Kuruma intikal eden şikayet dilekçesinde özetle; İlgili kişinin Üniversitenin Hukuk Fakültesinde öğrenci olduğu, ilk olarak Hukuk Fakültesi Dersliklerine parmak izi okuma cihazlarının kurulduğu, sonrasında ise Üniversite ve/veya Üniversitenin Hukuk Fakültesi Dekanlığı tarafından veri işleme amacıyla oluşturulan, parmak izi sisteminde kullanıcıların açık rızasını almaya yönelik olarak hazırlanmış olan “Kişisel Verilerin Kullanımı ve Paylaşımına Dair Rıza Beyan Formu” ile bazı işlemlerin yapılması için parmak izi ve diğer kişisel verilerle ilgili olarak rıza alınması işlemi yapıldığı, bu işlem için hazırlanan formda belirtilen veri işleme amaçlarından, “Ders yoklama işlemleri amacıyla kullanılması” için yapılan ilk işlem olarak sınıflara kurulan parmak izi okuma cihazlarına parmak okutularak ders yoklama işlemi başladığı, fakat, parmak izi verileri ile başka hangi işlemlerin hangi yöntemlerle yapılacağı konusunda herhangi bir bilgilendirme de yapılmadığı, bunun yanında bazı derslerde hala parmak izi sistemi ile birlikte önceden de uygulanan imza ile yoklama yöntemi de kullanıldığı, veri sorumlusuna yaptığı başvuruya cevap verilmediği ifade edilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında gereğinin yapılması talep edilmiştir.
Diğer taraftan, Üniversite hakkındaki 2022 tarihli haberde, öğrencilerin yoklama takibinin parmak izi alınması suretiyle yapıldığına ilişkin iddiaların bulunduğu ve adı geçen Üniversitenin internet sayfasından yapılan duyurularda parmak izi verisinin alınmaya başladığının belirtildiği görülmüştür.
Konuya ilişkin şikayet üzerine ve resen başlatılan inceleme çerçevesinde veri sorumlusundan savunması talep edilmiş olup veri sorumlusu tarafından verilen cevapta özetle;
- Tıp Fakültesi Dekanlığının yazısında, eğitim öğretim yönetmeliğince derslere devam zorunluluğunun bulunduğu, parmak izi ile devamsızlık takibi yapıldığı, bir ders kurulunda %30’dan fazla devamsızlık yapan öğrencilerin o kurulun sınavına giremediği, Kurula ibraz edilmek üzere, fakülte öğrencilerinin parmak izi ile yoklama takibinde sözlü rıza alındığı, alınan parmak izlerinin herhangi bir işleme tabi tutulmadığı, sadece yoklama takibinde kullanıldığı, parmak izi verilerinin işlenmediği, sadece veri tabanında tutulduğu, fakülte öğrencilerinin konu hakkında herhangi bir şikayet ve talebinin bulunmadığı,
- Hukuk Fakültesi Dekanlığının yazısında, Üniversitenin Hukuk Fakültesi’nde devam şartının sağlanması uygulaması dahil olmak üzere eğitim-öğretim sürecine ilişkin yapılan uygulamaların tamamının mevzuat düzenlemeleri çerçevesinde gerçekleştirildiği, bu bağlamda derslere devamın takibini sağlayan/amaçlayan imza föyü/ıslak imza ile yoklama yönteminin uygulanmasının, öğrencilerin sınıfta bulunmayan arkadaşlarının yerine imza atabilmesini olanaklı kılması ve böylece evrakta sahtecilik suçunu ortaya çıkarabilmesi, bunun yanı sıra derste bulunmayan öğrencilerin derste bulunmuş gibi işlem görmesi gibi hukuken uygun olmayan sonuçların ortaya çıkmasına sebep olabildiğinin gözlemlendiği,
- Fakültede parmak izi ile yoklama alınması uygulamasının gerek Kanun gerekse Üniversitenin Hukuk Fakültesi Eğitim-Öğretim ve Sınav Yönetmeliği düzenlemelerine uygunluk gösterecek şekilde ve Kanuna uygun bir şekilde hazırlanmış aydınlatılmış onay formuna dayanılarak alındığı, rıza beyanı vermek istemeyen öğrencilerin derslere katılımlarının manuel olarak hazırlanan yoklama listeleriyle takip edildiği,
- Fakülte öğrencisi olan ilgili kişinin kendisine cevap verilmediğine ilişkin iddiasının gerçek dışı iddia olduğu, Kişisel Verilerin Korunması Komisyonu tarafından cevap verildiği,
- Parmak izi yöntemi ile devam takibinin sağlanmasının, mevzuata ve Kanuna uygunluk gösterecek şekilde yürütüldüğü
ifade edilmiştir.
