Biyometrik Veri: Mesai Takibi, Geçiş Kontrolü, Doğrulama

Biyometrik veri, Türkiye’de 2026 yılının ikinci yarısından itibaren bir tercih konusu olmaktan çıkıp bir uyum konusu hâline geldi. Kişisel Verileri Koruma Kurulu’nun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, parmak iziyle mesai takibini yasakladı ve gerekçesini tek bir cümleye indirdi: çalışan açık rıza verse bile, daha az müdahaleci bir alternatif varken biyometrik veri işlemek ölçülülük ilkesini karşılamaz. Karar 2 Haziran 2026 tarihli Resmî Gazete’de yayımlandı; Kurum daha sonra gelen görüş talepleri üzerine ikinci bir duyuru yayımlayarak kararın kapsamını netleştirdi: yasak mesai takibiyle sınırlı, diğer biyometrik kullanımlar somut olay bazında değerlendirilecek.

Bu rehber o iki metni ve öncesindeki iki kararı bir karar prosedürüne çeviriyor. Birinci bölüm biyometrik veriyi neden diğer kişisel verilerden ayırdığımızı, ikinci ve üçüncü bölüm 2026/921’in ne dediğini ve neyi demediğini, dördüncü bölüm Kurul’un 2020 ve 2022 kararlarının çizdiği çizgiyi anlatıyor. Sonrası mühendislik tarafı: biyometrisiz alternatiflerin gerçek maliyeti, şablon saklama mimarileri, 1:1 ile 1:N arasındaki hata oranı farkı, sunum saldırıları ve canlılık testinin ölçülebilir olması, saklama ve imha, ihlal hâlinde ne yapılabileceği. Sonda on iki senaryoluk bir karar tablosu, tedarikçiye sorulacak on iki soru ve hâlâ biyometrik mesai takibi çalıştıran bir kurum için 30 günlük bir geçiş planı var.

Baştan söylemek gerekiyor: bu metin hiçbir biyometrik sistemi atlatma yöntemi tarif etmiyor. Anlatılan her şey uyum, tasarım ve savunma tarafında. Bir parmak izi okuyucusunun nasıl kandırılacağı değil, bir kurumun aynı işi hukuka uygun ve daha az riskli nasıl yapacağı konu.

Biyometrik veri neden ayrı bir rejimde

6698 sayılı Kanun’un 6. maddesi özel nitelikli kişisel verileri sınırlı sayma yoluyla belirliyor ve biyometrik veriyi bu listede sayıyor: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veri. Kurum’un 2026 duyurusu bu listenin kıyas yoluyla genişletilemeyeceğini ayrıca vurguluyor; yani listede olmayan bir veriyi biyometrik saymak mümkün değil, ama listede olan bir veri için farklı saklıyoruz savunması da yaramıyor.

Tanım tarafında ilginç bir boşluk var. Ulusal mevzuatta biyometrik verinin kapsamlı bir tanımı yok; 5490 sayılı Nüfus Hizmetleri Kanunu’nun 3. maddesi biyometrik veriyi elektronik sistemler aracılığı ile kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlıyor. Bu tanım dar: yüz, iris, ses ve yürüyüş metnin dışında kalıyor. Kurum, 2026 duyurusunda bu boşluğu GDPR’ın 51 numaralı gerekçesine başvurarak kapatıyor: belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hâle getirilen veriler biyometrik veri niteliğinde.

Aynı duyurudaki bir sonraki cümle, tedarikçi görüşmelerinde en sık duyulan savunmayı bitiriyor: verinin matematiksel bir koda çevrilerek veritabanında saklanması, biyometrik veri niteliğini ortadan kaldırmıyor. Yani parmak izini değil ondan ürettiğimiz sayıyı tutuyoruz cümlesi hukuken bir şey ifade etmiyor. Bu, pratikte çok şey değiştiriyor: şablon saklayan her sistem, ham görüntü saklamasa bile özel nitelikli veri işliyor ve md.6 rejimine tabi.

Modalite	Ne ölçülür	Geride ne bırakır	Yeniden verilebilir mi
Parmak izi	Minütya noktaları ve yönleri	Yüzeylerde görünür iz, günlük hayatta her yerde	10 parmak, 10 kez
Yüz	Yüz geometrisi, doku, derinlik	Fotoğraf, video, sosyal medya	Pratikte hayır
İris	Kripte ve kollaret dokusu	Yüksek çözünürlüklü yakın çekim	İki göz, iki kez
Retina	Damar deseni	Özel donanım olmadan zor	İki göz, iki kez
Avuç içi damar	Kızılaltı damar haritası	Temas gerektirmez, iz bırakmaz	İki el, iki kez
El geometrisi	Parmak uzunluğu ve açıları	Düşük ayırt edicilik, taklit edilebilir	İki el
Ses	Spektral parmak izi	Kayıt, çağrı merkezi, sosyal medya	Metinden sentez mümkün
Tuş vuruş ritmi	Basış süresi ve aralıkları	Yalnızca sistemde, dışarıda iz yok	Davranış değişir, yeniden öğrenilir
Yürüyüş	Adım uzunluğu, salınım	Kamera kaydı yeterli	Yaralanmada bozulur
DNA	Kısa tekrar dizileri	Her temas edilen yüzey	Hayır, hiç

Tablodaki son sütun asıl sorunu gösteriyor. Bir parola bilgidir: sızarsa değiştirirsiniz, kaç kişiyle paylaştıysanız hepsinden geri alırsınız, gerektiği kadar çok kez. Bir parmak izi niteliktir: sızarsa değiştirebileceğiniz on parmağınız, iki avucunuz, iki gözünüz ve bir yüzünüz var. Bu yüzden biyometrik veri ihlalinde şifreyi değiştirdik karşılığı yok; yalnızca o modaliteyi bir daha kullanmayacağız karşılığı var. Kurul’un karar metinlerinde bu geri döndürülemezlik açıkça anılıyor: biyometrik veriler özel nitelikli olmalarının yanında geri döndürülemez nitelik taşıyor.

2026/921 ilke kararı: gerekçe zinciri dört adımda

Karar 29.04.2026 tarihli ve 2026/921 sayılı, adı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı. Gerekçe dört adımda ilerliyor ve her adım kendi başına bir savunmayı kapatıyor.

Birinci adım, yasal dayanak. 4857 sayılı İş Kanunu ve Çalışma Süreleri Yönetmeliği işverene çalışma sürelerini takip etme ve belgeleme yükümlülüğü veriyor. Ama bu yükümlülüğün biyometrik tanımlama sistemleriyle yerine getirilmesini öngören ya da buna açıkça izin veren bir düzenleme yok. Dolayısıyla md.6/3’ün kanunlarda açıkça öngörülme şartı karşılanmıyor. Takip yükümlülüğüm var ile takibi parmak iziyle yapabilirim arasındaki boşluk burada kapanıyor; genel bir takip yetkisi, özel nitelikli veri için özel bir yetki sayılmıyor.

