KVKK, 2 Haziran'da Resmi Gazete'de yayımlanan "Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı" hakkında veri sorumlularından gelen görüş talepleri üzerine açıklama yaptı.
Kurumun duyurusunda, farklı sektörlerde faaliyet gösteren veri sorumlularınca ilke kararına ilişkin çeşitli görüş taleplerinin iletildiği belirtildi.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesinde biyometrik verilerin özel nitelikli kişisel veriler arasında yer aldığı hatırlatıldı. 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3. maddesinde ise biyometrik verilerin, elektronik sistemler aracılığıyla kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlandığı aktarıldı.
Parmak izi ve avuç içi verileri biyometrik veri sayılacak
Duyuruda, avuç içi taraması veya parmak izi alınmasıyla elde edilen verilerin biyometrik veri olarak değerlendirilmemesi gerektiği yönündeki görüşlere de değinildi.
KVKK, Avrupa Birliği Veri Koruma Tüzüğü'nün 51 numaralı gerekçesine atıfta bulunarak, belirli bir teknik yöntemle gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen verilerin biyometrik veri niteliği taşıdığını vurguladı.
Kurum, söz konusu verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanmasının da bu niteliği değiştirmeyeceğini belirtti.
Kritik alanlarda ölçülülük vurgusu
Bazı tesis ve faaliyet alanlarının taşıdığı güvenlik riski ile olası veri ihlallerinin sonuçları bakımından genel değerlendirmeden farklı olabileceği ifade edilen duyuruda, bu alanlarda gerçekleştirilecek biyometrik veri işleme faaliyetlerinin yalnızca gerekli kritik alanlar ve kişilerle sınırlı ve ölçülü olması gerektiği kaydedildi.
İlke kararı sadece mesai takibini kapsıyor
KVKK, söz konusu ilke kararının yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerine ilişkin olduğuna dikkat çekti.
Duyuruda, çalışan devam takibi amacıyla biyometrik veri işleyen veri sorumlularının ilke kararı doğrultusunda hareket etmesi gerektiği belirtildi.
Mesai takibi dışındaki biyometrik veri işleme faaliyetlerinin ise bu ilke kararı kapsamında değerlendirilmeyeceği, hukuka uygunluğun veri işleme amacı, işin niteliği ve somut olayın özellikleri dikkate alınarak veri sorumluları tarafından değerlendirilmesi gerektiği ifade edildi.
KVKK'ya ulaşacak ihbar ve şikayetlerin ise Kurul tarafından her somut olay özelinde ayrıca değerlendirileceği bildirildi.
