Arkalı Önlü Kimlik Görüntüsü Talebi: KVKK Kurul Kararı

Arkalı Önlü Kimlik Görüntüsü Talebi: KVKK Kurul Kararı

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri işleme şartları, Kurul kararları ve uyum süreçleri için çalışma alanı.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 01.10.2019 tarihli ve 2019/294 sayılı kararıyla kimlik teyidinin nerede bittiğini ve fazla verinin nerede başladığını belirledi. Kimlik doğrulaması için ek bilgi istenmesi yerindedir; ancak din ve kan grubu gibi özel nitelikli bilgileri de taşıyan arkalı önlü kimlik görüntüsü istenmesi ölçülülük ilkesine ve özel nitelikli verilerin işlenmesine ilişkin kurala aykırıdır. Konunun bütünü kimlik fotokopisi alınması: dayanak, ölçülülük ve yaptırım makalesinde incelenmiştir.

Uyuşmazlığın Konusu

Bir havayolu şirketinin sadakat programını kullanan ilgili kişi, kullanıcı adı ve parola bilgilerini değiştirmek için veri sorumlusuna başvurmuştur. Veri sorumlusu, ilgili kişiye arkalı önlü kimlik görüntüsünü iletmesi hâlinde talebinin yerine getirileceğini bildirmiştir. İlgili kişi bilet bilgilerine erişebilmek için kimlik görüntüsünü elektronik olarak iletmiştir.

İlgili kişi daha sonra kimlik görüntülerinin silinmesini ve üçüncü kişilere aktarıldıysa onların kayıtlarından da silinmesini talep etmiştir. Veri sorumlusu bu talebe, güvenlik sebebiyle alınan kimlik görüntüsü gibi bilgilerin sistemlerinde tutulmadığı ve üçüncü kişilerle paylaşılmadığı yanıtını vermiştir. İlgili kişi, bu yanıtın ardından Kuruma başvurmuştur.¹

Kurul'un Gerekçesi

Kurul'un incelemesinde verilen yanıtın doğru olmadığı ortaya çıkmıştır. Veri sorumlusunun kendi incelemesine göre çağrı merkezi ekibi kimlik doğrulama sürecini şirket kurallarına uygun yürütmemiş, kimlik görüntüleri şikâyet modülü yazılım firmasının sunucularında bulunmuş ve silinmemiştir. İlgili kişi bu nedenle kişisel verilerinin saklandığı yerler ve paylaşıldığı kişiler hakkında yanlış bilgilendirilmiştir.

Kurul önce kimlik görüntüsünde yer alan verilerin özel nitelikli kişisel veri niteliği taşıdığını saptamıştır. Kimlik görüntüsü din ve kan grubu bilgilerini de içerdiğinden 6698 sayılı Kanun m. 5 ile m. 6 birlikte uygulanmış; ilgili kişinin açık rızası bulunmadığından işleme hukuka aykırı sayılmıştır. Ardından genel ilkeler tek tek denetlenmiştir: Hukuka ve dürüstlük kuralına, belirli ve açık amaç ilkesine, ölçülülük ilkesine ve gerekli süre kadar muhafaza ilkesine aykırılık tespit edilmiştir.

ilgili kişinin din ve kan grubu gibi özel nitelikli kişisel verilerini de içeren arkalı önlü kimlik görüntüsünün talep edilmesinin, Kanunun “Genel İlkeler” başlıklı 4 üncü maddesinde düzenlenen “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine uygun olmadığı gibi, Kanunun özel nitelikli kişisel verilerin işlenmesini düzenleyen 6 ncı maddesine de uygun olmadığı

KVKK Kurulu, 01.10.2019, 2019/294

Kurul, ölçülülük değerlendirmesini ayrıca şu tespitle desteklemiştir: Kimlik doğrulama işlemi için daha az verinin işlenmesi mümkündür; bu nedenle somut olayda işlenen kimlik görüntüsü, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırıdır. Kurul aynı gerekçede, veri sorumlusunun kimlik teyidi için ek bilgi istemesini yerinde bulduğunu da belirtmiştir.²

