Biyometrik Veri Nedir? Parmak İzi ve Yüz Tanımada KVKK

Biyometrik veri, kişinin fiziksel, fizyolojik veya davranışsal özelliklerinin, kimliğini benzersiz biçimde belirlemek ya da doğrulamak üzere özel teknik yöntemlerle işlenmesinden elde edilen kişisel veridir. Parmak iziyle doğrulama ve yüz tanıma bu alandaki örneklerdendir. Biyometrik veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veridir; işlenmesi m.6’daki şartlara ve m.4’teki genel ilkelere tabidir (KVKK m.6/1, m.6/3, m.6/4).

Bu rehber, kendisinden parmak izi veya yüz kaydı istenen kişi ile biyometrik doğrulama kullanımını değerlendiren veri sorumlusu için hazırlanmıştır. Hangi verinin toplandığı, hangi gerekçeyle işlendiği ve nerede saklandığı birlikte ele alınmalıdır. Genel kavramlar ve haklar KVKK ana rehberinde açıklanmıştır.

1. Biyometrik Veri Örnekleri Nelerdir?

Kişisel Verileri Koruma Kurumunun Mart 2025 tarihli Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehberi, fiziksel özelliklerle davranışsal özellikleri ayırır. Parmak izi, iris ve yüz fiziksel; yürüyüş ve klavye kullanım biçimi davranışsal örneklerdir. Ayırıcı nokta, özelliğin kimlik belirleme veya doğrulama amacıyla teknik olarak işlenmesidir. Rehber kanun değildir; teknik açıklamalar ve uygulama önerileri içerir.

Veri veya kullanım	Biyometrik veri bakımından ayrım
Parmak iziyle kimlik doğrulama	Kişiye özgü özelliğin doğrulamada kul­la­nıl­ma­sı­dır.
İris veya avuç içiyle eşleştirme	Bedensel özelliğin kimlik belirleme ya da doğrulamada işlen­me­si­dir.
Yürüyüş veya klavye kul­la­nı­mın­dan kimlik doğrulama	Davranışsal özelliğin bu amaçla teknik işlenmesi önem taşır.
Dosyada tutulan fotoğraf	Tek başına yüz tanıma yapıldığı anlamına gelmez.
Görüntüden yüz özellikleri çıkarıp kişiyle eşleştirme	Sıradan görüntü kaydından farklı bir işleme faa­li­ye­ti­dir.

1.1. Biyometrik Fotoğraf ile Yüz Tanıma Aynı mı?

Fotoğrafın adı veya vesikalık biçimi tek başına yeterli değildir. Kurumun Şubat 2025 tarihli Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi, fotoğrafın biyometrik veri sayılmasında benzersiz tanımlamaya veya doğrulamaya elveren belirli teknik işlemeyi esas alır. Bu nedenle fotoğrafı saklamak ile yüz tanıma için işlemek ayrı değerlendirilir.

Bir işletmenin kamera kaydı alması, kendiliğinden yüz tanıma yaptığı anlamına gelmez. Bununla birlikte görüntüde kimliği belirli veya belirlenebilir bir kişi bulunuyorsa kişisel veri söz konusudur; biyometrik olmaması veriyi koruma dışında bırakmaz (KVKK m.3/1-d). Görüntü kaydının diğer koşulları işyerinde kamera kaydı yazısında ele alınmıştır.

2. Biyometrik Veriler Hangi Şartlarla İşlenebilir?

Biyometrik verilerde özel nitelikli veri işleme şartları uygulanır. Kanunun 6. maddesi işlemeyi kural olarak yasaklar; üçüncü fıkrasında belirtilen şartlardan biri varsa işleme mümkün olabilir. Buna ek olarak genel ilkelere uyulması ve yeterli önlemlerin alınması gerekir. Bu koşullar birbirinin yerine geçmez (KVKK m.4, m.6/3, m.6/4).

Örneğin açık rızanın bulunması, kanunda açıkça öngörülme veya bir hakkın tesisi, kullanılması ya da korunması için zorunluluk, kanunda ayrı bentlerde düzenlenmiştir. İstihdam alanındaki bent ise bu alandaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk arar. Bir işletmenin biyometrik sistem kullanmayı tercih etmesi, bu şartlardan birinin oluştuğunu tek başına göstermez (KVKK m.6/3-a, b, d, f).

İşleme şartları 7499 sayılı Kanunla 2024 yılında değişmiştir; m.6’nın ikinci fıkrası kaldırılmış, üçüncü fıkrası yeniden düzenlenmiştir. Eski sağlık verisi ayrımını esas alan metinlerle yetinilmemelidir. Güncel şartların tamamı ve kapsamları özel nitelikli kişisel veri rehberinde açıklanmıştır (KVKK m.6/2, m.6/3).

2.1. Açık Rıza Formu Neden Tek Başına Yeterli Değildir?

Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Konusu belirsiz bir genel onay, bu tanımın yerine geçmez. İlgili kişinin neye izin verdiği ve kararını hangi koşullarda açıkladığı incelenmelidir (KVKK m.3/1-a).

