KVKK'da Biyometrik Veri İşleme: Kurallar ve Uyum Rehberi

KVKK'da Biyometrik Veri İşleme: Kurallar ve Uyum Rehberi

Biyometrik veriler, modern işletmelerin operasyonel hayatının giderek önemli bir parçası haline gelmiştir. Parmak izi tanıma sistemleri, yüz tanıma teknolojileri, göz taraması ve ses tanıma gibi uygulamalar artık birçok sektörde yaygın olarak kullanılmaktadır. Ancak bu teknolojilerin kullanımı, Türkiye'de Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde titiz bir hukuki çerçeve içinde gerçekleştirilmelidir. Bu yazıda, biyometrik veri işleme kurallarını detaylı olarak inceleyeceğiz ve şirketinizin uyumluluğunu sağlamaya yönelik pratik rehberlik sunacağız.

Biyometrik Veri Nedir? KVKK Perspektifinden Tanım

KVKK'nın 3. maddesine göre biyometrik veriler, kişinin fizyolojik, fiziksel veya davranışsal özelliklerine ilişkin teknik işlemler sonucu elde edilen, o kişiyi eşsiz şekilde tanımlamaya yarayan verilerdir. Biyometrik veriler, özel nitelikli kişisel veriler kategorisinde değerlendirilir ve bu nedenle daha sıkı korumalara tabi tutulur.

Biyometrik veri işleminde kastedilen veriler şunları kapsamaktadır:

• Parmak izi verileri
• Yüz tanıma verileri
• İris veya retina taraması
• Ses veya konuşma desenleri
• El geometrisi verileri
• DNA verileri
• Çoklu biyometrik veriler (birden fazla biyometrik yöntemin kombinasyonu)

Bu veriler, diğer kişisel verilerden farklı olarak, tekrar elde edilmesi neredeyse imkânsız olduğu için ve kişinin özsel kimliğine ilişkin olduğu için en yüksek düzeyde koruma talep eder.

KVKK'nın Biyometrik Veri İşlemesine Yönelik Hukuki Çerçevesi

Özel Nitelikli Veri Olarak Biyometrik Verilerin İşlenme Şartları

KVKK'nın 6. maddesine göre, biyometrik veriler de dahil olmak üzere özel nitelikli kişisel veriler, ancak kanunun öngördüğü belirli koşullarda işlenebilir. Genel kural, bu tür verilerin işlenmesinin yasaklanması olmakla birlikte, istisnaları vardır.

Biyometrik veri işleme için meşru bir hukuki dayanağın varlığı şarttır. Bu dayanaklar arasında şunlar yer almaktadır:

• Açık rıza: İlgili kişinin biyometrik verilerinin işlenmesi konusunda bilgilendirilmiş, özgür ve isteyerek verdiği rızası
• Hukuki zorunluluk: Kanunun doğrudan emrettiği durumlar (örneğin pasaport verisi)
• Hayati menfaat: Kişinin veya başka birinin yaşamını kurtarmak için zaruri olan durumlar
• İş sağlığı ve güvenliği: İşletmede çalışanların güvenliğinin sağlanması amacıyla işleme
• Emniyet ve kamu düzeni: Devletin veya kamunun güvenliği amaçlı işlemeler

Açık Rıza Alma Yükümlülüğü

Biyometrik veri işlemenin en yaygın hukuki dayanağı açık rızadır. Açık rıza, KVKK'nın 3. maddesinde "belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlanmıştır.

Açık rızanın geçerli sayılabilmesi için aşağıdaki şartları yerine getirmelisiniz:

• Rıza, belirli ve açık olmalıdır
• İlgili kişinin yazılı veya elektronik ortamda onayı alınmalıdır
• İlgili kişi, öncesinde aydınlatma yapılmış olmalıdır
• Rıza, diğer işlemlerden bağımsız ve ayrı olarak alınmalıdır
• Rıza, geri alınabilir nitelikte olmalıdır

Aydınlatma Yükümlülüğü

KVKK'nın 10. maddesine göre, veri sorumlusu olarak biyometrik veri toplamadan önce ilgili kişiyi kapsamlı bir şekilde bilgilendirmek zorundasınız. Aydınlatma bilgileriniz şunları içermelidir:

• Veri sorumlusunun kimliği ve iletişim bilgileri
• Biyometrik verilerin işlenme amacı
• Verilerin hangi kuruluşlara aktarılabileceği
• Verilerin ne kadar süre saklanacağı
• İlgili kişinin haklarını kullanmaya yönelik bilgiler
• Verilerin isteğe bağlı olup olmadığı
• Rızayı geri alma hakkı

Aydınlatma, kolayca erişilebilir ve anlaşılır bir dilde yapılmalıdır. Rıza aynı belgede veya ayrı bir belgede alınabilir; ancak rızanın fark edilmesi kolay olmalıdır.

