Biyometrik Veri

Spor salonu gibi işletmelerin giriş çıkış kontrolü sağlamak amacıyla üyelerinden avuç içi izi gibi biyometrik verileri talep etmesi, ölçülülük ve veri minimizasyonu ilkeleri çerçevesinde hukuka aykırı bulunabilecek bir eylemdir. Kişilerin kimliğini benzersiz şekilde tanımlayan biyometrik veriler, özel nitelikli kişisel veri statüsündedir ve bu verilerin işlenmesi kural olarak yüksek koruma standartlarına tabidir.

İşvereninizin size tahsis ettiği bilgisayara klavye hareketlerinizi kaydeden bir yazılım kurması, genellikle makul sınırları aşan ve hukuka uygunluğu oldukça tartışmalı bir yöntemdir. Bu tür yazılımlar, işinizle alakalı olmayan kişisel kullanımlarınızı da kayıt altına alabileceğinden, elde edilen verilerin işleme amacı ile orantılı olmaması sonucunu doğurmaktadır.

Mesai takibi amacıyla parmak izi veya yüz tanıma gibi sistemlerin kullanılması, kanunlarda açıkça öngörülmedikçe veya açık rızanız bulunmadıkça kural olarak hukuka uygun kabul edilmez. Parmak izi ve yüz tanıma verileri doğrudan kişinin biyolojik özelliklerini barındıran biyometrik veri niteliğinde olup, bu verilerin işlenmesi hukuken çok daha sıkı koruma şartlarına tabidir.

İşverenin, mesai takibini sağlamak amacıyla alternatif ve daha az müdahaleci yöntemler varken doğrudan parmak izi gibi biyometrik verilerinizi kullanmaya zorlaması hukuka aykırı bir uygulama olarak nitelendirilebilir. Danıştay ve Kişisel Verileri Koruma Kurulu kararlarında da vurgulandığı üzere, giriş çıkış kontrolü için kartlı sistemler veya şifre kullanımı gibi yöntemler mevcutken, kişinin doğrudan vücut bütünlüğünden elde edilen biyometrik veri işlenmesi, amaçla orantısız ve aşırı bir müdahale olarak görülmektedir.

İşvereninizin giriş çıkışları kontrol etmek amacıyla manyetik kart gibi daha az müdahaleci alternatifler varken doğrudan parmak izi veya yüz tanıma gibi biyometrik veri işleyen sistemleri zorunlu tutması ölçülülük ilkesine aykırılık teşkil edebilmektedir. Kanunlarımızda parmak izi, yüz şekli ve damar izi gibi kişinin fiziksel özelliklerini barındıran bilgiler özel nitelikli veriler statüsünde son derece sıkı korunmaktadır.

Kamusal alanlarda yapay zeka destekli yüz tanıma ve biyometrik veri eşleştirme sistemlerinin kullanımı, hem dünyada hem de ülkemizde oldukça hassas ve tartışmalı bir hukuki meseledir. Kişilerin biyometrik verileri, en üst düzeyde korunması gereken özel nitelikli kişisel veriler arasında yer alır.

Yüz tanıma sistemleri aracılığıyla elde edilen ve kişiyi doğrudan tanımlamaya yarayan yüz haritası bilgileri, hukuken biyometrik veri statüsündedir ve bu verilerin işlenmesi çok daha sıkı koruma kurallarına tabidir. İlgili düzenlemelere göre, kural olarak bu tür özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmadan toplanması ve işlenmesi, kesin yasal istisnalar dışında, hukuka aykırı bir müdahale olarak değerlendirilebilir.

Çağrı merkezleri üzerinden işlem güvenliğinin ve kimlik tespitinin sağlanması amacıyla insan sesinin analiz edilerek kullanılması, sesin kişiyi doğrudan ayırt edici bir fiziksel özellik olması sebebiyle biyometrik veri işleme faaliyeti olarak kabul edilmektedir. Biyometrik nitelikteki bu veriler, mevzuatımızda çok daha katı kurallarla korunan özel nitelikli kişisel veriler grubunda yer alır ve bu tür hassas verilerin işlenmesi genellikle durumun ciddiyetine uygun net bir bilgilendirme ile özgür iradenize dayalı açık rızanızın alınmasını gerektirir.

Parmak izi ve kan grubu gibi sağlığınızı veya biyometrik özelliklerinizi yansıtan bilgiler sıradan verilerden farklı olarak çok daha sıkı korunan özel nitelikli kişisel veri statüsündedir. Kanun koyucu, bireylerin ırkı, etnik kökeni, sağlık bilgileri, genetik ve biyometrik verileri gibi başkaları tarafından öğrenildiğinde ayrımcılığa veya mağduriyete yol açabilecek hassas bilgileri özel nitelikli kişisel veri olarak ayrı bir sınıflandırmaya tabi tutmuştur.

İşe alım görüşmelerinde yüz ifadeleriniz, ses tonunuz ve duygusal tepkileriniz gibi biyometrik veri niteliği taşıyan özel nitelikli kişisel verilerinizin açık rızanız olmaksızın analiz edilmesi hukuka aykırılık teşkil edebilecek bir uygulamadır. Kişisel Verilerin Korunması Kanunu kapsamında, işe yatkınlığınızı değerlendirmek amacıyla dahi olsa, rızanız dışında duygu tanıma sistemleriyle psikolojik veya fiziksel verilerinizin işlenmesi mahremiyet ihlali yaratır.