Biyometrik Veriler: Yüz Tanıma ve Parmak İzi Sistemleri

1. Konunun Genel Çerçevesi

İşyerlerinde personel giriş ve mesai takibi, konut sitelerinde ve spor salonlarında geçiş kontrolü, mağazalarda güvenlik ve bankacılık işlemlerinde kimlik doğrulama amacıyla yüz tanıma ve parmak izi sistemleri giderek yaygınlaşmaktadır. Bu sistemler pratik görünmekle birlikte, kişilerin değiştirilemeyecek nitelikteki biyolojik özelliklerine ilişkin verilerin işlenmesi anlamına gelmektedir.

Kişisel Verilerin Korunması Kanunu, biyometrik verileri özel nitelikli kişisel veriler arasında saymaktadır. Bu verilerin hukuka aykırı işlenmesi veya ele geçirilmesi, kişiler bakımından telafisi güç sonuçlar doğurabildiğinden, Kişisel Verileri Koruma Kurulu bu alanda sıkı bir denetim uygulamaktadır.

Uygulamada en sık karşılaşılan sorun, biyometrik sistemlerin kurulmasından önce hukuki değerlendirme yapılmaması ve çalışanlardan veya kullanıcılardan genel bir onay alınarak sistemin işletilmesidir. Kurul incelemelerinde, sistemin gerekli olup olmadığı, alternatif yöntem sunulup sunulmadığı ve verilerin nasıl korunduğu ayrıntılı biçimde değerlendirilmektedir. Bu nedenle sistem kurulmadan önce yapılacak bir değerlendirme, sonradan karşılaşılabilecek yaptırım ve sistemi kaldırma maliyetlerini önlemektedir.

2. Hukuki Dayanak

• 6698 sayılı Kişisel Verilerin Korunması Kanunu: KVKK m.4 (genel ilkeler), KVKK m.6 (özel nitelikli kişisel verilerin işlenme şartları), KVKK m.10 (aydınlatma yükümlülüğü), KVKK m.12 (veri güvenliği), KVKK m.18 (kabahatler)
• 7499 sayılı Kanun ile KVKK m.6 hükmünde yapılan değişiklikler
• Kişisel Verileri Koruma Kurulu'nun özel nitelikli kişisel verilerin işlenmesinde alınması gereken yeterli önlemlere ilişkin kararı
• Kişisel Verileri Koruma Kurumu'nun biyometrik verilerin işlenmesine ilişkin rehberi

3. Kanundaki Düzenleme

Biyometrik Verinin Niteliği

Biyometrik veri, bir kişinin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olup bu kişinin tanımlanmasını veya kimliğinin doğrulanmasını sağlayan veridir. Yüz şablonu, parmak izi, avuç içi damar izi, retina ve iris taraması ile ses izi bu kapsamda değerlendirilmektedir. KVKK m.6 uyarınca biyometrik ve genetik veriler özel nitelikli kişisel veri sayılmaktadır.

İşleme Şartları

KVKK m.6 uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. 7499 sayılı Kanun ile yeniden düzenlenen bu madde, söz konusu verilerin ancak Kanun'da sınırlı olarak sayılan şartlardan birinin varlığı hâlinde işlenebileceğini öngörmektedir. Açık rıza bu şartlardan biri olmakla birlikte, işçi ile işveren arasında olduğu gibi tarafların eşit konumda bulunmadığı ilişkilerde rızanın özgür iradeye dayandığının ispatı güçleşebilmektedir.

Ölçülülük ve Alternatif Yöntem

KVKK m.4 uyarınca kişisel veriler işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Kurul uygulamasında, kartlı geçiş veya şifre gibi daha az müdahaleci yöntemlerle aynı amaca ulaşılabildiği durumlarda biyometrik sistem kullanılması ölçülülük ilkesine aykırı kabul edilebilmektedir. Bu nedenle biyometrik sistemi kullanmak istemeyen kişilere alternatif bir yöntem sunulması önem taşımaktadır.

Güvenlik Önlemleri

KVKK m.6 ve KVKK m.12 uyarınca özel nitelikli kişisel verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur. Bu önlemler; verilerin şifrelenmesi, erişim yetkilerinin sınırlandırılması, erişim kayıtlarının tutulması, çalışanların eğitimi ve gizlilik taahhütleri ile ham biyometrik görüntü yerine şablon saklanması gibi teknik ve idari tedbirleri kapsamaktadır.

4. Uygulamada Süreç

1. Amacın belirlenmesi: Biyometrik sistemin hangi amaçla kullanılacağı açıkça tanımlanmaktadır.
2. Gereklilik ve ölçülülük değerlendirmesi: Aynı amaca daha az müdahaleci bir yöntemle ulaşılıp ulaşılamayacağı değerlendirilmektedir.
3. İşleme şartının belirlenmesi: KVKK m.6 kapsamındaki uygun işleme şartı tespit edilmektedir.
4. Alternatif yöntem: Sistemi kullanmak istemeyenler için kart veya şifre gibi alternatif bir yöntem sunulmaktadır.
5. Aydınlatma ve gerekirse açık rıza: İlgili kişilere aydınlatma yapılmakta, açık rızaya dayanılması hâlinde rıza ayrı ve özgür iradeyle alınmaktadır.
6. Teknik önlemler: Tedarikçiyle veri işleme sözleşmesi yapılmakta, verilerin saklandığı yer ve şifreleme yöntemi belirlenmektedir.
7. Saklama ve imha: Çalışanın işten ayrılması veya üyeliğin sona ermesi hâlinde verilerin imhası sağlanmaktadır.

5. Görevli ve Yetkili Mahkeme veya Merci

İlgili kişiler, biyometrik verilerinin hukuka aykırı işlendiği iddiasıyla önce veri sorumlusuna başvurmakta, sonuç alınamazsa Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilmektedir. Kurul, şikâyet üzerine veya re'sen inceleme yaparak idari para cezası uygulayabilmekte ve işlemenin durdurulmasına karar verebilmektedir. Kurul kararlarına karşı idare mahkemesinde dava açılabilmektedir.

İşçinin biyometrik verilerinin hukuka aykırı işlenmesinden doğan tazminat talepleri iş mahkemesinde, diğer tazminat talepleri ise genel hükümlere göre görevli hukuk mahkemesinde ileri sürülmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Biyometrik sistem kurulmadan önce değerlendirme yapılması, sonradan sistemin kaldırılması zorunluluğuyla karşılaşma riskini azaltmaktadır.
• Rızanın geri alınması hâlinde verilerin işlenmesinin durdurulması ve alternatif yönteme geçilmesi gerekmektedir.
• Veri ihlali hâlinde Kurul'a ve ilgili kişilere bildirim yükümlülüğü gecikmeksizin yerine getirilmelidir.
• Bulut tabanlı sistemlerde verilerin yurt dışında işlenmesi, yurt dışına aktarım hükümlerinin uygulanmasını gerektirebilmektedir.
• Kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'ndaki hükümler de ayrıca gündeme gelebilmektedir.

7. Sonuç

Biyometrik sistemler, sağladıkları kolaylığa rağmen kişisel verilerin korunması bakımından en yüksek risk taşıyan uygulamalar arasındadır. Gereklilik ve ölçülülük değerlendirmesinin yapılması, alternatif yöntem sunulması ve Kurul'un öngördüğü güvenlik önlemlerinin alınması, bu sistemlerin hukuka uygun biçimde kullanılmasının temel şartlarıdır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır. Yeni yazılar LinkedIn sayfasında da paylaşılmaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu