Dijitalleşen iş dünyasında şantiye, ofis ve üretim tesislerine giriş-çıkış güvenliği ile çalışma sürelerinin tespiti amacıyla yaygın olarak kullanılan biyometrik tanımlama teknolojileri, kişisel verilerin korunması mevzuatı duvarına çarptı. Kişisel Verileri Koruma Kurumu (KVKK), son dönemde çalışanlardan gelen yoğun şikayet ve ihbar paketlerini değerlendirerek, iş yerlerindeki mesai takip yöntemlerine yönelik ezber bozan bir İlke Kararı yayımladı. Kurul; parmak izi, yüz tanıma, iris ve retina taraması gibi metotların mesai takibinde kullanılmasını de facto hukuka aykırı ilan etti.
Değiştirilmesi İmkânsız Hassas Veri Risk Altında
KVKK tarafından yapılan resmi kurumsal açıklamada, biyometrik sistemlerin hızlı, manipülasyona dirençli ve doğruluk payı yüksek özellikleri nedeniyle işverenler tarafından cazip birer idari araç olarak görüldüğü kabul edildi. Ancak bu verilerin, 6698 Sayılı Kanun kapsamında özel nitelikli kişisel veri statüsünde bulunduğuna dikkat çekildi. Kurul, biyometrik donelerin siber saldırılar neticesinde ele geçirilmesi halinde, şifreler gibi değiştirilmesinin veya geri alınmasının biyolojik olarak imkânsız olduğunu, bu durumun çalışanlar açısından geri dönülemez kronik mağduriyetler yaratacağını vurguladı.
Güç Dengesi Vurgusu: İşçinin Rızası Gerçek Bir Seçenek Değildir
Kararın en dikkat çekici yasal kırılımını, işçi ve işveren arasındaki sosyo-ekonomik hiyerarşiye dayanan "açık rıza" analizi oluşturdu. Birçok işletmenin çalışanlarına imzalattığı muvafakatnamelerin hukuken geçersiz sayılacağını ilan eden KVKK, karar metninde şu ifadelere yer verdi:
"Tarafların eşit konumda olmadığı, taraflardan birinin diğeri üzerinde idari ve ekonomik etkisinin bulunduğu istihdam ilişkilerinde, çalışana rıza göstermeme veya rızasını geri çekme imkânının etkin bir biçimde sunulmaması durumunda rızanın özgür iradeye dayandığından söz etmek mümkün değildir. Rıza göstermemenin işten çıkarma veya mobbing gibi muhtemel olumsuzluklar doğurabileceği bir iklimde, çalışanın gerçek bir seçeneğe sahip olduğu söylenemez."
Ayrıca Kurul, çalışanın verdiği rızayı her an geri çekme hakkının bulunmasının, biyometrik sistemlerin sürekliliği ve teknik altyapı yatırımları ile çeliştiğini, bu sebeple "açık rıza" şartının mesai takibi için tek başına yeterli bir hukuki zemin oluşturmayacağını tescil etti.
İşverenlere Alternatif Sistem Talimatı: Biyometri Zorunlu Değil
Mevzuatta, işverenin çalışma sürelerini denetlemesini zorunlu kılan genel kurallar bulunmakla birlikte, bu denetimin illa ki biyometrik veri işlenmesi yoluyla yapılmasını öngören açık bir kanuni düzenlemenin bulunmadığı hatırlatıldı. KVKK, "ölçülülük" ilkesi gereğince işverenlerin kişisel verileri ihlal etmeyen alternatif sistemlere yönelmesi gerektiğini belirterek şu legal enstrümanları işaret etti:
-
RFID / NFC tabanlı akıllı personel kimlik kartları,
-
Kişiye özel tanımlanmış şifreli PIN panelleri,
-
Geleneksel ıslak imzalı kâğıt bazlı mesai çizelgeleri.
Söz konusu kararın ardından, iş yerlerinde biyometrik sistem kullanmaya devam eden ve veri güvenliği ihlali yaptığı saptanan kurumlara, 6698 Sayılı Kanun’un idari yaptırımlar maddesi uyarınca ciddi mali cezaların uygulanabileceği bildirildi.
