Klavye Ritmiyle Mesai Takibi: KVKK Kararının İncelenmesi

Kişisel Verileri Koruma Kurulu'nun 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanan 2026/921 sayılı İlke Kararı, mesai takibinde biyometrik veri kullanımına ağır bir sınır getirdi. Kamuoyundaki tartışma parmak izi ve yüz tanıma üzerine yoğunlaştı. Oysa karar metninde, uygulamada çok daha yaygın bir yöntemi doğrudan ilgilendiren bir ifade yer alıyor.

Kurul, biyometrik veri kavramını açıklarken şunu belirtiyor:

"Kişiye ait parmak izi, retina/iris verisi fizyolojik; yüz ve el geometrisi fiziksel (fizyolojik özelliklerden farklı olarak gözle görülebilir nitelikte olan); ses tınısı, imza dinamikleri ve klavye kullanım alışkanlıkları davranışsal biyometrik verilere örnek gösterilebilmektedir."

Yani Kurul, klavye kullanım alışkanlıklarını açıkça biyometrik veri örnekleri arasında sayıyor. Bu tespit, çalışan izleme yazılımı kullanan işyerleri bakımından doğrudan sonuç doğuruyor.

Klavye kullanım alışkanlığı nedir?

Buradaki ölçüm, çalışanın ne yazdığı değil, nasıl yazdığıdır.

Yazılım, tuş vuruşlarının zaman damgalarını kaydeder: bir tuşa ne kadar süre basıldığı, bir tuş bırakıldıktan sonra diğerine geçme süresi, belirli harf çiftlerinde hızlanma veya yavaşlama, yazım ritmi, hata yapma ve düzeltme biçimi. Bu ölçümlerin bütünü kişiye göre kararlıdır ve taklit edilmesi güçtür — imza dinamiklerinde olduğu gibi.

Özel bir donanım gerekmez. Ölçümü klavye değil, arka planda çalışan yazılım yapar; işletim sistemine düşen tuş olaylarının milisaniye düzeyindeki zaman farklarını hesaplamak yeterlidir.

Kritik ayrım: saymak mı, tanımak mı?

Her klavye takibi biyometrik veri işleme sayılmaz. Belirleyici ölçüt, verinin kişiyi tekil olarak tanımlamaya elverişli olup olmadığıdır.

• Biyometrik sayılmayan kullanım: Yazılım yalnızca aktivite ölçüyorsa — dakikada kaç tuşa basıldı, ne kadar süre hareketsiz kalındı — bu veri kişiyi ayırt etmeye elverişli değildir. Kişisel veridir, ancak özel nitelikli kişisel veri değildir. Bu durumda dahi sürekli izlemenin ölçülülük bakımından ayrıca değerlendirilmesi gerekir.
• Biyometrik sayılan kullanım: Yazılım, tuş vuruş ritminden kişiye özgü bir profil çıkarıyor ve kimlik doğrulamaya elverişli hâle geliyorsa, artık davranışsal biyometrik veri işleniyor demektir. 6698 sayılı Kanun'un 6'ncı maddesindeki özel nitelikli kişisel veri rejimi devreye girer.

Uygulamadaki sorun, birçok işverenin kullandığı yazılımın hangi kategoriye girdiğini bilmemesidir. "Verimlilik ölçüyoruz" diye alınan bir ürün, arka planda kimlik doğrulamaya elverişli veri topluyor olabilir.

İlke kararının gerekçesi üç ayak üzerine kurulu

1. Kanunilik

4857 sayılı İş Kanunu'nun 63, 67 ve 75'inci maddeleri ile İş Kanunu'na İlişkin Çalışma Süreleri Yönetmeliği'nin 9'uncu maddesi, işverene çalışma sürelerini uygun araçlarla belgeleme yükümlülüğü getirir. Ancak Kurul, bu takibin biyometrik yöntemlerle yapılmasını öngören açık bir kanuni düzenleme bulunmadığını, dolayısıyla "kanunlarda açıkça öngörülme" şartına dayanılamayacağını tespit ediyor.

2. Açık rızanın tek başına yetersizliği

Kurul, istihdam ilişkisindeki yapısal güç dengesizliğine dikkat çekiyor. Çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin biçimde sunulmadığı hâllerde, çalışanın gerçek bir seçeneğe sahip olduğu söylenemeyeceğinden rızanın özgür iradeye dayandığından da söz edilemez. Ayrıca rızanın geri alınabilir olması sistemin sürekliliğini zedeleyeceğinden, açık rıza kural olarak yeterli hukuki zemin oluşturmaz.

