KVKK Uyumlu Geçiş Kontrol Sistemleri: Kartlı, Biyometrik ve Mobil Erişim Rehberi

Geçiş kontrol sistemleri; işletmelerde, fabrikalarda, ofislerde, hastanelerde, veri merkezlerinde ve diğer tesislerde yetkili kişilerin belirli alanlara erişimini yönetmek amacıyla kullanılan elektronik güvenlik çözümleridir. Kartlı geçiş, RFID/NFC, PIN, mobil kimlik doğrulama, parmak izi ve yüz tanıma gibi farklı teknolojilerle çalışan bu sistemler, fiziksel güvenliğin önemli bileşenleri arasında yer alır.

Ancak modern geçiş kontrol sistemleri yalnızca kapıların açılmasını ve kapanmasını yönetmez. Kullanıcı kimlikleri, erişim yetkileri, giriş-çıkış zamanları, ziyaretçi bilgileri ve bazı uygulamalarda biyometrik veriler de işlenebilir.

Bu nedenle geçiş kontrol sistemlerinin tasarımında fiziksel güvenlik kadar kişisel verilerin korunması da önemlidir.

KVKK uyumlu geçiş kontrol sistemi, yalnızca güvenli bir kart okuyucu veya şifreli yazılım kullanılmasıyla oluşturulamaz. Sistemin hangi verileri topladığı, bu verilerin hangi amaçla işlendiği, kimlerle paylaşıldığı, ne kadar süre saklandığı ve erişim yetkilerinin nasıl yönetildiği birlikte değerlendirilmelidir.

Özellikle 2026 yılında çalışanların mesai takibinde biyometrik veri kullanılmasına ilişkin yayımlanan KVKK İlke Kararı, geçiş kontrol ve personel devam kontrol sistemlerinin birbirinden doğru şekilde ayrılmasını daha da önemli hale getirmiştir.

KVKK Uyumlu Geçiş Kontrol Sistemi Nedir?

KVKK uyumlu geçiş kontrol sistemi, kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun genel ilkelerine ve ilgili hükümlerine uygun şekilde yürütüldüğü elektronik erişim kontrol altyapısıdır.

Bir geçiş kontrol sisteminde aşağıdaki kişisel veriler işlenebilir:

• Personelin adı, soyadı ve sicil numarası

• Kart veya mobil kimlik tanımlayıcısı

• Kullanıcıya tanımlanan kapı ve alan erişim yetkileri

• Giriş ve çıkış tarihleri

• Geçiş saatleri ve erişim olayları

• Ziyaretçi kimlik ve iletişim bilgileri

• Cihaz veya mobil uygulama tanımlayıcıları

• Uygun sistemlerde biyometrik doğrulama verileri

Bu verilerin tamamı her sistemde bulunmaz.

Örneğin yalnızca kart numarasıyla çalışan bir sistemde bile kart numarası belirli bir personele bağlanabiliyorsa kişisel veri işleme söz konusu olabilir.

Bir verinin isim veya fotoğraf içermemesi, otomatik olarak anonim olduğu anlamına gelmez.

Geçiş Kontrol Sistemleri KVKK Kapsamında mıdır?

Evet. Kimliği belirli veya belirlenebilir kişilere ait bilgilerin işlendiği geçiş kontrol sistemleri KVKK kapsamındadır.

Ancak her erişim kontrol teknolojisinin veri işleme riski aynı değildir.

Kartlı geçiş sistemleri genellikle kullanıcı tanımlayıcıları ve geçiş kayıtlarını işlerken biyometrik sistemlerde özel nitelikli kişisel veriler söz konusu olabilir.

Bu nedenle geçiş kontrol sistemlerinde KVKK değerlendirmesi, kullanılan teknoloji ve işleme amacı üzerinden yapılmalıdır.

Veri Sorumlusu Kimdir?

Geçiş kontrol sisteminde kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen işletme, ilgili faaliyet açısından veri sorumlusu olabilir.

Örneğin bir fabrikanın personel erişim yetkilerini belirlemesi, kayıt sürelerini tanımlaması ve geçiş verilerinin kullanım amacını kararlaştırması durumunda fabrika işletmesi veri sorumlusu konumunda olabilir.

