Biyometrik Veri Hangi Şartlarda İşlenebilir?

Biyometrik Verinin Tanımı ve Kapsamı

6698 sayılı Kanun m.6/1, biyometrik ve genetik verileri özel nitelikli kişisel veriler arasında sayar. Parmak izi, avuç içi damar izi, yüz geometrisi, iris ve retina deseni, ses ve yürüyüş örüntüsü bu kapsamdadır.

Belirleyici olan, verinin kişiye özgü fizyolojik ya da davranışsal bir özellikten türetilmesi ve kimliğin belirlenmesine veya doğrulanmasına elverişli olmasıdır. Fotoğrafın kendisi kural olarak biyometrik veri değildir; ancak yüz tanıma algoritmasıyla ölçülüp şablona dönüştürüldüğünde biyometrik veri hâline gelir.

Biyometrik verinin en belirgin özelliği değiştirilemez olmasıdır. Şifre yenilenebilir, ancak sızdırılan bir parmak izi şablonu geri alınamaz. Bu nedenle işleme kararı verilirken risk analizinin ayrıntılı yapılması gerekir.

İşleme Şartları: 2024 Değişikliği Sonrası Durum

Maddenin ikinci fıkrası 2/3/2024 tarihli ve 7499 sayılı Kanun’la mülga edilmiş, üçüncü fıkra ise yeniden yazılmıştır. Yeni düzenleme, özel nitelikli veriler arasındaki sağlık ve cinsel hayat ayrımını kaldırarak tek bir şartlar listesi getirmiştir.

Buna göre işleme; ilgili kişinin açık rızasının olması, kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması, ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması hâllerinde mümkündür.

Ayrıca bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; sır saklama yükümlülüğü altındaki kişilerce sağlık amaçlarıyla gerekli olması; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâlleri sayılmıştır.

İşyerinde Giriş-Çıkış Kontrolü

İşyerlerinde parmak izi veya yüz tanıma ile giriş-çıkış takibi yaygın bir uygulamadır. Ancak devam kontrolünün biyometrik yöntemle yapılması, amaca ulaşmak için tek yol değildir; kart, şifre ve manuel imza gibi daha az müdahaleci alternatifler mevcuttur.

6098 sayılı Türk Borçlar Kanunu’nun 419. maddesi işverenin, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini düzenler. Bu hüküm, biyometrik yöntemin zorunluluğunun ayrıca gösterilmesini gerektirir.

İş ilişkisinde açık rızanın geçerliliği tartışmalıdır. Taraflar arasındaki bağımlılık ilişkisi nedeniyle rızanın özgür iradeyle açıklandığı her zaman kabul edilmez. Bu nedenle biyometrik sisteme geçilirken alternatif bir yöntemin de fiilen sunulması, rızanın özgürlüğü bakımından önem taşır.

Ölçülülük Denetimi ve Yeterli Önlemler

Biyometrik veri işlenmesinde ölçülülük üç aşamada denetlenir: yöntem amaca elverişli midir, amaca ulaşmak için gerekli midir ve müdahale ile elde edilen yarar arasında orantı var mıdır. Bu üç ölçütten biri karşılanmıyorsa işleme hukuka aykırı olur.

Kanun m.6/4, özel nitelikli verilerin işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınmasını şart koşar. Uygulamada şablonun geri döndürülemez biçimde saklanması, ham görüntünün tutulmaması, verinin şifrelenmesi ve erişim yetkilerinin sıkı biçimde sınırlanması beklenir.

Verinin merkezî bir sunucu yerine kullanıcının kendi kartında ya da cihazında tutulması, sızıntı riskini önemli ölçüde azaltan bir tasarım tercihidir. Saklama süresinin işleme amacıyla sınırlı tutulması ve süre dolduğunda silme, yok etme veya anonim hâle getirme yükümlülüğü de bulunur.

İhlal Hâlinde Sorumluluk

Veri güvenliğine ilişkin yükümlülükler 6698 sayılı Kanun m.12’de düzenlenmiştir. Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ile muhafazalarını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır.

Bu yükümlülüklerin yerine getirilmemesi hâlinde m.18/1-b uyarınca idari para cezası uygulanır. Kurulca verilen idari para cezalarına karşı, 2024 değişikliğiyle eklenen m.18/3 uyarınca idare mahkemelerinde dava açılabilir.

İhlalden zarar gören ilgili kişi, m.11/1-ğ uyarınca zararının giderilmesini talep edebilir. Kişilik hakkı ihlali oluşan hâllerde 4721 sayılı Kanun m.24-25 ve 6098 sayılı Kanun m.58 uyarınca manevi tazminat da istenebilir.

Sisteme Geçmeden Önce Yapılacaklar

Biyometrik yönteme geçiş kararı, gerekçesiyle birlikte yazılı hâle getirilmelidir. Hangi alternatiflerin değerlendirildiği ve neden yetersiz görüldüğü kayıt altına alınmazsa, ölçülülük denetiminde savunma güçleşir.

Şablonun nerede saklandığı, hangi biçimde şifrelendiği ve kimlerin eriştiği belgelenmelidir. Erişim kayıtlarının tutulması, ihlal incelemesinde belirleyici olur.

Aydınlatma metni biyometrik veriye özgü olarak hazırlanmalıdır. Genel metne eklenen tek cümlelik ifadeler, işleme amacını ve saklama süresini açıklamaya yetmez.

Sıkça Sorulan Sorular

Biyometrik veri hangi kategoriye girer?

6698 sayılı Kanun m.6/1 uyarınca özel nitelikli kişisel veridir. İşlenmesi kural olarak yasaktır ve ancak maddede sayılan hâllerde, Kurulca belirlenen yeterli önlemler alınarak mümkündür.

Fotoğraf biyometrik veri midir?

Fotoğrafın kendisi kural olarak biyometrik veri değildir. Yüz tanıma algoritmasıyla ölçülüp kimlik doğrulamaya elverişli bir şablona dönüştürüldüğünde biyometrik veri niteliğini kazanır.

İşveren parmak izi ile giriş kontrolü yapabilir mi?

Ölçülülük denetimini geçmesi gerekir. Kart veya şifre gibi daha az müdahaleci yöntemler yeterliyse biyometrik yöntem gerekli sayılmaz. 6098 sayılı Kanun m.419 da zorunluluk ölçütünü aramaktadır.

Çalışanın rızası tek başına yeterli midir?

Her zaman değil. Bağımlılık ilişkisi nedeniyle rızanın özgür iradeyle açıklandığı tartışmalı olabilir. Alternatif bir yöntemin fiilen sunulması rızanın geçerliliğini destekler.

Yeterli önlem olarak neler beklenir?

Ham görüntünün saklanmaması, şablonun geri döndürülemez biçimde tutulması, şifreleme, erişim yetkilerinin sınırlanması, erişim kayıtlarının tutulması ve saklama süresinin amaçla sınırlandırılması beklenir.