İkinci adım, diğer işleme şartları. Kurul md.6/3’ün (b), (c), (ç), (d), (e), (f) ve (g) bentlerinin hiçbirinin uygulama alanı bulmadığını tespit ediyor. Geriye (a) bendi, yani açık rıza kalıyor. Uygulamada da kurumların bu yolu seçtiği zaten görülüyordu; sorun bu bendin tek başına yeterli olmadığının üçüncü adımda ortaya çıkması.

Üçüncü adım, rızanın serbestliği. Karar, tarafların eşit konumda olmadığı, birinin diğeri üzerinde etkili olduğu veya güç dengesizliği bulunan istihdam ilişkilerinde çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin biçimde sunulmaması hâlinde gerçek bir seçenekten söz edilemeyeceğini söylüyor. İkinci gerekçe daha teknik: rıza geri alınabildiği için biyometrik sistemin sürekliliği ve uygulanabilirliği zarar görür, bu yüzden mesai takibinde biyometrik verinin yalnızca açık rızaya dayanılarak işlenmesi kural olarak yeterli bir hukuki zemin oluşturmaz.

Dördüncü adım, ölçülülük. Karar md.4’ün genel ilkelerini üç ayrı ölçüt olarak uyguluyor: yöntemin amaca uygunluğu, alternatif yöntemlerin tüketilip tüketilmediği ve müdahalenin boyutu. Sonuç cümlesi kararın en sert yeri: bu kriterleri karşılamayan bir uygulama, ilgili kişinin açık rızası bulunsa dahi hukuka aykırı kabul edilecek. Yani rıza, ölçülülük testini geçmeyen bir işlemeyi kurtarmıyor.

Kararın tespiti	Pratik anlamı	Kurumun yapması gereken
İş Kanunu takip yükümlülüğü veriyor, biyometrik yetki vermiyor	Yasal zorunluluk savunması md.6/3-b’yi karşılamıyor	Takip yöntemini ayrı bir hukuki değerlendirmeyle seç
md.6/3 (b)-(g) bentleri uygulanmıyor	Geriye yalnızca açık rıza kalıyor	Rızayı tek dayanak saymayı bırak
İş ilişkisinde rıza serbest değil	İmzalı form geçerli rıza kanıtı değil	Rızaya dayalı tasarımı terk et
Geri alınabilir rıza sistemi sürdürülemez kılıyor	Rıza her an düşebilir, sistem çöker	Biyometrisiz yedek yolu baştan kur
Ölçülülük: alternatifler tüketilmedi	Açık rıza olsa da işleme hukuka aykırı	Alternatif yönteme geç
md.12/1 kapsamında idari ve teknik tedbir	Uyum bir öneri değil, yükümlülük	Geçişi yazılı plana bağla
Uyumsuzlukta md.18 uygulanacak	İdari para cezası ve sair işlem	Risk kaydına ceza bandını işle

Kararın sonuç bendi yapılacak işi de sayıyor: mesai takibinin biyometrik tanımlama sistemleri yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollarla sağlanması gerekiyor. Kurum bu maddelerin md.12/1 uyarınca alınması gereken idari ve teknik tedbirlerden olduğunu, aksi tespit hâlinde md.18 hükümlerinin uygulanacağını da ekliyor.

Karar neyi kapsamıyor: geçiş kontrolü, kimlik doğrulama, kritik alan

İlke kararından sonra Kurum’a farklı sektörlerden görüş talepleri gelmiş ve Kurum ikinci bir duyuru yayımlamış. Bu duyuru, kararın uygulanmasında en çok yanlış anlaşılan noktayı düzeltiyor: 2026/921 yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerine ilişkin. Mesai takibi dışında kalan faaliyetler karar kapsamında değerlendirilmeyecek; hukuka uygunluk, veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak bizzat veri sorumlusu tarafından değerlendirilecek. Kuruma intikal eden ihbar veya şikâyetler ise her somut olay özelinde ayrıca değerlendirilecek.

Duyurunun en önemli paragrafı kritik alan istisnasını tarif ediyor. Bazı tesis ve faaliyet alanları, taşıdıkları güvenlik riski ve olası ihlallerin doğurabileceği sonuçlar nedeniyle genel değerlendirmeden ayrılıyor; bu alanlarda biyometrik tanımlama sistemleri yalnızca mesai takibine hizmet eden bir araç olmaktan çıkıp kimlik doğrulama, yetkilendirme ve kritik alanlara erişimin kontrolü gibi çok katmanlı güvenlik süreçlerinin parçası hâline geliyor. Ama istisna sınırsız değil: bu alanlarda da işleme yalnızca gerekli kritik alanlarla ve kişilerle sınırlı olmalı, alternatif yöntemlerin yetersiz kalması gösterilmeli ve işleme somut güvenlik ihtiyacıyla ölçülü olmalı.

Duyuru md.28/1-ç istisnasına da değiniyor: millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin korunmasına yönelik işlemeler belirli şartlarla Kanun kapsamı dışında kalabiliyor, ancak bu istisna biyometrik veri kullanımını sınırsız hâle getirmiyor. Her somut olayda güvenlik riskinin ağırlığı, alternatiflerin yetersizliği ve işlemenin amacı ayrıca değerlendirilecek.

Buradan pratik bir sonuç çıkıyor: biyometrik bir terminal hem geçişi açıyor hem de giriş saatini kaydediyorsa, hukuki nitelendirme kaydın ne için kullanıldığına bağlı. Aynı turnikeden geçen kayıt, puantaj hesaplamasında kullanıldığı anda mesai takibi verisi oluyor; amacı geçiş kontrolü olarak yeniden adlandırmak, kullanımı değiştirmiyor. Danışmanlıkta en sık görülen hata tam olarak bu: aydınlatma metnine fiziksel güvenlik yazıp bordroya giriş çıkış saatlerini aktarmak.