Geçerli rıza bulunması da amaçla bağlantılılık, sınırlılık ve ölçülülük denetimini ortadan kaldırmaz. İşletmenin elinde imzalı bir belge olmasıyla biyometrik verinin o amaç için gerekli ve ölçülü olması ayrı meselelerdir (KVKK m.4/2-ç, m.6/3-a). Rızanın unsurları açık rıza rehberinde ayrıntılı anlatılmıştır.

2.2. İşyerindeki İhtiyaç Biyometrik Veriyi Kendiliğinden Gerekli Kılar mı?

İstihdam alanında hukuki yükümlülük bulunmasıyla bu yükümlülüğü yerine getirmek için biyometrik veri işlemenin zorunlu olması aynı şey değildir. Kanundaki şart, istihdam alanındaki hukuki yükümlülüğün yerine getirilmesi için zorunluluk arar; amaçla bağlantılılık ve ölçülülük ayrıca korunur (KVKK m.6/3-f, m.4/2-ç).

Bu genel açıklama, parmak izi veya yüz tanımayla mesai takibi kurulabileceği anlamına gelmez. Çalışma saatlerini izleme ihtiyacından doğrudan biyometrik veri toplama yetkisi çıkarılmamalıdır. Rehberin burada açıkladığı genel işleme şartları, belirli bir işyerindeki sisteme izin verildiği yönünde yorumlanamaz.

3. Veri Toplanmadan Önce Neler Açıklanmalı?

Veri sorumlusu veya yetkilendirdiği kişi, veriler elde edilirken ilgili kişiyi bilgilendirmekle yükümlüdür. Kimlik, işleme amacı, verilerin kimlere hangi amaçla aktarılabileceği, toplama yöntemi, hukuki sebep ve ilgili kişinin hakları açıklanmalıdır. Cihazın yanına yalnızca KVKK’ya uyulduğunu belirten bir ifade koymak bu bilgilerin yerini tutmaz (KVKK m.10).

Parmak izi alınırken hangi işlemin yapıldığı okuyucu için anlaşılır olmalıdır. Veri sorumlusunun hazırlığı, teknik ekibin sistem hakkında bildikleriyle aydınlatmada yazanları karşılaştırarak yapılabilir:

• Parmak izi görüntüsü mü, türetilmiş şablon mu, yoksa her ikisi mi tutuluyor?
• İşleme amacı ve dayandığı m.6/3 şartı hangisi?
• Sistemi kullanan işletme ile hizmet sağlayıcının rolleri neler?
• Verilere kimler erişebiliyor, veriler başka bir alıcıya aktarılıyor mu?
• Kayıt nerede tutuluyor ve saklama süresi hangi gerekçeye dayanıyor?

Bu sorular bir hazırlık listesidir; yanıtlanmaları tek başına hukuka uygunluk veya sistem kullanma izni sağlamaz. Aydınlatma yükümlülüğü ile veri sorumlusu ve veri işleyen ayrımı ayrıca değerlendirilmelidir. Genel hazırlık düzeni KVKK uyum süreci yazısında açıklanmıştır.

4. Şablon veya Şifreleme Veriyi Anonim Hâle Getirir mi?

Bir verinin sayısal koda ya da şablona dönüştürülmesiyle anonim hâle gelmesi aynı şey değildir. Kanundaki anonimleştirme ölçütü, başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir gerçek kişiyle ilişki kurulamamasıdır. Şablon hâlâ belirli kişinin kimliğini doğrulamak için kullanılıyorsa yalnızca ham görüntünün tutulmaması bu ölçütün sağlandığını göstermez (KVKK m.3/1-b, m.3/1-d).

Bu nedenle veri akışı incelenirken görüntünün yanı sıra türetilmiş kayıtlar da sorulmalıdır. Kullanıcı hesabı, eşleştirme bilgisi ve şablon arasındaki bağın devam edip etmediği açıklığa kavuşturulmalıdır. Şifreleme, güvenliği sağlamaya yönelik bir önlemdir; kişisel veri işleme şartını veya anonimleştirme sonucunu kendiliğinden oluşturmaz (KVKK m.3, m.6, m.12).

5. Biyometrik Veriler Nasıl Korunur?

Veri sorumlusu hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır. Biyometrik verinin özel nitelikli olması nedeniyle yeterli önlem şartı da uygulanır (KVKK m.12/1, m.6/4).

Kurumun biyometrik veri rehberi; şifreleme ve anahtar yönetimi, erişimlerin sınırlandırılması, sentetik verilerle test ve ihlal durumuna hazırlık üzerinde durur. Bunlar yalnızca cihaz satın almakla tamamlanan bir güvenlik çalışması değildir. Teknik tedbirler, erişim yetkileri ve işletme içindeki sorumluluklarla birlikte ele alınmalıdır.

Bir hizmet sağlayıcının işletme adına veri işlemesi, veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmaz. Kanun, bu durumda m.12/1’deki tedbirler bakımından veri sorumlusuyla veri işleyenin müşterek sorumluluğunu düzenler; veri sorumlusu gerekli denetimleri de yapmak veya yaptırmak zorundadır (KVKK m.12/2-3).