Biyometrik Veri İşlemesinde Veri Güvenliği Gereksinimleri

Teknik ve İdari Güvenlik Önlemleri

KVKK'nın 12. maddesine göre, veri sorumlusu olarak biyometrik verileri korumak için teknik ve idari güvenlik önlemleri almalısınız. Biyometrik veriler çok hassas olduğu için, bu önlemler diğer veri türlerinden daha sıkı olmalıdır.

Alınması gereken başlıca önlemler:

• Şifreleme: Biyometrik verilerin saklandığı ortamların şifrelenmiş olması
• Erişim kontrolü: Sadece yetkili kişilerin biyometrik verilere erişiminin sağlanması
• Fiziksel güvenlik: Biyometrik sistemi barındıran sunucuların fiziksel olarak korunması
• Bakım ve iyileştirme: Sistem zafiyetlerinin düzenli olarak kontrol edilmesi
• Log tutma: Biyometrik verilere kimlerin, ne zaman eriştiğinin kaydedilmesi
• Yedekleme: Veri kaybı durumunda kurtarılabilmesi için düzenli yedeklemeler

Bu önlemler, iş hacminize, sahip olduğunuz teknik altyapıya ve işleme yapmanın riskli seviyesine göre ölçülendirilmelidir.

Veri İhlali Durumunda Bildirim Yükümlülüğü

Biyometrik veriler gibi hassas verilerin güvenliği ihlal edilirse, KVKK'nın 12. maddesine göre ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na derhal bildirim yapılması gerekir. Bu bildirim, ihlali haklı kılacak sebepler olmadıkça zorunludur.

Biyometrik Verinin Saklama Süresi ve Silinmesi

Orantılılık İlkesi ve Saklama Süresi

KVKK'nın 4. maddesinde belirtilen genel ilkelere göre, biyometrik veriler yalnızca işleme amaçı için gerekli olan süre kadar saklanmalıdır. İşleme amacı sona erdiğinde veya gerekli olmadığında, veriler silinmeli veya anonim hale getirilmelidir.

Saklama süresini belirlerken dikkate alınması gereken faktörler:

• İşleme amacı
• Kanuni yükümlülükler (vergi, muhasebe vb.)
• Uyuşmazlık riski
• İlgili kişinin haklarını savunabilmesi için gereken zaman

Silinme Yükümlülüğü

KVKK'nın 7. maddesine göre, ilgili kişi istediğinde ve işleme amacı sona erdiğinde, biyometrik veriler silinmeli, yok edilmeli veya anonim hale getirilmelidir. Silme işlemi, verilerin tamamen kurtarılamaz şekilde ortadan kaldırılmasını ifade eder; basit bir silme değil, teknik olarak geri dönüşü olmayan bir süreçtir.

İlgili Kişilerin Hakları

KVKK'nın 11. maddesine göre, ilgili kişiler biyometrik verilerine ilişkin çeşitli haklara sahiptir:

• Bilgi hakkı: Biyometrik verilerinin işlenip işlenmediğini ve nasıl işlendiğini öğrenme hakkı
• Erişim hakkı: İşlenen biyometrik verilerini inceleme hakkı
• Düzeltme hakkı: Yanlış veya eksik biyometrik verilerin düzeltilmesini isteme hakkı
• Silme hakkı: Biyometrik verilerinin silinmesini isteme hakkı
• İşleme kısıtlaması hakkı: Belirli durumlarda biyometrik verilerinin işlenmesini sınırlandırma hakkı
• İtiraz hakkı: İşlemeye itiraz etme hakkı
• Rızayı geri alma hakkı: Verilen rızayı dilediği zaman geri alma hakkı

Bu haklara ilişkin başvurular, KVKK'nın 13. maddesine göre veri sorumlusuna yapılır ve sorumlu en geç 30 gün içinde cevap vermek zorundadır.

Sektörlere Göre Biyometrik Veri İşleme Örnekleri

İnsan Kaynakları ve İş Güvenliği

Birçok işletme, çalışanların devam kontrol sistemleri için parmak izi veya yüz tanıma teknolojisini kullanmaktadır. Bu durumda, işveren veri sorumlusu olarak çalışanlarından belirli rızasını almalı, işleme amacını açıkça belirtmeli ve verileri güvenli bir şekilde saklamalıdır.

Finans ve Bankacılık

Bankalar, müşteri kimlik doğrulaması için biyometrik verileri kullanabilirler. Bu durumda, müşteri onayı alındıktan sonra, veriler yüksek düzeyde şifrelenmiş ve izole edilmiş sistemlerde tutulmalıdır.

