Biyometrik Veri Kavramı ve Kapsamı
Genel Veri Koruma Tüzüğü (GDPR) m. 4(14) çerçevesinde biyometrik veriler, bireylerin fiziki, fizyolojik veya davranışsal niteliklerine uygulanan teknik işlemler aracılığıyla kişiyi diğerlerinden ayırt etmeye veya kimliğini kesinleştirmeye yarayan bilgilerdir. Biyometrik nitelik yalnızca parmak izi ve yüz tarama uygulamalarıyla sınırlı kalmayıp yüz geometrisi, retina, iris ve ses gibi anatomik verileri de kapsamaktadır. Bunların yanı sıra bireylerin imza atış dinamikleri ya da klavye kullanım alışkanlıkları gibi davranışsal kalıplarından elde edilen veriler de teknik usullerle kimlik doğrulamaya imkan sağladığında biyometrik veri olarak değerlendirilmektedir.
Türk Hukukunda Biyometrik Verilerin Statüsü ve Genel İşleme Şartları
6698 sayılı Kişisel Verilerin Korunması Kanunu m. 6/1 uyarınca biyometrik ve genetik veriler özel nitelikli kişisel veri sayılmaktadır. Kanunun 6. maddesinin üçüncü fıkrası uyarınca özel nitelikli kişisel verilerin işlenmesi kural olarak yasaklanmış olup, bu tür verilerin işlenebilmesi için ilgili kişinin açık rızasının varlığı veya kanunda açıkça düzenlenen istisnalardan birinin gerçekleşmesi gerekmektedir. Ayrıca mezkur maddenin dördüncü fıkrası gereğince, özel nitelikli kişisel veriler işlenirken Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin eksiksiz alınması yasal bir zorunluluktur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
6698 sayılı Kanun m. 6/3 kapsamında açık rıza aranmaksızın özel nitelikli verilerin işlenebileceği durumlar sınırlı olarak düzenlenmiştir. Bu doğrultuda kanunlarda açıkça öngörülme, fiili imkânsızlık sebebiyle rızasını açıklayamayacak durumda bulunan kişinin kendisinin veya başkasının hayatı ya da beden bütünlüğünün korunması, ilgili kişinin veriyi alenileştirme iradesine uygunluk ile bir hakkın tesisi, kullanılması veya korunması zorunluluğu veri işleme şartlarındandır. Benzer biçimde sır saklama yükümlülüğü altındaki kişiler veya yetkili mercilerce koruyucu hekimlik, tıbbi teşhis ve tedavi hizmetlerinin yürütülmesi ile istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik hukuki yükümlülüklerinin ifası hallerinde de biyometrik veriler işlenebilmektedir.
Avrupa Birliği Hukukunda Özel Nitelikli Biyometrik Veri Rejimi
Bireylerin benzersiz biçimde tanımlanması amacıyla kullanılan biyometrik veriler, GDPR m. 9 uyarınca özel nitelikli kişisel veri kategorisinde yer alır ve işlenmeleri genel kural olarak menedilmiştir. İş ilişkileri düzleminde biyometrik veri işleme faaliyeti ancak anılan maddenin ikinci fıkrasında sayılan istisnai durumlardan birinin varlığı halinde gerçekleştirilebilir. Bu çerçevede işverenin iş hukuku, sosyal güvenlik ve sosyal koruma mevzuatından doğan yükümlülüklerini ifa edebilmesi veya haklarını kullanabilmesi için veri işlemenin zorunlu olduğu hallerde GDPR m. 9(2)(b) hükmü yasal dayanak oluşturmaktadır.
İş İlişkilerinde Mesai Takibi, Ölçülülük ve Açık Rıza Dengesi
İşyerlerinde uygulanan yüz tanıma veya parmak izi gibi mesai takip sistemlerinin yalnızca bir veri işleme şartına dayanması yeterli görülmemekte; veri işlemenin ayrıca gereklilik, ölçülülük ve veri minimizasyonu ilkeleri bakımından da değerlendirilmesi aranmaktadır. İşçi ile işveren arasındaki hiyerarşik yapı ve taraflar arasındaki konum dengesizliği sebebiyle, çalışanın rıza göstermemesi halinde olumsuz sonuçlarla karşılaşabileceğini düşünmesi durumunda rızanın özgür iradeye dayandığı kabulü tartışmalı hale gelebilmektedir. Bu çerçevede mesai takibinin açık rızaya dayandırılması hukuki riskler barındırmaktadır.
Personel kartı veya benzeri temel haklara daha az müdahale eden denetim yöntemleriyle mesai takibinin temini mümkün olduğu sürece, çalışanlardan parmak izi veya benzeri biyometrik verilerin talep edilmesi ölçülü ve gerekli sayılamaz. Aynı hukuki ve yönetsel amaca hafif araçlarla ulaşılabiliyorsa çalışanların mesai kontrolü gerekçesiyle biyometrik veri sunmaya zorlanması hukuka aykırıdır.
