İstanbul’da faaliyet gösteren bir özel okulun, öğretmenler de dahil tüm çalışanlarının mesai giriş-çıkışlarını "yüz tanıma sistemi" üzerinden takip etmesi, Kişisel Verileri Koruma Kurumu (KVKK) tarafından 700.000 TL idari para cezasıyla sonuçlandı. Bu karar, işverenlerin biyometrik veri kullanımında ne kadar dikkatli olması gerektiğini bir kez daha ortaya koyarken, çalışanların kişisel veri hakları konusunda da önemli bir emsal teşkil ediyor.

Kararın Gerekçesi ve Çalışanlar İçin Önemi

KVKK'ya yapılan şikâyette, öğretmenlerin "işten çıkarılma korkusu" nedeniyle yüz tanıma sistemine rızalarının gerçekte özgür iradeyle verilmediği ve biyometrik verilerinin zorla sisteme kaydedildiği iddia edildi. Okul ise çalışanlardan açık rıza alındığını ve kartlı giriş gibi seçeneklerin de bulunduğunu savundu. Ancak KVKK, her iki tarafın beyanlarını değerlendirdikten sonra okulun uygulamasını "amaca hizmet etmeyen, ölçülülük ilkesini aşan ve özgür rızayı geçersiz kılan" bir veri işleme faaliyeti olarak değerlendirdi ve şu gerekçelere dayandı:

1. Açık Rıza Özgür İradeyle Verilmemiştir: İş ilişkisindeki güç dengesi, "rıza vermezsem işimi kaybederim" kaygısı ve sistemin fiilen zorunlu oluşu nedeniyle, çalışanların verdiği açık rızanın hukuken geçerli olmadığı tespit edildi. Bu durum, biyometrik verilerin işlenmesi için alınan rızanın gerçekten serbest ve bilgilendirilmiş olması gerektiğini vurguluyor.

2. Daha Az Müdahaleci Yöntemler Varken Biyometrik Veri İşlenmesi Ölçüsüzdür: Mesai takibi gibi bir amaç için kartlı giriş, manyetik turnike veya imza föyü gibi kişilerin temel hak ve özgürlüklerine daha az müdahale eden seçenekler mevcutken, kişinin yüz görüntüsünün saklanması ve işlenmesi amaca göre ölçüsüz görüldü. KVKK, işverenlerin bir amacı gerçekleştirmek için her zaman en az kişisel veri gerektiren yolu tercih etmesi gerektiğini belirtti.

3. Veri Güvenliği Tedbirleri Yeterli Değildir: 6698 sayılı KVKK’nın 12. maddesi gereği, veri sorumlusunun biyometrik veri gibi "özel nitelikli kişisel veri" kategorisindeki yüksek riskli veriler için üst düzey teknik ve idari tedbirler alması gerektiği, ancak okulun bu yükümlülüğü yerine getirmediği tespit edildi.

Çalışanlar Bu Karardan Neler Öğrenmeli?

Bu karar, işverenlerin teknolojik takip sistemleri kullanırken dikkat etmeleri gereken yasal çerçeveyi netleştirirken, çalışanların da kişisel verileri üzerindeki haklarını daha iyi anlamalarını sağlıyor:

• Rızanızın Geçerliliği: İşvereniniz sizden biyometrik verilerinizi (parmak izi, yüz görüntüsü vb.) kullanmak için "açık rıza" istiyorsa, bu rızanın gerçekten özgür iradenizle, baskı altında kalmadan ve işinizi kaybetme korkusu olmadan verilmiş olması gerekmektedir. Aksi takdirde, bu rıza hukuken geçersiz sayılabilir.
• Alternatif Yöntem Talebi: Mesai takibi gibi bir amaçla biyometrik sistem kullanılması durumunda, işvereninizin size kartlı geçiş, imza föyü gibi daha az kişisel veriyi işleyen alternatifler sunma yükümlülüğü vardır. Alternatifsiz ve zorunlu biyometrik veri kullanımı, genellikle KVKK kurallarına aykırıdır.
• Veri Güvenliği Hakkınız: Biyometrik verileriniz "özel nitelikli kişisel veri" olduğu için işvereninizin bu verileri en üst düzeyde koruma sorumluluğu vardır. Veri güvenliği konusunda endişeleriniz varsa veya veri ihlali şüphesi duyuyorsanız, durumun yetkili mercilere bildirilmesini talep etme hakkına sahipsiniz.
• Haklarınızı Arayın: Kişisel verilerinizin işlenmesiyle ilgili şüpheleriniz veya şikayetleriniz varsa, Kişisel Verileri Koruma Kurumu'na başvurarak haklarınızı arayabilirsiniz. Bu karar, KVKK'nın çalışanların lehine, veri güvenliği ve kişisel hakları koruma konusundaki hassasiyetini net bir şekilde göstermektedir.

Özel okul örneği, teknolojik gelişmelerin getirdiği yeni takip sistemlerinin, kişisel veri güvenliği ve temel insan hakları karşısında sınırları olduğunu kanıtlar nitelikte. İşverenlerin bu tür sistemleri kurmadan önce KVKK mevzuatına tam uyum sağlaması, çalışanların da kişisel veri haklarını bilerek bilinçli adımlar atması büyük önem taşıyor.