Biyometrik Geçiş ve PDKS Sistemlerinde KVKK Uyumu: Parmak İzi ve Yüz Tanıma
Parmak izi ve yüz tanıma gibi biyometrik yöntemler, personel devam kontrol ve geçiş sistemlerinde hızla yaygınlaşıyor. Kartın aksine kaybolmaması, başkasına devredilememesi ve temassız çalışması bu teknolojileri cazip kılıyor. Ancak biyometrik veri, sıradan bir personel bilgisi değildir; kişisel verilerin korunması mevzuatı açısından özel nitelikli veri kategorisindedir. Bu nedenle biyometrik bir sistem kurmadan önce, teknolojiyi değil hukuki çerçeveyi anlamak gerekir.
Biyometrik Veri Neden Özel Nitelikli Sayılır?
Bir personel kartı çalındığında yenisi verilebilir; ancak parmak izi veya yüz geometrisi değiştirilemez. Bu geri döndürülemezlik, biyometrik veriyi diğer kişisel verilerden ayırır ve daha yüksek bir koruma seviyesi gerektirir.
Kişisel Verilerin Korunması Kanunu kapsamında biyometrik veriler özel nitelikli kişisel veri olarak tanımlanır. Bu kategorideki verilerin işlenmesi, sıradan verilere göre daha katı koşullara tabidir. Dolayısıyla bir işletmenin “kart yerine parmak izi kullanalım” kararı, teknik bir tercih değil, hukuki sorumluluk doğuran bir adımdır. Sistemin doğru kurgulanması, bu sorumluluğun yönetilmesiyle başlar.
Açık Rıza ve Alternatif Sunma Zorunluluğu
Biyometrik sistem uygulamasında en sık gözden kaçan nokta, çalışana alternatif sunma gerekliliğidir. Özel nitelikli verinin işlenmesi çoğu durumda açık rızaya dayanır; ancak iş ilişkisinde rızanın gerçekten özgür iradeyle verilip verilmediği tartışmalıdır.
Bu nedenle uygulamada güvenli yaklaşım, biyometrik yöntemi tek seçenek olarak dayatmamaktır. Parmak izi veya yüz tanıma kullanmak istemeyen personele kart gibi bir alternatif sunulması, hem hukuki riski azaltır hem de sistemin kabulünü kolaylaştırır. Sistem tasarlanırken bu esnekliğin baştan planlanması, sonradan yaşanacak uyum sorunlarını önler.
Verinin Nasıl Saklandığı Belirleyicidir
Biyometrik sistemlerde en kritik teknik detay, verinin hangi biçimde saklandığıdır. İyi tasarlanmış sistemler, parmak izinin veya yüzün gerçek görüntüsünü saklamak yerine, ondan üretilen ve geri dönüştürülemeyen bir matematiksel şablon tutar. Bu şablondan orijinal görüntüye ulaşmak mümkün değildir.
Bu ayrım hem güvenlik hem uyum açısından önemlidir. Görüntü yerine şablon saklayan bir sistem, veri ihlali durumunda bile biyometrik bilginin yeniden üretilmesini engeller. İşletme bir biyometrik sistem değerlendirirken, verinin nasıl saklandığını, nerede tutulduğunu ve ne kadar süreyle saklanacağını sorgulamalıdır. Bu sorular, sistemin uyumlu olup olmadığını gösteren en somut ölçütlerdir.
Aydınlatma Yükümlülüğü ve Saklama Süresi
Biyometrik veri işleyen bir işletme, çalışanı bu işlemenin amacı, kapsamı ve süresi hakkında bilgilendirmekle yükümlüdür. Bu aydınlatma, sistem devreye alınmadan önce yazılı ve anlaşılır biçimde yapılmalıdır.
Saklama süresi de dikkat gerektiren bir konudur. Veri, yalnızca işleme amacının gerektirdiği süre boyunca tutulmalı; amaç ortadan kalktığında silinmelidir. Örneğin işten ayrılan bir personelin biyometrik şablonunun sistemden kaldırılması, uyumun sürekliliği için gereklidir. Bu süreçlerin sistem tarafında otomatikleştirilebilmesi, işletmenin yükümlülüğünü kolaylaştırır.
VERBİS ve Kurumsal Sorumluluk
Biyometrik veri işleyen işletmeler için sorumluluk yalnızca sistemin teknik kurulumuyla bitmez; kurumsal düzeyde de birtakım yükümlülükler doğar. Belirli kriterleri karşılayan veri sorumlularının Veri Sorumluları Sicil Bilgi Sistemi’ne kayıt yükümlülüğü bulunur ve işlenen özel nitelikli veriler bu kapsamda dikkate alınır.
Ayrıca işletmenin, biyometrik veri işleme faaliyetini kişisel veri işleme envanterinde tanımlaması, saklama ve imha politikasını yazılı hale getirmesi beklenir. Bu belgeler bir formaliteden ibaret değildir; bir denetim veya şikâyet durumunda işletmenin uyum çabasını gösteren temel kanıtlardır. Sistemin teknik tarafı ne kadar doğru kurulursa kurulsun, bu kurumsal süreçler tamamlanmadığında uyum eksik kalır. Bu nedenle biyometrik sistem kararı, bilgi işlem kadar insan kaynakları ve hukuk birimlerini de ilgilendiren ortak bir süreçtir.
Doğru Kurgulanmış bir Sistem Neyi Sağlar?
Biyometrik geçiş ve PDKS sistemleri, mevzuata uygun kurgulandığında hem güvenlik hem kolaylık sağlar. Kartın devredilebilmesi kaynaklı “başkası adına giriş” sorununu ortadan kaldırır, temassız çalışmayla hijyen ve hız sunar.
Bu faydaların hukuki risk yaratmadan elde edilmesi, sistemin baştan doğru tasarlanmasına bağlıdır. Şablon bazlı saklama, alternatif yöntem sunma, aydınlatma ve saklama süresi yönetimi bir arada kurgulandığında, biyometrik sistem hem verimli hem uyumlu çalışır. ICS’nin geçiş kontrol ve personel devam kontrol çözümleri de bu gereklilikleri gözeterek yapılandırılır; teknoloji seçimi kadar uyum tasarımı da sürecin bir parçasıdır.
Sık Sorulan Sorular
Parmak izi verisi KVKK kapsamında nasıl değerlendirilir?
Parmak izi ve yüz geometrisi gibi biyometrik veriler, Kişisel Verilerin Korunması Kanunu’nda özel nitelikli kişisel veri olarak tanımlanır. Bu veriler sıradan personel bilgilerine göre daha katı işleme koşullarına tabidir ve daha yüksek koruma gerektirir.
Personel biyometrik sistem kullanmak istemezse ne olur?
İşletmenin biyometrik yöntemi tek seçenek olarak dayatmaması, kart gibi bir alternatif sunması güvenli yaklaşımdır. Bu hem hukuki riski azaltır hem de sistemin çalışanlar tarafından kabulünü kolaylaştırır.
Biyometrik sistem kişinin parmak izi görüntüsünü mü saklar?
İyi tasarlanmış sistemler görüntüyü değil, ondan üretilen ve geri dönüştürülemeyen matematiksel bir şablon saklar. Bu şablondan orijinal parmak izine ulaşılamaz; bu da veri güvenliği ve mevzuat uyumu açısından önemlidir.