Biyometrik Veriyle Mesai Takibi Yapan İşverenlerin Dikkatine!

Biyometrik Veriyle Mesai Takibi Yapan İşverenlerin Dikkatine!

Anayasa Mahkemesi’nin 10.03.2022 Tarihli ve 2018/11988 Başvuru Numaralı “Ramazan Şahin” Kararının Değerlendirme

Giriş

Gelişen teknolojiyle birlikte birçok işveren, çalışanların devam durumunu denetlemek amacıyla biyometrik sistemlere yönelmiştir. Ancak parmak izi, retina taraması, yüz tanıma gibi biyometrik veriler; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında özel nitelikli kişisel veri niteliğindedir. Bu tür verilerin işlenmesi, sıradan kimlik verilerinden çok daha sıkı bir denetim rejimine tabidir.

Anayasa Mahkemesi’nin 10 Mart 2022 tarihli ve 2018/11988 başvuru numaralı “Ramazan Şahin” kararında, kamu çalışanından açık rıza alınmaksızın parmak iziyle mesai takibi yapılması, kişisel verilerin korunmasını isteme hakkının ihlali olarak değerlendirilmiştir.

Olayın Özeti

Başvurucu Ramazan Şahin, belediyede memur olarak çalışmaktadır. Belediyede, personelin işe giriş-çıkış takibi için parmak iziyle biyometrik sistem uygulanmaya başlanır. Başvurucu, bu uygulamanın özel hayatın gizliliğine aykırı olduğunu ileri sürerek parmak izinin alınmasına ve kullanılmasına itiraz eder. Bu itiraz belediyece reddedilir.

Bunun üzerine açılan davada:

• İlk derece mahkemesi, biyometrik veri işlenmesini hukuka aykırı bularak işlemi iptal eder.
• İstinaf mahkemesi kararı kaldırır; kamu yararına uygunluk ve kamu hizmetinin devamlılığı gerekçeleriyle uygulamayı hukuka uygun bulur.
• Başvurucu, Anayasa Mahkemesi’ne bireysel başvuruda bulunur.

Anayasa Mahkemesi’nin Değerlendirmesi

1. Parmak İzi, Özel Nitelikli Kişisel Veridir

Parmak izi, bireyin yalnızca kendisine özgü, değiştirilemez, geri alınamaz ve hassas nitelikte bir veridir. 6698 sayılı KVKK’ya göre “özel nitelikli kişisel veri”dir. Bu tür verilerin işlenebilmesi için:

• İlgili kişinin açık rızası olmalı, veya
• Kanunlarda açıkça öngörülmüş bir düzenleme bulunmalıdır.

2. Açık Rıza Alınmamıştır

Başvurucudan, biyometrik verisinin işlenmesine dair açık rıza alınmadığı sabittir. Ayrıca mevcut sistemde “rıza göstermeyen çalışanın işe devam etmesi” fiilen mümkün olmadığından, rıza özgür iradeye dayanmamaktadır.

3. Kanuni Dayanak Eksiktir

657 sayılı Devlet Memurları Kanunu’nda ve 5393 sayılı Belediye Kanunu’nda, kamu çalışanlarının devam takibinde biyometrik veri kullanımına dair açık bir düzenleme bulunmamaktadır. Bu sebeple açık rıza dışında hiçbir hukuki temel mevcut değildir.

4. Ölçülülük İlkesi İhlal Edilmiştir

Mahkeme, işverenin ulaşmak istediği amaç için daha az müdahaleci araçlar (ör. manyetik kart, dijital giriş) olduğunu vurgulamıştır. Bu nedenle doğrudan parmak izi gibi hassas verilerin kullanılması ölçülülük ilkesine aykırıdır.

Biyometrik Veriler Hiçbir Koşulda Alınamaz mı?

Hayır. Ne KVKK ne de Anayasa Mahkemesi biyometrik verilerin hiçbir koşulda işlenemeyeceğini belirtmiştir. Ancak, belirli şartlar altında hukuka uygun olarak işlenebilir:

a) Açık Rıza Olması Halinde

Veri sahibi kişi;

• Hangi verisinin neden işleneceği,
• Ne amaçla, kimlerle paylaşılacağı,
• Ne kadar süre saklanacağı,

konularında tam olarak bilgilendirildikten sonra, özgür iradeyle açık rıza verirse biyometrik veriler işlenebilir. Bu rıza geri alınabilir olmalıdır.

b) Kanunda Açıkça Düzenlenmişse

Açık rıza olmaksızın özel nitelikli veri ancak kanunlarda açıkça öngörülmüşse işlenebilir. Örneğin bir kanunda, belirli mesleklerde biyometrik sistem zorunluluğu açıkça belirtilmişse, bu veri işlenebilir. Ancak Ramazan Şahin kararında, bu tür bir düzenleme bulunmadığı tespit edilmiştir.

İşverenler İçin Yol Haritası

Bu karar, yalnızca kamu idareleri değil, özel sektör işverenleri için de bağlayıcı nitelikte ilkeler ortaya koymaktadır. İşte uyulması gerekenler:

1. Açık rıza olmadan biyometrik veri işlemeyin.
2. Veri işlemenin açık kanuni dayanağını araştırın.
3. Daha az müdahaleci alternatifleri mutlaka değerlendirin.
4. Aydınlatma yükümlülüğünüzü mutlaka yerine getirin.
5. Teknik ve idari veri güvenliği tedbirlerini alın.

KVK Kurulu’ndan Emsal Ceza

Benzer bir olayda, yüz tanıma sistemiyle çalışan takibi yapan bir özel şirkete 500.000 TL idari para cezası uygulanmıştır. Gerekçeler arasında:

• Açık rıza eksikliği,
• Aydınlatma yapılmaması,
• Ölçüsüz veri işleme,

ön planda yer almıştır.

Sonuç

Anayasa Mahkemesi’nin Ramazan Şahin başvurusu kararı, işverenlere şu net mesajı veriyor:

“Biyometrik veri gibi özel nitelikli kişisel veriler ancak açık rıza ile veya kanunlarda açıkça öngörülen hallerde işlenebilir. Aksi durumda, kişisel verilerin korunması hakkı ihlal edilmiş olur.”

İşverenlerin ölçülülük, zorunluluk ve amaçla sınırlılık ilkelerine uygun hareket etmesi, yalnızca hukuki yükümlülük değil, çalışan haklarına saygının da gereğidir.