Kişisel Verileri Koruma Kurumu’na (Kurum) son dönemde intikal eden ihbar ve şikâyetler üzerine harekete geçen Kişisel Verileri Koruma Kurulu (Kurul), iş dünyasını yakından ilgilendiren çok kritik bir "İlke Kararı" aldı. Kurum, dijitalleşme ve güvenlik gerekçesiyle şirketlerde giderek yaygınlaşan parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerinin kullanımına sınır getirdi.
"İşçi ve İşveren Eşit Değil, Rıza Özgür Sayılamaz"
Resmî Gazete’de yayımlanan kararda, işçi ile işveren arasındaki yapısal güç dengesizliğine dikkat çekildi. Çalışanın, işini kaybetme korkusu veya muhtemel olumsuzluklar nedeniyle biyometrik takibe rıza göstermek zorunda kalabileceği vurgulandı. Kurul, bu durumun "özgür iradeye dayalı açık rıza" şartını sakatladığını ve rızanın geri alınmasının sistemin işleyişini bozacağı için mesai takibinde tek başına yeterli bir hukuki zemin oluşturmayacağını belirtti.
Anayasa Mahkemesi ve Danıştay Kararları Referans Alındı
Alınan kararda geçmişteki yüksek yargı kararlarına da atıfta bulunuldu. Anayasa Mahkemesi’nin devlet memurları için parmak iziyle mesai takibini "kanunilik" şartını taşımadığı gerekçesiyle hak ihlali saydığı kararı anımsatıldı. Ayrıca Danıştay İdari Dava Daireleri Kurulu’nun, avuç içi damar okuma sistemiyle mesai takibi yapılmasını "ölçülülük" ilkesine aykırı bulan kararı da kurulun bu adımında belirleyici oldu.
"Biyometrik Veri Geri Döndürülemez, Riski Büyük"
Biyometrik verilerin ele geçirilmesi durumunda değiştirilmesinin veya geri alınmasının imkânsız (geri döndürülemez) olduğuna dikkat çeken Kurul, bu verilerin kötüye kullanılma ihtimalinin çalışanlar açısından büyük mağduriyetler yaratabileceğini ifade etti. Mesai takibi gibi sınırlı bir idari amaç için bu denli yoğun bir veri işleme müdahalesinin "ölçüsüz" olduğu aktarıldı.
İşte Kartlı ve İmzalı Sisteme Dönülecek
Kurul, mesai takibinin biyometrik sistemler yerine, çalışanın mahremiyetine daha az müdahale eden alternatif yöntemlerle yapılması gerektiğini açı. İşverenlerin kullanabileceği alternatif yöntemler şöyle sıralandı:
- Şifreli kart veya PIN tabanlı sistemler,
- RFID/NFC özellikli kimlik kartları,
- Geleneksel imza ve kâğıt bazlı devam çizelgeleri,
- Denetçi gözetiminde elle giriş sistemleri.
Uymayan İşverenlere Ceza Kapıda
Kişisel Verileri Koruma Kurulu, veri sorumlusu olan işverenlerin kişisel verilerin hukuka aykırı işlenmesini önlemek için gerekli teknik ve idari tedbirleri almak zorunda olduğunu hatırlattı. Bu ilke kararına aykırı hareket ettiği, yani alternatif yöntemler yerine hâlâ biyometrik veriyle mesai takibi yaptığı tespit edilen işverenler hakkında, KVKK Kanunu’nun 18’inci maddesi uyarınca idari ve hukuki işlem tesis edileceği kamuoyuna resmen ilan edildi.