Nöbetçi Eczaneler
Kişisel Verileri Koruma Kurumu, biyometrik tanıma sistemlerinin çalışanların mesai takibinde kullanılmaması yönünde ilke kararı aldı.
Kararda, mesai takibinin şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kağıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollarla sağlanması gerektiği belirtildi.
Resmi Gazete’de yayımlanan karara göre, Kişisel Verileri Koruma Kurumuna ulaşan ihbar ve şikayetler arasında en çok karşılaşılan hususlardan biri, çalışanların mesai takibinin dijitalleşme ve güvenliği artırma amacıyla kurulan biyometrik sistemlerle yapılması oldu.
Kararda, parmak izi, yüz tanıma sistemi, iris veya retina taraması şeklindeki biyometrik tanıma sistemlerinin hızlı, doğru ve manipülasyona dirençli özellikleriyle işverenler açısından cazip göründüğü ifade edildi.
Ancak bu sistemlerin, kişisel verilerin korunması hukuku bağlamında son derece hassas bir alan oluşturduğu değerlendirmesine yer verildi.
Kararda, işçi ve işveren ilişkisinde yapısal güç dengesizliği bulunduğuna dikkat çekildi.
Bu nedenle, işçiden biyometrik veri işlenmesine ilişkin alınan “açık rıza”nın özgür iradeye dayanıp dayanmadığı hususunda ciddi tereddütler bulunduğu ifade edildi.
Ayrıca, “açık rıza” kapsamında biyometrik veri işleme faaliyetlerinin yalnızca hukuki sebebe değil, aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerektiği vurgulandı.
Kararda, yasal düzenlemelerle işverenin çalışma sürelerini takip etmesi ve belgelemesi yönünden hukuki çerçevenin çizildiği belirtildi.
Buna karşın, mesai takibinin biyometrik tanımlama sistemleriyle yapılmasını öngören açık bir kanuni düzenleme bulunmadığına işaret edildi.
Kişisel Verileri Koruma Kurumu kararında, “Yasal düzenlemeler ile işverenin çalışma sürelerini takip etmesi ve belgelemesi yönünden hukuki çerçeve çizilmiş olmakla birlikte takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık kanuni bir düzenleme bulunmadığından mesai takibinin biyometrik verilerin işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir.” ifadelerine yer verildi.
Kararda, biyometrik verilerin mesai takibi amacıyla yalnızca açık rıza şartına dayanılarak işlenmesinin yeterli bir hukuki zemininin bulunmadığı aktarıldı.
Bu yöntemin ayrıca ölçülü olmadığı da belirtildi.
Kişisel Verileri Koruma Kurumu, mesai takibinin biyometrik tanımlama sistemleri yerine alternatif yöntemlerle sağlanması gerektiğini bildirdi.
Kararda, bu yöntemler şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kağıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş olarak sıralandı.
Kişisel Verilerin Korunması Kanunu uyarınca kişisel verilerin hukuka uygun işlenmesinin veri sorumlularınca sağlanması gerektiği vurgulandı.
Kararda, buna uygun hareket edilmediğinin tespiti halinde ilgili veri sorumluları hakkında işlem tesis edileceği bildirildi.
Avukat Özge Özmen Korkut, bu önemli gelişme hakkında şu bilgileri verdi:
PARMAK İZİ, YÜZ GEOMETRİSİ, RETİNA VE İRİS
“Biyometrik veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veri olarak kabul edilmektedir. Parmak izi, yüz geometrisi, retina ve iris verileri gibi bilgiler kişinin kimliğini benzersiz şekilde belirleyebilmekte ve ele geçirilmeleri halinde değiştirilmeleri mümkün olmamaktadır. Bu nedenle söz konusu verilerin işlenmesi çok daha sıkı hukuki şartlara tabidir.
Kurul kararında özellikle işçi-işveren ilişkisindeki güç dengesizliğine dikkat çekmiştir. Uygulamada birçok işveren, çalışanlardan alınan açık rızaya dayanarak biyometrik sistemler kullanmaktadır. Ancak Kurul, çalışanın işverene karşı bağımlı konumu nedeniyle verilen rızanın her zaman özgür iradeye dayanıp dayanmadığının tartışmalı olduğunu vurgulamıştır.
Kararda ayrıca mesai takibinin mutlaka biyometrik sistemlerle yapılmasını zorunlu kılan açık bir kanuni düzenleme bulunmadığı belirtilmiştir. İşverenlerin çalışma sürelerini kayıt altına alma yükümlülüğü bulunmakla birlikte, bu yükümlülüğün yerine getirilmesi için daha az müdahaleci yöntemlerin mevcut olduğu ifade edilmiştir.
ÇALIŞANIN AÇIK RIZASI BULUNSA DAHİ…
Kurul, şifreli kart sistemleri, PIN kodları, RFID/NFC kartları, imza föyleri veya denetçi gözetiminde giriş-çıkış kayıtlarının tutulması gibi alternatif yöntemlerin kullanılabileceğine dikkat çekmiştir. Bu nedenle yalnızca mesai takibi amacıyla biyometrik veri işlenmesinin “ölçülülük” ve “veri minimizasyonu” ilkeleri bakımından sorunlu olduğu değerlendirilmiştir.
Kararın en önemli sonucu ise çalışanın açık rızası bulunsa dahi bunun tek başına yeterli görülmemesidir. Kurul, mesai takibinin biyometrik veri işlenmesini zorunlu kılmadığını, aynı sonuca ulaşabilecek daha hafif yöntemlerin mevcut olduğunu belirterek biyometrik sistemlerin kullanımına karşı oldukça sınırlayıcı bir yaklaşım ortaya koymuştur.
Bu ilke kararı sonrasında işverenlerin kullandıkları personel devam kontrol sistemlerini yeniden gözden geçirmeleri önem taşımaktadır. Özellikle parmak izi ve yüz tanıma sistemleri kullanan işyerlerinin KVKK uyum süreçlerini değerlendirmeleri, alternatif yöntemlere yönelmeleri ve veri işleme faaliyetlerini ölçülülük ilkesi çerçevesinde yeniden analiz etmeleri gerekecektir.
KVKK’nın bu kararı, çalışanların kişisel verilerinin korunmasına ilişkin yaklaşımın giderek daha hassas hale geldiğini göstermekte olup, önümüzdeki dönemde işyerlerinde kullanılan biyometrik sistemler bakımından önemli bir referans niteliği taşımaktadır.”