Sağlık Sektörü

Hastaneler ve tıbbi kuruluşlar, hasta kimlik doğrulaması veya tıbbi kayıtlara erişim kontrolü için biyometrik veriler kullanabilirler. Sağlık verilerinin zaten hassas ve koruma gerektiren veriler olması nedeniyle, ek güvenlik önlemleri gereklidir.

Güvenlik ve Emniyet

Kamu kurumları ve güvenlik şirketleri, fiziksel alanlara erişim kontrolü için biyometrik sistemler kullanabilir. Bu işlemelerde, hukuki zorunluluk veya kamu düzeni gerekçeleri ön plana çıkabilir.

Biyometrik Veri İşlemesinde Hatalı Uygulamalar

Şirketlerin sıkça yaptığı hatalar arasında şunlar yer almaktadır:

• Rızasız işleme: Açık rıza alınmaksızın biyometrik veri toplamak
• Eksik aydınlatma: İlgili kişiye yeterli bilgi verilmemesi
• Veri tasarrufu ilkesine aykırılık: Gereksiz biyometrik veriler toplamak
• Yetersiz güvenlik önlemleri: Verileri korumaya yönelik teknik ve idari önlemlerin alınmaması
• Uzun müddet saklama: Veri saklamayı amaç dışında devam ettirmek
• Hak taleplerinin göz ardı edilmesi: İlgili kişilerin silinme veya erişim taleplerinin cevaplandırılmaması

Denetim ve Cezai Yaptırımlar

Kişisel Verileri Koruma Kurulu, KVKK'nın uygulanmasından sorumlu bağımsız bir kuruldur. Kurulu, gerekli gördüğü takdirde şirketleri denetleyebilir, şikâyet üzerine inceleme yapabilir ve hukuki ihlaller tespit ettiğinde idari para cezası uygulayabilir.

Biyometrik veri işlemesinde KVKK ihlalleri, idari ve hukuki cezalara konu olabilir. Bu nedenle, uyumluluğu proaktif olarak sağlamak çok önemlidir.

Sıkça Sorulan Sorular

Biyometrik veri toplamadan önce mutlaka yazılı rıza alması gerekir mi?

Evet. KVKK'ya göre, biyometrik veri işleme için açık rıza gereklidir ve bu rıza yazılı veya elektronik ortamda alınmalıdır. Rıza, diğer işlemlerden bağımsız ve ayrı olarak elde edilmelidir. Sözlü rıza veya zımni rıza, KVKK'da kabul edilmemektedir.

Biyometrik veriler ne kadar süre saklanabilir?

Biyometrik veriler, işleme amacı için gerekli olan süre kadar saklanabilir. Bu süre, her işletme ve amaç için farklı olabilir. Örneğin, devam kontrol amacıyla toplanan veriler, çalışanlık süresi boyunca tutulabilir; ancak işletme ayrılmış bir çalışanın verilerini, akla gelene kadar saklamaya devam edemez. Saklama süresi sona erdiğinde, veriler silinmeli veya anonim hale getirilmelidir.

Yurt dışında veri işlemek istiyorum. Neler dikkat etmeliyim?

Biyometrik verilerin yurt dışına aktarılması KVKK'nın 9. maddesine tabidir. Aktarım için önce verinin işlenme şartlarından birinin (m.5 veya m.6) bulunması gerekir. Bunun yanında aktarılan ülke hakkında yeterlilik kararı olmalı ya da maddede sayılan uygun güvencelerden biri (ör. standart sözleşme) sağlanmalıdır. Bunların hiçbiri yoksa yalnızca maddede sayılan arızi durumlarda aktarım yapılabilir.

Biyometrik veri ihlali yaşandığında ne yapmalıyım?

Biyometrik veri ihlali yaşanması durumunda, ihlali derhal tespit etmelisiniz. Ardından, KVKK'nın 12. maddesine göre ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirim yapmalısınız. Bildirim, ihlali haklı kılacak sebepler olmadıkça zorunludur. Aynı zamanda, ihlal nedenlerini araştırmalı ve benzer ihlalleri önlemek için güvenlik önlemlerinizi güçlendirmelisiniz.

BumerangData ile KVKK Biyometrik Veri Uyumluluğu

BumerangData, biyometrik veri işlemesinde KVKK uyumluluğunu sağlamaya yönelik kapsamlı çözümler sunar. Platform aracılığıyla, açık rıza almış ilgili kişilere aydınlatma bilgilerini e-posta, SMS veya WhatsApp kanalları üzerinden gönderebilir, tüm biyometrik verilerinizin envanterini oluşturabilir, VERBİS raporunuzu hazırlayabilir ve tüm işlemleri zaman damgalı kayıtlarla belgeleyebilirsiniz. Böylece, şirketinizin biyometrik veri işlemesi konusundaki hukuki sorumlulukları sistemli bir şekilde yerine getirilmiş olur ve audit süreçleriniz kolaylaşır.