İş yerlerinde biyometrik veri kullanımı
Kişisel veri nedir?
Hukukun en temel öznesi kişidir. Kişi; kanunen kendisine hak ve fiil ehliyeti tanınmış olan varlıklar olarak tanımlanır. Bu varlıklar insan olabileceği gibi, hukuk sisteminin hak ve fiil ehliyeti tanıdığı diğer varlıklar da kişi olarak kabul edilir. Kişiler; gerçek kişi ve tüzel kişi olmak üzere ikiye ayrılır. Gerçek kişi insandır. İnsan dışında kişilik tanınmış olan diğer varlıklar ise tüzel kişi olarak adlandırılır. Tüzel kişilerin ise özel hukuk tüzel kişileri ve kamu hukuku tüzel kişileri olarak türleri bulunmaktadır.
2016 yılında kabul edilerek yürürlüğe giren Kişisel Verilerin Korunması Kanunu (KVK), kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri olarak tanımlamıştır. Bir verinin kişisel veri olabilmesi için veri sahibinin gerçek kişi olması şarttır. Tüzel kişilere ilişkin veriler, KVK kapsamında kişisel veri olarak kabul edilmemektedir.
ÖZEL NİTELİKLİ KİŞİSEL VERİ VE BİYOMETRİK VERİ NEDİR?
Kişisel verilerden bazıları, kişiliğin korunması anlamında diğer verilerden daha özel kabul edilmiş ve kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak tanımlanmıştır.
Biyometrik veri kavramı ise mevzuatımızda tanımlanmamıştır. Ancak AB Genel Veri Koruma Tüzüğünde (GDPR) “Yüz görüntüleri veya daktiloskopik veriler gibi bir gerçek kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olarak spesifik teknik işlemeden kaynaklanan kişisel verileri” biyometrik veri tanımlanmıştır. Biyometrik verilerin en çok kullanılan halleri parmak izi, retina taraması ve yüz taraması şekillerinde karşımıza çıkmaktadır.
BİYOMETRİK VERİLER HANGİ ŞARTLARDA KULLANILABİLİR?
KVK’ya göre (m.4/2) Kişisel verilerin işlenmesinde; a) Hukuka ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme, ilkelerinin tamamına uyulması gerekmektedir.
Bu temel ilkelerin yanında Kişisel Verileri Koruma Kurumu tarafından yayınlanmış olan Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber ile bir kısım temel ilkelere de vurgu yapılmıştır. Rehbere göre biyometrik verilerin işlenmesinde;
İşleme faaliyetinde temel hak ve özgürlüklerin özüne dokunulmaması esastır. Bu kapsamda işleme faaliyetinin ölçülülük ilkesine de uygun olması,
Veri işleme faaliyetinin ve bu faaliyet için başvurulan yöntemin işleme amacına ulaşılabilmesi bakımından elverişli olması,
Biyometrik veri işleme yönteminin ulaşılmak istenen amaç bakımından gerekli olması, aynı amacın gerçekleşmesine olanak tanıyan birden fazla aracın olması durumunda bunlar arasından en az müdahaleci olan aracın seçilmesi,
Veri işlemeyle ulaşılmak istenilen amaç ve aracın arasında orantı bulunması, araç ile amacın arasında ölçülü bir orantının bulunması,
Verilerin gerektiği süre kadar tutulması, gereklilik ortadan kalktıktan sonra söz konusu verilerin gecikmeksizin/derhal imha edilmesi,
İşleme amacı doğrultusunda sınırlı olmak üzere; veri sorumlularının aydınlatma yükümlülüğünü yerine getirmesi,
Bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızanın gerekmesi halinde ilgili kişilerin açık rızalarının alınmış olması, ilkelerine uyulmuş olması gerekmektedir.
Rehbere göre bu ilkelerin yanında, yukarıda sayılan bütün ilkelerin sağlandığı hususu veri sorumlusu tarafından kayıt altına alınıp belgelendirilmesi, gerekmediği takdirde, biyometrik veri alınırken genetik veri alınmaması, biyometri türünün veya türlerinin seçiminde tercih edilen biyometrik veri türünün veya türlerinin diğerleri yerine neden seçildiğine dair gerekçeler ve belgelerin sunulması, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkesi gereği, kişisel verilerin işlenmesinde azami süre belirlenmesi gerekmektedir.