Sistemin kurulumunu, bakımını veya bulut yönetimini sağlayan hizmet firması ise faaliyetinin niteliğine göre veri işleyen olarak hareket edebilir.

Ancak bu roller yalnızca sözleşmedeki unvanlarla değil, tarafların fiilî sorumluluklarıyla belirlenir.

KVKK Açısından Geçiş Kontrol Teknolojilerinin Karşılaştırılması

Bu tablo genel bir teknik ve hukuki karşılaştırmadır. Gerçek risk, ürünün yapılandırmasına, veri akışına ve kullanım amacına bağlıdır.

Kartlı Geçiş Sistemleri KVKK'ya Uygun mudur?

Kartlı geçiş sistemleri, personel ve ziyaretçilerin belirli alanlara erişimini kontrol etmek için yaygın olarak kullanılır.

RFID veya NFC kartları üzerinden oluşturulan erişim kayıtları, kullanıcının kimliğiyle ilişkilendirilebildiğinde kişisel veri niteliği taşır.

Bu nedenle kartlı geçiş sistemlerinde de KVKK yükümlülükleri bulunur.

Kartlı Geçişte Veri Minimizasyonu

Sistemde yalnızca erişim kontrolü için gerekli bilgiler işlenmelidir.

Örneğin bir çalışanın belirli kapıdan geçme yetkisini doğrulamak için gerekmeyen kişisel bilgilerin kart sisteminde tutulması ölçülülük açısından değerlendirilmelidir.

Geçiş Kayıtlarının Saklanması

Kartlı geçiş sistemlerinde kayıtların saklama süresi kullanım amacına ve ilgili hukuki yükümlülüklere göre belirlenmelidir.

KVKK, bütün geçiş kontrol kayıtları için geçerli tek bir genel saklama süresi öngörmez.

Bu nedenle kayıtların otomatik olarak belirli bir yıl boyunca tutulması gerektiği varsayılmamalıdır.

Erişim Yetkileri

Geçiş kayıtlarına erişim, görev gereği ihtiyaç duyan yetkili kişilerle sınırlandırılmalıdır.

Örneğin güvenlik personelinin anlık erişim olaylarını görmesi gerekebilirken geçmiş personel hareketlerinin ayrıntılı raporlanması daha sınırlı yetkilere tabi tutulabilir.

Biyometrik Geçiş Kontrol Sistemleri ve KVKK

Biyometrik geçiş kontrol sistemleri, kişilerin fiziksel veya davranışsal özelliklerinden yararlanarak kimlik doğrulaması gerçekleştirebilir.

Parmak izi, yüz tanıma, iris ve avuç içi damar izi gibi teknolojiler bu kapsamda değerlendirilebilir.

Biyometrik veriler, KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veriler arasında yer alır.

Bu nedenle biyometrik erişim kontrolü tasarlanırken yalnızca sistemin güvenlik seviyesi değil, veri işleme şartları ve ölçülülük de değerlendirilmelidir.

Parmak İzi Verisinin Şifrelenmesi KVKK Riskini Ortadan Kaldırır mı?

Hayır.

Parmak izi görüntüsünün matematiksel bir şablona dönüştürülmesi veya şifrelenmesi, verinin biyometrik niteliğini otomatik olarak ortadan kaldırmaz.

Kişisel Verileri Koruma Kurumu, 2026/921 sayılı İlke Kararı'na ilişkin açıklamasında bu hususu özellikle belirtmiştir.

Dolayısıyla üreticinin “parmak izi görüntüsü saklanmıyor, yalnızca şifreli şablon tutuluyor” açıklaması tek başına KVKK uyumluluğu anlamına gelmez.

Yüz Tanıma Sistemleri KVKK'ya Uygun Olabilir mi?

Yüz tanıma teknolojileri, uygun teknik işlemlerle kişilerin benzersiz biçimde tanımlanması veya doğrulanması amacıyla kullanıldığında biyometrik veri işleme söz konusu olabilir.