Amaç	2026/921 sonrası durum	Belgelenmesi gereken
Mesai takibi / puantaj	Biyometrik yasak, rıza kurtarmıyor	Alternatif yöntem kararı ve geçiş planı
Genel geçiş kontrolü (ofis kapısı)	Somut olay bazında; ölçülülük iddiası zayıf	Alternatiflerin neden yetersiz olduğu
Kritik alan (veri merkezi, ilaç deposu, kasa)	İstisna mümkün, sınırlı ve gerekçeli	Risk analizi, alan ve kişi listesi, çok katmanlı tasarım
Cihaz kilidi (kişisel telefon)	İşveren veri işlemiyor, şablon cihazda	Şablonun dışarı çıkmadığının kanıtı
Çalışanın kendi cihazında kurumsal uygulama girişi	Somut olay; 1:1 ve cihaz içi tercih edilir	Sunucuya biyometrik veri gitmediğinin kanıtı
Müşteri kimlik doğrulama	Sektör mevzuatına bağlı, ayrı rejim	İlgili sektör düzenlemesi ve alternatif
Öğrenci/devam takibi	Çocuk verisi; ölçülülük eşiği çok yüksek	Çocuğun üstün yararı ve alternatif
Etkinlik, spor salonu, ziyaretçi girişi	Ticari kolaylık gerekçesi zayıf	Neden kart veya QR yetersiz

2020/915 ve 2022/797: iki karar, iki farklı yaptırım

2026 kararını okuyunca bu yeni bir yasak hissi doğuyor; oysa Kurul aynı sonuca iki kez daha varmıştı. 1 Aralık 2020 tarihli ve 2020/915 sayılı karar, bir belediyede görev yapan memurun işe giriş çıkış takibinin biyometrik veri işlenerek yapılmasına ilişkin. Kurul, mesai kontrolü amacıyla parmak izi işlenmesinin md.4/ç’deki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı olduğunu ve işlemenin hukuka uygun bir veri işleme şartına dayanmadığını tespit etmiş; ayrıca md.12/1-a’ya aykırılık görmüş.

O kararın yaptırım tarafı idari para cezası değil, çok daha can sıkıcı bir liste: md.18/3 uyarınca ilgili personel hakkında disiplin hükümlerinin işletilmesi, o güne kadar işlenen ve muhafaza edilen parmak izi verilerinin md.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak ivedilikle imha edilmesi, veriler üçüncü kişilere aktarılmışsa imha işlemlerinin onlara da bildirilmesi, giriş çıkış işlemlerinin alternatif yollarla sağlanması, biyometrik giriş çıkış uygulamasına son verilmesi ve mevcut sistemin kaldırılması. Kurum ayrıca sistemin kaldırıldığını ve verilerin imha edildiğini gösteren bilgi ve belgelerin Kurula gönderilmesini istemiş.

4 Ağustos 2022 tarihli ve 2022/797 sayılı karar başka bir sektörden: bir şirketin fabrikalarında güvenlik kamerası ve işe giriş çıkışlarda yüz tanıma sistemi. Şirket, yüz tanımanın md.6 kapsamında biyometrik veri olduğunun bilinciyle çalışanlardan ayrıca açık rıza da almıştı. Kurul yine de işlemenin hukuka aykırı olduğu sonucuna vardı; çünkü alınan açık rıza md.3’teki unsurları, yani belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza niteliğini taşımıyordu. Kararda 500.000 TL idari para cezası uygulandı. Kurul ayrıca açık rıza alınmış olsa bile işlemenin md.4’teki genel ilkelere uygun yürütülmesi gerektiğini belirtti.

Karar	Sektör ve amaç	Tespit	Yaptırım
2020/915, 01.12.2020	Belediye, parmak iziyle mesai	md.4/ç ölçülülük, hukuka uygun şart yok, md.12/1-a	Disiplin hükümleri, verilerin imhası, sistemin kaldırılması, Kurula belge
2022/797, 04.08.2022	Fabrika, yüz tanıma ve kamera	Açık rıza md.3 unsurlarını taşımıyor; md.4 yine uygulanır	500.000 TL idari para cezası
2026/921, 29.04.2026	Tüm sektörler, mesai takibi	Kanunda açık dayanak yok, rıza yetersiz, ölçülülük yok	Karara uyum zorunlu; uyumsuzlukta md.18

Üç kararın ortak noktası şu: hiçbiri rıza alınmamış diye sonuçlanmadı. İkisinde rıza vardı, üçüncüsünde rızanın hukuki zemin olarak yetersiz olduğu ayrıca yazıldı. Kurul’un baktığı yer rızanın varlığı değil, işlemenin gerekliliği. Bu yüzden biyometrik bir projede ilk soru hangi formu imzalatacağız değil, bu işi biyometrisiz yapabilir miyiz olmalı.

Alternatifler: aynı işi biyometrisiz yapmak

2026/921’in sonuç bendi dört alternatif sayıyor ve bunları örnek olarak veriyor, sınırlı bir liste olarak değil. Aşağıdaki tablo bu dört yöntemi ve pratikte en çok kullanılan iki ek yöntemi karşılaştırıyor. Ölçüt, yöntemin biyometriden daha az müdahaleci olması ve kaydın puantaj için yeterli kanıt üretmesi.

Yöntem	Neyi kanıtlar	Zayıf noktası	Maliyet sınıfı	Uygun olduğu yer
Şifreli kart / PIN	Kart sahibinin terminalde olduğunu	Kart paylaşımı, arkadaş yerine basma	Düşük	Ofis, fabrika, mağaza zinciri
RFID / NFC kimlik kartı	Aynı, temassız ve hızlı	Aynı; kopyalanabilir kart	Düşük-orta	Yüksek geçişli tesisler
İmzalı kâğıt çizelge	Çalışanın beyanı ve amir onayı	Manuel hata, sonradan doldurma	Çok düşük	Küçük ekipler, şantiye, saha
Denetçi gözetiminde elle giriş	Gözlem + kayıt	Denetçi maliyeti, sübjektiflik	Orta	Vardiya başı, kritik hatlar
Kurumsal uygulamadan check-in	Konum + cihaz + zaman	Konum taklidi, cihaz paylaşımı	Orta	Saha ve hibrit çalışma
Kart + turnikede fotoğraf	Kartı kullanan kişinin yüzü	Gizlilik etkisi, saklama yükü	Orta-yüksek	Kart paylaşımının ölçüldüğü yerler

Biyometrik sistemlerin satın alma gerekçesi neredeyse her zaman aynı: kart paylaşımı. Hesabı yapalım. 250 çalışanı olan bir tesiste çalışanların yüzde 2’si günde 15 dakika kartını başkasına veriyorsa yıllık kayıp 250 × 0,02 × 15 dakika × 250 iş günü = 18.750 dakika, yani 312,5 saat. Bu, 1.800 saatlik bir tam zaman eşdeğerinin yüzde 17’si. Saat başına yüklü maliyet 350 TL alınırsa yıllık 109.375 TL. Aynı oran 5.000 çalışanda beş katına çıkıyor: 546.875 TL.

