ÖZET
Biyometrik verilere dayalı teknolojinin gelişmesi ve kullanımının yaygınlaşması güvenlik endişelerini beraberinde getirmekte ve kişisel verilerin korunması hukuku bakımından tartışmalara yol açmaktadır. Biyometrik tanıma sistemleri, işverenler tarafından başta mesai takibi olmak üzere erişim kontrolü sağlama, kimlik doğrulama gibi amaçlarla kullanılmaktadır. Ancak aynı amacın gerçekleşmesine olanak tanıyan başka elverişli araçların (kart, şifre) olması halinde biyometrik verilerin kullanımının gerekliliği ölçülülük ilkesi çerçevesinde değerlendirilmelidir.
GİRİŞ ve KAVRAMSAL ÇERÇEVE
6698 Sayılı KVKK ile birlikte kişisel verilerin korunması hakkı bağımsız bir insan hakkı olarak değerlendirilmeye başlanmıştır. Biyometrik Veri, kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin kişisel verilerdir. KVKK Madde 6 uyarınca biyometrik veriler özel nitelikli kişisel veri sayılmış ve ancak kanunda öngörülen hallerde veya ilgili kişinin açık rızası ile işlenebileceği hükme bağlanmıştır.
Ölçülülük İlkesi: Anayasa Mahkemesi kararlarında ölçülülük ilkesinin elverişlilik, gereklilik ve orantılılık olmak üzere üç alt ilkesi bulunduğu belirtilmiştir. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma zorunluluğu KVKK'nın 4. maddesinde temel bir ilke olarak yer almaktadır.
BİYOMETRİK VERİ KULLANIMININ YARATTIĞI KAYGILAR
Biyometrik veriler (parmak izi, yüz tanıma, retina vb.) kimlik doğrulamada çok güvenli olsalar da, toplanması ve saklanması ciddi mahremiyet kaygılarına yol açmaktadır. Örneğin bir retina taramasından kişinin hastalıkları veya bağımlılıkları tespit edilebilir. Veri tabanlarının siber saldırılara uğraması halinde şifre değiştirilebilirken, biyometrik özellikler (parmak izi) değiştirilemediğinden kimlik hırsızlığı riski kalıcıdır.
KARARLAR VE MESAİ TAKİBİ
Danıştay'ın ve Kişisel Verileri Koruma Kurulu'nun (KVKK) muhtelif kararlarında, kamu ya da özel sektörde sadece mesai takibi amacıyla parmak izi, avuç içi veya yüz tanıma sistemi kullanılmasının ölçülülük ilkesine aykırı olduğuna hükmedilmiştir. Kurul, açık rıza alınmış olsa dahi aşırı miktarda ve nitelikte veri toplanmasını meşru kılmamıştır. Mesai takibinin kartlı sistem veya şifre ile sağlanabilmesi mümkünken, biyometrik yöntemlerin kullanılması gereklilik ilkesini karşılamamaktadır.
SONUÇ
Biyometrik verilerin işlenmesi, yüksek güvenlik gerektiren istisnai hallerde elverişli olsa da standart işleyişte (mesai takibi gibi) daha az müdahaleci araçlar tercih edilmelidir. İşveren veri sorumlusu olarak biyometrik veriyi neden işlemek zorunda olduğunu ispat yükü altındadır. Keyfi uygulamaların önüne geçmek için biyometrik verilerin kullanımının yasal çerçevesinin netleştirilmesi gerekmektedir.