüz tanımalı girişin her yerde serbest olduğu anlamına gelmez; ölçülülük ve gereklilik değerlendirmesi her projede ayrıca yapılmalıdır.

Ziyaretçi, müşteri, üye ve kiracı gibi çalışan olmayan kişiler için de aynı Kanun geçerlidir. Bu kişilerle veri sorumlusu arasında işçi-işveren gibi bir bağımlılık olmayabilir, ama yine de açık rızanın bilgilendirmeye dayanması, özgür iradeyle verilmesi ve belirli bir konuya ilişkin olması gerekir.

Açık rıza ve alternatif yöntem sunma

KVKK'ya göre açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Bu nedenle yüz tanıma için alınacak rıza; amacı, işlenecek veriyi ve saklama süresini açıkça yazan, diğer işlemlerden ayrı bir metinle alınmalı ve kişi reddettiğinde zarar görmemelidir.

Rızanın özgür sayılması için pratikte kişinin yüzünü vermeden de hizmete ya da girişe erişebilmesi gerekir; bu nedenle kart, PIN ya da görevli eşliğinde giriş gibi alternatif yöntem sunmak, rızanın gerçek olduğunu gösteren önemli bir delildir. Kurul'un Resmî Gazete'de yayımlanan kararında alternatiflerin varlığı, ölçülülük değerlendirmesinin merkezindedir.

Rıza metni konusunda 2022/797 sayılı karar uyarıcıdır: Kurul, birçok amacı ve veriyi toplu biçimde içeren genel bir rıza metnini geçerli saymamış, rıza metninin güncellenmesini ve aydınlatma metninde işleme amaçları ile hukuki şartların gösterilmesini istemiştir. Ayrıca bir işleme başka bir hukuki şarta dayanıyorsa bunun için açık rıza almak yanıltıcı kabul edilmiştir.

Veri sorumlusu, aydınlatma yükümlülüğünü de ayrıca yerine getirmelidir. Kanun'un 10. maddesi uyarınca veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları anlatılmalıdır.

Kurul ve yargı kararlarından ana dersler

Kurul'un yüz tanıma ve benzeri biyometrik sistemlere ilişkin kararları, ilke kararından önce de aynı yönde ilerlemiştir. Kurum'un yayımladığı karar özetlerinden öne çıkanlar:

• 2022/797 (04.08.2022): İşe giriş-çıkışta yüz tanıma kullanan bir şirket hakkında verilen karar. Kurul, iş mevzuatında biyometrik veri işlemeye ilişkin açık düzenleme bulunmadığını, rıza metninin geçerli olmadığını ve kart okutma, RFID veya SMS gibi daha az müdahaleci yöntemler varken işlemenin ölçülü olmadığını tespit etmiş, idari para cezası vermiş, biyometrik işlemenin durdurulmasını ve verilerin imhasını istemiştir.
• 2022/662 (07.07.2022): Hizmet binasına girişte el geometrisi terminali kullanan bir işletme hakkında verilen karar. Kurul, taramanın biyometrik yöntem olduğunu ve özel nitelikli veri doğurduğunu, sözleşmenin ifası şartının biyometrik veri için dayanak olamayacağını belirtmiş, idari para cezası vermiş ve girişte biyometrik işlemenin durdurulmasına, mevcut verilerin yok edilmesine hükmetmiştir.
• Danıştay: İlke kararında anılan avuç içi damar okuyucuyla mesai takibi davasında Danıştay İdari Dava Daireleri Kurulu (2024/225 E., 2024/2625 K.), özel nitelikli veri işlemede amaçla sınırlı ve ölçülü olma ilkesini vurgulayarak 12. Daire'nin (2021/3870 E., 2023/2548 K.) kararının hukuka uygun olduğuna hükmetmiştir.

Teknik ve idari tedbirler: yüz tanıma cihazı nasıl korunur?

Özel nitelikli kişisel veri işleyen veri sorumlusu, Kanun'un 12. maddesi gereği hukuka aykırı işlemeyi ve erişimi önleyecek, verinin muhafazasını sağlayacak uygun güvenlik düzeyine yönelik teknik ve idari tedbirleri almak zorundadır; 6. maddenin dördüncü fıkrası da Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşar. Bu önlemler Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında listelenmiştir ve ilke kararı da bunlara atıf yapar.