Şimdi diğer taraftaki sayıya bakalım. 2026 tarifesine göre md.18/1-b kapsamındaki idari para cezası bandı 256.357 TL ile 17.092.242 TL arasında. Yani 250 kişilik bir tesiste tek bir uyumsuzluk tespiti, biyometriğin önlemeye çalıştığı yıllık kaybın iki katından fazlasına denk gelebiliyor. Bu, biyometriğin hiçbir zaman mantıklı olmadığı anlamına gelmiyor: kayıp oranı yüzde 8 ve günlük 30 dakika ise hesap 2.500 saate, 1,39 tam zaman eşdeğerine ve 875.000 TL’ye çıkıyor ve o noktada ciddi bir problem var. Ama o noktada bile çözüm biyometrik olmak zorunda değil; kart ile turnikede fotoğraf, amir onaylı vardiya listesi ve rastgele denetim aynı kaybı daha düşük müdahaleyle kapatıyor. Kararın istediği de bu: alternatifin denenmiş ve yetersiz kalmış olması.

Şablon: biz hash’liyoruz cümlesi neden çoğu zaman doğru değil

Biyometrik sistemler üç farklı şey saklar ve üçünün riski aynı değil. Ham görüntü, yani parmağın veya yüzün fotoğrafı: en kötü durum, çünkü görüntü hem biyometrik veri hem de kişinin fiziksel görüntüsü; ayrıca yeniden işlenebilir. Öznitelik şablonu, yani görüntüden çıkarılan minütya listesi veya vektör: eşleştirme bunun üzerinden yapılır, ham görüntüden daha az ama hâlâ geri döndürülebilir. Korumalı şablon, yani ISO/IEC 24745’in tarif ettiği üç özelliği taşıyan dönüşüm: geri döndürülemezlik, bağlantısızlık ve yenilenebilirlik.

Şimdi tedarikçinin cümlesine bakalım: şablonu hash’liyoruz, veri tersine çevrilemez. Kriptografik hash, girişin tek bit değişmesiyle çıkışın bitlerinin yaklaşık yarısını değiştirir. Parmak izi taraması ise hiçbir zaman aynı değildir: basınç, nem, deri durumu ve sensör gürültüsü yüzünden iki gerçek tarama arasında minütya noktalarının bir kısmı farklı çıkar, eşleştirici de tam olarak bu farkı tolere etmek için vardır. SHA-256 uygulanmış bir şablonda bu tolerans imkânsız hâle gelir; aynı parmağın ikinci taraması eşleşmez. Dolayısıyla pratikte hash denen şey ya anahtarlı, toleranslı bir dönüşümdür ve kriptografik hash değildir, ya da iddia denetlendiğinde ayakta kalmaz. Bu soruyu bir tedarikçiye sormak, sözleşme görüşmesinin en verimli beş dakikası.

Boyut hesabı da savunmayı zayıflatıyor. Tipik bir parmak izi şablonu 512 ile 1.024 bayt arasında; 700 bayt alalım. 5.000 çalışanın şablonu 3,5 megabayt eder. Bu, e-postayla gönderilebilecek, bir USB belleğe sığacak, yedek klasöründe fark edilmeden duracak bir hacim. Aynı 5.000 çalışanın parola özetleri bcrypt maliyet 12 ile yaklaşık 300 kilobayt tutar; yani şablon veritabanı, zaten korumakla yükümlü olduğunuz parola veritabanıyla aynı büyüklük sınıfında. Sadece şablon tutuyoruz, elimizde hassas bir şey yok cümlesinin arkasında sayı yok; 3,5 megabaytlık bir dosya, ihlal bildiriminde biyometrik veri sızdı demek için fazlasıyla yeterli.

Saklanan biçim	Saldırganın eline ne geçer	Geri döndürülebilir mi	Gereken kontrol
Ham görüntü	Kişinin biyometrisi + fiziksel görüntüsü	Hayır	Hiç saklanmamalı; kalite kontrolü için bile kalıcı tutulmamalı
Damar/iris görüntüsü	Aynı, modaliteye özgü	Hayır	Terminalde işle, görüntüyü gönderme
Öznitelik şablonu	Eşleştirmeye yeterli vektör	Kısmen, araştırma düzeyinde	Anahtarlı dönüşüm, cihaz içi eşleştirme
Korumalı şablon	Anahtar olmadan anlamsız dönüşüm	Anahtar sızarsa evet	Anahtarı ayır, HSM veya güvenli öğe
Yalnızca eşleşme sonucu	Evet/hayır kaydı	Konu dışı	En düşük riskli mimari; tercih edilen

İptal edilebilirlik konusu ise tabloda görünmeyen asıl kısıt. Şablon sızarsa yapabileceğiniz şey o parmağı sistemden çıkarmak ve başka bir parmak kaydetmek. On parmağınız olduğuna göre en fazla on kez yenileyebilirsiniz; iki parmak kaydettiyseniz elinizde bir yedek kaldı. Bir parola sınırsız kez yenilenir, bir parmak izi yenilenmez. Bu asimetri, biyometrik veriyi saklama kararının neden bu kadar ağır olduğunu açıklıyor.

1:1 mi 1:N mi: hata oranı çarpılan bir sayı

Bu bölüm, biyometrik projelerde en sık atlanan mühendislik farkını anlatıyor. 1:1 doğrulamada sistem, kişinin iddia ettiği kimliği bilir ve tek bir şablonla karşılaştırır. 1:N tanımlamada kimlik iddiası yoktur; sistem kayıtlı bütün şablonlarla karşılaştırır ve en yakın eşleşmeyi döndürür. Hata oranı aynı kalsa bile, günlük yanlış eşleşme sayısı N ile çarpılır.

Sayılarla: yanlış eşleşme oranı 100.000’de 1, yani 0,00001 olsun. 5.000 çalışanı olan ve günde 4.000 giriş kaydeden bir tesiste 1:N tasarım, günde 4.000 × 5.000 = 20.000.000 karşılaştırma yapar ve beklenen yanlış eşleşme sayısı 20.000.000 × 0,00001 = 200 olur. Yani günde ortalama 200 kez bir çalışanın yerine başka bir çalışanın kaydı düşer. Aynı sistem 1:1 çalışsaydı 4.000 × 0,00001 = 0,04, yani kırk günde bir hata olurdu. Fark 5.000 kat.

