Spor salonunda avuç içi taramayla üye girişi: 2020/167 kararı

Karar 2020/167 · 27 Şubat 2020 · KOBİ özeti: Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kurul, üye girişi için el/avuç içi taraması kullanan spor salonunun, kart gibi daha az müdahaleci yöntem varken biyometrik veri toplamasını ölçülülük ilkesine aykırı buldu. Açık rıza alınmış olması aşırı veri toplamayı meşrulaştırmaz. 225.000 TL idari para cezası; biyometrik girişin durdurulması ve verilerin imhası.

Uyarı: Bu sayfa, Kişisel Verileri Koruma Kurulu'nun kamuya açık karar özetinin işletme diliyle yeniden anlatımıdır; hukuki görüş veya danışmanlık değildir. Kararın resmî metni için kvkk.gov.tr kaynağına gidin; kendi durumunuz için bir hukukçuya danışın.

Olay

Bir üye, spor salonuna girişte el ve avuç içi tarama sisteminin kullanıldığını, üyeliğin bu sisteme bağlı yürütüldüğünü şikâyet etti. Salon, üyelerden açık rıza aldığını ve isteyene kartla giriş alternatifi sunduğunu savundu.

Kurul, biyometrik verinin ne olduğunu GDPR tanımına ve Danıştay içtihadına atıfla açıkladı: kişinin fiziksel özelliklerinden teknik işlemle elde edilen, onu benzersiz biçimde tanımlayan veri. Avuç içi damar ve el geometrisi bu kapsamdadır.

Kurul ne dedi?

Kurul'un ana tespiti ölçülülük üzerineydi. Üyelik takibi ve tesise giriş kontrolü meşru bir amaçtır, ancak bu amaç kart, PIN veya üyelik numarası gibi yöntemlerle de karşılanabilir. Biyometrik veri değiştirilemez ve sızdığında geri alınamaz; bu nedenle amaç daha hafif bir yöntemle sağlanabiliyorsa biyometriye başvurmak 'amaçla bağlantılı, sınırlı ve ölçülü olma' ilkesine aykırıdır.

Salonun 'açık rıza aldık' savunmasını Kurul kabul etmedi. Açık rıza bir işleme şartıdır, ama Kanun'un 4. maddesindeki genel ilkeleri devre dışı bırakmaz: kişi rıza vermiş olsa da veri sorumlusu gereğinden fazla veri toplayamaz. Kart alternatifinin sunulması da sonucu değiştirmedi; biyometrik sistem varsayılan yöntem olarak kurulmuştu.

Sonuç: veri güvenliği yükümlülüğünün ihlali nedeniyle 225.000 TL idari para cezası; biyometrik veri işlemenin durdurulması, toplanan verilerin imha edilerek Kurul'a bildirilmesi ve aydınlatma metninin gerçek uygulamaya göre güncellenmesi talimatı.

Dayanak

• KVKK m. 4/2-ç — İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma — kararın merkezindeki ilke.
• KVKK m. 6/1 — Biyometrik veri özel nitelikli kişisel veridir.
• KVKK m. 12/1-a — Kişisel verilerin hukuka aykırı işlenmesini önlemek için gerekli tedbirleri alma yükümlülüğü.
• KVKK m. 18/1-b — İdari para cezasının dayanağı.

KOBİ için üç ders

1. Açık rıza 'her şeyi yapabilirim' belgesi değildir

   Rıza alsanız bile ölçülülük ilkesi geçerli. Bir veriyi toplamadan önce 'daha hafif bir yöntemle aynı işi görebilir miyim' sorusunu envanterinize yazın.

2. Turnike için biyometri gerekmez

   Üye kartı, QR kod veya uygulama bildirimi aynı amacı karşılar. Biyometrik sistemi yalnız kanunen dayanağı olan ve alternatifsiz durumlar için düşünün.

3. Aydınlatma metni fiili uygulamayı anlatmalı

   Metinde 'kartla giriş' yazıp kapıda el taratmak, aydınlatmanın doğru olmaması demektir. Sistemi değiştirdiğinizde metni de aynı gün güncelleyin.

Bu kararla ilgili belge ve araçlar

• Spor salonları için veri envanteri — üyelik, sağlık beyanı, kamera süreçleri
• Biyometrik mesai takibi: 2026/921 kararı
• Açık rıza metni nasıl yazılır
• Kamera aydınlatma metni şablonu