Yüz Tanıma Sistemi ve KVKK: İşyerinde Kullanım Kuralları

Yüz tanıma sistemi KVKK açısından en hassas geçiş teknolojilerinden biridir; çünkü yüz geometrisinden üretilen şablon, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda özel nitelikli kişisel veri olarak sayılan biyometrik veri niteliğindedir. Kısa cevap şudur: Yüz tanıma teknolojisi kendi başına yasak değildir, ancak işyerinde kullanılması için sıkı şartlar aranır. Özellikle mesai takibi amacıyla kullanımı, Kişisel Verileri Koruma Kurulu'nun 2026 yılındaki ilke kararı sonrasında ciddi biçimde sınırlanmıştır.

Bu içerik genel bilgilendirme amaçlıdır; kendi durumunuz için mutlaka bir avukat veya KVKK uzmanıyla görüşün.

Yüz Tanıma Verisi Neden Özel Nitelikli?

Kart numarası kaybolduğunda yenisi verilebilir, şifre değiştirilebilir; fakat bir kişinin yüzü değiştirilemez. Biyometrik verinin sızması durumunda etkisi kalıcı olabileceği için kanun koyucu bu verileri özel nitelikli kabul etmiş ve işlenmesini daha sıkı koşullara bağlamıştır. Özel nitelikli verilerin işlenme şartları 2024 yılında yapılan kanun değişikliğiyle yeniden düzenlenmiştir. Bu nedenle eski tarihli uyum dokümanlarının güncelliği de kontrol edilmelidir.

Yüz Tanıma Sistemi KVKK Kuralları: Temel İlkeler

• Hukuka ve dürüstlük kurallarına uygunluk: Veri işleme faaliyetinin kanunda sayılan bir işleme şartına dayanması gerekir.
• Belirli, açık ve meşru amaç: Sistemin neden kurulduğu net olmalı; mesai takibi, fiziksel güvenlik veya ziyaretçi kontrolü ayrı ayrı değerlendirilmelidir.
• Ölçülülük: Aynı amaca kart, PIN veya QR kod gibi daha az müdahaleci bir yöntemle ulaşılabiliyorsa biyometrik yöntem ölçülü sayılmayabilir.
• Aydınlatma: Çalışanlar ve ziyaretçiler; hangi verinin, hangi amaçla, ne kadar süre işleneceği hakkında bilgilendirilmelidir.
• Veri güvenliği: Biyometrik şablonlar şifrelenmeli, erişim yetkileri sınırlandırılmalı ve özel nitelikli veriler için öngörülen ek tedbirler alınmalıdır.

Kullanım Senaryolarına Göre Değerlendirme

Açık Rıza Neden Tek Başına Yeterli Değil?

İş ilişkisinde işveren ile çalışan arasında doğal bir güç dengesizliği vardır. Çalışan, rıza vermediğinde olumsuz sonuçlarla karşılaşacağını düşünürse verdiği rızanın gerçekten özgür iradeye dayandığı söylenemez. Kurul da mesai takibi değerlendirmesinde bu duruma dikkat çekmiştir. Bu nedenle rıza formu imzalatmak, ölçülü olmayan bir sistemi hukuka uygun hâle getirmez. Biyometrik bir sistem her durumda değerlendirilecekse, çalışana biyometrik olmayan eşdeğer bir alternatif sunulması asgari bir güvence olarak görülmelidir.

Teknik Tarafta Alınabilecek Önlemler

• Fotoğraf yerine yalnızca matematiksel şablonun saklandığı cihazlar tercih edilmesi
• Şablonların şifreli olarak cihazda veya yetkilendirilmiş sunucuda tutulması
• Personel ayrıldığında şablonun derhal silinmesi
• Yönetici erişimlerinin loglanması ve düzenli denetlenmesi
• Ağ güvenliği: cihazların ayrı VLAN üzerinde, güncel yazılımla çalıştırılması

Yüz tanıma terminallerinin teknik özellikleri için yüz tanıma sistemleri sayfamıza, biyometrik olmayan alternatifler için kartlı geçiş kontrol sistemi ve PDKS sistemleri sayfalarımıza göz atabilirsiniz. Birçok yüz tanıma terminali kart okuma modunu da desteklediğinden, mevcut cihazlar çoğu zaman kartlı kullanıma çevrilebilir.