Yaptırım ve Talimatlar

Kurul, veri sorumlusunun 6698 sayılı Kanun m. 12/1 kapsamındaki veri güvenliği yükümlülüğünü yerine getirmediğini kabul etmiş ve m. 18/1-(b) uyarınca 100.000 TL idari para cezası uygulamıştır. Karar iki talimat da içermektedir. Birincisi, kimlik görüntüsünü içeren kişisel ve özel nitelikli verilerin veri sorumlusu ve veri işleyenlerin sistemlerinden silindiğinin ilgili kişiye bildirilmesi ve Kuruma bilgi verilmesidir. İkincisi, kendi adına veya başkası adına kişisel verilere ilişkin talepte bulunanların kimliklerinin teyidinde uygulanacak yöntem ile bu durumda işlenecek verilere ilişkin kurumsal düzenlemelerin gözden geçirilmesidir.

Analiz: Kararın Kurduğu Denge

Kararın ilk katkısı, kimlik teyidi ile kimlik görüntüsü toplamayı birbirinden ayırmasıdır. Kurul veri sorumlusunun teyit yapma hakkını reddetmemiş, teyidin aracını sınırlamıştır. Bu ayrım, sonraki Kurul uygulamasında yinelenmiştir: 06.11.2025 tarihli ve 2025/2120 sayılı ilke kararında kimliğin gösterilmesi ve bilgilerin doğrulanması hukuka uygun sayılmış, fotokopi alınması ise gereğinden fazla veri işleme olarak değerlendirilmiştir.

İkinci katkı, yanlış bilgilendirmenin bağımsız bir ihlal olarak ele alınmasıdır. Çağrı merkezi ilgili kişiye kimlik görüntülerinin tutulmadığını bildirmiş, ancak görüntüler üçüncü bir yazılım sağlayıcının sunucusunda kalmıştır. Kurul bu durumu başvuru hakkına riayet edilmemesi ve dürüstlük kuralına aykırılık olarak değerlendirmiştir. Veri işleyenlerin sistemleri, silme taleplerinde de denetim alanına dâhildir.

Kararın söylemediği şey de önemlidir. Kurul, veri sorumlusunun hiçbir koşulda kimlikle ilgili bilgi isteyemeyeceğini kabul etmemiştir. Kimlik doğrulama için hangi verinin yeterli olduğu somut olaya göre belirlenir; kararda yöntem önerisi yoktur, yöntemin veri sorumlusunca belirlenmesi talimatlandırılmıştır.

Uygulamada

Çağrı merkezi ve müşteri hizmetleri süreçlerinde kimlik teyidi, kimlik belgesinin görüntüsü yerine kayıtlı bilgilerle eşleştirmeye dayanan yöntemlerle kurulmalıdır. Kayıt sırasında alınmış iletişim bilgisine doğrulama kodu gönderilmesi veya hesapta zaten bulunan bilgilerle sorulan sorular, daha az veri işlenen yöntemlere örnektir. Bu yöntemlerin yeterli olup olmadığı veri sorumlusunun risk değerlendirmesine bağlıdır.

Kimlik görüntüsü yine de alınmışsa, doğrulama sonrasında silinmesi ve silme işleminin yazılım sağlayıcıları dâhil tüm veri işleyenleri kapsayacak şekilde kayıt altına alınması gerekir. İlgili kişi açısından karar, başvurudaki silme talebine verilen yanıtın doğruluğunun Kurul önünde denetlenebileceğini gösterir. Başvuru sürecinin genel çerçevesi için KVKK veri sahibi başvurusu nasıl yapılır sayfası, özel nitelikli verinin kapsamı için özel nitelikli kişisel veri nedir sayfası kullanılabilir.

Sonuç

2019/294 sayılı karar, kimlik doğrulamanın kendisini değil, doğrulamada istenen verinin kapsamını denetlemiştir. Arkalı önlü kimlik görüntüsü, özel nitelikli bilgi taşıdığı ve daha az veriyle doğrulama mümkün olduğu için hem m. 6'ya hem ölçülülük ilkesine aykırı bulunmuştur. Silme talebine verilen hatalı yanıt ise veri güvenliği ve başvuru hakkına riayet yükümlülüklerinin ihlali sayılmıştır. Aynı alandaki diğer Kurul kararlarının karşılaştırması için aidat borcunun ev sahibine bildirilmesi kararı ve işyerinde yüz tanıma sistemi kararı birlikte okunabilir.