17.03.2022
KVKK BİYOMETRİK VERİ

BİYOMETRİK VERİNİN TANIMI

Biyometrik Veri kavramı KVKK “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinde özel nitelikli kişisel veriler arasında sayılmıştır. Biyometrik Veri Türk Hukuk sistemi içinde detaylı olarak tanımlanmamıştır. Biyometrik Veri Avrupa Birliği Genel Veri Koruma Tüzüğünün (GDPR) 4. maddesindeki Biyometrik Veri tanımının bu alanda şimdiye kadar yapılmış en kapsayıcı tanım olduğu düşünülmektedir. Bu tanıma göre Biyometrik Veri;

“yüz görüntüleri veya daktiloskopi veriler gibi bir gerçek kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olarak spesifik teknik işlemeden kaynaklanan kişisel verilerdir.” şeklinde tanımlamıştır.

Bu mevcut tanımlamaya uygun olarak yüz tanıma, parmak izi, avuç içi, retina tarama sistemleri ile kayıt altına alınan veriler KVKK kapsamında Fizyolojik Biyometrik Veri olarak tanımlanmıştır. Ayrıca kişinin yürüyüş biçimi, klavyeye basış biçimi, araba sürüş biçimi gibi Biyometrik Verileri ise davranışsal nitelikli Biyometrik Verileri oluşturmaktadır.  Bu saydıklarımıza ek olarak, Biyometrik İmza da Biyometrik Veri kapsamında değerlendirilmektedir. Biyometrik İmza, aynen yüz tanıma, parmak izi, avuç içi, retina tarama sistemleri gibi sadece kişiye özgü olan kalem tutuş, yazı baskısı ve el hareketlerinin dijital ortamda tanımlanması ile oluşturulur. Dolayısı ile başkası tarafından taklit edilemez.  Biyometrik İmzanın Türk Borçlar Kanunu’nda öngörülen yazılı şeklin unsurlarından imza şartını nasıl karşıladığı tartışıldıktan sonra, Hukuk Muhakemeleri Kanunu’nda öngörülen bir belgedeki imzanın inkar edilmesi halinde söz konusu olacak süreçler açısından ne anlama geldiğine de yer verilmiştir. Son olarak; bir elektronik veri olarak Biyometrik İmzanın, ıslak imzaya nazaran daha güçlü bir delil olması günümüz koşullarında daha fazla rağbet görmesini sağlamaktadır.  

BİYOMETRİK VERİ İŞLEME İLKELERİ

  • Temel hak ve özgürlüklerin özüne dokunmaması;
  • Başvurulan yöntemin işleme amacına ulaşılabilmesi bakımından elverişli olması, veri işleme faaliyetinin ulaşılmak istenen amaç için uygun olması;
  • Biyometrik Veri işleme yönteminin ulaşılmak istenen amaç bakımından gerekli olması;
  • Veri işlemeyle ulaşılmak istenilen amaç ve aracın arasında orantı bulunması;
  • Gerektiği süre kadar tutulması, gereklilik ortadan kalktıktan sonra söz konusu verilerin gecikmeksizin/derhal imha edilmesi;
  • İşleme amacı doğrultusunda sınırlı olmak üzere; veri sorumlularının Kanunun 10 uncu maddesine uygun bir biçimde aydınlatma yükümlülüğünü yerine getirmesi;
  • Açık rızanın gerekmesi halinde ilgili kişilerin açık rızalarının Kanuna uygun şekilde alınmış olması;

Veri sorumlusu, Kanunun 4. maddesinde yer alan genel ilkelere ve 6. maddesinde düzenlenen şartlara uygun bir şekilde, ancak yukarıda yer alan ilkeler doğrultusunda Biyometrik Verileri işleyebilecektir.

BİYOMETRİK VERİ GÜVENLİĞİ

Biyometrik Veri kavramı KVKK “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6. maddesinde özel nitelikli kişisel veriler arasında sayılmıştır. Dolayısı ile söz konusu verinin ihlali durumunda KVK Kurulu tarafından uygulanacak olan yaptırımlar oldukça ciddi boyutlarda olacaktır. Dolayısı ile Özel Nitelikli Verilerin korunması için idari ve teknik tedbirlerin alınmış olması gerekmektedir. Veri Sorumlusu tarafından öncelikle;

Erişim hakları: Kişisel verinin sadece ilgili kişisel veriye tanımlı iş için ihtiyacı olan kişiler tarafından erişebilmesi, diğer bilgisayar kullanıcılarının erişmesinin engellenmesi için, gerekli erişim hakları planlanır, gerçekleştirilir ve veri sorumlusu tarafından önemli değişikliklerden sonra, ve her durumda en az yılda bir kez kontrol edilir.

Şifreleme: Verinin sadece durduğu sunucuda değil, alınan yedeklerin de güvenli olması için sabit olarak depolandığı yerde kriptografik yöntemlerle şifrelenmesi gereklidir. Söz konusu kriptografik yöntemler simetrik algoritmalar söz konusu olduğunda en az 256 bit (örn: AES), asimetrik algoritmalar söz konusu olduğunda en az 2048 bit (örn: RSA) şifrelemesi ile güvenli hale getirilir. Şifreleme yapıldığı zaman, ilgili şifrelere ait anahtarların, ISO/IEC27001 standardında belirtildiği gibi anahtar yönetimi içinde ele alınması gereklidir.

Loglama: Özel nitelikli kişisel verinin durduğu ortamda gerçekleşecek işlem hareketlerinin zaman damgası ile kayıt altına alınması.

Biyometrik Veri işleyen veri sorumlularının; kanun, yönetmelik, tebliğ ve kurul kararlarında yer alan kişisel veri güvenliği ile ilgili hususlara dikkat etmeleri zorunludur. Bu çerçevede, özel nitelikli kişisel veri niteliğini haiz verilerin işlenmesinde; Kurulun “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”e ilişkin 31/01/2018 tarihli ve 2018/10 sayılı kararında belirtilen tedbirlerin alınması zorunludur. Karar buradan ulaşabilirsiniz. Ayrıca GDPR ile ilgili çalışmamıza buradan ulaşabilirsiniz.