Bina girişinde el geometrisi taraması: biyometrik veri kararı (2022/662)

Karar 2022/662 · 7 Temmuz 2022 · KOBİ özeti: Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kurul, elin 31.000 noktadan üç boyutlu taranmasıyla kimlik doğrulayan sistemin biyometrik veri işlediğini; bunun m. 6 kapsamında özel nitelikli veri olduğunu ve bina girişi için açık rıza dışında hiçbir işleme şartının bulunmadığını belirtti. İşletmenin 'el geometrisi kişiye özgü değildir' savunması, sistemin yanılma oranı gösterilerek reddedildi. 100.000 TL idari para cezası, uygulamanın durdurulması (m. 15/7) ve toplanan verilerin imhası.

Uyarı: Bu sayfa, Kişisel Verileri Koruma Kurulu'nun kamuya açık karar özetinin işletme diliyle yeniden anlatımıdır; hukuki görüş veya danışmanlık değildir. Kararın resmî metni için kvkk.gov.tr kaynağına gidin; kendi durumunuz için bir hukukçuya danışın.

Olay

İşletmenin abonesi olan bir kişi, hizmet binasına girişte 'Biyometrik El Geometrisi Terminali' adlı cihaza elini koymak zorunda kaldığını, avuç içi ve parmak bilgisinin geçerli bir açık rıza olmadan tarandığını ve kayıtlarda işlendiğini belirterek Kurul'a başvurdu. Sistem, el geometrisini şifreyle birlikte kimlik doğrulama için kullanıyordu.

İşletme savunmasında el geometrisinin kişiye özgü olmadığını, başka biriyle aynı olabileceğini, dolayısıyla biyometrik değil sıradan kişisel veri olduğunu ileri sürdü. Karar özetinde alternatif bir giriş yönteminin sunulduğundan söz edilmiyor.

Kurul ne dedi?

Kurul önce verinin niteliğini belirledi. Cihaz elin 31.000 noktasını üç boyutlu tarıyor ve kimliği otomatik doğruluyordu; üreticinin açıkladığı yanılma oranı yüz trilyonda birin altındaydı. Fiziksel özelliklerden özel teknik işlemeyle üretilen ve kimlik doğrulamaya yarayan bu veri, biyometrik veridir ve m. 6 kapsamında özel nitelikli kişisel veridir.

Özel nitelikli veri, sağlık ve cinsel hayat dışında kalan türlerde yalnızca açık rızayla veya kanunlarda öngörülen hâllerde işlenebilir. Bina girişi için böyle bir kanun hükmü yoktu; ilgili kişinin rıza göstermediği de tartışmasızdı. Kurul ayrıca, geçerli bir rıza için gerekli olan ön bilgilendirmenin (kapsam, amaç, sınırlar, sonuçlar) yapılmadığını tespit etti. Hukuka aykırı işleme, m. 12/1'deki 'hukuka aykırı işlemeyi önleme' yükümlülüğünün de ihlali sayıldı.

Sonuç: özel nitelikli veri işlenmesi ve çok sayıda abonenin etkilenmesi gözetilerek 18/1-b uyarınca 100.000 TL idari para cezası; m. 15/7 uyarınca el geometrisiyle giriş uygulamasının durdurulması; bugüne kadar toplanan verilerin İmha Yönetmeliği'ne uygun olarak ivedilikle yok edilmesi, aktarıldıysa üçüncü kişilere bildirilmesi ve sonucun Kurul'a raporlanması.

Dayanak

• KVKK m. 3 ve m. 6/1 — Biyometrik veri özel nitelikli kişisel veridir; açık rıza olmadan işlenemez.
• KVKK m. 6/3 — Kanunlarda öngörülen hâl istisnası — bina girişi için böyle bir hüküm yok.
• KVKK m. 10 — Geçerli rıza için önceden yeterli bilgilendirme.
• KVKK m. 7 ve m. 15/7 — Verilerin yok edilmesi; uygulamanın durdurulması.
• KVKK m. 12/1 ve m. 18/1-b — İdari para cezasının dayanağı.

KOBİ için üç ders

1. Parmak izi, yüz, avuç, el geometrisi: hepsi aynı kategoride

   Cihaz satıcısının 'bu biyometrik sayılmaz' demesi Kurul'u bağlamaz. Kimliği otomatik doğrulayan her fiziksel özellik taraması özel nitelikli veri işlemesidir.

2. Biyometrik girişe her zaman alternatif koyun

   Kart, PIN veya QR gibi rıza gerektirmeyen bir yol yoksa, alınan rıza 'özgür irade' testini geçmez. PDKS ve bina giriş sistemlerinde alternatif yöntem standart olsun.

3. Durdurma kararı cezadan daha pahalı olabilir

   Kurul yalnızca ceza vermedi; sistemi durdurdu ve verileri imha ettirdi. Yatırım yapmadan önce açık rıza ve alternatif yöntem planını yazın; personel için personel açık rıza metni şablonumuza bakın.

Bu kararla ilgili belge ve araçlar

• Parmak iziyle mesai takibi: Kurul'un biyometrik veri kararı
• Personel açık rıza metni şablonu — biyometrik veri bölümü
• Karar 2022/1357: spor salonunda kan grubu ve parmak izi
• KVKK uyum rehberi

Sık sorulan sorular