Giriş
Kişisel Verileri Koruma Kurulu çeşitli tarihlerde giriş-çıkışlarda biyometrik veri işlenmesi ile ilgili uygulamaya yön gösterici önemli kararlar yayımlamıştır. Bu kapsamda Kurul kararları doğrultusunda, uygulamada sık sık karşılaşılan  giriş çıkışlarda biyometrik veri (avuç içi, parmak izi, yüz tanıma sistemleri vb.) işlenmesi uygulamasına dair aşağıdaki hususlara dikkat çekmek isteriz.

Kurul Tarafından Bu Konuda Yayımlanan Kararlar

1/12/2020 Tarihli ve 2020/915 Sayılı karara göre;
Karara konu olan veri sorumlusu sıfatını haiz belediye, personel  giriş ve çıkışlarının kontrolü amacıyla parmak izi sistemi uygulamaktadır. Kurul’a şikayete konu olan bu uygulamada,  yapılan inceleme neticesinde, giriş çıkışların biyometrik veri işlenerek yapılmasının ölçülülük ilkesine aykırı olduğunu ifade edilmiştir. Kurul tarafından işbu kararda her ne kadar idari para cezasına hükmedilmemiş olsa da, hukuka aykırılığın giderilmesi için belediye talimatlandırılmıştır.

27/02/2020 Tarihli ve 2020/167 Sayılı karara göre;
Spor salonu hizmeti sunan ve üyelerinin giriş çıkışını el ve parmak izi tarama sistemiyle yapan veri sorumlusunun bu bilgileri güvenli biçimde sakladığı konusunda şüphe duyan ilgili kişilerce yapılan şikayet üzerine,  şikayetin Kurul tarafından incelenmesi neticesinde Kurul, söz konusu mekana giriş için “el ve parmak izi taraması” sisteminin, üyelerin açık rızası olsa bile veya üyelere seçimlik hak sunularak kart okutma sistemi ile geçiş imkanı sağlansa bile kişisel verilerin işlenmesinde ölçülülük ilkesi ışığında ilgili kişilerden minimum düzeyde veri talep etme ilkesi ile uyumlu olmadığı sonucuna varmıştır. Sonuç olarak, söz konusu veri sorumlusuna KVKK m. 4/2/ç bendinde yer alan “ölçülülük ilkesi”ne aykırılık sebebiyle 225.000 TL idari para cezası uygulanmış, ayrıca spor salonunu şimdiye kadar işlediği bu verileri derhal imha etmesi ve ilgili kişileri de bilgilendirmesi konusunda talimatlandırılmasına karar vermiştir.

25/03/2019 Tarihli ve 2019/81 Sayılı karar ile 31/05/2019 Tarihli ve 2019/165 Sayılı kararlara göre;
Spor salonu hizmeti sunan iki ayrı şirketin, giriş çıkış kontrolü amacıyla el ve avuç okutma sistemi uygulamaktadır. Kaydı tutulan üyelere ait vesikalık fotoğraf ve son ziyaret saati gibi bazı bilgilerin, bir TV ekranına yansıtılması ve bu TV'nin herkesin görebileceği şekilde olması ve biyometrik verilerin işlenmesi anılan kararda şikayete konu olan ve incelenen önemli hususlardandır. Kurul, anılan kararlarda, veri işleme faaliyetinin amaçla ölçülü olması gerektiğini belirtmiştir. Söz konusu veri işleme faaliyetinin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı olduğunu ifade etmiş ve bununla birlikte özel nitelik taşıyan biyometrik verilerin ancak 6698 Sayılı Kanun’un 6. maddesinde belirtilen şartlarla işlenebileceğini ifade etmiştir. Veri sorumlusu sıfatını haiz şirketlerin, biyometrik verileri işleme hususunu ilgili hizmetin alınması için şart koşması dolayısıyla, alınan açık rızanın da 12. maddeye aykırı olduğuna anılan kararlarda yer verilmiştir. Veri sorumlusu sıfatını haiz şirketler hakkında idari para cezasına (miktar kararda yer almamaktadır) hükmedilmiştir.

Sonuç
6698 Sayılı KVKK’nın 4. maddesinde, kişisel verilerin ancak işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkelerine uygun işlenebileceği düzenlenmiştir. Bu madde uyarınca, amacın gerçekleştirilmesi için ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılması gerekmektedir. Ayrıca, ölçülülük ilkesi uyarınca, yapılmak istenen faaliyetin gerçekleşmesi için gerekli olmayan kişisel verilerin işlenmemesi gerektiği, amaç çerçevesinde minimum düzeyde bilgi talep edilmesi önem taşımaktadır.

Yukarıda yer verilen tüm kararlar göstermektedir ki; avuç içi, parmak izi, yüz tarama sistemleri gibi, özel nitelikli kişisel verilerin işlenmesinin, bir şirket, iş yeri, site vb. yerlere giriş çıkış kontrolleri amacıyla kullanılması, elzem olmayan bir uygulama oluşturmakta ve ölçülülük ilkesine aykırılık teşkil etmektedir. Giriş ve çıkış kontrolleri, biyometrik verileri işlemenin haricinde alternatif yollar ile sağlanmalıdır. Bu itibarla;

Şirket, iş yeri, site vb. yerlerin giriş ve çıkışlarında biyometrik veri işleme uygulaması yapılmaması,   

Bugüne kadar işlenen biyometrik verilerin ivedilikle imha edilmesi,

Bu özel nitelikli kişisel veriler üçüncü tarafa aktarıldıysa yok etmeye yönelik işlemlerin bu verilerin aktarıldığı üçüncü kişilere ivedilikle bildirilmesinin sağlanması ve gereken talimatların verilmesi,

İlgili kişinin veri sorumlusu bünyesinde bulunan kişisel verilerinin silinmesi talebine istinaden, talebin yerine getirildiğine ve söz konusu kişisel verilerin silindiğine ilişkin ilgili kişinin bilgilendirilmesi, büyük önem taşımaktadır.