Spor Salonu Parmak İzi Vermeden Girişi Reddedebilir mi?

Spor salonuna giriş için parmak izi veya avuç içi verisinin tek seçenek hâline getirilmesi, kişisel verilerin korunması bakımından ciddi bir ölçülülük sorunu yaratır. Üyelik kontrolü daha az müdahaleci yöntemlerle yapılabiliyorsa biyometrik veri toplamanın gerekliliği açıklanamaz. Üyenin sözleşme imzalaması ya da ekrandaki kutuyu işaretlemesi, ölçüsüz veri işlemeyi kendiliğinden hukuka uygun kılmaz.

Parmak izi neden sıradan üyelik bilgisi değildir?

Kişiyi benzersiz biçimde tanımaya veya doğrulamaya yarayan teknik işlemden geçirilen parmak izi ve avuç içi bilgileri biyometrik veri niteliğindedir. Bunlar KVKK kapsamında özel nitelikli kişisel veriler arasındadır. Kart numarasının değiştirilmesiyle biyometrik özelliğin değiştirilmesi aynı kolaylıkta değildir; güvenlik değerlendirmesi de bu farkı dikkate almalıdır.

Her fotoğraf kendiliğinden biyometrik veri sayılmaz. Fotoğrafın kişiyi özgün biçimde tanımak için özel teknik yöntemlerle işlenmesi ayrı değerlendirilir. Buna karşılık giriş cihazının görüntüyü sayısal şablona dönüştürmesi, “fotoğraf saklamıyoruz” açıklamasıyla konuyu kanunun dışına çıkarmaz. İşlevi ve teknik işlem esas alınır.

Açık rıza tek başına yeterli midir?

2024 yılında değişen KVKK 6, özel nitelikli veriler için farklı işleme şartları düzenler. Bu şartlardan uygun olanının varlığı araştırılmalı; ayrıca her durumda kanunun 4. maddesindeki amaçla bağlantılılık, sınırlılık ve ölçülülük ilkelerine uyulmalıdır. Dolayısıyla mesele yalnız imzalı bir rıza belgesinin bulunup bulunmaması değildir.

Kurulun 2019/81 ve 2019/165 sayılı kararlarında spor salonuna biyometrik yöntemle giriş, daha az müdahaleci seçenekler ve hizmetin rızaya bağlanması yönlerinden incelenmiştir. Kararların verildiği tarihteki özel nitelikli veri hükmü daha sonra değişmiş olsa da gereklilik ve ölçülülük değerlendirmesi güncelliğini korur. Eski karardaki kanun metni güncel hüküm gibi aktarılmamalıdır.

Hangi alternatifler değerlendirilir?

Üyelik kartı, görevli kontrolü veya uygun güvenlik önlemleriyle kullanılan kişiye özgü giriş kodu, faaliyetin özelliklerine göre seçenek olabilir. İşletmenin kart paylaşımını önlemek istemesi meşru bir amaçtır; ancak amaç, her teknik yöntemi otomatik olarak haklı kılmaz. Riskin düzeyi, alternatiflerin uygulanabilirliği ve toplanan verinin ağırlığı birlikte tartılır.

Örneğin yıllık üyelik ücretini ödeyen kişiye sonradan “Yeni cihaz geldi, parmak izi olmadan giremezsiniz” denildiğini düşünelim. Üyelik sözleşmesi, değişikliğin duyurusu, cihazın açıklaması ve alternatif giriş talebine verilen yanıt saklanmalıdır. Uyuşmazlık, hem veri işleme koşullarını hem satın alınmış hizmete erişimi etkileyebilir.

Salona yapılacak başvuruda ne sorulur?

Biyometrik şablonun hangi şirketçe oluşturulduğu, nerede tutulduğu, başka hizmet sağlayıcıya aktarılıp aktarılmadığı ve hangi hukuki şartla işlendiği sorulabilir. Silme talebi varsa yalnız cihaz ekranındaki üyelik profilinin kapatılmasıyla bütün kopyaların imha edilip edilmediği ayrıştırılmalıdır. Veri sorumlusunun adı, salonun tabeladaki markasından farklı olabilir.

Başvuruya üyelik numarası ve ilgili tarihler eklenebilir; parmak izi örneğinin yeniden gönderilmesi gerekmez. Kullanılabilecek haklar ve sonraki aşama için KVKK başvurusu ve Kurula şikâyet yolları incelenmelidir. Sözlü konuşma yerine ulaşma tarihi belirlenebilen bir başvuru, sürecin belgelenmesini sağlar.

Üyelik bitince kayıt kendiliğinden saklanabilir mi?

Üyeliğin sona ermesi, biyometrik kayıt için ileri sürülen amacın devam edip etmediğinin yeniden değerlendirilmesini gerektirir. İşleme şartları ortadan kalkmışsa silme, yok etme veya anonimleştirme hükümleri uygulanır. İşletmenin muhasebe belgesini saklama yükümlülüğü, aynı kişiye ait biyometrik şablonu da saklamasını otomatik olarak gerektirmez.

Biyometrik kayda yetkisiz erişim yaşandığı düşünülüyorsa olayın türü ve etkisi ayrıca incelenir. Bu aşamada kişisel veri ihlali bildirimi ile kişinin kendi hak başvurusu farklı yükümlülük ve yolları ifade eder. Salonun veri güvenliği incelemesi, üyenin alternatif giriş talebinin cevapsız bırakılmasına gerekçe yapılamaz.

Ücret iadesi talebi ayrı açıklanmalıdır

Salona fiilen alınmayan üye, kullanamadığı hizmete ilişkin talebini veri başvurusundan ayrıca belgelemelidir. Girişin reddedildiği günler, sözleşmede öngörülen yöntem ve alternatif önerilere verilen cevaplar bu uyuşmazlıkta önem taşır. Biyometrik işleme hakkında yapılan inceleme, üyelik ücretinin ne kadarının iade edileceğini kendiliğinden belirlemez. İşletme alternatif giriş açarsa bunun gerçekten kullanılabilir olması gerekir; yalnız kâğıt üzerinde mevcut, her kullanımda fiilen engellenen bir yol sorunu çözmeyebilir. Kişinin üyeliğe erişimiyle kayıtların imhası iki ayrı sonuç olarak takip edilmelidir.

Hukuki kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — m.4,6,7,10-14.
• KVKK spor salonunda biyometrik veri kararları — 2019/81 ve 2019/165, alternatif yöntem ve ölçülülük.
• KVKK 2024 değişiklik karşılaştırması — 6698 m.6 yeni işleme şartları.