İşyerlerinde yıllardır yaygın olarak kullanılan parmak izi, yüz tanıma ve benzeri biyometrik sistemler artık yalnızca teknolojik bir tercih olarak değerlendirilmiyor. Kişisel Verileri Koruma Kurulu tarafından alınan ve Resmi Gazete'de yayımlanan İlke Kararı, çalışanların mesai takibinde biyometrik veri kullanılmasına ilişkin önemli bir hukuki çerçeve ortaya koyarken, işverenlerin mevcut uygulamalarını yeniden gözden geçirmesini gerektirecek değerlendirmeler içeriyor.
Konuya ilişkin www.cukurovagazetesi.com’a özel açıklamalarda bulunan Avukat Ece Serin, biyometrik verilerin sıradan kişisel verilerden farklı olarak kişinin kimliğini doğrudan ortaya koyabilen ve değiştirilmesi mümkün olmayan veriler arasında yer aldığını belirterek, bu nedenle hukukun söz konusu verilere çok daha sıkı bir koruma sağladığını söyledi. Parmak izi, yüz tanıma, iris ve retina taraması ile avuç içi damar izi gibi verilerin özel nitelikli kişisel veri olarak kabul edildiğini hatırlatan Serin, "Bu veriler herhangi bir nedenle üçüncü kişilerin eline geçtiğinde şifre veya parola gibi değiştirilmeleri mümkün değildir. Bu nedenle biyometrik verilerin işlenmesi, diğer kişisel verilere göre çok daha hassas değerlendirilmektedir." dedi.
Biyometrik veriler özel nitelikli kabul ediliyor
Avukat Ece Serin, biyometrik verilerin sıradan kişisel verilerden farklı olarak kişinin kimliğini doğrudan ortaya koyabilen ve değiştirilmesi mümkün olmayan veriler arasında yer aldığını belirterek, bu nedenle hukukun söz konusu verilere çok daha sıkı bir koruma sağladığını söyledi. Parmak izi, yüz tanıma, iris ve retina taraması ile avuç içi damar izi gibi verilerin özel nitelikli kişisel veri olarak kabul edildiğini hatırlatan Serin, "Bu veriler herhangi bir nedenle üçüncü kişilerin eline geçtiğinde şifre veya parola gibi değiştirilmeleri mümkün değildir. Bu nedenle biyometrik verilerin işlenmesi, diğer kişisel verilere göre çok daha hassas değerlendirilmektedir" dedi.
Parmak izi artık tek seçenek olarak görülemeyecek
İşyerlerinde giriş-çıkışların parmak izi veya yüz tanıma sistemiyle takip edilmesinin uzun yıllardır yaygın olarak kullanıldığını hatırlatan Serin, Kişisel Verileri Koruma Kurulu'nun bu yöntemin her durumda hukuka uygun kabul edilemeyeceğini ortaya koyduğunu ifade etti. "Mesai takibinin yapılması işveren açısından elbette yasal bir yükümlülük. Ancak bu yükümlülük, otomatik olarak biyometrik veri işlenebileceği anlamına gelmiyor. Öncelikle böyle ağır bir veri işleme faaliyetinin gerçekten gerekli olup olmadığı değerlendirilmelidir" diye konuştu.
Çalışanın açık rızası her zaman yeterli olmayabilir
Uygulamada birçok işverenin çalışanlardan aldığı açık rızaya dayanarak biyometrik veri işlediğini belirten Serin, Kurulun İlke Kararı'nın bu noktada önemli bir yaklaşım benimsediğini söyledi. İşçi ile işveren arasındaki ilişkinin doğası gereği tarafların eşit konumda bulunmadığını ifade eden Serin, "Çalışan, rıza vermemesi veya daha sonra verdiği rızayı geri çekmesi halinde iş ilişkisinin olumsuz etkilenebileceğini düşünebilir. Böyle bir ortamda verilen rızanın gerçekten özgür iradeye dayanıp dayanmadığı her zaman tartışmalı olacaktır. Kurul da bu nedenle mesai takibi amacıyla biyometrik veri işlenmesinin yalnızca açık rızaya dayandırılmasını kural olarak yeterli görmüyor" dedi. Ayrıca, kişisel verilerin korunması hukukunda açık rızanın geçerli sayılabilmesi için belirli bir konuya ilişkin olması, kişinin yeterli şekilde bilgilendirilmesi ve hiçbir baskı altında kalmadan özgür iradesiyle açıklanması gerektiğini hatırlatarak, iş ilişkilerinde bu şartların her somut olay bakımından ayrıca değerlendirilmesi gerektiğini vurguladı.