Veriler kanuni olmayan yollarla başkaları tarafından elde edilmişse ilgili kişiye ve Kurula en kısa sürede bildirim yükümlülüğü doğar. Olayın tespiti ve bildirim hazırlığı veri ihlali bildirimi rehberinde ele alınmıştır (KVKK m.12/5).

6. Bulutta Saklama ve Yurt Dışına Aktarım Nasıl Değerlendirilir?

Önce fiilî veri akışı belirlenir. Sağlayıcının adıyla yetinmek yerine saklama yeri, alıcılar ve aktarım olup olmadığı incelenir. Yurt dışına aktarım varsa, biyometrik veri için m.6’daki işleme şartının yanında m.9’daki aktarım koşulları da sağlanmalıdır. Veriyi şifrelemek bu iki değerlendirmeyi ortadan kaldırmaz (KVKK m.6, m.9, m.12).

Kanun, işleme şartıyla birlikte yeterlilik kararı bulunmasını; yeterlilik kararı yoksa ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi koşuluyla uygun güvencelerden birinin sağlanmasını düzenler. Bunların da sağlanamadığı durumdaki istisnai yollar arızi aktarımlarla sınırlıdır. Bu nedenle riskler açıklanarak alınan açık rıza, sürekli bulut aktarımını karşılayan genel bir izin gibi kullanılamaz (KVKK m.9/1, m.9/4, m.9/6).

Aktarım yolları, standart sözleşme ve sonraki aktarımların kapsamı yurt dışına veri aktarımı yazısında açıklanmıştır.

7. Biyometrik Veriler Ne Kadar Saklanır, Nasıl Silinir?

KVKK, bütün biyometrik veriler için ortak bir saklama yılı belirlemez. Ölçüt, ilgili mevzuatta öngörülen veya verinin işlenme amacı için gerekli olan süredir. İşlenmesini gerektiren sebepler ortadan kalktığında veri sorumlusu, resen veya ilgili kişinin talebi üzerine silme, yok etme ya da anonim hâle getirme işlemini yapar; diğer kanunlardaki hükümler saklıdır (KVKK m.4/2-d, m.7).

Saklama planında yalnızca cihazdaki ilk kayıt düşünülmemelidir. Teknik ekip, görüntü ve şablonun yanında sunucu, yedek ve sağlayıcıdaki kopyaların da nerede bulunduğunu belirleyebilir. Böylece silme işleminin hangi kayıtları kapsadığı somut olarak incelenebilir. Bir kişinin hesabının kapatılması, bütün kişisel verilerinin silindiğini tek başına göstermez.

İşlemlerin ayrımı ve saklama politikasının hazırlanması kişisel verilerin imhası yazısında anlatılmıştır.

8. Kişi Kendi Biyometrik Verisi İçin Nasıl Başvurur?

Kişi, veri sorumlusuna başvurarak verisinin işlenip işlenmediğini, işleme amacını, amaca uygun kullanılıp kullanılmadığını ve aktarıldığı üçüncü kişileri öğrenebilir. Eksik veya yanlış verinin düzeltilmesini; m.7’deki şartlar varsa silinmesini veya yok edilmesini de isteyebilir. Bu son taleplerin, verinin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı da vardır (KVKK m.11/1).

Başvuruyu somutlaştırmak için şu sıra izlenebilir:

1. Veri sorumlusunu belirleyin. İşleme amaçlarını ve vasıtalarını kimin belirlediğine, aydınlatmada hangi işletmenin gösterildiğine bakın (KVKK m.3/1-ı, m.10/1-a).
2. İşlemi tarif edin. Hangi yerde, hangi cihaz veya uygulama üzerinden parmak izi ya da yüz kaydı alındığını belirtin; hangi hakkınızı kullandığınızı açıklayın (KVKK m.11, m.13/1).
3. Talebi yöneltin. İşleme ve aktarım hakkında bilgi; koşulları oluşmuşsa düzeltme, silme veya yok etme talep edebilirsiniz. Silme talebini, işlemeyi gerektiren sebebin neden ortadan kalktığıyla ilişkilendirin (KVKK m.7, m.11).
4. Başvuruyu ve cevabı saklayın. Başvuru yazılı olarak veya belirlenen diğer yöntemlerle yapılır. Veri sorumlusu en kısa sürede ve en geç otuz gün içinde sonuçlandırır; kural ücretsiz işlem yapılmasıdır, ayrıca maliyet gerektiren işlemde kanundaki tarife istisnası saklıdır (KVKK m.13/1-2).

Başvuru usulü veri sorumlusuna başvuru rehberinde açıklanmıştır. Başvuru yolu tüketilmeden Kurula şikâyete geçilemez. Başvurunun reddi, yetersiz cevap veya süresinde cevap verilmemesi durumlarında süreler ve izlenecek yol KVKK şikâyeti rehberinde ele alınmıştır (KVKK m.14/1-2).