Parmak İzi Ne Tür Bir Kişisel Veridir?
24.03.2016 tarihinde kabul edilen 6698 sayılı Kişisel Verilerin Korunması Kanunu (‘’KVKK’’) uyarınca kişisel veri ‘’kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi’’ olarak tanımlanmıştır. Bu yazıya konu olacak iş yerinde parmak izi kullanımı ile ilgili KVKK’nın 6. maddesinde parmak izine ilişkin kişisel veri, “Kişilerin… biyometrik ve genetik verileri özel nitelikli kişisel veridir.’’ şeklinde tanımlanarak özel nitelikli kişisel veri sınıfına dâhil edilmiştir.
KVKK’da, kanuni bir zorunluluk yoksa özel nitelikli kişisel verinin ancak ilgilinin açık rızasının varlığı halinde işlenebileceği düzenlenmiştir. Bu kapsamda bakılacak olursa kanuni bir zorunluluk olmadığından söz konusu veri işlemesi işçinin açık rızası ile yapılabilecek gibi bir sonuca varılacaktır fakat tek kriter açık rıza olmadığı gibi açık rızanın hangi koşullarda geçerli sayılacağı da önemlidir.
İşçinin Açık Rızası Varsa İş Yerinde Parmak İzi Tarama Yöntemi Kullanılabilir Mi?
Hem teknolojik gelişmeler hem de işçiler tarafından gerçekleştirilme ihtimali olan suiistimallerin engellenebileceği düşüncesiyle günümüzdeki birçok işveren, işçilerine ilişkin işe giriş ve çıkışları ile buna bağlı fazla mesai gibi süreçlerinin takibini yaygın olarak parmak izi tarama yöntemi ile gerçekleştirmektedir.
İşveren tarafından istihdam edilen bir işçinin kendi parmak izinin taranması, biyometrik verisinin işlenmesine ilişkin vermiş olduğu açık rıza, ilgili veri işleme süreci açısından hukuken geçerli hale getirebilir mi? KVKK’nın 3. maddesinde açık rıza belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verilen rıza olarak tanımlanmıştır. Bilindiği üzere işveren ve işçi iş hukuku açısından eşit koşullarda sayılmamaktadır. Ortada KVKK anlamında geçerli bir açık rızanın söz konusu olabilmesi için işçinin neye rıza verdiği konusunda açıkça ve anlayabileceği şekilde bilgilendirilmesi, rızayı veren kişinin baskı altında olmaması ve verdiği rızanın sonuçlarını bilebilecek durumda olması gerekmektedir. İş Hukuku normları da göz önünde bulundurulduğunda güçsüz konumda kabul edilen işçinin işverenine vereceği açık rızanın, kanun maddesindeki temel unsurlardan biri olarak gösterilen ‘’bilgilendirilmeye dayanan ve özgür iradeyle’’ koşulları altında verilebileceği uygulamada şüphelidir.
Hukuka Uygun Açık Rıza Verdiği Kabul Edilen İşçi ile İlgili Olarak İşveren, İşçinin Parmak İzine İlişkin Verisini İşleyebilir mi?
Yine KVKK’nın 4. maddesinde kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması zorunluluk olarak düzenlenmiştir. Tüm şartlara rağmen açık rızanın geçerli şekilde verildiği durumda dahi yine de durumun hukuka uygun olmayacağı yönünde görüşler mevcuttur. Şöyle ki, diğer bir husus olan yine yukarıda belirtmiş olduğumuz kanun maddesine ilişkin olarak kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma zorunluluğu konusunda, işçinin işe giriş çıkışının takibi için parmak izinin alınıyor olması işverenin sağladığı yarar ile amacına ulaşmakta kullandığı yöntemin ölçüsüz olmasına neden olacaktır. Bu husus birçok kurum ve yüksek mahkeme kararında da açıkça belirtilmiştir.