Bu nedenle yüz tanıma sistemlerinde özel nitelikli kişisel veri işleme şartları, veri güvenliği ve ölçülülük değerlendirmesi gerekir.

Özellikle sıradan personel girişleri için kart veya PIN gibi daha az müdahaleci yöntemlerin yeterli olup olmadığı incelenmelidir.

2026/921 Sayılı KVKK İlke Kararı: Biyometrik Mesai Takibi

Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı, personel devam kontrol sistemleri açısından önemli bir düzenleyici gelişmedir.

Kurul, çalışanların mesai takibi amacıyla biyometrik veri işlenmesinin mevcut hukuki çerçevede uygun bir işleme şartına dayanmadığını ve ölçülülük ilkesini karşılamadığını değerlendirmiştir.

Bu değerlendirmede işçi ile işveren arasındaki güç dengesizliği ve daha az müdahaleci alternatiflerin bulunması da önem taşımaktadır.

Kurul, mesai takibi için biyometrik yöntemler yerine şu alternatiflere işaret etmiştir:

• Şifreli kart veya PIN tabanlı sistemler

• RFID/NFC personel kartları

• Geleneksel imza ve devam çizelgeleri

• Denetçi gözetiminde manuel giriş yöntemleri

Önemli sonuç: Çalışanlardan açık rıza alınması, biyometrik mesai takibini otomatik olarak hukuka uygun hale getirmez.

Fiziksel Güvenlik İçin Biyometrik Geçiş ile Mesai Takibi Aynı mıdır?

Hayır.

KVKK'nın 27 Ağustos 2026 tarihli açıklamasında, 2026/921 sayılı İlke Kararı'nın mesai takibi amacıyla biyometrik veri işlenmesine yönelik olduğu belirtilmiştir.

Mesai takibi dışındaki biyometrik veri işleme faaliyetlerinin ise kendi amaçları ve somut koşulları çerçevesinde değerlendirilmesi gerektiği açıklanmıştır.

Örneğin yüksek güvenlik gerektiren bir veri merkezinin belirli teknik odasına erişimin kontrol edilmesiyle, bütün çalışanların günlük işe giriş ve çıkışlarının biyometrik yöntemle takip edilmesi aynı amaç değildir.

Ancak bu ayrım, fiziksel güvenlik amacıyla biyometrik veri işlemenin her durumda serbest olduğu anlamına gelmez.

Hukuki dayanak, gereklilik, ölçülülük, alternatif yöntemler ve veri güvenliği somut proje özelinde değerlendirilmelidir.

PDKS ve Geçiş Kontrol Sistemleri Arasındaki KVKK Farkı

Geçiş kontrol sistemleri ile personel devam kontrol sistemleri aynı donanımı kullanabilse de farklı amaçlara hizmet eder.

Geçiş kontrol sistemi, kişinin belirli bir alana erişim yetkisinin bulunup bulunmadığını kontrol eder.

PDKS ise personelin çalışma süreleri, işe giriş-çıkış saatleri ve devam durumunun izlenmesinde kullanılır.

Aynı kart okuyucudan elde edilen verilerin hem fiziksel güvenlik hem de mesai takibi amacıyla kullanılması durumunda, her veri işleme amacının ayrı değerlendirilmesi gerekir.

Amaç Değişikliği ve İkincil Kullanım

Bir personelin belirli alana erişim yetkisini kontrol etmek amacıyla toplanan verilerin sonradan ayrıntılı performans veya davranış analizinde kullanılması, başlangıçtaki veri işleme amacından farklı bir faaliyet oluşturabilir.

Bu nedenle sistem tasarımında erişim güvenliği, mesai takibi ve personel performans analizi gibi amaçlar birbirinden ayrılmalıdır.

Mobil Geçiş Kontrol Sistemleri KVKK'ya Uygun mudur?

Mobil geçiş sistemleri, akıllı telefonları dijital erişim anahtarı olarak kullanabilir.

Bluetooth, NFC veya farklı haberleşme teknolojileri üzerinden kimlik doğrulaması gerçekleştirilebilir.