Kayıtlı kişi	Günlük giriş	Günlük karşılaştırma	0,00001 oranında yanlış eşleşme	0,000001 oranında
500	400	200.000	2	0,2
1.000	800	800.000	8	0,8
5.000	4.000	20.000.000	200	20
10.000	8.000	80.000.000	800	80
50.000	40.000	2.000.000.000	20.000	2.000

Bu tablonun pratik sonucu şu: geniş popülasyonlu bir 1:N kurulumu, yanlış eşleşmeyi kabul edilebilir seviyeye indirmek için eşiği yükseltmek zorunda kalır ve bu sefer doğru kişiyi reddetme oranı yükselir. Doğru kişiyi reddetme oranı yüzde 2 olan bir eşikte, günde 1.000 giriş yapan bir tesiste 20 red yaşanır. Her red için amirin terminale gelip kimliği elle doğrulaması 3 dakika sürüyorsa günde 60 dakika, yılda 250 saat eder. Sonunda kurum ya eşiği düşürür ve yanlış eşleşmelerle yaşar, ya da her redde kart yolunu açar; ikinci durumda biyometrik, kapıyı açan değil süsleyen bir katman hâline gelir. Biyometrik bir sistemi değerlendirirken hem yanlış kabul hem yanlış ret tarafını aynı tabloda görmek gerekiyor; tek bir doğruluk yüzdesi bu kararı vermeye yetmiyor.

Sunum saldırıları: canlılık testi ölçülmedikçe bir iddiadır

Biyometrik bir sistemin saldırı yüzeyi, biyometrinin kendisinden çok sensöre neyin ulaştığıyla ilgili. ISO/IEC 30107-3, bu saldırıları sunum saldırısı olarak adlandırıyor ve iki ölçü tanımlıyor: saldırı sunumlarının canlı sanılma oranı (APCER) ve canlı sunumların saldırı sanılma oranı (BPCER). Bu iki sayı verilmeden söylenen canlılık var cümlesi, mühendislik değil pazarlama cümlesi. İyi bir tedarikçi hangi standart sürümüne göre, hangi saldırı setiyle, hangi APCER değerinde ve hangi BPCER maliyetinde test edildiğini yazar.

Saldırı	Gereken kaynak	Hangi modaliteye işler	Hangi kontrol durdurur
2B baskı fotoğraf	Yazıcı, birkaç dakika	Yüz, iris	Doku ve derinlik analizi, hareket istemi
Ekran tekrarı (video)	Telefon, hazır video	Yüz	Yansıma ve moiré analizi, rastgele hareket
Lateks veya tutkal kalıp	Kalıp malzemesi, birkaç saat	Parmak izi	Ter ve sıcaklık algılama, damar katmanı
3B baskı reçine parmak	3B yazıcı, tarama	Parmak izi	Çok spektrumlu görüntüleme, damar
Yüzde derinlik maskesi	3B baskı, doku boyası	Yüz (3B sensör)	Kızılaltı, mikro hareket, nabız
Gerçek zamanlı yüz değiştirme	GPU ve video akışı	Yüz (uygulama içi)	Enjeksiyon tespiti, kamera attestation
Sanal kamera enjeksiyonu	Yazılım, kayıtlı akış	Tüm kamera tabanlı akışlar	İmzalı kamera, cihaz bütünlüğü
Kayıtlı şablonun tekrarı	Şablon erişimi	Sunucu tarafı eşleştirme	Meydan okuma-değişken imzalama, oturum tazeliği

Tablodaki son iki satır, en sık atlanan iki saldırı. Enjeksiyon saldırısı sensörden sonra gerçekleşir: saldırgan kamerayı değil, kameranın yerine geçen yazılımı kullanır. Sensör seviyesinde ne kadar iyi canlılık testi olursa olsun, akış dijital olarak üretildiği için o test hiç çalışmaz. Bu yüzden uygulama üzerinden yapılan yüz doğrulamalarda canlılık kadar cihaz bütünlüğü de gerekir; Android ve iOS tarafında bunun adı attestation, yani akışın gerçek bir kameradan ve kurcalanmamış bir uygulamadan geldiğinin kanıtı.

Ölçüye dönelim. Yılda 1.000 sahte denemenin yapıldığı bir kurulumda APCER yüzde 5 ise 50 başarılı taklit; APCER binde 5 ise 5. Aradaki fark, canlılık testinin ölçülüp ölçülmediğinden geliyor. Aynı mantıkla, bir kurumun kendi sahasında yapılan test sayısı da anlamlı: 200 çalışanla 20 saldırı denemesi yapıp hiçbirinin geçmediğini görmek, yüzde 5’lik bir APCER’i dışlamaya yetmez: gerçek APCER yüzde 5 olsa bile yirmi denemenin hepsinin durdurulmuş görünmesi olasılığı 0,95 üzeri 20, yani yüzde 36.

Şablon nerede duruyor: dört mimari, dört farklı risk

Aynı biyometrik modalite, dört farklı mimaride dört farklı risk profili üretir. Fark, şablonun nerede durduğu ve eşleştirmenin nerede yapıldığı.

Birinci mimari, cihaz içi güvenli öğe. Şablon telefonun güvenli öğesinde veya Trusted Execution Environment içinde kalır, dışarı çıkmaz. Uygulama yalnızca evet/hayır sonucu alır. Android’de BiometricPrompt, iOS’ta Secure Enclave ve yerel doğrulama bu modelin tipik örnekleri. İşveren açısından en önemli özellik: kurum biyometrik veri işlemiyor, çünkü veri kuruma hiç ulaşmıyor.

İkinci mimari, kart üzerinde eşleştirme. Şablon akıllı kartta durur, terminal kartın içindeki şablonla parmağı karşılaştırır ve yalnızca sonucu okur. NIST’in minütya birlikte çalışabilirlik programları bu modeli ölçer. Sahada avantajı, şablonun tek bir merkezde toplanmaması; dezavantajı kartın kaybolması ve şablonun kartla birlikte dolaşması.

Üçüncü mimari, sunucu tarafı şablon. Terminal ham öznitelikleri veya şablonu merkeze gönderir, eşleştirme merkezde yapılır. Esnek ve yönetimi kolay, ama tek bir ihlalde bütün popülasyonun şablonu tek yerde durur; ayrıca 1:N tasarımı bu mimaride yaygın olduğu için yukarıdaki çarpma problemi burada ortaya çıkar.

Dördüncü mimari, tedarikçi bulutu. Şablon hizmet sağlayıcının altyapısında durur. Bu, md.8 kapsamında veri işleyen ilişkisi ve şablon yurt dışındaysa md.9 kapsamında aktarım rejimi demek; 2024 değişikliğinden sonra yeterlilik kararı, uygun güvenceler, standart sözleşme veya bağlayıcı şirket kuralları gibi araçlardan birinin kurulması gerekiyor. Bulut mimarisi sözleşmede net yazılmadığında kurumun bilmediği bir ülkede biyometrik şablon tutuluyor olabiliyor.

