İşverenler tarafından parmak izi ve yüz tanıma sistemlerinin giriş ve çıkış saatlerinin kontrol edilmesi gibi çeşitli amaçlarla kullanıldığı görülmektedir. Ancak parmak izi ve yüz tanıma sistemleri aracılığıyla kaydedilen veriler biyometrik veri olarak kabul edilmektedir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde özel nitelikli kişisel veri olarak nitelendirilmektedir. Özel nitelikli kişisel veriler ise sadece ilgili kişinin açık rızası olması halinde veya kanunlarda öngörülen hâllerde işlenebilecektir. Ancak bu açık rızanın da;

1-Belirli bir konuya ilişkin olması,

2-Rızanın bilgilendirmeye dayanması,

3- Özgür iradeyle açıklanması gerekmektedir.

İşveren tarafından parmak izi ve yüz tanıma sistemlerinin işe giriş ve çıkış sırasında kullanılabileceği herhangi bir kanunda açıkça belirtilmediğinden bu durumda çalışanın açık rızası alınması gerekmektedir. Ancak bu açık rızanın özgür iradeye dayanması bir tartışma konusu olarak karşımıza çıkmaktadır. Nitekim Kişisel Verileri Koruma Kurumu 20.05.2020 tarihli 2020/404 sayılı kararında işveren-işçi arasındaki ilişkide açık rızayı tanımlarken şu ifadeyi kullanmıştır;

“tarafların eşit konumda olmadığı veya taraflardan birinin diğeri üzerinde etkili olduğu durumlarda rızanın özgür iradeyle verilip verilmediğinin dikkatle değerlendirilmesi gerektiği, örneğin işçi-işveren ilişkisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğuracağı durumlarda, rızanın özgür iradeye dayandığının kabul edilemeyeceği,”……… işçiye rıza göstermeme imkânının etkin bir biçimde sunulmamasından ötürü verilen rızanın, geçerli bir açık rıza beyanı olarak değerlendirilemeyeceği”   

(Kaynak:https://www.kvkk.gov.tr/Icerik/6913/2020-404)

Dolayısıyla Kişisel Verileri Koruma Kurumu işçilere dayatma sonucunda imzalatılan açık rıza metinlerinin kabul edilmeyeceğini belirtmektedir. Bu nedenle işveren tarafından parmak izi ve yüz tanıma sistemlerinin kullanılması halinde işçilerden alınacak açık rızanın özgür iradeye dayandığının da ispat edilmesi gerekmektedir. Bir diğer ifadeyle işçiye rıza göstermeme imkanı da tanınmalı ve herhangi bir dayatma sonunu açık rıza metni imzalatılmamalıdır. Yine bunlarla birlikte açık rızanın yalnızca parmak izi ve yüz tanıma sistemlerinin kullanımına ilişkin olması ve aydınlatmaya dayanması gerekmektedir.

Ancak Kişisel Verileri Koruma Kurulu’nun 01.12.2020 tarihli 2020/915 sayılı kararında bir belediye tarafından işe giriş ve çıkış kayıtlarının takibi amacıyla parmak izi verisi toplanmasının sınırlı ve ölçülü olmadığını ve hukuka uygun bir gerekçesinin bulunmadığı belirtilmiştir. Kurul yine aynı kararında açık rıza bulunsa bile açık rızanın aşırı miktarda veri toplanmasını meşrulaştırmayacağını belirtmiştir.

(Kaynak: https://www.kvkk.gov.tr/Icerik/6872/2020-915)

Kişisel Verileri Koruma Kurulu’nun 25.03.2019 tarihli 2019/81 sayılı kararında ise spor salonu hizmeti sunan bir işletmenin giriş ve çıkış kontrolünde kişilerin avuç içi bilgisinin alınması suretiyle biyometrik veri işlendiği tespit edilmiştir. Spor salonu savunmasında kişiler arasında kart değişimi olabileceği, kişilerin birbirlerinin kartlarını kullanarak spor salondan yersiz yararlanabileceği gerekçesiyle biyometrik veri işlendiğini belirtmiştir.  Ancak Kurul, spor kulübünde giriş çıkış kontrolünün yapılabilmesi ve kulüp hizmetlerinden faydalanmak isteyen kişilere ilişkin giriş kontrolünün alternatif yollar ile sağlanması mümkün iken kişilerin biyometrik veri niteliğindeki avuç içi izi verisinin alınmasının sınırlı ve ölçülü olmadığını belirtmiştir. Bununla birlikte avuç içi izi verisinin işlenmesi için kişilerin açık rızalarının alındığı ancak avuç içi izi verisini vermeyen kişilerin kulüp hizmetlerinden yararlanamadığı dikkate alındığında üyelerden alınan açık rızanın da özgür iradeye dayanmadığı belirtilmiştir. Dolayısıyla Kurul giriş ve çıkış kayıtlarının takibi amacıyla olsa ve açık rıza alınsa dahi özel nitelikli kişisel verilerin bu şekilde işlenemeyeceğini belirtmiştir.

(Kaynak: https://www.kvkk.gov.tr/Icerik/5496/2019-81-165)

Yukarıda bilgileri verilen her iki kararda da atıf yapılan Danıştay 11. Dairesinin 2017/816 Esas ve 2017/4906 Karar sayılı 13.06.2017 tarihli kararına da değinmek gerekmektedir. Danıştay bu kararında, personelden kişisel veri alınması kapsamında olan “yüz tanıma sistemleri” ile mesai takibi uygulamasının, kamusal alanda da olsa “özel hayatın gizliliği” ilkesi kapsamında bulunduğunu belirtilmiştir. Bu şekilde veri toplanmasını öngören bir yasal dayanak bulunmaması ve toplanan verilerin ileride başka bir şekilde kullanılmayacağına dair bir güvence mevcut olmaması sebebiyle yüz tanıma verilerinin toplanmasının temel haklar ve Anayasal ilkelerle bağdaşmadığını belirtmiştir.

Dolayısıyla açık rıza usulüne uygun alınmış olsa dahi parmak izi ve yüz tanıma verilerinin işlenmesinin sınırlı ve ölçülü olmadığı, açık rızanın aşırı miktarda veri toplanmasını meşrulaştırmayacağı ve özel hayatın gizliliğinin ihlal edildiğine yönelik değerlendirme yapılması riski bulunmaktadır. Bu halde de işverenlerin oldukça yüksek miktarlarda cezalarla karşılaşması muhtemel hale gelmektedir.

Öte yandan parmak izi ve yüz tanıma sistemlerinin maden giriş ve çıkışları, banka kasaları, gizli dokümanların saklandığı odalar gibi gerek iş sağlığı ve güvenliğinin sağlanması gerekse de işverenin ticari faaliyetlerindeki güvenliğin sağlaması adına kullanılabilecek olup bu tür durumlar meşru bir gerekçe olarak somut durumun özelliğine göre değerlendirilebilecektir. Ancak yine de tüm işçilerin değil, yalnızca bu alanlara giriş ve çıkış yetkisi bulunan işçilerin parmak izi ve yüz tanıma verileri usulüne uygun olmak kaydıyla işlenebilecektir.

Av. Taha Kavlakoğlu