Bu sistemlerde dijital kimlik bilgilerine ek olarak cihaz tanımlayıcıları, uygulama kayıtları ve bazı uygulamalarda konum veya bağlantı bilgileri işlenebilir.

Mobil erişim sistemleri değerlendirilirken:

• Hangi cihaz verilerinin toplandığı,

• Konum izleme yapılıp yapılmadığı,

• Mobil kimliklerin nerede saklandığı,

• Telefon kaybolduğunda erişimin nasıl iptal edildiği,

• Uygulama sağlayıcısının verilere erişimi,

• Verilerin yurt dışına aktarılıp aktarılmadığı

kontrol edilmelidir.

Mobil geçiş sisteminin bulut tabanlı olması, tek başına KVKK'ya aykırılık oluşturmaz. Ancak kişisel verilerin işlenmesi ve aktarılması için gerekli şartların karşılanması gerekir.

Bulut Tabanlı Geçiş Kontrol Sistemlerinde Veri Güvenliği

Bulut tabanlı erişim kontrol sistemleri, birden fazla lokasyonun kullanıcı ve erişim yetkilerinin merkezi olarak yönetilmesini sağlayabilir.

Ancak bu sistemlerde kullanıcı bilgileri, kart tanımlayıcıları, erişim olayları ve yönetici işlem kayıtları üçüncü taraf altyapılarda işlenebilir.

Bu nedenle bulut hizmeti seçilirken yalnızca yazılım özellikleri değil, veri akışı ve güvenlik mimarisi de değerlendirilmelidir.

Türkiye'de veya Yurt Dışında Veri Barındırma

Verilerin Türkiye'deki sunucularda saklanması, tek başına KVKK uyumluluğu sağlamaz.

Benzer şekilde kişisel verilerin yurt dışında işlenmesi de her durumda yasak değildir.

Ancak yurt dışına kişisel veri aktarımı söz konusuysa KVKK'nın 9. maddesinde belirtilen şartlar değerlendirilmelidir.

1 Haziran 2024 tarihinde yürürlüğe giren değişikliklerle yeterlilik kararları, uygun güvenceler ve belirli istisnai aktarım halleri çerçevesinde yeni bir aktarım sistemi oluşturulmuştur.

Uygun güvence yöntemlerinden biri olan standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir.

Bulut Sistemlerinde Kontrol Edilecek Teknik Özellikler

• Veri aktarımında şifreleme

• Verilerin saklanırken korunması

• Yönetici hesaplarında çok faktörlü kimlik doğrulama

• Rol bazlı kullanıcı yetkilendirme

• Yönetici işlem kayıtları

• Yedekleme ve geri yükleme prosedürleri

• Veri silme ve imha mekanizmaları

• Alt hizmet sağlayıcıların belirlenmesi

• Veri merkezi ve uzaktan erişim konumları

• Güvenlik güncellemeleri ve olay müdahale süreçleri

Geçiş Kontrol Sistemlerinde Veri Saklama Süresi Ne Kadar Olmalı?

Geçiş kontrol kayıtlarının saklama süresi, sistemin kullanım amacına ve ilgili hukuki gerekliliklere göre belirlenmelidir.

Örneğin fiziksel güvenlik olaylarının incelenmesi amacıyla tutulan erişim kayıtları ile personelin çalışma sürelerine ilişkin kayıtların saklama gerekçeleri farklı olabilir.

Bu nedenle bütün kayıtlar için tek bir genel saklama süresi belirlemek doğru değildir.

Saklama Politikası Nasıl Oluşturulur?

Öncelikle veri kategorileri belirlenmelidir.

Ardından her veri kategorisi için:

• İşleme amacı,

• Hukuki dayanak,

• Saklama gerekçesi,

• Saklama süresi,

• Erişim yetkileri,

• Silme veya imha yöntemi

tanımlanmalıdır.

Saklama süresi dolan ve işlenmesini gerektiren başka bir hukuki neden bulunmayan kişisel veriler, ilgili mevzuat çerçevesinde silinmeli, yok edilmeli veya anonim hale getirilmelidir.

