Biyometrik İmza ve KVKK: Islak İmza Sayılır mı? (Karar: 2020/649)
Kişisel Verileri Koruma Kurulu (Kurul), 27/08/2020 tarihli bu görüş kararıyla, dijitalleşen iş dünyasında yaygınlaşan “Biyometrik İmza” (tablet veya dijital ped üzerine kalemle atılan imza) uygulamalarının hukuki statüsünü belirlemiştir. Karar, biyometrik imzanın Borçlar Kanunu’ndaki “ıslak imza” tanımına girip girmediğini ve bu verinin hangi şartlarda işlenebileceğini netleştirmiştir.
1. Kavramsal Ayrım: Islak İmza vs. Biyometrik İmza
Kurul, biyometrik imzanın klasik imzadan farkını teknik bir perspektifle ortaya koymuştur:
- Klasik (Statik) İmza: İmzanın görselliğine (geometrik şekline) odaklanır. Kağıt üzerindeki görüntü esastır.
- Biyometrik (Dinamik) İmza: İmzanın oluşum sürecine odaklanır. İmza atılırken uygulanan basınç, kalemin hızı, ivmesi, yazma açısı ve yönü gibi kişiye özgü benzersiz davranışsal özellikleri kaydeder.
2. Kurulun Hukuki Değerlendirmesi: “Kanunda Öngörülme” Şartı
Kurul, biyometrik imzanın işlenme şartlarını şu üç temel üzerinden analiz etmiştir:
A. Biyometrik Veri Statüsü (Md. 6)
Biyometrik imza, kişinin benzersiz davranışsal özelliklerini içerdiği için Özel Nitelikli Kişisel Veridir. Bu veriler, KVKK Madde 6 uyarınca ancak iki durumda işlenebilir:
- İlgili kişinin açık rızası olması,
- Kanunlarda açıkça öngörülmesi.
B. Borçlar Kanunu İstisna Sayılır mı?
Başvuruda, Türk Borçlar Kanunu’nun (TBK) 14. ve 15. maddelerindeki “imza” hükümlerinin, biyometrik imza için bir “kanuni dayanak” olup olmayacağı sorulmuştur.
- Kurulun Kararı: TBK’daki düzenleme sadece el yazısıyla atılan ıslak imzayı ve güvenli elektronik imzayı kapsamaktadır. Biyometrik imzayı bu maddeler kapsamında değerlendirmek, kanunu geniş yorumlamak olur ve ölçülülük ilkesine aykırıdır. Dolayısıyla, Borçlar Kanunu biyometrik imza işlemek için bir “kanuni izin” (dayanak) niteliği taşımaz.
3. Karar Sonucu: Biyometrik İmza İçin “Açık Rıza” Şart!
Kurul, biyometrik imza kullanmak isteyen veri sorumlularının şu üç adımı takip etmesi gerektiğini belirtmiştir:
- Açık Rıza: Kanunlarda biyometrik imzanın açıkça işlenebileceğine dair bir hüküm bulunmadığından, bu verinin işlenmesi ancak kişinin özgür iradesiyle vereceği açık rıza ile mümkündür.
- Aydınlatma Yükümlülüğü: Verinin nasıl işleneceği, basınç ve hız verilerinin nerede saklanacağı konusunda Md. 10 kapsamında detaylı aydınlatma yapılmalıdır.
- Yeterli Önlemler: Özel nitelikli verilerin güvenliği için Kurul tarafından belirlenen ek güvenlik önlemleri (şifreleme, erişim kısıtlaması vb.) uygulanmalıdır.
4. Özgür Eralp Perspektifi: “Tablet Üstündeki Her İmza Biyometrik Değildir”
Bilişim hukuku alanındaki tecrübemizde, kurumların tablet üzerine kalemle atılan her imzayı “biyometrik imza” sandığını görüyoruz. Ancak bir imzanın biyometrik olması için arka planda basınç, hız ve ivme gibi verileri kaydetmesi gerekir. Eğer cihaz sadece imzanın resmini (görüntüsünü) kaydediyorsa, bu sadece bir “imza görüntüsü”dür ve biyometrik veri ağırlığında değildir.
Bir yatırımcı avukat vizyonuyla uyarım şudur: Şirketler, biyometrik imza sistemlerini kurarken “Kağıt tasarrufu yapıyoruz” diyerek hareket etmemelidir. Bu sistemle toplanan veriler, çalınması durumunda değiştirilemez (parmak izi gibi) niteliktedir. Bu nedenle, biyometrik imza kullanacak kurumsal yapılar; neden ıslak imza veya güvenli elektronik imza değil de biyometrik imza kullandıklarını ölçülülük prensibiyle açıklayabilmeli ve rızayı “hizmet şartı” olarak dayatmadan almalıdır.
Sıkça Sorulan Sorular
1. Kargo tesliminde tablette attığım imza biyometrik mi?
Genellikle hayır. Kargo cihazları çoğunlukla sadece imzanın resmini (görüntüsünü) kaydeder. Basınç, ivme ve hız verilerini analiz etmiyorsa bu biyometrik veri değildir. Ancak bankalardaki profesyonel imza pedleri biyometrik veri kaydedebilir.
2. Şirketim biyometrik imzayı zorunlu tutabilir mi?
Hayır. Kurul’un bu kararı uyarınca, kanuni bir zorunluluk (kanunda açık hüküm) olmadığı için size ıslak imza gibi bir alternatif sunmak zorundadırlar. Rıza “özgür irade” ile verilmelidir.
3. Biyometrik imza verisi çalınırsa ne olur?
Bu veriler (basınç, ritim, hız); şifre gibi değiştirilemez. Sızıntı durumunda, başkaları sizin adınıza taklit edilemez dijital imzalar oluşturabilir. Bu yüzden en üst düzey (yeterli önlemler) koruma gerektirir.
4. Güvenli Elektronik İmza (E-İmza) ile farkı nedir?
Güvenli Elektronik İmza (dongle/çip kart ile atılan), 5070 sayılı Kanun ile ıslak imzaya eşdeğer kılınmıştır. Biyometrik imza ise henüz bir kanunla ıslak imzaya eşdeğer sayılmamıştır (sadece KVKK kapsamında bir veri türüdür).
5. Bir banka biyometrik imza istemeden önce ne yapmalı?
Size bir aydınlatma metni sunmalı, veriyi neden topladığını açıklamalı ve bu yöntem dışında kağıt üzerine imza atma seçeneğinizi olduğunu belirtmelidir.
Kaynaklar
- KVKK Kurumu – 2020/649 Sayılı Karar Özeti
- 6698 Sayılı KVKK (Madde 6, 10)
- 6098 Sayılı Türk Borçlar Kanunu (Madde 14, 15)
- AB eIDAS Düzenlemesi
Etiketler
KVKK, Biyometrik İmza, Islak İmza, Özel Nitelikli Kişisel Veri, Açık Rıza, Ölçülülük İlkesi, 2020/649 Sayılı Karar, Bilişim Hukuku, Özgür Eralp, Borçlar Kanunu, Davranışsal Biyometri, Veri Güvenliği
Avukat-Hukuk Danışmanı,
Dijital İçerik oluşturucu,
Kitle fonlama girişimci ve yatırımcısı,
ODTÜ Felsefe Öğrencisi:)
AÖF Yönetim Bilişim Sistemleri Öğrencisi:),