İşverenler İçin Yüz Tanıma Uyum Kontrol Listesi

Yüz tanıma kullanmayı düşünen veya halihazırda kullanan bir işverenin, aşağıdaki soruları yazılı olarak cevaplandırması iyi bir başlangıç noktasıdır:

1. Amaç nedir? Sistem mesai takibi için mi, belirli bir alanın fiziksel güvenliği için mi kullanılıyor? Mesai takibiyse biyometrik olmayan yönteme geçiş planlanmalıdır.
2. Alternatif var mı? Aynı amaç kart, kart artı PIN veya QR kod ile karşılanabiliyor mu? Karşılanabiliyorsa biyometrik yöntemin gerekliliği savunulamayabilir.
3. Kimleri kapsıyor? Tüm çalışanlar yerine yalnızca belirli bir alana erişmesi gereken sınırlı bir grup mu?
4. Hangi hukuki dayanak var? Kanun'daki işleme şartlarından hangisine dayanıldığı yazılı olarak belirlenmeli ve bir hukukçu tarafından doğrulanmalıdır.
5. Aydınlatma yapıldı mı? Çalışanlara ve ziyaretçilere kanıtlanabilir şekilde bilgi verildi mi?
6. Güvenlik tedbirleri yeterli mi? Şablonlar şifreli mi, erişim loglanıyor mu, ayrılan personelin verisi siliniyor mu?
7. Kayıtlar güncel mi? Kişisel veri envanteri, saklama-imha politikası ve gerekiyorsa VERBİS kaydı yeni duruma göre düzenlendi mi?

Bu listedeki sorulardan birine bile net cevap verilemiyorsa, sistemin mevcut hâliyle kullanımına devam etmeden önce hukuki destek alınması en güvenli yoldur. Özellikle ilke kararı sonrasında mesai takibi amacıyla kullanılan yüz tanıma terminallerinin kart moduna alınması, hem hukuki riski azaltır hem de mevcut donanım yatırımını korur.

Ziyaretçiler ve Üçüncü Kişiler

Yüz tanıma sistemlerinde çoğu zaman gözden kaçan bir konu, çalışan olmayan kişilerdir. Lobiye yerleştirilen bir yüz tanıma terminali veya kamerası, ziyaretçilerin, kuryelerin ve taşeron personelin görüntüsünü de işleyebilir. Bu kişiler için ayrı bir aydınlatma yapılmalı, sistemin kayıtlı olmayan yüzleri saklamadığından emin olunmalıdır. Ziyaretçi girişlerinde QR kodlu geçici kart veya resepsiyonda verilen ziyaretçi kartı, biyometrik veri işlemeden aynı kontrolü sağlar ve genellikle daha uygun bir çözümdür.

Sıkça Sorulan Sorular

Yüz tanıma sistemi yasak mı?

Teknolojinin kendisi yasak değildir. Ancak işyerinde, özellikle mesai takibi amacıyla kullanılması Kurul'un ilke kararı doğrultusunda ölçülülük ilkesine aykırı kabul edilmektedir. Diğer kullanım amaçları ayrıca değerlendirilmelidir.

Çalışanlardan açık rıza alırsam yüz tanıma ile mesai takibi yapabilir miyim?

Kurum duyurusuna göre açık rıza bulunsa dahi mesai takibi amacıyla biyometrik veri işlenmesi ölçülü görülmemektedir. Bu nedenle kartlı veya şifreli yöntemlere geçilmesi önerilir.

Mevcut yüz tanıma cihazlarımı ne yapmalıyım?

Önce hukuki danışmanınızla durumu değerlendirin. Cihaz kart veya PIN modunu destekliyorsa bu moda geçirilebilir; kayıtlı biyometrik şablonlar ise imha politikanıza uygun şekilde silinmelidir. Teknik destek için ekibimize ulaşabilirsiniz.

Mevcut sisteminizi KVKK'ya uygun bir yapıya dönüştürmek veya biyometrik olmayan yeni bir geçiş altyapısı kurmak için İstanbul'da ücretsiz keşif talep edin ve teklif alın.