Personel Takibinde Biyometrik Verilerin Kullanımı Hakkında Önemli Düzenleme
Kişisel Verileri Koruma Kurumu tarafından yayımlanan ilke kararı ile çalışanların mesai saatlerini denetlemek amacıyla yüz tanıma, parmak izi ve retina taraması gibi biyometrik metotların kullanılması kesin olarak sınırlandırılmıştır. Resmi Gazete’de yayımlanarak yürürlüğe giren bu karar, iş dünyasındaki pek çok uygulama açısından yeni bir dönemi başlatmıştır.
Belirsizliklerin Sona Ermesi ve Kurulun Yaklaşımı
Geçmiş dönemlerde personel devam kontrol sistemlerinde biyometrik veri işlenmesinin uygunluğu konusunda farklı görüşler bulunmaktaydı. Bazı işletmeler çalışanların rızasını alarak bu sistemleri sürdürmekteydi. Ancak Kurumun son müdahalesiyle birlikte, mesai takibi amacıyla hassas nitelikli veri işleme faaliyetlerinin mevzuata aykırı olduğu netlik kazanmıştır.
Daha önce de benzer konularda idari yaptırımlar uygulanmış ve rıza metinlerinin baskı altında alındığı gerekçesiyle geçersiz sayıldığı durumlar olmuştur.
Son karar ise bu bireysel yaptırımları genel bir kural haline getirmiştir.
Çalışanın Özgür İradesi ve Açık Rıza Geçersizliği
Mevzuat gereği biyometrik veriler özel nitelikli veri sınıfında yer alır. İşçi ve işveren arasındaki dikey hiyerarşi nedeniyle, işe alım veya çalışma sürecinde personelden alınan rızaların tamamen özgür iradeye dayanmadığı kabul edilmektedir. Dolayısıyla, çalışanların onay vermiş olması bu uygulamayı hukuken geçerli kılmamaktadır. Yargı organlarının da işaret ettiği üzere, personelin rıza göstermeme gibi pratik bir alternatifi bulunmadığından bu yöndeki işlemler koruma şemsiyesi dışındadır.
Ölçülülük İlkesine Aykırılık ve Alternatif Yöntemler
Mesai takibini sağlamak gibi rutin bir idari amaç, bireylerin geri döndürülemez biyometrik verilerinin işlenmesini haklı kılmamaktadır.
Ölçülülük ilkesi uyarınca, amaca daha az müdahaleci yöntemlerle ulaşılması mümkündken daha ağır yöntemlerin seçilmesi yasalara aykırıdır.
Yargı kararlarında da belirtildiği üzere, alternatif araçların varlığı durumunda biyometrik verilerin toplanması ölçülü kabul edilmez. Bu çerçevede işverenlerin tercih edebileceği güvenli yöntemler şunlardır:
- Manyetik veya şifreli kart sistemleri
- PIN kodu tabanlı geçiş mekanizmaları
- Mobil uygulamalar üzerinden konum bilgisi olmaksızın yapılan onaylar
- Klasik imza çizelgeleri ve denetmen kontrolleri
İşverenlerin Alması Gereken Önlemler
Olası idari yaptırımlar ve cezai sorumluluklarla karşılaşmamak adına işletmelerin vakit kaybetmeden şu adımları atması tavsiye edilmektedir:
- Biyometrik sistemlerin kullanımına derhal son verilmelidir.
- Geçmişte toplanmış tüm biyometrik kayıtlar, geri döndürülemeyecek biçimde silinmeli veya yok edilmelidir.
- Kartlı geçiş ya da şifreli sistemler gibi mevzuata uygun alternatif çözümlere geçilmelidir.
- Veri sorumlusu sicili (VERBİS) üzerindeki kayıtlar ile kişisel veri işleme envanterleri güncellenmelidir.
- Çalışan bilgilendirme metinleri ve aydınlatma belgeleri yeni duruma göre revize edilmelidir.
Sonuç olarak, veri güvenliği standartlarına uyum sağlamak ve yüksek idari para cezalarından korunmak için ilgili süreçlerin bir an önce revize edilmesi önem arz etmektedir.