Mimari	Şablon kimde	İhlalin yarıçapı	md.9 sorusu	Uygun senaryo
Cihaz içi güvenli öğe	Yalnızca kullanıcının cihazında	Tek cihaz	Yok, aktarım yok	Kurumsal uygulama girişi, cihaz kilidi
Kart üzerinde eşleştirme	Kartın içinde	Kaybolan kart sayısı kadar	Yok, merkez yok	Şantiye, saha, çok lokasyonlu tesis
Sunucu tarafı	Kurumun kendi sisteminde	Tüm popülasyon	Yok, yurt içi	Fiziksel güvenlik, kritik alan
Tedarikçi bulutu	Hizmet sağlayıcıda	Tüm popülasyon + sözleşme dışı erişim	Var, md.9 aracı gerekir	Yalnızca zorunlu ve gerekçeli hâller

Bu dört mimarinin ortasında duran bir tasarım kuralı var ve tek başına en çok fark yaratan karar bu: biyometrik, veritabanında arama yapmak için değil, bir kriptografik anahtarı açmak için kullanılmalı. Kullanıcı parmağını okuttuğunda sistem şablonu karşılaştırıp bir kayıt bulmuyor; cihazın güvenli öğesinde saklanan özel anahtarı açıyor ve sunucu yalnızca imzalanmış bir meydan okuma görüyor. FIDO2 ve WebAuthn passkey tam olarak bu model: biyometrik cihazdan çıkmıyor, sunucu yalnızca açık anahtar saklıyor, sunucunun tamamen ele geçirilmesi bile biyometrik veri sızdırmıyor. İptal de tek adım: kimlik bilgisi silinir, parmak yerinde kalır.

Buna karşılık bir turnikedeki 1:N terminal bu özelliklerin hiçbirini vermiyor: şablon merkezde, eşleştirme sunucuda, ihlalde etki bütün popülasyonda ve iptal yalnızca başka bir parmakla mümkün. Aynı kelime, yani biyometrik, iki tasarımda tamamen farklı bir risk sınıfını tarif ediyor.

Aydınlatma, açık rıza ve geri alma: hangi belge neyi yapar

Aydınlatma ile açık rıza çoğu kurumda aynı formda birleştiriliyor; oysa ikisi farklı işlevler. Aydınlatma md.10’un yükümlülüğü, tek taraflı bir bildirim; veri işlemenin hukuki sebebi değil. Açık rıza ise md.3’teki tanımıyla belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. 2022/797 kararında şirketin imzalattığı form vardı ama Kurul yine de rızanın geçerli olmadığını söyledi; çünkü metin, rızanın hangi işlemeye ve hangi sonuçlara ilişkin olduğunu belirli biçimde ortaya koymuyordu ve istihdam ilişkisindeki güç dengesi gözetildiğinde özgür irade iddiası ayakta kalmıyordu.

Geri alma tarafı, tasarımı belirleyen kısım. Rıza her an geri alınabildiğine göre, sistemin ilk günden biyometrisiz bir yolu olmak zorunda. Bu yol açılmadan alınan rıza, kağıt üzerinde geçerli görünse bile pratikte özgür değil; çünkü çalışanın rızasını geri çekmesi, işe giriş kaydını yapamaması anlamına geliyor. Kurum’un 2026 kararındaki bu tespit, rıza metinlerinden çok sistem mimarisine yönelik bir eleştiri.

Belge	Hukuki işlevi	İçermesi gereken	Sık yapılan hata
Aydınlatma metni	md.10 bilgilendirme yükümlülüğü	Amaç, kategori, alıcı, yöntem, süre, md.11 hakları	Rıza yerine geçtiğini sanmak
Açık rıza metni	md.6/3-a şartı (tek başına yetersiz)	Belirli işlem, belirli sonuç, geri alma yolu	Genel onay, toplu imza, iş sözleşmesine gömme
Veri işleme envanteri	md.16 ve VERBİS tutarlılığı	Biyometrik kayıt, saklama süresi, aktarım	Envanterde hiç görünmemesi
Tedarikçi sözleşmesi	md.8/3 veri işleyen, md.9 aktarım	Şablon konumu, alt işleyen, silme, denetim	Bulut maddesinin olmaması
İmha tutanağı	md.7 ve Yönetmelik kanıtı	Tarih, yöntem, kapsam, imza	Yalnızca veritabanı satırı silmek

Son bir uyarı: belge seti ne kadar düzgün olursa olsun, ölçülülük testini geçmeyen bir işlemeyi düzeltmiyor. 2026/921’in en can alıcı cümlesi tam olarak bunu söylüyor. Form, aydınlatma ve politika uyumun görünen yüzü; görünmeyen yüzü ise işlemenin gerekli olup olmadığı.

Saklama, işten ayrılma ve imha

Biyometrik veride saklama süresi, md.4/d’deki muhafaza ilkesi ile md.7’deki silme yükümlülüğünün kesiştiği yer. Kural sade: amaç bittiğinde veri biter. Çalışan işten ayrıldığında mesai takibi amacı bitiyor; dolayısıyla şablonun saklanmasının hukuki gerekçesi de bitiyor. Uygulamada en sık duyulan itiraz, ileride doğabilecek bir uyuşmazlık için saklayalım. Bu itiraz iki nedenle zayıf: birincisi bir uyuşmazlıkta delil olan şey şablon değil, giriş çıkış kaydı; ikincisi olası bir uyuşmazlık için veri saklamak, md.5’teki sınırlı sayıdaki şartlardan birine dayanmayı gerektirir ve ölçülülük testinden geçmez. 2020/915 kararında Kurul tam olarak bunu istedi: verilerin ivedilikle imha edilmesi ve bunun belgelenmesi.

Kayıt sınıfı	Amaç	Saklama gerekçesi	Silme tetikleyicisi	Kanıt
Biyometrik şablon	Doğrulama	Yalnızca kayıt aktifken	İşten ayrılma veya sistem kapanışı	İmha tutanağı
Ham görüntü	Kalite kontrol	Gerekçe yok	Kayıt tamamlanır tamamlanmaz	Ayarların ekran görüntüsü, log
Giriş çıkış kaydı	Puantaj, fazla mesai	İş mevzuatındaki saklama	Süre sonu	Silme logu
Erişim ve yetki kaydı	Güvenlik izi	md.12 tedbiri	Politika süresi	Log saklama ayarı
Tedarikçi tarafı log	Destek, hata ayıklama	Sözleşmede sınırlı	Sözleşmede yazılı süre	Denetim raporu

Hacim hesabı, imhanın neden bir politika değil bir iş olduğunu gösteriyor. 5.000 şablon 3,5 megabayt; günde 1.000 giriş kaydı yılda 365.000 satır, satır başına 120 bayt alındığında 43,8 megabayt. On yıl saklanan bir kayıt 438 megabayta çıkıyor. Yedekler, test kopyaları ve tedarikçi tarafındaki kopyalar hesaba katıldığında gerçek imha işi, ana veritabanındaki satırları silmekten çok daha geniş: yedek rotasyonu, test ortamlarının temizlenmesi ve tedarikçiye yazılı talimat gerekiyor. Yönetmelik üç yöntem sayıyor: silme, yok etme ve anonim hâle getirme. Biyometrik şablonda anonimleştirme güvenilir bir seçenek değil; şablon zaten benzersiz bir tanımlayıcı, kişiyle bağlantısı kesilse bile yeniden tanımlamaya elverişli. Doğru yöntem yok etme.