Daha az müdahaleci yöntemler tercih edilmeli
Kurulun İlke Kararı'nda en fazla üzerinde durulan konulardan birinin de ölçülülük ilkesi olduğunu belirten Serin, kişisel veri işlenirken yalnızca hukuki bir sebebe dayanılmasının yeterli olmadığını, kullanılan yöntemin de amaca uygun ve gerekli olması gerektiğini söyledi. İşyerlerinde kartlı geçiş sistemleri, PIN kodları, RFID veya NFC kartları, imza çizelgeleri ya da benzeri yöntemlerle çalışan devam kontrolünün sağlanabildiğine dikkat çeken Serin, "Eğer aynı sonuca daha az müdahaleci bir yöntemle ulaşılabiliyorsa biyometrik veri işlenmesi ölçülü kabul edilmeyebilir. Kurulun yaklaşımı da tam olarak bu noktaya dayanıyor. Parmak izi veya yüz tanıma sistemi teknik olarak mümkün olsa bile, gerçekten zorunlu olup olmadığı her somut olay bakımından ayrıca değerlendirilmelidir" değerlendirmesinde bulundu.
Yargının yaklaşımı da aynı yönde
Kurulun değerlendirmesinin aslında yeni bir yaklaşım olmadığını belirten Serin, son yıllarda yüksek yargının da benzer yönde kararlar verdiğini söyledi. Hem Anayasa Mahkemesi'nin hem de Danıştay'ın, biyometrik veriler kullanılarak yapılan mesai takibine ilişkin uyuşmazlıklarda açık kanuni dayanak ve ölçülülük kriterlerine dikkat çektiğini ifade eden Serin, "Kurulun İlke Kararı da bu içtihatları esas alıyor. Bundan sonraki süreçte biyometrik sistemler üzerinden yapılan çalışan takibinin hukuka uygunluğunun çok daha sıkı şekilde denetleneceğini söylemek mümkün" değerlendirmesinde bulundu.
İşverenler mevcut sistemlerini gözden geçirmeli
Kararın özellikle biyometrik devam kontrol sistemi kullanan işverenler açısından önemli sonuçlar doğurduğunu belirten Serin, mevcut uygulamaların yeni yaklaşım doğrultusunda gözden geçirilmesinin zorunlu hale geldiğini söyledi. İşverenlerin mevcut uygulamalarını ölçülülük ve gereklilik ilkeleri çerçevesinde yeniden ele almaları gerektiğini söyleyen Serin, "Uzun yıllardır kullanılan parmak izi veya yüz tanıma sistemlerinin hukuka uygun olduğu varsayımı artık geçerliliğini büyük ölçüde yitirmiş durumda. İşverenlerin alternatif yöntemlere yönelmesi, veri işleme süreçlerini güncellemesi ve KVKK uyum çalışmalarını yeniden gözden geçirmesi olası idari yaptırımların önüne geçilmesi bakımından önem taşıyor" dedi.
Çalışanların temel hakları ön planda
İlke Kararı'nın temel amacının işverenlerin mesai takibini engellemek olmadığını, bu sürecin çalışanların temel hak ve özgürlükleri gözetilerek yürütülmesini sağlamak olduğunu belirten Serin, şu değerlendirmede bulundu: "Kurulun ortaya koyduğu yaklaşım doğrultusunda, biyometrik verilerin ancak gerçekten zorunlu olduğu istisnai durumlarda tercih edilmesi; diğer hallerde ise daha az müdahaleci yöntemlerin kullanılması, hem kişisel verileri koruma hukukuna uyum hem de işverenlerin olası idari yaptırımlarla karşılaşmaması bakımından önem taşıyor."