3. Ölçülülük

Kararın en belirleyici ayağı budur. Kurul, alternatif yöntemleri tek tek sayıyor: şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kâğıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş. Bu alternatiflerin varlığı, biyometrik veri işlemenin zorunlu olmadığını ortaya koyuyor.

Sonuç cümlesi nettir: geçerli bir açık rıza bulunsa dahi bu işleme faaliyeti, Kanun'un 4'üncü maddesindeki genel ilkeler kapsamında ölçülülük kriterini sağlamaz.

Bu üç ayak klavye dinamiği bakımından da geçerlidir. Ölçülülük argümanı burada daha da güçlüdür: çalışma süresini belgelemenin ve verimlilik ölçmenin çok daha az müdahaleci yolları mevcuttur.

Uzaktan çalışma boyutu

Klavye ve ekran hareketi izleyen yazılımlar, uzaktan ve hibrit çalışma modellerinin yaygınlaşmasıyla birlikte daha sık kullanılır hâle geldi. Fiziksel bir turnikenin bulunmadığı bu düzende, çalışma süresini belgeleme ihtiyacı işvereni yazılım tabanlı çözümlere yöneltiyor.

Burada iki risk üst üste biniyor. Birincisi, izlemenin mesai saatleriyle sınırlı kalmaması; çalışanın kendi cihazı üzerinden yürütülen izleme, özel hayatın alanına taşabiliyor. İkincisi, toplanan verinin niteliğinin işveren tarafından bilinmemesi.

Yargı kararları ne diyor?

İlke Kararı, gerekçesini iki yargı kararına dayandırıyor.

Anayasa Mahkemesi Genel Kurulu, 10/03/2022 tarihli ve 2018/11988 numaralı bireysel başvuru kararında parmak izi kayıt sistemiyle mesai takibini değerlendirmiş; ilgili mevzuatta biyometrik veri temelli takip sistemlerinin kullanılmasına dair esasları belirleyen bir düzenleme bulunmadığından müdahalenin kanunilik şartını sağlamadığı gerekçesiyle kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermiştir.

Danıştay 12'nci Dairesi, 2021/3870 esas ve 2023/2548 sayılı kararında avuç içi damar okuyucuyla mesai takibini incelemiş; karar, Danıştay İdari Dava Daireleri Kurulu'nun 2024/225 esas ve 2024/2625 sayılı kararıyla hukuka uygun bulunmuştur.

İşveren ne yapmalı?

• Kullanılan yazılımın ne topladığını tespit edin. Sağlayıcıdan yazılı olarak sorun: tuş vuruş zaman damgaları kaydediliyor mu, kişiye özgü davranışsal profil üretiliyor mu, bu veri kimlik doğrulama amacıyla kullanılabiliyor mu?
• Amacı ve yöntemi ayrıştırın. Çalışma süresini belgelemek yasal bir yükümlülüktür; ancak bu yükümlülük en az müdahaleci yöntemle yerine getirilmelidir.
• Açık rızaya güvenmeyin. İlke Kararı'nın en açık mesajı budur: istihdam ilişkisinde alınan rıza, tek başına hukuki zemin oluşturmaz.
• Geçmişte toplanan veriyi gözden geçirin. Kanun'un 4'üncü maddesindeki muhafaza süresi ilkesi uyarınca, hukuka aykırı biçimde işlendiği anlaşılan verilerin imhası gündeme gelir. İmha sürecinin tutanağa bağlanması, olası bir denetimde işverenin lehine olacaktır.
• Aydınlatma metnini güncelleyin. Çalışan izleme yazılımı kullanılıyorsa, hangi verinin hangi amaçla işlendiği açıkça belirtilmelidir.

Pratik Not

2026/921 sayılı İlke Kararı, Kanun'un 15'inci maddesinin altıncı fıkrası uyarınca ihlalin yaygın olduğunun tespiti üzerine alınmıştır ve belirtilen hususlara uygun hareket edilmediğinin tespiti hâlinde veri sorumluları hakkında Kanun'un 18'inci maddesi hükümleri gereği işlem tesis edileceği açıkça ifade edilmiştir.

Kararın kapsamı parmak izi ve yüz tanımayla sınırlı değildir. Bu nedenle işverenlerin sorması gereken soru "parmak izi okuyucumuz var mı?" ile sınırlı olmamalıdır. Asıl soru şudur: kullandığımız izleme yazılımı tam olarak neyi topluyor?