KVKK, Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı’na İlişkin Kamuoyu Duyurusu Yayımladı

Duyuru, bu konuda veri sorumlularının 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamındaki yükümlülüklerine ilişkin kamuoyunu bilgilendirmek ve bu konuda uygulamada ortaya çıkan tereddütlerin giderilmesi amacıyla hazırlanmıştır.

Duyuruda Öne Çıkan Değerlendirmeler

• Biyometrik verilerin matematiksel kodlara dönüştürülmesi, verinin biyometrik niteliğini ortadan kaldırmamaktadır. Kurul, belirli bir teknik işlem sonucunda gerçek kişinin benzersiz şekilde tanımlanmasına veya kimliğinin doğrulanmasına imkân veren verilerin biyometrik veri niteliğinde olduğunu; bu verilerin matematiksel kodlara dönüştürülerek saklanmasının da söz konusu niteliği değiştirmediğini belirtmiştir.


• Yalnızca mesai takibi amacıyla biyometrik veri işlenmesi ölçülülük ilkesiyle bağdaşmamaktadır. Kurul, yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin Kanun’da yer alan özel nitelikli kişisel verilerin işlenmesine ilişkin şartlardan herhangi birine dayanmadığını ve ayrıca geçerli bir açık rıza bulunsa dahi söz konusu işleme faaliyetinin Kanun’da düzenlenen ölçülülük kriterini karşılamayacağını belirtmiştir. Ayrıca, işverenlerin çalışma sürelerini takip etme ve belgelendirme yükümlülüğünü biyometrik tanımlama sistemlerini kullanarak yerine getirmesini öngören açık bir kanuni düzenleme bulunmadığına dikkat çekilerek bu durumun hukuka aykırılık teşkil edebileceği belirtilmiştir.


• Yüksek güvenlik ihtiyacının bulunduğu alanlardaki biyometrik veri işleme faaliyetleri de ölçülülük değerlendirmesine tabidir. Kurul, güvenlik riskleri nedeniyle bazı tesis ve faaliyet alanlarının genel değerlendirmeden ayrıldığını belirtmiştir. Bu alanlarda biyometrik verilerin mesai takibinden farklı olarak güvenliğin ve kritik altyapıların korunması amacıyla işlenmesi söz konusu olabilmektedir. Bu durumda veri işleme faaliyetinin gerekli kritik alan ve kişilerle sınırlı tutulması, alternatif yöntemlerin yetersiz kalması ve somut güvenlik ihtiyacıyla ölçülü olması gerekmektedir.


• Kanun kapsamı dışında kalan faaliyetler bakımından da biyometrik veri kullanımı sınırsız değildir. Kurul, belirli şartlar altında Kanun kapsamı dışında kalabilen belirli veri işleme faaliyetleri bakımından sağlanan esnekliğin biyometrik verilerin sınırsız şekilde işlenmesine imkân vermediğini belirtmiştir. Her somut olayda güvenlik riskinin ağırlığı, alternatif yöntemlerin yetersizliği ve veri işleme amacı dikkate alınmalıdır. Bu çerçevede belirleyici olan husus biyometrik veri işlemenin “mesai takibi” amacını aşarak, kamu güvenliğinin sağlanmasına yönelik kullanılıp kullanılmadığıdır.

Kamuoyu Duyurusu ile Kurul, mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleri ile mesai takibi dışında kalan amaçlarla gerçekleştirilen biyometrik veri işleme faaliyetleri arasındaki ayrımı ortaya koymuştur. Buna göre, mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinde İlke Kararı doğrultusunda hareket edilmesi gerekirken, mesai takibi dışındaki biyometrik veri işleme faaliyetleri İlke Kararı kapsamında değerlendirilmeyecek; bu faaliyetler hukuka uygunluk, veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak veri sorumluları tarafından ayrıca değerlendirilecektir.

Kurum’un ilgili duyurusuna buradan ulaşabilirsiniz. İlke Kararı’na ilişkin daha önce yayımladığımız MORAL bilgi notuna buradan ulaşabiliriz.