KVKK Uyumlu Geçiş Kontrol Sistemlerinde Teknik Güvenlik

Kişisel verilerin korunması için yalnızca yazılım seviyesinde şifreleme yeterli değildir.

Kart okuyucudan kontrol paneline, sunucudan bulut platformuna kadar bütün sistem bileşenleri değerlendirilmelidir.

Kart Okuyucu ve Kontrol Paneli Haberleşmesi

Eski tip Wiegand haberleşmesi, tipik uygulamalarında şifreli veri aktarımı sağlamaz.

Uygun şekilde yapılandırılmış OSDP Secure Channel ise okuyucu ile kontrol paneli arasındaki haberleşmenin korunmasına yardımcı olabilir.

Ancak OSDP kullanılması, tek başına bütün sistemin siber güvenliğini veya KVKK uyumluluğunu garanti etmez.

Kullanıcı Yetkilendirme

Sistem yöneticilerinin erişim yetkileri görevleriyle sınırlandırılmalıdır.

Örneğin bir güvenlik operatörünün kapı alarmını izlemesi gerekebilirken bütün personelin geçmiş geçiş hareketlerini dışa aktarma yetkisine sahip olması gerekmeyebilir.

Kayıt ve Denetim İzleri

Yönetici işlemlerinin kaydedilmesi, yetkisiz erişimlerin araştırılması ve sistem güvenliğinin denetlenmesi açısından yararlıdır.

Ancak denetim kayıtlarının kendileri de kişisel veri içerebilir. Bu nedenle bunlar için de uygun saklama ve erişim politikaları oluşturulmalıdır.

KVKK Uyumlu Geçiş Kontrol Sistemi Nasıl Seçilir?

Profesyonel bir sistem seçiminde fiziksel güvenlik gereksinimleri ile kişisel veri koruma gereklilikleri birlikte değerlendirilmelidir.

1. Kullanım Amacını Belirleyin

Sistem yalnızca kapı erişimini mi yönetecek, yoksa PDKS ve ziyaretçi yönetimi de yapılacak mı?

Her amaç için veri işleme gereksinimleri ayrı belirlenmelidir.

2. En Az Müdahaleci Teknolojiyi Değerlendirin

Kart veya PIN gibi yöntemler güvenlik ihtiyacını karşılıyorsa biyometrik veri işlenmesinin gerçekten gerekli olup olmadığı sorgulanmalıdır.

3. Veri Akışını Belirleyin

Kart okuyucudan sunucuya kadar hangi bilgilerin aktarıldığı ve saklandığı belgelenmelidir.

4. Biyometrik Veri İşleme Şartlarını İnceleyin

Biyometrik erişim planlanıyorsa KVKK'nın 6. maddesi, 2026/921 sayılı İlke Kararı ve ilgili Kurul açıklamaları dikkate alınmalıdır.

5. Bulut ve Üçüncü Taraf Risklerini Değerlendirin

Veri barındırma, uzaktan erişim, hizmet sağlayıcılar ve olası yurt dışı aktarımlar incelenmelidir.

6. Saklama ve İmha Politikası Oluşturun

Verilerin gereğinden uzun süre tutulmasını önleyecek teknik ve idari süreçler tanımlanmalıdır.

7. Teknik Güvenlik Testlerini Tamamlayın

Şifreleme, yetkilendirme, olay kayıtları, yedekleme ve sistem güncelleme süreçleri test edilmelidir.

KVKK Uyumlu Geçiş Kontrol Sistemleri İçin Teknik Kontrol Listesi

• Veri işleme amaçları açıkça belirlendi mi?
• Veri sorumlusu ve veri işleyen rolleri tanımlandı mı?
• Kart, PIN, mobil ve biyometrik yöntemler karşılaştırıldı mı?
• Daha az müdahaleci kimlik doğrulama seçenekleri değerlendirildi mi?
• Biyometrik mesai takibi için 2026/921 sayılı İlke Kararı dikkate alındı mı?
• Özel nitelikli kişisel veri işleme şartları kontrol edildi mi?
• Aydınlatma yükümlülüğü değerlendirildi mi?
• Geçiş kayıtlarının saklama süreleri belirlendi mi?
• Bulut ve yurt dışı veri aktarımları incelendi mi?
• Kart okuyucu ile kontrol paneli haberleşmesi güvenli mi?
• Yönetici erişimleri ve işlem kayıtları kontrol edildi mi?
• Silme, imha ve yedekleme süreçleri tanımlandı mı?
• Tedarikçi ve entegratör sorumlulukları belirlendi mi?
• Kurulum sonrası veri güvenliği testleri yapıldı mı?

