İstanbul'daki saygın bir özel eğitim kurumu, 2021 yılından itibaren okulun giriş ve çıkış noktalarına yüz tanıma sistemi tesis etti. Bu biyometrik veri toplama uygulaması, okul çalışanları arasında büyük bir rahatsızlığa yol açtı.
⚖️ ÖĞRETMENLERDEN KVKK’YA SUÇ DUYURUSU VE KORKU ORTAMI İDDİASI
Uygulamadan huzursuzluk duyan bir grup öğretmen, avukatları vasıtasıyla Kişisel Verileri Koruma Kurumu (KVKK) Başkanlığı'na başvurdu. Şikayet dilekçesinde, okulun "kişisel verilerin kaydedilmesi suçunu" işlediği öne sürüldü. Başvuruda, özel nitelikli kişisel verilerin çalışanların rızası dışında ve zorla kayıt altına alındığı şu ifadelerle vurgulandı:
"Müvekkillerimiz, mesleklerini kaybetme ve işten çıkarılma endişesiyle bu hukuka aykırı durum karşısında uzun süre sessiz kaldı ve şikayette bulunmadı. Kurum, her gün işe giriş ve çıkışlarda müvekkillerin biyometrik nitelikteki özel kişisel verilerini, yani yüzlerini kaydetti ve depoladı."
Okul yönetiminin, "isteyen kart okutur, isteyen yüzünü okutur" gibi gösterişli savunmalar yaptığı belirtilse de, dilekçede çalışanların rızası alınmadan, zorla sistemlere kaydedilip yüz okutma zorunluluğu getirildiği ifade edildi. Hatta, "Öncelik yüz okutmak" denilerek uygulamanın dayatıldığı iddia edildi. Öte yandan, kullanılan kimlik kartlarında da zaten çalışanların yüz fotoğraflarının bulunduğu bilgisi paylaşıldı. Bu verilerle, çalışanların mesai giriş çıkışları düzenli olarak takip edilip tutanaklara titizlikle işlendi.
Başvuruda, kişisel verilerin bu denli sistematik bir biçimde kayıt altına alınabilmesi için verilerin korunmasına dair esas ve usullerin yasal düzenlemelerle belirlenmesinin zorunlu olduğunun altı çizildi. Yasal altyapısı ve teknik imkânları eksik olan bir idarenin, bireyin rızasını alsa bile bu işleminin hukuken geçerli sayılmayacağı belirtildi.
🏫 OKUL YÖNETİMİ KVKK’YA SAVUNMASINI SUNDU
KVKK, yaşanan olayı re’sen (kendiliğinden) incelemeye aldı. Özel okul, Kurul'a gönderdiği savunma dilekçesinde, öncelikle kendilerine doğrudan bir başvuru yapılmadığı gerekçesiyle usul yönünden şikayetin reddedilmesini talep etti.
Okul, 6698 sayılı Kanun’da yer alan “İlgilinin açık rızası ve kanunlarda açıkça öngörülmesi” şartına uygun olarak kişisel verileri işlediklerini iddia etti. Kurumlarının Milli Eğitim Bakanlığı'na (MEB) bağlı köklü bir eğitim kuruluşu olduğunu ve yüz tanıma sisteminin 2021’de faaliyete geçtiğini doğruladı.
Yüz tanıma seçeneği dışında, okula kartlı giriş çıkış imkânının da mevcut olduğunu aktaran okul, bu sistemi; giriş çıkışları kontrol etmek, mesai saatlerine riayeti sağlamak ve güvenlik amacıyla, tamamen çalışanların isteğine bağlı olarak uyguladığını öne sürdü. Okul, öğretmen, personel, müdür ve müdür yardımcısı ayrımı yapmadan herkesi bu sisteme dahil ettiğini ve tüm çalışanlardan Kanun kapsamındaki açık rıza metinlerini aldığını savundu.
Ayrıca, okulun dilekçesinde, ihbarda bulunan kişilerin daha önce okulda çalıştığı, ancak iş sözleşmelerinin sona erdiği ve o dönemde dahi bu kişilerin açık rızalarının alındığı da ifade edildi.
💰 KVKK’DAN OKULA 700 BİN TL İDARİ PARA CEZASI
Tarafların iddialarını detaylıca inceleyen Kişisel Verileri Koruma Kurulu, nihai kararını açıkladı. Kurul, özel okulun, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun temel ilkelerini ihlal ettiğine hükmetti.
Kurul’un kararına göre, okulun uygulaması Kanun’un 4’üncü maddesindeki kişisel verilerin işlenmesinde bulunması gereken “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine ve Kanun’un 12’nci maddesindeki “veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma zorunluluğuna” aykırılık teşkil etti.
Bu gerekçelerle, Kurul özel okula 700 bin Türk Lirası idari para cezası uygulanmasına karar verdi.
⚖️ KURUL GEREKÇESİ: BİYOMETRİK VERİLERDE AÇIK RIZA YETERLİ DEĞİL VE 'ÖLÇÜLÜ DEĞİL'
Kurul kararının gerekçesinde, kritik bir tespitte bulunuldu: İşverenler, ilgili kişilerin biyometrik verilerini işleyebilmek için açık rızaya başvursalar dahi, bu durum tek başına geçerli bir veri işleme şartı oluşturmayacak.
Gerekçede, açık rızanın özgür iradeyle verilmemiş olması ve işleme faaliyetinin genel ilkelere uyum sağlamaması durumunda, biyometrik verilerin işlenmesinin doğrudan hukuka aykırı hale geleceği net bir şekilde ifade edildi.
Kurul, mesai takip sisteminin yapısı ve içeriği değerlendirildiğinde, amaçlanan hedefe ulaşmak için daha az müdahaleci yöntemler mevcutken biyometrik verilerin işlenerek giriş, çıkış ve geçiş takibi yapılmasının, amaçla bağlantısı ve ölçülü olma ilkesine kesinlikle aykırı olduğu sonucuna vardı.
Bu kararla birlikte KVKK, biyometrik verilerin işlenmesinde işverenlerin rıza almasının dahi mutlak bir hukuki dayanak sağlamadığı ve uygulamanın Ölçülülük İlkesi çerçevesinde değerlendirilmesi gerektiği yönündeki yaklaşımını bir kez daha vurguladı.
