KVKK Başvurusunda Kimlik Teyidi İçin Hangi Belge İstenebilir?

KVKK Başvurusunda Kimlik Teyidi İçin Hangi Belge İstenebilir?

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri işleme şartları, Kurul kararları ve uyum süreçleri için çalışma alanı.

Kısa cevap: Veri sorumlusu, başvuruyu yapanın gerçekten ilgili kişi olduğunu doğrulamak için ek bilgi isteyebilir. Ancak istenen bilgi doğrulama amacıyla sınırlı olmalıdır. KVKK Kurulu 01.10.2019 tarihli ve 2019/294 sayılı kararında, din ve kan grubu gibi bilgileri de içeren arkalı önlü kimlik görüntüsü istenmesini ölçülülük ilkesine ve özel nitelikli veri kuralına aykırı bulmuştur.

Kurul Ne Dedi?

Karara konu olayda bir havayolu şirketi, sadakat programı kullanıcısından kullanıcı adı ve parola değişikliği için arkalı önlü kimlik görüntüsü istemiştir. Kurul, kimliğin teyidi için ek bilgi istenmesini yerinde bulmuş, ancak kimlik görüntüsünün din ve kan grubu gibi özel nitelikli verileri de içermesi nedeniyle bu talebi 6698 sayılı Kanun m. 4/2-(ç) ve m. 6 bakımından hukuka aykırı saymıştır. Kurul'un gerekçesinde kimlik doğrulama için daha az verinin işlenmesinin mümkün olduğu da belirtilmiştir.¹ Kararın ayrıntıları karar analizi sayfasında yer alır.

Hangi Yöntem Daha Az Veri İşler?

Kurul belirli bir yöntemi zorunlu kılmamıştır; teyit yönteminin ve işlenecek verilerin veri sorumlusunca gözden geçirilmesi talimatlandırılmıştır. Kararın mantığı içinde daha az veri işleyen yöntemler, kayıtlı iletişim bilgisine doğrulama kodu gönderilmesi veya hesapta zaten bulunan bilgilerle eşleştirme gibi seçeneklerdir. Bunlar karardaki örnekler değil, aynı ölçülülük mantığından çıkarılan uygulama seçenekleridir.

Uygulamada

Başvuru sahibi, kimlik görüntüsü istendiğinde talebin kapsamını yazılı olarak sorgulayabilir ve daha dar bir doğrulama yöntemi isteyebilir. Kimlik görüntüsü gönderilmişse, doğrulama bittikten sonra silinmesi talep edilebilir; veri sorumlusunun "tutulmuyor" yanıtının doğruluğu Kurul önünde denetlenebilir. Veri sorumlusu açısından ise kimlik teyidi için hangi verinin gerekli olduğu yazılı olarak belirlenmeli, çağrı merkezi çalışanlarının bu kurala uygun hareket ettiği denetlenmelidir.

---

İlgili içerikler için bkz. KVKK Veri Sahibi Başvurusu Nasıl Yapılır?, Şirketten Kişisel Verilerimin Silinmesini Nasıl İsterim? ve Kişisel Verilerin Korunması Rehberi.

Dipnotlar

1. KVKK Kurulu, 01.10.2019, 2019/294. Karar özeti Kişisel Verileri Koruma Kurumu internet sitesinde yayımlanmıştır. ↩