Sık Sorulan Sorular

Kartlı geçiş sistemleri KVKK'ya uygun mudur?

Uygun şekilde tasarlanıp işletildiğinde KVKK'ya uygun olabilir. Ancak kart numarası, kullanıcı kimliği ve geçiş kayıtları kişisel veri niteliği taşıyabilir.

Parmak iziyle personel mesai takibi yapılabilir mi?

Kişisel Verileri Koruma Kurulunun 2026/921 sayılı İlke Kararı, çalışanların mesai takibinde biyometrik veri kullanımını mevcut hukuki çerçevede hukuka aykırı değerlendirmiş ve daha az müdahaleci alternatiflere yönlendirmiştir.

Yüz tanımalı geçiş kontrol sistemleri tamamen yasak mı?

Bütün kullanım amaçları için genel bir yasak bulunduğu söylenemez. Ancak biyometrik veri işleme şartları, gereklilik, ölçülülük ve ilgili Kurul kararları somut uygulama açısından değerlendirilmelidir.

Geçiş kontrol kayıtları kaç yıl saklanmalıdır?

Bütün sistemler için geçerli tek bir genel süre yoktur. Saklama süresi veri işleme amacı ve ilgili hukuki yükümlülüklere göre belirlenmelidir.

Bulut tabanlı geçiş kontrol sistemleri KVKK'ya aykırı mı?

Hayır. Bulut kullanımı tek başına aykırılık anlamına gelmez. Ancak veri güvenliği, veri işleyen ilişkileri ve yurt dışı aktarım şartları değerlendirilmelidir.

Geçiş kontrol sisteminde açık rıza almak yeterli midir?

Hayır. Açık rıza bulunsa bile kişisel veri işleme faaliyetinin KVKK'nın genel ilkelerine uygun olması gerekir. Özellikle biyometrik mesai takibinde açık rıza, ölçülülük sorununu ortadan kaldırmaz.

Sonuç

KVKK uyumlu geçiş kontrol sistemleri, yalnızca fiziksel erişimi güvenli biçimde yöneten değil, kişisel verilerin korunmasını sistem tasarımının temel parçası haline getiren çözümlerdir.

Kartlı geçiş, PIN, mobil erişim ve biyometrik kimlik doğrulama teknolojileri farklı veri işleme risklerine sahiptir.

Özellikle 2026/921 sayılı KVKK İlke Kararı, çalışanların mesai takibinde biyometrik veri kullanımının hukuki açıdan dikkatle ele alınması gerektiğini açıkça ortaya koymuştur.

Bu nedenle işletmeler, sistem entegratörleri ve güvenlik teknolojisi tedarikçileri; erişim güvenliği, veri minimizasyonu, saklama politikaları, kullanıcı yetkilendirme ve hukuki gereklilikleri birlikte değerlendirmelidir.

Doğru geçiş kontrol sistemi, yalnızca yetkisiz erişimi önleyen değil, kişisel verileri de gereksiz işlemeye ve yetkisiz erişime karşı koruyan sistemdir.

Kaynaklar

1. KVKK – Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında 2026/921 Sayılı İlke Kararı

2. KVKK – 2026/921 Sayılı İlke Kararına İlişkin Görüş Talepleri Hakkında Açıklama

3. KVKK – 2020/915 Sayılı Parmak İzi ile Mesai Takibi Kararı

4. KVKK – Kişisel Verilerin Yurt Dışına Aktarılması

5. KVKK – Standart Sözleşmeler

6. KVKK – Yurt Dışına Veri Aktarımında Standart Sözleşmeler Hakkında Duyuru