İyi korunmayan biyometrik verilen ciddi riskler doğurabilir

Türkiye’de birçok kuruluşta mesai takibi amacıyla çeşitli biyometrik veriler kullanılıyor. Personellerin parmak izi, yüz tanıma, iris/retina taraması, damar izi, el ayası verisi, yüz ve el geometrisi, ses tınısı, imza dinamikleri gibi verilerle yapılan mesai takibi, birçok anlamda sorun teşkil ediyor. Verilerin depolanması ve saklanması noktasında açıklar oluşurken, Kişisel Verileri Koruma Kurulu biyometrik veri işlenmesine ilişkin ilke kararı aldı. Kurul, çalışma sürelerinin takip edilmesine ilişkin mevzuatta hükümler bulunmakla birlikte mesai takibinin biyometrik veri işlenerek yapılmasını açıkça öngören bir kanuni düzenleme bulunmadığını belirtiyor. İşçi-işveren ilişkisindeki güç dengesizliği nedeniyle açık rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddüt bulunurken açık rızanın tek başına yeterli hukuki zemin oluşturmadığı değerlendiriliyor. Konuya ilişkin alınan karar Resmi Gazete’de yayınlandı. Karar çerçevesinde biyometrik verilerin yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kağıt bazlı devam çizelgeleri, RFID/NFC kartları ya da denetçi gözetiminde elle giriş gibi daha az müdahaleci alternatifler kullanılması gerektiği belirtildi. Veri sorumlularının bu ilkelere uygun teknik ve idari tedbirleri almakla yükümlü olduğu; aksi yönde uygulama tespit edilirse 6698 sayılı Kanun’un yaptırım hükümleri kapsamında işlem tesis edileceği belirtiliyor.

Biyometrik veriler yüksek koruma gerektiriyor

Alınan karara ilişkin açıklamalarda bulunan Sivas Cumhuriyet Üniversitesi Yeni Medya Bölüm Başkanı Doç. Dr. Sefer Darıcı, biyoletrik verilerin yüksek koruma gerektiridiğine, sızan biyometrik verilerin ise yanlış ellere geçmesi halinde ciddi riskler oluşturacağına dikkat çerekek, “Kişisel Verileri Koruma Kurulu mesai takibi amacıyla biyometrik veri işlenmesiyle ilgili bir ilke kararı aldı ve bu ilke kararı Resmî Gazete’de yayımlandı. Kararda; parmak izi, yüz tanıma, iris ve retina taraması, damar izi, el ayası verisi, yüz ve el geometrisi, ses tanıma, imza dinamikleri ve klavye kullanım alışkanlıkları gibi biyometrik verilerin özel nitelikli kişisel veri olduğu, ele geçirilmeleri hâlinde değiştirilemez ve geri alınamaz nitelikleri nedeniyle yüksek koruma gerektirdiği vurgulandı. Bu nokta gerçekten önemli. Özellikle mesai saatlerinin takibi amacıyla biyometrik verileri kullanan kamu kurum ve kuruluşları ile özel kuruluşlar açısından ciddi ve bağlayıcı etkileri söz konusu. Kurul, çalışma sürelerinin takibine ilişkin mevzuatta hükümler bulunduğunu ancak mesai takibinin biyometrik veri işlenerek yapılmasını açıkça öngören bir kanuni düzenleme bulunmadığını da belirtti. İşçi ve işveren ilişkisindeki güç dengesizliğine de vurgu yapıldı. Bu nedenle çalışanlardan açık rıza alınmış olsa dahi, işçi-işveren ilişkisinin doğası gereği bu rızanın özgür iradeye dayanıp dayanmadığı konusunda tereddütler bulunduğu ifade edildi. Dolayısıyla açık rızanın tek başına yeterli bir hukuki dayanak oluşturmadığı değerlendirildi” dedi.

“İlgili kurumların da gerekli değişiklikleri yapması gerekmektedir”

Kararda veri sorumlularını ilgilendiren hususlar olduğuna dikkat çeken Doç. Dr. Darıcı, “Veri minimizasyonu ve ölçülülük ilkelerine dikkat çekilirken, veri sorumlularının yükümlülüklerine de özellikle vurgu yapıldı. Kurul kararı uyarınca mesai takibi için biyometrik tanımlama sistemleri yerine alternatif ve daha az müdahaleci yöntemlerin kullanılması gerektiği ifade edildi. Ayrıca veri sorumlularının bu ilkelere uygun teknik ve idari tedbirleri almakla yükümlü olduğu, aksi yönde uygulamaların tespit edilmesi hâlinde çeşitli yaptırımların uygulanabileceği de belirtildi. Bugün birçok kamu kurumunda, üniversitede, medya kuruluşunda ve özel sektörde biyometrik veriler kullanılmaktadır. Bu veriler çalışanların açık rızasıyla toplanıyor olsa da, çalışan ve işveren arasındaki güç dengesizliği dikkate alındığında bu rızanın özgür iradeyle verilmiş olmayabileceği yönündeki tereddütler kurul kararında açıkça ifade edilmektedir. Bu nedenle ilgili kurumların da gerekli değişiklikleri yapması gerekmektedir” ifadelerine yer verdi.

Sancar Alp Fırat – Tufan Özyaşın