İşyerinde Parmak İzi ve Yüz Tanıma ile Mesai Takibi Hukuka Uygun mu?

Parmak izi ve yüz tanıma verileri biyometrik nitelikte özel nitelikli kişisel verilerdir. İşverenin mesai takibi yapmak istemesi tek başına bu verilerin kullanılmasını otomatik olarak hukuka uygun hale getirmez. Amaç, gereklilik, ölçülülük ve daha az müdahaleci alternatiflerin bulunup bulunmadığı birlikte değerlendirilmelidir.

Biyometrik veri neden özel korumaya tabidir?

Parmak izi veya yüz geometrisi kişiyi benzersiz biçimde tanımlayabilen verilerdir. Bu nedenle işlenmeleri sıradan personel verilerinden daha sıkı hukuki şartlara tabidir.

Bu verilerin hassasiyeti, parola gibi kolayca değiştirilememelerinden de kaynaklanır. Bir parmak izi veya yüz şablonunun ele geçirilmesi halinde çalışanın kimlik doğrulama özelliği kalıcı biçimde etkilenebilir. Bu nedenle işleme amacı kadar veri miktarı, saklama süresi, erişim yetkisi ve sistem sağlayıcısına aktarım da ayrıca değerlendirilmelidir.

Mesai takibi amacı tek başına yeterli midir?

Hayır. İşverenin meşru bir devam-kontrol amacı bulunabilir; ancak bu amaca biyometrik veri işlemeden ulaşmak mümkünse daha ağır veri işleme yönteminin gerekliliği tartışmalı hale gelir.

Açık rıza alınması sorunu çözer mi?

İş ilişkisindeki güç dengesizliği nedeniyle açık rızanın özgür iradeyle verilip verilmediği ayrıca değerlendirilmelidir. Ayrıca özel nitelikli verilerin işlenmesinde kanundaki diğer şartlar ve güvenlik yükümlülükleri de önemini korur.

Açık rıza, biyometrik veri kullanımını otomatik olarak hukuka uygun hale getiren bir “genel izin” değildir. Çalışanın rıza vermemesi halinde olumsuz sonuçla karşılaşacak olması veya gerçek bir alternatif sunulmaması rızanın özgür iradeye dayanıp dayanmadığı sorununu doğurabilir. Ayrıca işleme faaliyeti için kanunda öngörülen şartların ve ölçülülük ilkesinin ayrı ayrı sağlanması gerekir.

Kart veya şifre gibi alternatifler neden önemlidir?

Daha az müdahaleci yöntemlerle aynı amaç makul biçimde sağlanabiliyorsa biyometrik sistemin ölçülülüğü sorgulanır. İşveren seçtiği yöntemin neden gerekli olduğunu gösterebilmelidir.

İşveren hangi güvenlik önlemlerini almalıdır?

Biyometrik şablonların saklanma biçimi, erişim yetkileri, saklama süresi, üçüncü taraf yazılım sağlayıcıları ve veri ihlali riskleri özel olarak yönetilmelidir.

Çalışan hangi hakları kullanabilir?

Çalışan hangi verisinin hangi amaçla işlendiğini öğrenebilir, hukuki dayanağı sorgulayabilir ve kanundaki koşullarla başvuru haklarını kullanabilir. İşverenin aydınlatma yükümlülüğü ayrıca yerine getirilmelidir.

Biyometrik sistem iş hukuku bakımından da sorun yaratır mı?

Veri işleme hukuka aykırıysa çalışan bakımından kişilik hakkı ve iş ilişkisi içinde ek uyuşmazlıklar doğabilir. Disiplin veya fesih kararının yalnız biyometrik kayıt üzerine kurulması halinde kaydın hukuka uygunluğu önem kazanır.

İşveren sistem kurmadan önce ne yapmalı?

Amaç ve veri minimizasyonu analizi yapılmalı, alternatif yöntemler karşılaştırılmalı, saklama ve imha politikası kurulmalı ve çalışanlara açık bir bilgilendirme yapılmalıdır.

Biyometrik veri işlemede gereklilik ve ölçülülük nasıl incelenir?

KVKK m. 6 kapsamında biyometrik veriler özel nitelikli kişisel veridir. Bu nedenle işverenin yalnız “mesaiyi doğru ölçmek istiyorum” demesi biyometrik sistem kullanımını tek başına haklı kılmaz. Aynı amaç kart, turnike, kullanıcı kodu veya başka daha az müdahaleci yöntemlerle makul biçimde sağlanabiliyorsa gereklilik ve ölçülülük değerlendirmesi biyometrik sistem aleyhine dönebilir.

İncelemede işyerinin güvenlik ihtiyacı, çalışan sayısı, sistemin hangi biyometrik şablonu tuttuğu, verinin ne kadar süre saklandığı ve başka amaçlarla kullanılıp kullanılmadığı birlikte ele alınmalıdır. İşverenin veri minimizasyonu ve saklama süresi bakımından yazılı bir politika oluşturması önemlidir.

Çalışanın açık rızası neden her durumda yeterli olmaz?

İş ilişkisinde taraflar arasındaki ekonomik bağımlılık nedeniyle açık rızanın gerçekten özgür iradeyle verilip verilmediği ayrıca sorgulanır. Çalışanın biyometrik veri vermemesi halinde işe alınmaması veya fiilen dezavantajlı hale getirilmesi, rızanın serbestliği konusunda sorun yaratabilir.

Bu nedenle hukuki dayanak yalnız bir açık rıza formuna indirgenmemelidir. Aydınlatma yükümlülüğü, veri güvenliği tedbirleri, erişim yetkileri, saklama ve silme süreçleri ile çalışanların KVKK kapsamındaki başvuru hakları sistem kurulmadan önce birlikte tasarlanmalıdır.

Biyometrik sistem sözleşmesi yapılırken hizmet sağlayıcı neden incelenmelidir?

Parmak izi veya yüz tanıma altyapısı çoğu zaman işverenin kendi sunucusunda değil, dışarıdan hizmet alınan bir yazılım veya cihaz sağlayıcısının sistemi üzerinden çalışır. Bu durumda veriye kimin eriştiği, verinin yurt içinde mi yurt dışında mı tutulduğu ve sağlayıcının alt hizmet sağlayıcı kullanıp kullanmadığı veri güvenliği bakımından önem kazanır.

İşveren hizmet sözleşmesinde veri işleme amacı, erişim yetkileri, ihlal bildirimi, saklama süresi ve hizmet sona erdiğinde verilerin silinmesi konularını açıkça düzenlemelidir. Teknik sistem satın alınmış olması KVKK sorumluluğunu tedarikçiye devretmez.