İhlal: biyometrik veri sızarsa ne yapılabilir

Veri ihlali bildirimi md.12/5 ve Kurul’un 2019/10 sayılı kararıyla şekilleniyor: veri sorumlusu ihlali öğrendiği tarihten itibaren en kısa sürede ve en geç 72 saat içinde Kurula bildiriyor. 72 saat, 4.320 dakika. Biyometrik veri ihlalini diğerlerinden ayıran şey, bildirim süresi değil, bildirimden sonra yapılabileceklerin azlığı.

Sızan şey	Geri döndürülebilir mi	Bildirim	Somut adım
Öznitelik şablonu	Hayır, yalnızca modalite değişir	Kurul ve ilgili kişiler	Etkilenenleri belirle, o modaliteyi devre dışı bırak, alternatif kayıt
Ham biyometrik görüntü	Hayır	Kurul ve ilgili kişiler	Görüntü saklamayı tamamen kaldır, tedarikçideki kopyayı imha ettir
Giriş çıkış kaydı ve kimlik	Kısmen, kimlik değiştirilebilir	Risk değerlendirmesine göre	Erişim izlerini incele, dolandırıcılık senaryolarını kapat
Tedarikçi tarafı sızıntı	Hayır	Kurul, veri işleyen üzerinden	Sözleşme yaptırımı, aktarımı durdur, denetim
Terminalde kalmış şablon	Hayır	Kurul	Cihazı imha et veya güvenli sil, sahadaki tüm terminalleri tara

Bu tablodan çıkan tasarım kuralı şu: biyometrik veriyi hiç toplamayan bir mimari, ihlal bildirimi yükümlülüğünü de büyük ölçüde ortadan kaldırıyor. Cihaz içi doğrulama kullanan bir kurumsal uygulamada sızabilecek biyometrik veri yok; sızabilecek şey oturum bilgisi ve o da parola sıfırlama ile çözülüyor. Aynı kurumun turnikesinde merkezi şablon varsa, bir terminalin sökülmesi bile ihlal bildirimi gerektiren bir olay hâline geliyor.

Karar tablosu: hangi senaryoda hangi yöntem

Aşağıdaki tablo, 2026/921 ile sonraki duyurunun birlikte okunmasından çıkan pratik bir harita. Sütunlar hukuki sonuç değil, kurumun kendi değerlendirmesinde kullanacağı başlangıç noktası; her satırın son sütunu, o senaryoda savunulabilir olmak için gereken asgari belgeyi gösteriyor.

Senaryo	Biyometrik uygun mu	Tercih edilen mimari	Ek kontrol
Ofiste mesai takibi	Hayır	Şifreli kart, PIN, uygulamadan check-in	Kart paylaşımına karşı rastgele denetim
Fabrikada vardiya girişi	Hayır (mesai amacıyla)	Kart veya RFID, amir onaylı çizelge	Vardiya başı gözlem, puantaj mutabakatı
Veri merkezi kritik alan	Evet, sınırlı kapsamda	Kart + biyometrik ikinci faktör, kart üzerinde eşleştirme	Alan ve kişi listesi, çok katmanlı güvenlik gerekçesi
Hastane ilaç deposu	Evet, sınırlı kapsamda	Kart + biyometrik, sunucu tarafı yurt içi	Erişim logu, ilaç mevzuatı ile uyum
Depo ve lojistik	Hayır (mesai amacıyla)	RFID kapı, uygulamadan check-in	Konum kanıtı, cihaz kaydı
Uzaktan çalışan	Hayır	Uygulama üzerinden check-in	Konum taklidine karşı cihaz bütünlüğü
Banka şube kasası	Evet, sektör mevzuatıyla	Çift faktör, kart üzerinde eşleştirme	Sektör düzenlemesi, çift kişi kuralı
Fintech müşteri kimlik doğrulama	Sektöre bağlı	Uygulama içi, cihaz içi doğrulama	Attestation, canlılık ölçümü, md.9 değerlendirmesi
Kişisel cihaz kilidi	Evet	Cihaz güvenli öğesi	Kurumun veriye erişmemesi
Kurumsal uygulamaya giriş	Evet	FIDO2 passkey, cihaz içi doğrulama	Sunucuda yalnızca açık anahtar
Okul ve kreş devam takibi	Hayır	Kart, QR, öğretmen kaydı	Çocuğun üstün yararı değerlendirmesi
Etkinlik ve spor salonu girişi	Hayır	QR, kart, bileklik	Ticari kolaylık gerekçesinin reddi

Tabloya bakınca ortaya çıkan desen şu: biyometriğin savunulabildiği yerler, amaçla doğrudan bağlantılı somut bir güvenlik ihtiyacının olduğu ve alternatiflerin gerçekten yetersiz kaldığı yerler. Mesai takibi bu tanıma girmiyor, çünkü aynı kaydı kart üretebiliyor. Kritik alan girişi ise girebiliyor, çünkü kaydın kendisi güvenlik kontrolü ve kartın devredilmesi ihlalin tam olarak önlemek istediği şey.

Tedarikçiye sorulacak on iki soru

Biyometrik bir projede uyum, sözleşme imzalanmadan önceki iki görüşmede belirleniyor. Aşağıdaki sorular, cevabı yazılı alındığında hem hukuki dosyayı hem de mühendislik kararını aynı anda kuran sorular. Kırmızı bayrak sütunu, cevabın gelmemesi değil, gelip de kaçamak olması hâli.

