Uyuşmazlık Mahkemesinden biyometrik veri kararı

Uyuşmazlık Mahkemesi, Sakarya 1. Sulh Ceza Hakimliğinin 08/03/2023 tarihli ve D.İş.2022/6842 sayılı kararını kaldırarak, Ankara 20. İdare Mahkemesinin 16/11/2023 tarihli ve E.2023/495, K.2023/1523 sayılı kararını kabul etti. Söz konusu hüküm uyuşmazlığı, bir spor salonunda üyelerin girişlerinde kullanılan el geometrisi tarama cihazının, Kişisel Verileri Koruma Kanunu (KVKK) kapsamında biyometrik veri işleyip işlemediği ve bu işleme sürecinin hukuka uygunluğu üzerine ortaya çıkan çelişkili yargı kararları neticesinde giderildi.

Dava süreci, bir spor salonu üyesinin, işletmenin girişlerde avuç içi ve parmak izi taraması yapması üzerine Kişisel Verileri Koruma Kuruluna (KVKK) şikayette bulunmasıyla başladı. Kurul, el geometrisinin biyometrik veri niteliğinde olduğunu ve açık rıza olmaksızın işlenemeyeceğini belirterek işletmeye 100.000 TL idari para cezası uyguladı. İşletme sahibi bu karara karşı hem idari hem de adli yargıda dava açtı. İdari yargı, işlemin hukuka uygun olduğuna karar verirken, adli yargı mercileri ceza miktarında değişikliğe giderek uyuşmazlığa yol açan farklı kararlar tesis etmişti.

Kişisel verilerin korunması süreçlerinde, veri sorumlularının aydınlatma yükümlülüğü ve açık rıza alma zorunluluğu temel bir kuraldır. Özellikle biyometrik veriler gibi özel nitelikli kişisel verilerin işlenmesinde, veri sorumlularının Kurul tarafından belirlenen teknik ve idari tedbirleri eksiksiz alması gerekmektedir. İdari yargı mercileri, biyometrik yöntemle kimlik doğrulama süreçlerinde yanılma payının düşüklüğünü ve verinin fizyolojik özellik taşımasını esas alarak, bu tür verilerin işlenmesini sıkı denetime tabi tutmaktadır.

Ne değişti?

• El geometrisi verilerinin biyometrik veri niteliğinde olduğu ve açık rıza olmaksızın işlenemeyeceği yargı kararıyla kesinleşti.
• İdari yargı mercilerinin, Kişisel Verileri Koruma Kurulunun verdiği idari yaptırım kararlarını esas alması gerektiği hükme bağlandı.
• Biyometrik veri işleyen işletmelerin, veri güvenliği yükümlülüklerini yerine getirmemesi durumunda uygulanan idari para cezalarının hukuki dayanağı güçlendirildi.

Kimleri ilgilendiriyor?

Bu karar, biyometrik yöntemlerle (parmak izi, el geometrisi, yüz tanıma vb.) kimlik doğrulama sistemi kullanan tüm spor salonları, işletmeler ve veri sorumlusu sıfatı taşıyan kurumları doğrudan ilgilendirmektedir.

Yürürlük

Metinde yürürlük tarihi belirtilmemiştir.

Çıkarılacak sonuç

Mahkeme kararı, biyometrik verilerin işlenmesinde "açık rıza" ilkesinin vazgeçilmez olduğunu ortaya koymaktadır. İşletmelerin, sadece giriş-çıkış kontrolü gibi operasyonel kolaylıklar için dahi olsa, kişilerin özel nitelikli verilerini yeterli hukuki dayanak ve rıza olmaksızın işlemesi, yüksek tutarlı idari para cezalarıyla sonuçlanmaktadır.

Muhtemel etkiler

Bu kararın ardından, biyometrik veri işleyen işletmelerin uygulamalarını gözden geçirmeleri beklenebilir. Özellikle el geometrisi veya benzeri biyometrik sistem kullanan kurumların, veri işleme süreçlerini KVKK mevzuatına uygun hale getirmemeleri durumunda benzer idari yaptırımlarla karşılaşmaları muhtemeldir. Ayrıca, bu karar yargı mercileri arasında biyometrik verilerin niteliği konusunda bir içtihat birliği sağlayabilir.