KVKK'da Biyometrik Veri İşleme: Kurallar ve Uyum Rehberi
KVKK'da Biyometrik Veri İşleme: Kurallar ve Uyum Rehberi
Biyometrik veriler, modern işletmelerin operasyonel hayatının giderek önemli bir parçası haline gelmiştir. Parmak izi tanıma sistemleri, yüz tanıma teknolojileri, göz taraması ve ses tanıma gibi uygulamalar artık birçok sektörde yaygın olarak kullanılmaktadır. Ancak bu teknolojilerin kullanımı, Türkiye'de Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde titiz bir hukuki çerçeve içinde gerçekleştirilmelidir. Bu yazıda, biyometrik veri işleme kurallarını detaylı olarak inceleyeceğiz ve şirketinizin uyumluluğunu sağlamaya yönelik pratik rehberlik sunacağız.
Biyometrik Veri Nedir? KVKK Perspektifinden Tanım
KVKK'nın 3. maddesine göre biyometrik veriler, kişinin fizyolojik, fiziksel veya davranışsal özelliklerine ilişkin teknik işlemler sonucu elde edilen, o kişiyi eşsiz şekilde tanımlamaya yarayan verilerdir. Biyometrik veriler, özel nitelikli kişisel veriler kategorisinde değerlendirilir ve bu nedenle daha sıkı korumalara tabi tutulur.
Biyometrik veri işleminde kastedilen veriler:
- Parmak izi verileri
- Yüz tanıma verileri
- İris veya retina taraması
- Ses veya konuşma desenleri
- El geometrisi verileri
- DNA verileri
- Çoklu biyometrik veriler
KVKK'nın Biyometrik Veri İşlemesine Yönelik Hukuki Çerçevesi
KVKK Madde 6: Veri İşlemenin Yasal Dayanağı
KVKK'nın 6. maddesine göre, biyometrik veriler de dahil olmak üzere kişisel veriler, yalnızca kanunda belirtilen durumlarda işlenebilir. Biyometrik veri işleme için meşru bir hukuki dayanak gereklidir. İşletmeler, biyometrik veri işleminden önce, bu işleme ilişkin kanuni bir dayanak bulunup bulunmadığını mutlaka kontrol etmelidir.
Biyometrik veri işlemenin meşru dayanakları:
- Kişinin açık rızası (en sıkı şartlarla)
- Kanunun açıkça öngördüğü durumlar
- İşletmenin hukuki yükümlülüğü
- Kamu yönetiminin görevlerinin yerine getirilmesi
- Meşru menfaatlerin korunması
KVKK Madde 5: İşleme İlkeleri
Biyometrik veriler, KVKK'nın 5. maddesinde belirtilen temel ilkeler doğrultusunda işlenmelidir:
Hukuka ve dürüstlüğe uygunluk: Biyometrik veri işleme, kanunlara uygun ve etik prensipler dâhilinde gerçekleştirilmelidir. Kişileri aldatacak veya yanıltacak yöntemler kullanılamaz.
Amaç sınırlaması: Biyometrik veriler, toplanma amaçları dışında başka amaçlarla işlenemez. Örneğin, işyerinde güvenlik amacıyla toplanan parmak izi verisi, pazarlama faaliyetleri için kullanılamaz.
Veri minimizasyonu: Sadece gerekli olan biyometrik veriler toplanmalıdır. İşletme, hedefine ulaşmak için en az miktarda veri işlemekle yükümlüdür.
Doğruluk ve güncellik: Biyometrik veriler güncel tutulmalı ve yanlış veriler düzeltilmelidir.
Verilerin sınırlandırılması: Biyometrik veriler, alındıkları amaçla bağlantılı olacak şekilde saklanmalıdır.
KVKK Madde 11: Özel Nitelikli Verilerin İşlenmesi
Biyometrik veriler, KVKK'nın 11. maddesinde tanımlanan özel nitelikli kişisel veriler kategorisinde yer alır. Bu maddeye göre, özel nitelikli veriler genel kural olarak işlenemez. Ancak bazı istisnai durumlar mevcuttur:
- Kişinin açık rızası alınması
- Emek hukuku ve sosyal güvenlik konusunda kanuni yükümlülükler
- Kişinin hayati çıkarlarının korunması
- Dernek veya vakıf tarafından üyelerinin verilerinin işlenmesi (belirli koşullarla)
- Kişi tarafından kamuya açıklanmış veriler (sınırlı durumlarda)
- Adli veya idari işlemlerde gerekli olmak
- Kamu sağlığının korunması
- Özel ve kamu kuruluşlarının meşru faaliyetleri
Pratik örnekte, bir fabrika yönetimi işçilerine giriş-çıkış kontrolü için yüz tanıma sistemi kurmuşsa, açık rızaları alınması ve yazılı onaylarının alınması gereklidir.
Biyometrik Veri İşlemesinde Açık Rıza Şartları
Rızanın Geçerli Olabilmesi İçin Gerekli Unsurlar
KVKK'da biyometrik veriler işlenirken, rıza en önemli hukuki dayanaklardan biridir. Ancak bu rıza herhangi bir rıza değil, özgür ve bilgilendirilmiş bir rıza olmalıdır.
Geçerli bir rıza için:
- Özgürce verilmiş olmalıdır: Rıza, hiç bir baskı veya zorlama olmadan verilmelidir. İşçi tarafından verilen rıza, işyerindeki güç asimetrisi nedeniyle hukuki bir şüphe taşıyabilir.
- Belirli olmalıdır: Rıza, "tüm verilerim işlenebilir" şeklinde genel ve belirsiz olamaz. Hangi biyometrik veri, hangi amaçla işleneceği açıkça belirtilmelidir.
- Bilgilendirilmiş olmalıdır: Kişi, veri işlemesine ilişkin tüm önemli bilgileri önceden almalıdır.
- Yazılı olmalıdır: Biyometrik veriler için rıza yazılı form aracılığıyla alınmalıdır.
Kişilerin rıza sürecinde