El Geometrisi (Biyometrik Veri) Açık Rıza Kararı: Kurulun 07/07/2022 Tarihli 2022/662 Sayılı Kararı

1. Şikâyetin Özeti

Kuruma intikal eden şikâyette; ilgili kişinin bir işletmeye kayıt yaptırırken, hizmet alanına giriş yapabilmek için firma yetkililerince avuç içi ve parmak izi bilgisinin tarandığı ve bu verilerin şirket kayıtlarında işlendiği iddia edilmiştir. Hizmet alan kişilerin cihaza elini koyarak ve bir şifreyi tuşlayarak giriş yaptığı, dolayısıyla ilgili kişinin kanunen geçerli bir açık rızası olmaksızın biyometrik nitelikteki verilerinin alındığı belirtilmiştir.

İlgili kişi, sözleşmesinin feshedilmesinden sonra KVKK kapsamında veri sorumlusu şirkete başvuruda bulunduğunu, veri sorumlusundan gelen cevabın yetersiz kaldığını ifade ederek Kurul tarafından işlem yapılmasını talep etmiştir.

2. Veri Sorumlusunun Savunması (Özet)

2.1. “Parmak izi/avuç içi” değil, “El geometrisi” iddiası

Veri sorumlusu, işletme girişinde kayıtlı abonelerin kimliğinin tanınması amacıyla “El Geometrisi Terminali” adlı bir cihaz kullanıldığını; bu cihazın parmak izi veya avuç içi izi alımından farklı şekilde kişilerin el geometrisini sisteme kaydettiğini beyan etmiştir.

2.2. El geometrisinin nasıl işlendiği

Savunmaya göre; tarama sırasında parmakların uzunluğu, birleşme noktaları arasındaki uzaklıklar, oynak yerlerin geometrisi gibi ölçümler yapılmakta; elin yalnızca üst kısmı taranmakta ve parmak izi/avuç içi gibi “iç kısım” izlerini alacak bir mekanizma bulunmamaktadır. Veri sorumlusu bunu “boy ölçümü” benzetmesiyle açıklamış; el geometrisinin başka kişilerde de aynı olabileceğini, bu nedenle özel nitelikli veri değil, normal kişisel veri olarak değerlendirilmesi gerektiğini ileri sürmüştür.

2.3. Şifre ile ikincil doğrulama

Veri sorumlusu ayrıca, el geometrisinin tek başına yeterli olmadığını; abonelerin kendilerinin belirlediği bir şifreyi cihaza tanımladığını, her girişte hem şifre hem el okuma gerektiğini, böylece kötüye kullanımın önüne geçildiğini belirtmiştir.

2.4. Hukuki dayanak ve silme beyanı

Veri sorumlusu; işleme faaliyetinin KVKK m.5 kapsamında kaldığını ve m.5/2-(c) (sözleşmenin kurulması/ifası ile doğrudan ilgili olma) gerekçesine dayandığını, üyelik sonlandıktan sonra ilgili kişinin el geometrisi verisinin ivedilikle silindiğini ifade etmiştir.

3. Hukuki Çerçeve (KVKK m.5 – m.6 – m.12 – m.7 – m.11)

Kurul değerlendirmesinde esasen iki soru öne çıkar: (i) İşlenen veri özel nitelikli mi? (ii) Özel nitelikli ise, hangi işleme şartına dayanılıyor?

4. El Geometrisi Biyometrik Veri midir?

Kurul, öncelikle şikâyete konu kişisel verinin niteliğinin tespit edilmesi gerektiğini vurgular. Veri sorumlusu “kişiye özgü değil” iddiasıyla el geometrisini normal kişisel veri olarak konumlandırsa da Kurul, cihazın niteliği ve çalışma prensibini daha geniş bir biyometrik veri çerçevesinde ele alır.

4.1. Teknik işlem ve benzersiz doğrulama kapasitesi

Kararda açık kaynak araştırmalarına dayalı olarak; cihazın “biyometrik el terminali” olarak anıldığı, elin ve parmakların çok sayıda noktadan üç boyutlu tarandığı, karakteristiklerin analiz edildiği ve hata/yanılma olasılığının son derece düşük olduğu yönünde teknik açıklamalara yer verildiği görülür. Bu çerçevede, yapılan işlemin otomatik kimlik doğrulama işlevi gördüğü değerlendirilmiştir.

4.2. Biyometrik verinin mantığı

Biyometrik veri yaklaşımında esas; verinin tek başına veya teknik işleme bağlamında kişiyi benzersiz şekilde teşhis etmeye veya doğrulamaya elverişli olup olmadığıdır. Parmak izi/avuç içi gibi klasik örneklerle sınırlı bir liste bulunmadığından, “ölçülebilir fizyolojik özelliklerin” teknik yöntemle işlenmesi de biyometrik veri kapsamına girebilir.

5. Riskler ve Etkiler

Biyometrik veriler, doğaları gereği “değiştirilemeyen” (parola gibi yenilenemeyen) özellikler taşıdığından, risk yönetiminde daha hassas ele alınır. Bu tür veriler sızdığında geri döndürme imkânı sınırlı olur ve etkiler uzun süreli olabilir.

Bu olay özelinde öne çıkan risk alanları

• Hukuka aykırı işleme riski: Özel nitelikli veri için açık rıza/kanuni dayanak yoksa ihlal oluşur.
• Ölçülülük ve alternatif yöntemler: Aynı amaç kart/QR/turnike/şifre gibi yöntemlerle sağlanabiliyorsa biyometri ağır müdahale sayılabilir.
• Veri minimizasyonu: “Giriş kontrolü” hedefi için daha az veriyle çözüm mümkün olabilir.
• Veri güvenliği ve yetkisiz erişim: Cihaz/veritabanı erişimleri, loglama, yetkilendirme ve şifreleme kritik hale gelir.
• Silme-yok etme ispatı: Silme yapıldığını gösterecek kayıt/iz (log/rapor) olmaması uyum riskini artırır.

