Biyometrik imza verisinin kullanılmasına ilişkin görüş talebi” ile ilgili olarak Kişisel Verileri Koruma Kurulunun 27.08.2020 Tarihli ve 2020/649 Sayılı Karar Özeti

Kurum’a intikal eden bir başvuruda biyometrik imzanın 6698 sayılı Kanun’un (“KVKK”) m. 6/3 kapsamında değerlendirilip değerlendirilemeyeceği ile ilgili görüş talep edilmiştir. Bu kapsamda Kurum, biyometrik imzayı 6098 sayılı Türk Borçlar Kanunu (“TBK”) hükümlerini de dikkate alarak değerlendirmiştir.

Bilindiği üzere, KVKK m. 6’da biyometrik veri, özel nitelikli kişisel veriler arasında sayılmış olup, biyometrik veriler açık rıza bulunmayan hallerde ancak kanunlarda öngörülmesi halinde işlenebilmektedir. Bu kapsamda Kurum, biyometrik verinin TBK hükümleri dikkate alınarak KVKK m. 6/3 kapsamında “Kanunlarda öngörülen haller” çerçevesinde yer alıp almayacağına ilişkin bir değerlendirme yapmıştır.

TBK, sözleşmelerin şekline ilişkin düzenlemelerinde, sözleşmelerde elektronik imza ile imza atılması halinde el yazısı ile atılmış imza ile aynı hükümleri doğuracağını ifade etmiştir. Ancak Kurum, KVKK’da yer alan düzenlemeyi, biyometrik imzayı kapsayacak şekilde yorumlamanın hem KVKK m. 6/3 uyarınca “kanunlarda öngörüldüğü haller” istisnasının geniş yorumlamasına yol açacağı hem de ölçülülük ilkesine aykırı olacağını belirtmiştir. Her ne kadar güvenli elektronik imza ile klasik imza doğurduğu hukuki sonuçlar bakımından aynı olarak düşünülse de, kanun koyucunun hem klasik imzayı hem de güvenli elektronik imzayı ayrı ayrı düzenlemesi sebebiyle KVKK’da yer alan “imza” ya ilişkin düzenlemenin klasik imza ve güvenli elektronik imza ile sınırlı olması gerektiğini belirtmiştir.

Bu itibarla,

• Biyometrik imzanın biyometrik veri niteliğini haiz olduğu,
• Bu nitelikteki verilerin işlenebilmesinin KVKK m. 6 uyarınca kanunlarda öngörülme şartının gerçekleşmesi ya da ilgili kişilerden açık rıza alınması ile mümkün olabileceği,
• TBK m. 15’te yer alan hükmün KVKK m. 6/3 fıkrasında yer alan “kanunlarda öngörülme” şartına karşılık gelmediği,
• Bu sebeple söz konusu işlemenin ancak ilgili kişilerden;
  • Açık rıza alınması,
  • KVKK m. 10 kapsamında gerekli aydınlatmanın yapılmış olması,
  • KVKK m. 6/4 kapsamında Kurul tarafından belirlenen “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” in de dikkate alınması şartıyla gerçekleştirilebileceği değerlendirilmiştir.

Yukarıda verilen bilgiler ışığında kararın tam metnine https://kvkk.gov.tr/Icerik/6815/2020-649 linki üzerinden ulaşabilirsiniz. Konu ile ilgili sorularınız olması halinde bizimle iletişime geçebileceğinizi hatırlatmak isteriz.