Kişisel Verileri Koruma Kurumu (KVKK), mesai takibi amacıyla biyometrik veri işlenmesine ilişkin veri sorumlularından gelen görüş talepleri doğrultusunda yeni bir kamuoyu duyurusu yayımladı.
Biyometrik Verilerin Kapsamı Netleşti
KVKK tarafından yayımlanan duyuruda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi gereğince biyometrik verilerin özel nitelikli kişisel veriler arasında yer aldığı hatırlatıldı. 5490 sayılı Nüfus Hizmetleri Kanunu'nun 3. maddesinde biyometrik verilerin; elektronik sistemler aracılığıyla kimlik tespiti ve kimlik doğrulaması amacıyla alınan parmak izi, damar izi ve el ayasından elde edilen kişiye özgü veriler olarak tanımlandığı vurgulandı.
Avuç içi taraması veya parmak izi gibi yöntemlerle elde edilen verilerin biyometrik veri sayılmaması gerektiği yönündeki görüşlere de değinilen duyuruda, şu değerlendirmelere yer verildi:
"Avrupa Birliği Veri Koruma Tüzüğü 51 numaralı gerekçesinde ifade edildiği üzere, belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz şekilde tanımlamaya veya doğrulamaya elverişli hale getirilen veriler biyometrik veri niteliği taşımaktadır. Dolayısıyla, söz konusu verilerin matematiksel bir koda çevrilerek veri tabanında saklanması, biyometrik veri niteliğini ortadan kaldırmamaktadır."
Güvenlik Riski Taşıyan Alanlar İçin İstisna Vurgusu
Duyuruda, belirli tesis ve faaliyet alanlarının barındırdıkları güvenlik riskleri ve olası veri ihlallerinin sonuçları bakımından genel değerlendirmelerden ayrıldığına işaret edildi. Bu kapsamda gerçekleştirilecek biyometrik veri işleme faaliyetlerinin yalnızca gerekli kritik alanlar ve ilgili kişilerle sınırlı tutulması ile ölçülü olması gerektiği bildirildi.
Mesai Takibi Dışındaki Faaliyetler Somut Olaylara Göre Değerlendirilecek
Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı'nın yalnızca mesai takibi amacıyla yapılan işlemleri kapsadığı belirtilirken, veri sorumlularının bu ilke kararına uygun hareket etmesi gerektiği ifade edildi.
Mesai takibi dışında kalan biyometrik veri işleme faaliyetlerinin ise anılan ilke kararı kapsamında değerlendirilmeyeceği, faaliyetin hukuka uygunluğu, amacı, işin niteliği ve somut olayın özelliklerine göre veri sorumlularınca ele alınacağı kaydedildi. Kuruma ulaşacak ihbar ve şikayetlerin ise Kurul tarafından her somut olay özelinde ayrıca değerlendirileceği bildirildi.
