KVKK: "İşverenlerin, çalışanların mesaisini takip için biyometrik veri işlemesi hukuka aykırı"
Kişisel Verileri Koruma Kurulu (KVKK) bugünkü Resmi Gazete'de yayımlanan kararında "Yasal düzenlemeler ile işverenin çalışma sürelerini takip etmesi ve belgelemesi yönünden hukuki çerçeve[nin] çizilmiş [olduğunu] vurguladı ve biyometrik tanımlamayı bu çerçeve dışına tanımladığı bir tespitte bulundu:
"Biyometrik verilerin işlenmesi hukuka aykırılık teşkil edebilir"
[...] Takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık kanuni bir düzenleme bulunmadığından, mesai takibinin biyometrik verilerin işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir.
Çalışanlar en çok biyometrik sistemlerle takipten yakınıyor
KVKK kararında, "[kendisine] ulaşan ihbar ve şikayetler arasında en çok karşılaşılan hususlardan biri[nin] çalışanların mesai takibini dijitalleşme ve güvenliği artırma amacıyla kurulan biyometrik sistemlere ilişkin" olduğunu kaydetti.
AA'nın haberine göre, parmak izi, yüz tanıma sistemi, iris veya retina taraması şeklindeki biyometrik tanıma sistemlerinin hızlı, doğru ve manipülasyona dirençli özellikleriyle [işverene] cazip göründüğüne işaret edilen kararda, [bunun] "kişisel verilerin korunması hukuku bağlamında son derece hassas bir alanı oluşturduğu" değerlendirmesine yer verildi.
İşçi-işveren arasındaki güç dengesizliği
Kararda, "İşçi-işveren ilişkisinde yapısal güç dengesizliği" bulunduğuna dikkati çekilerek, işçiden konuyla ilgili "açık rıza" alınmasının özgür iradeye dayanıp dayanmadığı hususunda da ciddi tereddütler içerdiği ifade edildi.
"Açık rıza" olması yetmez
Kararda işçinin "açık rıza"sı kapsamında gerçekleştirilse de biyometrik veri işleme faaliyetlerinin, yalnızca hukuki sebebe değil aynı zamanda ölçülülük, gereklilik ve veri minimizasyonu ilkelerine de uygun olması gerektiği vurgulandı.
"Yasal düzenlemeler ile işverenin çalışma sürelerini takip etmesi ve belgelemesi yönünden hukuki çerçeve çizilmiş olmakla birlikte takibin biyometrik tanımlama sistemleriyle yapılmasını öngören açık kanuni bir düzenleme bulunmadığından mesai takibinin biyometrik verilerin işlenmesi yoluyla gerçekleştirilmesi hukuka aykırılık teşkil edebilecektir."
Biyometrik verilerin mesai takibi amacıyla yalnızca açık rıza şartına dayanılarak işlenmesinin yeterli bir hukuki zemininin bulunmadığı aktarılan kararda, [bunun] ayrıca ölçülü de olmadığı belirtildi.
"Mesai takibi alternatif yollarla yapılsın"
KVKK'nin kararında, mesai takibinin biyometrik tanımlama sistemleri yerine şifreli kart veya PIN tabanlı sistemler, geleneksel imza ve kağıt bazlı devam çizelgeleri, RFID/NFC kimlik kartları ya da denetçi gözetiminde elle giriş gibi alternatif yollarla sağlanması gerektiği kaydedildi.
Kişisel Verilerin Korunması Kanunu uyarınca kişisel verilerin hukuka uygun işlenmesinin veri sorumlularınca sağlanması gerektiği vurgulanan kararda, buna uygun hareket edilmediğinin tespiti halinde ilgili veri sorumluları hakkında işlem tesis edileceği bildirildi.
Kişisel Verileri Koruma Kurulu (KVKK) hakkında
Kişisel Verileri Koruma Kurulu, Türkiye'de kişisel verilerin hukuka uygun işlenmesini denetlemek ve yurttaşların mahremiyet hakkını korumak amacıyla kurulmuş en üst karar organıdır.
Kurulun, yasal çerçevesi 2016'da yürürlüğe giren 6698 sayılı Kişisel Verileri Koruma Kanunu ile çiziliyor.
KVKK, idari ve mali özerkliğe sahip, görevlerini yerine getirirken hiçbir makam, organ veya kişiden emir ya da talimat almayan "tamamen bağımsız ve özerk bir yapı" olarak tanımlanıyor. İdari ve mali olarak bağımsız bir bütçeye ve karar mekanizmasına sahip olan KVKK bürokratik işlemler kapsamında Adalet Bakanlığı ile irtibatlı.
9 kişiden oluşan kurulun üyeleri, 4 yıl süreyle görev yapmak üzere seçiliyor. Süresi dolan üyeler yeniden seçilebiliyor.
Bu üyelerin 5'i Türkiye Büyük Millet Meclisi (TBMM) tarafından siyasi parti gruplarının milletvekili sayısı oranına göre belirlenerek seçiliyor.
Diğer 4 üye ise doğrudan Cumhurbaşkanı tarafından atanıyor.
Kurulun yasa ihlallerini önlemek veya cezalandırmak amacıyla aldığı kararlar, kamu kurumları dahil tüm gerçek ve tüzel kişiler için kesin ve bağlayıcı.
Kurul kararlarına veya kanun hükümlerine uyulmaması durumunda, Kurulun çok ciddi oranlarda idari para cezası kesme veya suç duyurusunda bulunma yetkisi var.
Kurulun idari kararlarına karşı yargı yolu açık; karardan memnun olmayan taraflar idare mahkemelerinde iptal davası açabiliyor.
(AEK)