Kişisel Verileri Koruma Kurumu (‘’Kurum’’) tarafından verilen spor salonunda parmak izi kullanımına ilişkin 25/03/2019 Tarihli ve 2019/81 Sayılı Karar ve 31/05/2019 Tarihli ve 2019/165 sayılı kararda açık rızanın aşırı miktarda veri toplanmasını meşrulaştırmayacağını, buna göre kişisel verilerin yalnızca belirli amaçlar için ve gerektiği kadar toplanmasını ifade etmiştir. Danıştay 5. Daire’nin 2013/5342 esas 2013/9525 sayı 10.12.2013 tarihli ilamı uyarınca da personelden kişisel veri alınması kapsamında olan “parmak izi tarama sistemi” ile mesai takibi uygulamasının, kamusal alanda da olsa “özel hayatın gizliliği” ilkesi kapsamında bulunduğu belirtilmiştir. Ek olarak uygulamanın sınırlarını usul ve esaslarını gösteren bir yasal dayanağının bulunmaması, toplanan verilerin ileride başka bir şekilde kullanılamayacağına dair bir güvencenin mevcut olmaması göz önüne alındığında, yukarıda belirtilen temel haklar ve Anayasal ilkelerle bağdaşmayan dava konusu işlemde hukuka uyarlık, davanın reddi yolunda verilen İdare Mahkemesi kararında hukuki isabet bulunmadığı anlaşılmıştır.
Parmak İzi İçin Kullanılan Cihazın Parmak İzlerini Kriptolaması, Loglara Dönüştürmesi KVKK’ya Uygun Hale Getirir Mi?
Önemle belirtmek gerekir ki parmak izi okuyan cihazların sistemlerinde açıkça parmak izini tutmaması, parmak izlerinin sayısal kodlara çevrilerek ‘’loglanma’’sı da bu ölçüsüz kullanımı değiştirmeyecektir. Yukarıda bahsi geçen Danıştay kararına konu uygulamada da bu metot kullanılmıştır. Kurum’un da bir görüşü olarak, daha az veri elde edilerek aynı amaca ulaşmak için başka bir alternatif varsa o yöntemin uygulanması gerekmektedir. Yani, özel nitelikli kişisel verinin işlenmeme ihtimali varsa bu şekilde bir yöntem izlenmelidir.
Bir örnek olarak, işlere giriş çıkışın kart okutularak yapılması ve işçinin bu durumu manipüle etmesini önlemek amacıyla kart okutulan alanda bir ekran aracılığıyla işçinin fotoğrafının görünmesi söz konusu durumda parmak izi yerine alternatif ve işverenin sorununa makul bir çözüm olarak uygulanabilir.
İş Yerinde Parmak İzi Hiçbir Yerde Kullanılamayacak Mı?
Tüm bu açıklamalardan sonra, işçinin işe giriş çıkışlarının takibi amacıyla parmak izi kullanımı KVKK’ya uygun olmayacaktır. Bununla birlikte işveren tarafından iş yerinde belirlenmiş sınırlı erişimli özel alanlar varsa, bu alanlara ancak özel olarak yetkilendirilmiş belli sayıda kişilerin ulaşması isteniyorsa bu hallerde yine yukarıda sayılan koşulların sağlanması halinde parmak izi kullanılabilir. Detaylandırmak gerekirse, insan kaynakları departmanının sorumluluğu ve kontrolü altında olan, tüm personelin genel veya özel nitelikli kişisel verisinin bulunduğu personel arşivine; güvenlik departmanının sorumluluğu ve kontrolü altında olan kamera odasına; muhasebe- finans departmanının sorumluluğu ve kontrolü altında olan kıymetli evrakların saklandığı kasanın bulunduğu odaya yetkili harici kimsenin erişememesi adına parmak izi kullanımı daha ölçülü bir çözümdür. Bu sayede hem iş yerindeki tüm işçilerin değil, departman yetkililerinin parmak izi verileri alınacak olup özel nitelikli kişisel verisi işlenen işçi sayısı en aza indirilecektir. Hem de korunması istenen veriler göz önünde bulundurulduğunda bu şekilde bir özel nitelikli kişisel veri işlenmesi ölçülü olacaktır.