6. Kurulun Değerlendirmesi (Gerekçe Mantığı)

6.1. Önce nitelik: özel nitelikli veri tespiti

Kurul; el geometrisi verisinin, teknik işlemle kimlik doğrulama amacıyla işlendiğini ve bu bağlamda biyometrik veri sayılması gerektiğini değerlendirmiştir. Böylece işleme rejimi m.6 kapsamına taşınmıştır.

6.2. Sonra dayanak: m.6 için işleme şartı var mı?

Biyometrik veri özel nitelikli olduğundan; işleme için kural olarak açık rıza veya kanunlarda açıkça öngörülme gerekir. Kurul, somut olayda giriş amacıyla biyometrik verinin işlenmesine ilişkin kanuni bir düzenleme bulunmadığı ve açık rızanın da geçerli şartları (bilgilendirmeye dayalı, özgür irade, belirli konu) açısından sorunlar bulunduğu değerlendirmeleriyle hukuka uygunluk nedeninin oluşmadığı sonucuna varmıştır.

6.3. Tedbir yükümlülüğü (m.12) ve sonuç

Hukuka uygunluk dayanağı bulunmadan özel nitelikli verinin işlenmesi, veri güvenliğine ilişkin yükümlülükler ve temel ilkeler bakımından veri sorumlusu açısından ağır bir risk oluşturur. Kurul; veri sorumlusunun yükümlülüklere aykırı davrandığı kanaatiyle yaptırım uygulamıştır.

7. Uygulanan Yaptırımlar ve Talimatlar

Kararda; el geometrisi bilgisinin özel nitelikli kişisel veri niteliğinde olduğu ve m.6’da yer alan işleme şartlarından herhangi biri bulunmaksızın işlendiği gerekçesiyle, veri sorumlusu hakkında idari yaptırımlar ve operasyonel talimatlar verilmiştir.

7.1. İdari para cezası

Veri sorumlusu hakkında, Kanun’un 18’inci maddesi kapsamında 100.000 TL idari para cezası uygulanmasına karar verilmiştir.

7.2. Uygulamanın durdurulması

Giriş amacıyla biyometrik veri işlenmesi uygulamasının, Kanun’un 15’inci maddesinin (7) fıkrası kapsamında durdurulmasına karar verilmiştir.

7.3. Verilerin yok edilmesi ve üçüncü taraf bildirimleri

Veri sorumlusunun bugüne kadar işlediği ve muhafaza ettiği “el geometrisi” verilerinin, Kanun’un 7’nci maddesi ve ilgili Yönetmelik hükümlerine uygun olarak ivedilikle yok edilmesi; eğer üçüncü kişilere aktarım söz konusu ise yok etme işlemlerinin aktarılan üçüncü kişilere bildirilmesi ve yapılan işlemler sonucundan Kurula bilgi verilmesi talimatlandırılmıştır.

8. Kurumlar İçin Uyum Rehberi: Biyometrik Sistemleri Doğru Kurgulamak

8.1. Ön değerlendirme: “Gerçekten gerekli mi?”

• Amaç testi: Giriş kontrolünde hedef nedir? Yetkisiz giriş mi, üyelik kötüye kullanımı mı?
• Alternatifler: Kart/QR, mobil doğrulama, tek kullanımlık kod, turnike + kimlik kontrolü, şifre/PIN gibi yöntemler.
• Ölçülülük: Aynı amaç daha az müdahaleci yöntemle sağlanabiliyorsa biyometrik yöntem tercih edilmemeli.

8.2. Hukuki dayanak ve açık rıza tasarımı

• Veri envanteri: Hangi biyometrik veri alınıyor? Nerede tutuluyor? Kim erişiyor? Ne kadar süre?
• Aydınlatma: Kapsam, amaç, yöntem, hukuki sebep, saklama süresi, aktarım, haklar açık ve anlaşılır olmalı.
• Açık rıza: Özgür irade ile verilmiş, bilgilendirmeye dayalı ve belirli konuya ilişkin olmalı; zorunlu hizmet şartına bağlanmamalı.
• Ret/alternatif: Rıza vermeyene makul alternatif giriş yöntemi sunulması (pratikte riskleri azaltır).

8.3. Teknik ve idari tedbirler (minimum checklist)

• Erişim kontrolü: Rol tabanlı yetki, güçlü kimlik doğrulama, yetki matrisi.
• Şifreleme/maskeleme: Biyometrik şablonların güvenli saklanması, anahtar yönetimi.
• Loglama ve izleme: Kim erişti, ne zaman erişti, ne yaptı kayıt altına alınmalı.
• İhlal yönetimi: Olay müdahale planı, bildirim süreçleri, test edilmiş prosedürler.
• Silme-yok etme kanıtı: Politika + periyodik imha + raporlama + tutanak üretimi.
• Tedarikçi yönetimi: Cihaz/servis sağlayıcılarıyla sözleşmesel güvenlik hükümleri.

8.4. Operasyonel öneri: “Giriş kontrolü” için örnek düşük-riskli model

Biyometri yerine (veya biyometriye geçmeden önce) kart/QR + tek kullanımlık doğrulama (OTP) + turnike loglama gibi kurgular, çoğu senaryoda hem güvenlik hem de KVKK uyumu açısından daha yönetilebilir bir yaklaşım sunabilir.

9. Sık Sorulan Sorular (SSS)