Karşılaştırmalı Hukukta Etki Değerlendirmesi ve Güvenlik Standartları
Biyometrik verilerin işlenmesine ilişkin sınırlandırmalar uluslararası veri koruma standartlarında da geniş kabul görmektedir. Fransa Veri Koruma Otoritesi (CNIL), iş ortamlarında parmak izi, damar izi veya iris taraması gibi yöntemlerin uygulanmasını sadece yüksek güvenlik ihtiyacının bulunduğu ve amaca alternatif araçlarla ulaşılamadığı hallerle sınırlandırmakta; bu doğrultuda etki değerlendirmesi yapılmasını ve sıkı teknik-idari tedbirlerin devreye alınmasını aramaktadır. Benzer şekilde Birleşik Krallık Veri Koruma Otoritesi (ICO), biyometrik verileri özel kategori veri sayarak işlemeye başlamadan önce Veri Koruma Etki Değerlendirmesi (DPIA) yapılması gerektiğini vurgulamakta ve kartlı geçiş gibi alternatifler varken bu verilerin işlenmesinden kaçınılmasını öngörmektedir. Çin Yüksek Halk Mahkemesi'nin 2021 tarihli yargısal yorumunda da yüz tanıma verilerinin hassas niteliği vurgulanarak kimsenin yüz verisini paylaşmaya zorlanamayacağı ve reddedenlere alternatif mekanizmalar sunulması gerektiği belirtilmiştir.
Hizmet Şartına Bağlanan Biyometrik Veri Talepleri
Spor salonu ve benzeri tesis girişlerinde üyelerin kontrolü kartlı geçiş veya RFID etiketleri gibi klasik yöntemlerle sağlanabilecekken el veya avuç içi izi gibi biyometrik verilerin işlenmesi ölçülülük ilkesiyle bağdaşmamaktadır. Sunulan bir hizmetten yararlanmanın biyometrik veri paylaşımına dair açık rıza şartına bağlanması, rızanın serbest iradeyle verilmesini zedelemektedir. Ölçülülük kuralına aykırı olan ve rıza şartını sakatlayan bu tür biyometrik veri işleme süreçlerinin durdurulması ve toplanmış bulunan biyometrik verilerin imha edilmesi gerekmektedir.
Biyometrik Doğrulama Sistemlerinin İstisnai Uygulama Alanları
Biyometrik verilerin toplanması ve işlenmesi yönündeki sınırlamalar mutlak bir yasak anlamına gelmemektedir; her somut olay kendi koşulları çerçevesinde incelenir. Milli güvenlik, kamu güvenliği, savunma sanayii tesisleri ve kritik altyapıların korunması gibi yüksek güvenlik gerektiren alanlara erişimde biyometrik kimlik doğrulama sistemlerine başvurulması, sıradan mesai takibi faaliyetlerinden farklı tutularak gerekli ve ölçülü kabul edilebilmektedir.
Mesai kontrolü amacıyla çalışanlardan parmak izi istenebilir mi?
Personel kartı gibi amaca hizmet eden daha az müdahaleci yöntemlerin bulunduğu durumlarda çalışanların parmak izi vermeye zorlanması hukuka uygun değildir. İşçi ile işveren arasındaki hiyerarşik yapı rızanın özgür iradeye dayanmasını zorlaştırdığından, mesai takibinin açık rızaya dayandırılması hukuki risk taşır; veri minimizasyonu ve ölçülülük ilkelerine riayet edilmesi şarttır.
6698 sayılı Kanun kapsamında biyometrik veriler hangi şartlarda işlenebilir?
6698 sayılı Kanun m. 6/3 uyarınca biyometrik veriler kural olarak ilgilinin açık rızasıyla işlenir. İstisnai olarak kanunlarda açıkça öngörülmesi, fiili imkânsızlık hali, alenileştirme iradesine uygunluk, bir hakkın tesisi veya korunması ile istihdam, iş sağlığı ve güvenliği hukuki yükümlülüklerinin ifası gibi hallerde rıza aranmaksızın işlenebilir; ancak Kurulun belirlediği yeterli önlemlerin alınması şarttır.
Biyometrik veriler sadece parmak izi ve yüz taramasından mı ibarettir?
Biyometrik veriler yalnızca fiziksel özelliklerle sınırlı değildir. Yüz geometrisi, iris, retina ve ses gibi anatomik verilerin yanında, bireyi benzersiz şekilde tanımlamaya yarayan imza atış dinamikleri ve klavye kullanım alışkanlıkları gibi davranışsal veriler de biyometrik veri niteliği taşımaktadır.
Tesis girişlerinde biyometrik verinin hizmet şartı yapılması geçerli midir?
Kartlı geçiş veya RFID gibi alternatif yöntemlerle giriş sağlanabiliyorken el veya avuç içi izi talep edilmesi ölçülülük ilkesiyle bağdaşmayabilmekte; hizmetten yararlanmanın biyometrik veri onayına bağlanması rızanın özgür iradeyle verildiğinin kabulünü güçleştirebilmektedir. İnceleme konusu somut olaylarda bu gerekçelerle veri işlemenin durdurulması ve verilerin imhası yönünde değerlendirmeler yapılmıştır.
Biyometrik sistemler kurulmadan önce etki değerlendirmesi yapılmalı mıdır?
Biyometrik veriler özel kategori kabul edildiğinden veri koruma standartları gereğince işlemeye başlanmadan önce Veri Koruma Etki Değerlendirmesi (DPIA) yapılması, güçlü idari-teknik tedbirlerin alınması ve alternatif doğrulama imkanları varken biyometrik işlemeden kaçınılması aranmaktadır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy