Biyometrik mesai takibi neden sorunlu?

Parmak izi okuyucu, mesai takibinin en pratik yöntemi gibi görünür: kart unutulmaz, kaybolmaz, başkasına verilemez. Tam da bu nedenle yaygınlaşmıştır. Ancak kişisel veri hukuku açısından bu yöntem, sağladığı kolaylıkla orantısız bir risk taşır — çünkü kaybolan bir kart yenilenebilir, sızan bir parmak izi asla değiştirilemez.

Biyometrik veri özel nitelikli veridir

Kanun'un 6. maddesi biyometrik verileri açıkça özel nitelikli kişisel veriler arasında sayar. Bu, iki sonuç doğurur: işleme ancak maddede sayılan şartlardan birine dayanabilir ve buna ek olarak Kurul'un belirlediği yeterli önlemlerin alınması zorunludur.

Bu verilerin ayrı bir rejime tabi olmasının sebebi teknik değil, geri dönülemezliktir. Parmak izi, avuç içi damar deseni veya yüz geometrisi kişiye ömür boyu bağlıdır; bir kez ele geçirildiğinde iptal edilemez. Ayrıntılar için özel nitelikli veriler yazımıza bakabilirsiniz.

Asıl sınav: ölçülülük

Uygulamadaki temel sorun, işleme şartının bulunup bulunmaması değil, ölçülülüktür. Mesai takibi meşru bir amaçtır; ancak bu amaca ulaşmak için biyometrik veri işlemek zorunlu mudur?

Cevap genellikle hayırdır. Aynı amaç kart, şifre, PIN veya mobil uygulama tabanlı yöntemlerle de sağlanabilir. Daha az müdahaleci bir yol varken en müdahaleci yolun seçilmesi, ölçülülük ilkesiyle bağdaşmaz. Kurul'un biyometrik verilere ilişkin rehberi de bu çerçeveyi benimser: işleme, temel hak ve özgürlüklerin özüne dokunmamalı, amaçla sınırlı olmalı ve gerçekten zorunlu olmalıdır.

Pratik sonuç şudur: "kartlar sürekli unutuluyordu" veya "başkası adına giriş yapılıyordu" gerekçeleri tek başına yeterli sayılmaz. Zorunluluğun somut olarak ortaya konması ve bu değerlendirmenin yazılı hâle getirilmesi gerekir.

Çalışanın rızası neden çözüm değil?

İlk akla gelen çözüm, çalışandan açık rıza almaktır. Bu yol iki nedenle sağlıksızdır.

Birincisi, çalışan ile işveren arasındaki bağımlılık ilişkisi nedeniyle rızanın özgür iradeye dayandığı tartışmalıdır; bu konuyu açık rıza yazımızda ele almıştık.

İkincisi, rıza geri alınabilir bir beyandır. Sistemin tamamı rızaya dayandırılmışsa, rızasını geri çeken her çalışan için ayrı bir çözüm gerekecektir. Bu da zaten bir alternatifin mevcut olduğunu — dolayısıyla biyometrik yöntemin zorunlu olmadığını — gösterir.

Uygulanabilir yol: alternatif sunmak

Biyometrik yöntemin gerçekten gerekli olduğu durumlar vardır: yüksek güvenlikli alanlara erişim, kritik altyapı, laboratuvar gibi ortamlar. Bu hâllerde bile beklenen yaklaşım şudur:

• Alternatif sunulur. Biyometrik yöntemi kullanmak istemeyen çalışana kart veya şifre seçeneği verilir; bu seçim aleyhine sonuç doğurmaz.
• Ham veri saklanmaz. Parmak izinin görüntüsü yerine, geri döndürülemeyen matematiksel şablon kullanılır.
• Merkezî depolamadan kaçınılır. Şablonun kullanıcının kartında veya cihazında tutulması, merkezî bir biyometrik veri tabanı oluşturmaktan daha güvenlidir.
• Erişim ve saklama daraltılır. Kimlerin erişebileceği yazılı belirlenir; iş ilişkisi bittiğinde şablon gecikmeksizin imha edilir.
• Şifreleme uygulanır. Kurul'un yeterli önlemler kararı, bu verilerin şifreli saklanmasını ve güvenli aktarımını arar.

Sık yapılan hatalar

1. Zorunluluğu belgelememek. Denetimde "neden biyometrik?" sorusuna verilecek yazılı bir değerlendirme yoksa savunma zayıftır.
2. Alternatif sunmamak. Tek yöntem biyometrikse, ortada seçim de rıza da yoktur.
3. Ham görüntüyü saklamak. Şablon yerine parmak izi görüntüsünün tutulması, riski katlar.
4. Cihaz tedarikçisiyle sözleşme yapmamak. Sisteme uzaktan erişimi olan firma veri işleyendir (sıfat ayrımı).
5. Ayrılan çalışanın verisini silmemek. Biyometrik şablon, iş ilişkisi bittikten sonra saklanamaz.
6. Ziyaretçileri de sisteme dahil etmek. Ziyaretçi girişinde biyometrik veri toplamak, ölçülülük sınavını çok daha zor geçer.

Bütüncül gözden geçirme

Bir biyometrik sistem kurmak ya da kaldırmak, tek bir cihaz kararı değildir. Sistem kuruluyorsa: kişisel veri envanterine özel nitelikli veri kategorisi olarak işlenmeli, zorunluluk değerlendirmesi yazılı hâle getirilmeli, çalışan aydınlatma metni güncellenmeli, Kurul'un aradığı yeterli önlemler için ayrı politika ve prosedür hazırlanmalı, erişim yetkileri tanımlanmalı, saklama ve imha politikasında şablonun süresi belirlenmeli, tedarikçiyle veri işleyen sözleşmesi yapılmalı ve VERBİS kaydı güncellenmelidir. Sistem kaldırılıyorsa aynı zincir tersinden işletilir ve mevcut şablonlar imha edilir.

Biyometrik veride hata payı düşük, sonuçları ağırdır. Bu nedenle karar öncesinde zorunluluk ve ölçülülük değerlendirmesinin hukuki destek alınarak yapılmasını öneririz; Genç Partners bu değerlendirmede ve alternatif kurgusunda yol gösterir. KVKK farkındalık eğitimi ise bu verilere erişen personel için Kurul'un aradığı düzenli eğitim ve belgelendirme koşulunu karşılar.

Özet

• Biyometrik veri özel nitelikli veridir; işleme şartına ek olarak yeterli önlemler zorunludur.
• Belirleyici sınav ölçülülüktür: daha az müdahaleci bir alternatif varsa biyometrik yöntem seçilemez.
• Çalışan rızası, bağımlılık ilişkisi ve geri alınabilirliği nedeniyle sağlam bir dayanak değildir.
• Zorunlu olduğu hâllerde: alternatif sunulur, şablon kullanılır, merkezî depolamadan kaçınılır, süre sınırlanır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Biyometrik sistem kararınız için hukuki destek alınız.