Kişisel Verileri Koruma Kurumu Tarafından Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber Yayınlandı!

Kişisel Verileri Koruma Kurumu tarafından Mart 2025 tarihinde 'Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber'i yayınlanmış olup rehberde yer alan hususlar aşağıda tarafımızca özetlenmiştir. Giriş : Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlar Günümüzde güvenlikten erişim kontrolüne, dijital kimlik doğrulamadan mobil cihaz kullanımına kadar pek çok alanda yaygın olarak kullanılan biyometrik verilerin özel olarak korunması önem teşkil etmektedir. Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından yayımlanan “Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber”, biyometrik verilerin işlenmesinde uyulması gereken temel ilke ve yükümlülükleri ortaya koymaktadır. 1. Biyometrik Veriler Nedir? Rehber kapsamında biyometrik veriler; bireylere özgü fiziksel, fizyolojik veya davranışsal özelliklerin teknik yöntemlerle işlenmesi sonucunda elde edilen, kişinin kimliğini belirlemeye yarayan veriler olarak tanımlanmıştır. Parmak izi, yüz tanıma, retina/iris taraması, avuç içi damar haritası, ses ve davranış analizleri (örneğin imza) biyometrik veri örnekleri arasında sayılmaktadır. 2. Özel Nitelikli Kişisel Veri Biyometrik veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında özel nitelikli kişisel veri olarak değerlendirilmektedir. Bu doğrultuda, söz konusu verilerin işlenmesi sıkı şartlara bağlanmıştır. 3. Açık Rıza ve Alternatif Sunma Yükümlülüğü Rehber, biyometrik verilerin işlenmesinde açık rıza alınmasının kural olduğunu ve bu rızanın özgür iradeyle, ilgili kişiyi bilgilendirerek alınması gerektiğini vurgulamaktadır. Ayrıca, veri sorumlularının mümkün olduğu ölçüde alternatif bir doğrulama yöntemi sunmaları gerektiği ifade edilmektedir. Bu yükümlülük, açık rızanın gerçekten özgür iradeyle verilip verilmediğinin güvencesidir. 4. Biyometrik Veri İşleme Faaliyetlerinde Uyulması Gereken İlkeler 4.1. Temel Hak ve Özgürlüklerin Özüne Dokunulmaması Biyometrik verilerin işlenmesi, kişilerin temel hak ve özgürlüklerine zarar vermemelidir. Özellikle mahremiyet hakkı, kişilik hakları ve veri güvenliği bu bağlamda korunması gereken temel değerlerdir. Bu tür verilerin işlenmesinde, bireyin insan onurunu zedeleyici, ayrımcılığa yol açıcı ya da denetim hissini artırıcı uygulamalardan kaçınılmalıdır. 4.2. Veri İşlemenin Elverişli ve Amaçla Uyumlu Olması Biyometrik veri işleme yöntemi, ulaşılmak istenen amaca ulaşmada elverişli olmalı; başka yöntemlerle aynı sonuca ulaşmak mümkünse, biyometrik yöntem tercih edilmemelidir. Örneğin sadece fiziksel erişim kontrolü sağlanmak isteniyorsa, kartlı sistem gibi daha az müdahaleci alternatifler öncelikli olarak değerlendirilmelidir. 4.3. Veri İşleme Faaliyetinin Gerekli Olması Veri sorumluları, amaçlarına ulaşmak için biyometrik veri işlemenin gerçekten gerekli olup olmadığını objektif olarak değerlendirmelidir. Alternatif yolların yeterli olduğu durumlarda biyometrik veri işlemek, gereklilik ilkesine aykırıdır ve hukuka uygun kabul edilemez. 4.4. Amaç ve Araç Arasında Orantılılık Bulunması İşlenmek istenen veri ile ulaşılmak istenen amaç arasında makul ve ölçülü bir denge kurulmalıdır. Aşırı ve gereksiz veri toplanması, temel haklar bakımından orantısız bir müdahale teşkil eder. Örneğin bir işyerinde parmak iziyle giriş zorunlu hale getirilmişse, bunun gerçekten zorunlu olup olmadığı orantılılık açısından sorgulanmalıdır. 4.5. Verinin Gerektiği Süre Kadar Tutulması Biyometrik veriler, yalnızca işleme amacının gerektirdiği süre boyunca saklanmalı; bu süre sona erdiğinde, veriler gecikmeksizin ve güvenli biçimde imha edilmelidir. Süresiz veri saklama veya imha prosedürü bulunmaması, veri güvenliği açısından ciddi riskler doğurabilir. 4.6. Aydınlatma Yükümlülüğüne Uygun Hareket Edilmesi Veri sorumluları, Kanunun 10. maddesi kapsamında, biyometrik veri işlemesine ilişkin olarak ilgili kişileri aydınlatmakla yükümlüdür. Aydınlatma, işleme amacını, hukuki sebebini, verilerin kimlere aktarılabileceğini, toplanma yöntemini ve veri sahibinin haklarını kapsamalıdır. 4.7. Açık Rızanın Usulüne Uygun Alınması Biyometrik verilerin işlenmesinde açık rıza alınması gerekiyorsa, bu rıza Kanuna uygun şekilde ve özgür iradeyle verilmiş olmalıdır. Zorlayıcı uygulamalar, rızanın geçerliliğini ortadan kaldırabilir. Açık rıza, önceden bilgilendirme yapılmak suretiyle, alternatif sunulmak kaydıyla ve tercihe bağlı olarak alınmalıdır. 5. Veri Güvenliği Tedbirleri Biyometrik veriler, teknik açıdan yeniden üretilebilir nitelikte olduğu için daha güçlü güvenlik tedbirlerinin uygulanması gerekmektedir. Rehberde, kriptografik yöntemlerle koruma, erişim kontrolleri, şifreleme ve güvenli saklama gibi teknik ve idari önlemlerin hayata geçirilmesi gerektiği açıkça belirtilmiştir. 6. Sonuç KVKK tarafından yayımlanan bu rehber, veri sorumluları açısından hem farkındalık hem de yükümlülükler bakımından önemli bir kaynak niteliğindedir. Biyometrik verilerin işlenmesine yönelik uygulamaların Rehber ile uyumlu hale getirilmesi, hem ilgili kişilerin temel haklarının korunması hem de olası idari yaptırımların önlenmesi açısından büyük önem taşımaktadır. İlgili rehbere buradan ulaşabilirsiniz.