Kişisel Verileri Koruma Kurumu (KVKK), mesai takibi amacıyla biyometrik veri işlenmesine ilişkin ilke kararı hakkında veri sorumlularından gelen görüş talepleri üzerine kamuoyu duyurusu yayımladı. Kurum, biyometrik verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanmasının bu verilerin biyometrik niteliğini değiştirmediğini açıkladı.
Biyometrik verilerin kapsamı açıklandı
KVKK'nın duyurusunda, 2 Haziran'da Resmi Gazete'de yayımlanan “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”na ilişkin farklı sektörlerde faaliyet gösteren veri sorumlularından görüş talepleri geldiği belirtildi.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesinde biyometrik verilerin özel nitelikli kişisel veriler arasında yer aldığı hatırlatıldı. 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3. maddesinde ise biyometrik verilerin, elektronik sistemler aracılığıyla kimlik tespiti ve doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlandığı aktarıldı.
Parmak izi ve avuç içi taraması da biyometrik veri
Duyuruda, avuç içi taraması veya parmak izi alınmasıyla elde edilen verilerin biyometrik veri olarak değerlendirilmemesi gerektiği yönündeki görüşlere de değinildi.
KVKK, belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya uygun hale getirilen verilerin biyometrik veri niteliği taşıdığını belirtti. Kurum, bu verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanmasının biyometrik veri özelliğini ortadan kaldırmadığını bildirdi.
Duyuruda, Avrupa Birliği Veri Koruma Tüzüğü'nün 51 numaralı gerekçesine de atıfta bulunuldu.
Kritik alanlarda ölçülülük şartı vurgulandı
KVKK, bazı tesis ve faaliyet alanlarının güvenlik riskleri ile olası veri ihlallerinin yaratabileceği sonuçlar açısından genel değerlendirmeden farklı özellikler taşıyabileceğine dikkat çekti.
Bu alanlarda biyometrik veri işlenmesine yönelik faaliyetlerin ise yalnızca gerekli kritik alanlar ve kişilerle sınırlı tutulması gerektiği belirtildi. Ayrıca uygulanacak yöntemin ölçülü olması gerektiği vurgulandı.
İlke kararı mesai takibini kapsıyor
KVKK, yayımlanan ilke kararının yalnızca çalışanların devam durumunun, yani mesai takibinin belirlenmesi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleriyle sınırlı olduğunu açıkladı.
Duyuruda, “Çalışan devam takibi (mesai takibi) amacıyla gerçekleştirilen biyometrik veri işleme faaliyetleri bakımından veri sorumlularının ilke kararı doğrultusunda hareket etmeleri gerekmektedir” ifadelerine yer verildi.
Mesai takibi dışında gerçekleştirilen biyometrik veri işleme faaliyetlerinin ise söz konusu ilke kararı kapsamında değerlendirilmeyeceği belirtildi.
Diğer uygulamalar somut duruma göre değerlendirilecek
Mesai takibi dışındaki biyometrik veri işleme faaliyetlerinin hukuka uygunluğunun; veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak veri sorumluları tarafından değerlendirilmesi gerektiği kaydedildi.
Kurum, bu konularla ilgili kendisine ulaşacak ihbar ve şikayetlerin ise Kişisel Verileri Koruma Kurulu tarafından her somut olayın özelliklerine göre ayrıca inceleneceğini bildirdi.