Karardaki önlemleri yüz tanıma sistemine uyarlayan kısa bir kontrol listesi aşağıdadır:

• Politika ve prosedür: Özel nitelikli veri güvenliği için ayrı, yazılı ve sürdürülebilir bir politika oluşturulmalıdır.
• Personel: Sistemi yöneten çalışanlara düzenli eğitim verilmeli, gizlilik sözleşmeleri yapılmalı, yetki kapsamı ve süresi tanımlanmalı, görevden ayrılanların yetkisi derhal kapatılmalıdır.
• Şifreleme: Yüz şablonları kriptografik yöntemlerle saklanmalı, anahtarlar şablonlardan ayrı ve güvenli ortamda tutulmalıdır.
• Kayıt (log): Verilerle yapılan tüm işlemler güvenli biçimde loglanmalıdır.
• Güvenlik testi ve güncelleme: Cihaz ve yazılımın yazılım güncellemeleri izlenmeli, düzenli güvenlik testleri yapılıp sonuçları kaydedilmelidir.
• Uzaktan erişim: Uzaktan erişimde en az iki aşamalı kimlik doğrulama kullanılmalıdır.
• Fiziksel güvenlik: Cihazı ve kayıt cihazını, sunucuyu barındıran ortam yetkisiz girişe, hırsızlığa, yangına ve su baskınına karşı korunmalıdır.
• Aktarım: Veriler e-posta, taşınabilir bellek ya da sunucular arasında aktarılıyorsa şifreli yöntemler, VPN veya sFTP gibi güvenli kanallar kullanılmalıdır.

Kurulumdan önce adım adım uyum kontrolü

Yüz tanıma cihazı kurmadan önce uygulanacak sıra, projenin hukuki riskini baştan azaltır. Şu adımlar bir rehber niteliğindedir; son karar için hukuk danışmanı ve veri sorumlusunun kendi değerlendirmesi gerekir.

1. Amacı yazın: Sistem hangi sorun için kuruluyor; mesai takibi mi, kritik alan erişimi mi, üyelik girişi mi? Mesai takibi amacı 2026/921 sayılı ilke kararı nedeniyle yüz tanıma için uygun görülmemektedir.

2. Daha az müdahaleci yöntemi değerlendirin: Kart, PIN, RFID/NFC ya da görevli kontrolü amacı karşılıyorsa biyometrik yöntem ölçülü sayılmayabilir; bu değerlendirmeyi yazılı kaydedin (PDKS ve geçiş kontrol sistemleri bu seçenekleri anlatır).

3. Hukuki şartı belirleyin: Kanun'un 6/3 bentlerinden hangisine dayanıldığı netleştirilmeli, gerekiyorsa ayrı ve bilgilendirici bir açık rıza alınmalıdır.

4. Alternatif sunun: Yüzünü okutmak istemeyen kişi için eşdeğer bir giriş yolu planlayın.

5. Aydınlatın: Cihazın bulunduğu girişte ve yazılı metinde biyometrik işlemeyi açıkça belirtin; genel kamera aydınlatması yetmez.

6. Tedbirleri uygulayın: Önceki bölümdeki şifreleme, yetki, log ve ağ güvenliği adımlarını devreye alın; ağ tarafı için IP kamera siber güvenliği rehberine bakılabilir.

7. Saklama ve imhayı belirleyin: İşleme sebebi ortadan kalkınca (ör. kişi ayrılınca) şablonun silinmesi, yok edilmesi veya anonim hâle getirilmesi Kanun'un 7. maddesi gereğidir; süre ve sorumluyu önceden tanımlayın.

Genel kamera izleme kuralları için işyerinde güvenlik kamerası ve KVKK yazısına, turnike ve bariyer girişleri için turnike ve bariyer sistemleri rehberine göz atabilirsiniz. Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.

Bayifi'de kurulumcu ve ürün bulmak

Geçiş kontrol ve kamera projesinde hukuki ve teknik taraf birlikte planlanır; bu yüzden biyometrik olmayan alternatifleri de sunabilen deneyimli bir kurulumcuyla çalışmak yararlıdır. Bayifi'de bayi listesinden ve bayi haritasından bölgenizdeki firmaların profil ve hizmet bilgilerine bakabilirsiniz.

Toptancı ya da kurulumcuysanız geçiş kontrol ürünleri için pazar bölümündeki stoklu listelere göz atabilir, firmanızı kaydol sayfasından ekleyebilirsiniz.