Konuya ilişkin yapılan inceleme neticesinde, Kişisel Verileri Koruma Kurulunun 08/02/2024 Tarihli ve 2024/197 Sayılı Kararı ile;
- Kanunun, kişisel verilerin işlenmesine ilişkin “Genel İlkeler”i düzenleyen 4 üncü maddesinin birinci fıkrasında, “Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.” hükmü yer almakta olup bahse konu maddenin ikinci fıkrasında ise kişisel verilerin işlenmesinde uyulması zorunlu olan ilkelerin;
a)Hukuka ve dürüstlük kurallarına uygun olma,
b)Doğru ve gerektiğinde güncel olma,
c)Belirli, açık ve meşru amaçlar için işlenme,
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
d)İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
şeklinde sayıldığı,
- “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı Kanunun 6 ncı maddesinin birinci fıkrasında ise kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerinin özel nitelikli kişisel veri olduğu, ikinci fıkrasında özel nitelikli kişisel verilerin ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu, üçüncü fıkrasında, birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel verilerin kanunlarda öngörülen hallerde, sağlık ve cinsel hayata ilişkin kişisel verilerin ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebileceğinin hükme bağlandığı,
- Kanunun “Veri sorumlusuna başvuru” başlıklı 13 üncü maddesinin (1) numaralı fıkrası, “İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir” hükmünü amir olmakla birlikte, anılan maddeye dayanılarak hazırlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in “Başvuruya cevap” başlıklı 6’ncı maddesinde veri sorumlusunun, Tebliğ kapsamında ilgili kişi tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri almakla yükümlü olduğunun hükme bağlandığı,
- Her ne kadar sunulan dokümanlarda veri sorumlusu bünyesinde yer alan komisyonca ilgili kişinin başvurusuna cevap iletildiği belirtilmiş olsa da cevabın süresi içinde iletildiğinin tespit edilemediği, bu doğrultuda, veri sorumlusuna yapılan başvurular kapsamında ilgili kişilere verilecek cevaplarda gerekli teknik ve idari tedbiri alması konusunda veri sorumlusuna hatırlatma yapılmasının uygun olacağı,
- Somut olayda açık rıza alındığı anlaşılmakla birlikte, ölçülülük ilkesine uygun olarak ilgili kişiden minimum düzeyde bilgi talep edilmesi, bunun dışındaki amaç için gerekli olmayan veri işlemeden kaçınması gerektiği, kişisel verilerin işlenmesi ilgili kişinin iznine bağlı olarak gerçekleştirilse ve belirli bir amaca bağlı olsa bile açık rızanın aşırı miktarda veri toplanmasını meşrulaştırmayacağı, buna göre kişisel verilerin yalnızca belirli amaçlar için ve gerektiği kadar toplanması ve amacın gerektirdiği yerlerde kullanılması gerektiği, bu nedenle, somut olay kapsamında gerçekleştirilen parmak izi biyometrik verisinin işlenmesinin Kanuna uygun olmadığı, böylelikle Kanunun 12 nci maddesinin birinci fıkrasının (a) bendinin ihlal edildiği,
- Kanunun “Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi” başlıklı 7 nci maddesi kapsamında, veri sorumlusu tarafından işlenen parmak izi biyometrik verilerin imha edilmesi, eğer ilgili özel nitelikli kişisel verilerin üçüncü kişilere aktarılması söz konusu ise, imha edilmesine yönelik işlemlerin bu verilerin aktarıldığı üçüncü kişilere ivedilikle bildirilmesinin sağlanması, yoklama işlemlerinin alternatif yollarla sağlanması, biyometrik veri ile yoklama işlemleri yapılması uygulamasına son verilmesi ve mevcut sistemin kaldırılması hususlarında Kanunun 15 inci maddesinin beşinci fıkrası gereğince veri sorumlusunun talimatlandırılmasının uygun olacağı
değerlendirmelerinden hareketle;
- Veri sorumlusu bünyesinde ders yoklaması amacıyla biyometrik veri olan parmak izinin işlenmesinin Kanun’un özel nitelikli kişisel verilerin işlenmesine ilişkin 6 ncı maddesi kapsamında geçerli bir işleme şartına dayanmadığı, öte yandan veri işlemenin Kanunun 4 üncü maddesinde yer alan genel ilkelere de uygun olması gerektiği, biyometrik veri işlenmesi hususunda ilgili kişinin açık rızası bulunsa dahi bu durumun, Kanunun 4 üncü maddesinin ikinci fıkrasının (ç) bendindeki “ölçülü olma” ilkesine de aykırılık teşkil edeceği, bu kapsamda Kanunun 12 nci maddesinin birinci fıkrası uyarınca kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusunun Kanunun 18 inci maddesinin üçüncü fıkrası hükmüne göre teknik ve idari tedbirleri almaktan sorumlu kişi/kişiler hakkında disiplin hükümleri çerçevesinde işlem yapılarak sonucundan Kurula bilgi verilmesi hususunda talimatlandırılmasına,
- Ders yoklamasının parmak izi sistemi yerine biyometrik verileri işlemenin haricinde alternatif yollar ile sağlanması, biyometrik veri ile ders yoklaması işlemleri yapılmasının ve biyometrik veri işlemenin Kanunun 15 inci maddesinin yedinci fıkrası uyarınca ivedilikle durdurulması ve Kanunun 15 inci maddesinin beşinci fıkrası uyarınca bu işlemlerin yapıldığını kanıtlar nitelikteki belgeler ile en geç otuz gün içinde Kurula bilgi verilmesi yönünde veri sorumlusunun talimatlandırılmasına,
- Veri sorumlusu tarafından bugüne kadar işlenen ve muhafaza edilen parmak izi ile ilgili verilerin Kanunun 7 nci maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak ivedilikle imha edilmesi ve imha edildiğine ilişkin kanıtlayıcı bilgi ve belgelerin Kurula bildirilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- Eğer ilgili özel nitelikli kişisel verilerin üçüncü kişilere aktarılması söz konusu ise, imha edilmesine yönelik işlemlerin bu verilerin aktarıldığı üçüncü kişilere ivedilikle bildirilmesinin sağlanması ve sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- İlgili kişiler tarafından Kanun kapsamında yapılacak başvuruların Kanunun 13 üncü maddesi hükmü ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğin 6 ncı maddesi hükmü uyarınca etkin, hukuka ve dürüstlük kuralına uygun şekilde, gerekçe belirterek ve süresi içinde sonuçlandırılması hususunun veri sorumlusuna hatırlatılmasına
karar verilmiştir.