Soru	Neden önemli	Kabul edilebilir cevap	Kırmızı bayrak
Şablon nerede saklanıyor?	md.6, md.8, md.9 sorumluluğu buradan doğar	Cihazda veya kartta, yazılı mimari şemasıyla	Bulutta, ülke belirtilmeden
Ham görüntü saklanıyor mu?	En yüksek riskli veri sınıfı	Hayır, ayar kapatılamıyorsa ürün uygun değil	Kalite için tutuyoruz
Şablon geri döndürülebilir mi?	Korumalı şablon iddiasının testi	ISO/IEC 24745 uyumu ve dönüşüm tanımı	Hash’ledik, geri dönmez
1:1 mi 1:N mi?	Hata oranı çarpanı	1:1 doğrulama veya kart üzerinde eşleştirme	Merkezi 1:N, popülasyon belirtilmeden
Canlılık testi hangi standarda göre?	APCER ve BPCER ölçülebilir olmalı	ISO/IEC 30107-3, saldırı seti ve ölçüm raporu	Yapay zekâ tabanlı, yüzde 100
Enjeksiyon saldırısına karşı ne var?	Sensör sonrası saldırıyı canlılık durdurmaz	İmzalı kamera, attestation, akış imzası	Soru anlaşılmıyor
Yanlış ret oranı hangi eşikte?	Operasyonel yük ve kart yoluna dönüş	Ölçüm koşullarıyla birlikte sayı	Sıfıra yakın diyoruz
Kayıtları ne kadar tutuyorsunuz?	md.4/d ve md.7	Sözleşmede yazılı süre ve silme taahhüdü	Süresiz, destek için
Alt işleyen var mı?	md.8/3 zinciri	Liste, ülke ve amaç	Sadece altyapı sağlayıcı diyoruz
Çıkışta şablonu nasıl siliyorsunuz?	İmha kanıtı	Yazılı süreç, yedekler dahil, tutanak	Hesap kapanınca silinir
Biyometrik olmadan da çalışıyor mu?	Rızanın geri alınabilirliği	Kart veya PIN ile tam işlev	Biyometrik zorunlu
Sızma testi raporu var mı?	md.12 teknik tedbir kanıtı	Son 12 ay, kapsam ve bulgu özeti	Kurumsal politika gereği paylaşamıyoruz

Bu on iki sorunun cevabı bir tabloya yazıldığında, kurumun elinde hem tedarikçi seçimi hem de olası bir denetimde sunacağı değerlendirme dosyası oluyor. Kurul kararlarında aranan şey de bu: kararın verildiği anda hangi bilginin elde olduğunu gösteren yazılı iz.

30 günlük geçiş planı

Bugün hâlâ biyometrik mesai takibi çalıştıran bir kurum için en kötü senaryo, kararı okuyup hiçbir şey yapmamak ve bir sonraki denetimde hazırlıksız yakalanmak. En iyi senaryo ise dört haftada biter: envanter, alternatif kararı, geçiş ve imha, belge. Aşağıdaki plan beş lokasyonlu, 500 çalışanlı bir kurum için 108 saatlik bir iş öngörüyor.

Hafta	İş	Saat	Çıktı
1	Terminal envanteri, tedarikçi tespiti, şablon konumunun ve sözleşmenin okunması	30	Varlık listesi, mimari şeması, sözleşme boşlukları
2	Alternatif kararı: kart, PIN, RFID, uygulama check-in seçeneklerinin maliyet ve işleyiş karşılaştırması	16	Alternatif değerlendirme tutanağı
3	Geçiş: kart dağıtımı, terminal yazılımı, paralel çalışma, saha eğitimi	40	Geçiş kaydı, eğitim imza listesi
4	Şablonların imhası, yedeklerin temizlenmesi, tedarikçiye yazılı talimat, aydınlatma güncellemesi	22	İmha tutanağı, güncel aydınlatma metni, kapanış raporu

Toplam 108 saat. Aynı kurumda saat başına yüklü maliyeti 350 TL alırsak proje maliyeti 37.800 TL. Karşılaştırma için md.18/1-b bandının alt sınırı 256.357 TL; yani geçişin tamamı, tek bir cezanın altıda birinden daha azına mal oluyor. Bu hesap, uyumun neden ertelenmemesi gerektiğini maliyet dilinde anlatıyor: erteleme, ucuz olan işi pahalı olan riskin arkasına koymak.

Planın dördüncü haftasındaki imha adımı en çok atlanan adım. Sadece veritabanı satırlarını silmek yetmiyor; yedekler, test kopyaları, tedarikçi tarafındaki log ve şablon kopyaları da kapsama girmeli. Bir kurumun biyometrik veriyi teknik tedbirler ve kanıt dosyası mantığıyla ele alması gerekiyor: her adımın tarihli, imzalı ve denetlenebilir bir kaydı olmalı.

İmha sonrası iki iş kalıyor. Birincisi aydınlatma metninin güncellenmesi; artık biyometrik veri işlenmediğine göre metinden o kategori çıkmalı, çünkü olmayan bir işlemeyi anlatmak da yanlış bilgilendirme. İkincisi eğitim: farkındalık programının bir modülü olarak kart paylaşımının neden hem puantaj hem de güvenlik sorunu olduğunu anlatmak, biyometriğin yerine geçen yöntemin zayıf noktasını kapatmanın en ucuz yolu.

Bu rehberin sınırı

Yukarıdaki analiz iki güncel metne dayanıyor: 2026/921 ilke kararı ve onu takip eden kapsam duyurusu, ayrıca 2020/915 ile 2022/797 kararları. Kurul’un yaklaşımı sektör bazında farklılaşabileceği için, biyometrik veri işlemeyi planlayan bir kurumun kendi sektörüne ilişkin son kararları ve varsa rehberleri ayrıca taraması gerekiyor. Bu sayfa hukuki görüş değil; uyum, tasarım ve risk değerlendirmesi için bir çerçeve.

Savunma tarafındaki iş, saldırı tarafından daha uzun soluklu. Bir kurumun olay müdahale planı yoksa, biyometrik veri sızıntısı 72 saatlik bildirim penceresinde panikle yönetilir. Tedarikçi risk yönetimi yoksa, şablonun nerede durduğu ilk denetimde ortaya çıkar. İhlal bildirimi pratiği yoksa, doğru veriyi yanlış formatta bildirmek de bir ihlal hâline gelir.

Pratik özet: mesai takibinde biyometrik bitti; geçiş kontrolünde istisna var ama gerekçe yazmak zorunlu; kimlik doğrulamada doğru tasarım biyometriği cihazda tutup sunucuya hiç göndermemek; ve her senaryoda ilk soru hangi form değil, bu işi biyometrisiz yapabilir miyim. Aynı ölçülülük mantığı işe alım öncesi kontrollerde de geçerli; işe alım öncesi güvenlik kontrolü rehberi bu testin başka bir uygulamasını anlatıyor. Cihaz tarafında ise parola yöneticisi ve mobil uygulama testi yazıları, biyometriği bir anahtar açıcı olarak kullanmanın pratikte nasıl kurulduğunu gösteriyor.