KVKK'dan Biyometrik Veri Açıklaması: Mesai Takibinde Yeni Dönem Başlıyor

Kişisel Verileri Koruma Kurumu (KVKK), iş dünyasında ve kamuoyunda geniş yankı uyandıran "mesai takibi amacıyla biyometrik veri işlenmesi" konusuna açıklık getirdi. 2 Haziran tarihli Resmi Gazete'de yayımlanan ilke kararının ardından, farklı sektörlerde faaliyet gösteren veri sorumlularından gelen yoğun görüş talepleri üzerine kurum tarafından kapsamlı bir duyuru paylaşıldı. Yapılan açıklamada, çalışanların biyometrik verilerinin hukuka uygun şekilde korunması ve işlenmesi süreçlerine ilişkin kritik yasal sınırların altı çizildi.

Biyometrik Verinin Yasal Tanımı ve Kapsamı

KVKK tarafından yapılan duyuruda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesine atıfta bulunularak, biyometrik verilerin "özel nitelikli kişisel veri" statüsünde yer aldığı hatırlatıldı. Ayrıca, 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3. maddesinde yer alan tanımlamaya da dikkat çekildi. Bu kapsamda biyometrik veriler; elektronik sistemler aracılığıyla kimlik tespiti ve kimlik doğrulaması amacıyla elde edilen parmak izi, damar izi ve el ayası gibi kişiye özgü, taklit edilemez fiziksel özellikleri temsil ediyor.

Matematiksel Kodlama Verinin Niteliğini Değiştirmiyor

Sektör temsilcilerinin, avuç içi taraması veya parmak izi gibi yöntemlerin sisteme kaydedilirken sayısal verilere dönüştürülmesi nedeniyle "biyometrik veri" sayılamayacağı yönündeki iddialarına KVKK'dan net bir yanıt geldi. Kurul, Avrupa Birliği Veri Koruma Tüzüğü (GDPR) 51 numaralı gerekçesine atıfta bulunarak, belirli bir teknik yöntemle gerçek bir kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen her türlü verinin biyometrik veri niteliği taşıdığını vurguladı. Dolayısıyla, bu verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanması, onların biyometrik veri olma gerçeğini ortadan kaldırmıyor.

Kritik Alanlarda Ölçülülük ve Mesai Takibi Sınırı

Yayımlanan ilke kararının yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerini kapsadığının altı çizildi. Yüksek güvenlik riski barındıran tesisler ve özel faaliyet alanları ise genel değerlendirmeden ayrı tutuluyor. Ancak bu tür kritik alanlarda dahi biyometrik veri işleme süreçlerinin yalnızca zorunlu bölgeler ve yetkili kişilerle sınırlandırılması, aynı zamanda ölçülülük ilkesine tam uyum sağlaması gerekiyor.

Mesai takibi dışındaki amaçlarla gerçekleştirilen biyometrik veri işleme faaliyetlerinin bu ilke kararının dışında kalacağı belirtilirken, bu durumların hukuka uygunluğunun bizzat veri sorumluları tarafından işin niteliğine göre değerlendirilmesi gerektiği ifade edildi. KVKK, kuruma ulaşacak ihbar ve şikayetlerin her somut olayın kendine has özellikleri çerçevesinde Kurul tarafından ayrıca titizlikle inceleneceğini duyurdu.