Yüz tanıma ve plaka tanıma kameraları KVKK'ya uygun mu? Biyometrik veri ve işyeri kuralları

Yüz tanıma terminalleri ve "yapay zekâlı" kameralar birkaç yıl önce yalnızca büyük kurumların kullanabildiği bir teknolojiydi; bugün bir PDKS cihazı ya da kapı kilidi fiyatına bulunabiliyor. Bu yüzden işletmelerden sık duyduğumuz soru şu: "Personel girişini ya da müşteri tanımayı yüz tanımayla yapabilir miyim?" Teknik olarak evet. Hukuki olarak ise yüz tanıma, KVKK açısından biyometrik veri işlemek demektir ve bu, sıradan kamera kaydından çok farklı kurallara tabidir. Bu yazı bilgilendirme amaçlıdır; kendi durumunuz için bir hukukçuya danışmanızı öneririz.

Biyometrik veri neden özel?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi biyometrik verileri, sağlık ve din gibi bilgilerle birlikte özel nitelikli kişisel veri olarak sayar. Sebebi basit: şifrenizi değiştirebilirsiniz, yüzünüzü değiştiremezsiniz. Bu veri bir kez sızarsa kişinin ömür boyu taşıyacağı bir risk oluşur.

Özel nitelikli veriler ancak kanunda sayılan sınırlı şartlarla işlenebilir ve Kurul'un belirlediği ek güvenlik önlemlerinin alınması gerekir. 2024'te yapılan değişiklikle bu şartlar güncellendi; işlemeye başlamadan önce güncel kanun metnine ve Kurum rehberlerine bakmak gerekiyor.

Görüntü kaydı ile yüz tanıma aynı şey değil

Sadece görüntü kaydeden klasik bir güvenlik kamerası kişisel veri işler; bunun kuralları (aydınlatma metni, kayıt süresi, erişim yetkisi) ayrıdır ve işyeri kamerası ve KVKK yazımızda anlattık. Yüz tanıma ise görüntüden kişiye ait bir yüz şablonu çıkarır ve onu bir veri tabanıyla eşleştirerek "bu kişi Ahmet Bey" der. İşte bu adım biyometrik veri işlemesidir.

Benzer şekilde "insan algılama" yapan yapay zekâlı kameralar kişiyi tanımaz; yalnızca hareket edenin insan olduğunu anlar. Bu, biyometrik tanıma değildir.

Personel girişi (PDKS) için yüz tanıma

En yaygın kullanım personel devam takibi. Kişisel Verileri Koruma Kurulu, parmak izi ve yüz tanıma ile PDKS konusunda verdiği kararlarda ölçülülük ilkesini öne çıkardı: aynı amaca kartlı geçiş gibi daha az müdahaleci bir yolla ulaşılabiliyorsa, biyometrik yöntemin neden gerekli olduğu iyi gerekçelendirilmelidir. Çalışana alternatif sunulması ve iş ilişkisindeki güç dengesizliği nedeniyle rızanın gerçekten özgür olup olmadığı da değerlendirilir.

Pratik olarak birçok işletme için kartlı veya mobil uygulamalı PDKS, hem daha az hukuki risk taşır hem de yeterince iş görür. Yüksek güvenlikli alanlar (sunucu odası, kasa dairesi) gibi biyometrinin gerçekten gerektiği yerlerde kullanılması daha savunulabilir.

Yüz tanıma kullanılacaksa dikkat edilecekler

• Neden gerekli olduğunu, daha az müdahaleci yöntemin neden yetmediğini yazılı olarak gerekçelendirin.
• Aydınlatma metnini ve gerekiyorsa açık rıza metnini hazırlayın; alternatif yöntemi sunun.
• Yüz şablonlarını cihazda veya şifreli olarak saklayın, erişimi sınırlayın.
• Çalışan ayrıldığında şablonunu silin; saklama süresini belirleyin.
• Cihazın verileri nereye gönderdiğini (yurt dışı bulut) öğrenin; yurt dışına aktarım ayrı kurallara tabidir.

Plaka tanıma

Otopark, site girişi ve fabrika kapısında kullanılan plaka tanıma sistemleri biyometrik veri işlemez; ama plaka bir kişiyle ilişkilendirilebildiği için kişisel veridir. Giriş noktasında aydınlatma levhası, kayıtların belirli bir süre sonra silinmesi ve kayıtlara kimin bakabileceğinin tanımlanması yeterli temel önlemlerdir.

Kendi geliştirdiğimiz Personel Devam Kontrol Sistemi kartlı geçiş ve farklı cihazlarla çalışabiliyor. İşyerinize uygun geçiş ve kamera sistemini KVKK'yı da gözeterek kurmak için Tokat'ta güvenlik sistemleri ekibimizle görüşebilirsiniz.