Apartman veya Site Girişinde Yüz Tanıma Sistemi Kullanılması Hukuka Uygun mu?
Maltepe’de bir apartmanın girişine yüz tanıma cihazı kurulduğunu ve yönetimin bütün sakinlerden kayıt yaptırmalarını istediğini düşünün. İlk soru kapının nasıl açılacağı değil, yönetimin her sakinin yüzünden kimliğini doğrulamaya yarayan bir şablon çıkarmaya hangi hukuki sebeple yetkili olduğudur. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bakımından bu şablon özel nitelikli kişisel veridir. Sistemin kurulmasına ilişkin apartman kararı ve bu verinin işlenmesi için gereken hukuki şartlar ayrı ayrı değerlendirilir.
Kapı kamerası ile yüz şablonu arasındaki fark
Bir kapı kamerası görüntü kaydedebilir. Yüz tanıma cihazı ise yüzün ayırt edici özelliklerinden bir şablon çıkarır ve onu kayıtlı şablonla karşılaştırarak kişinin kimliğini doğrular veya veri tabanından kimliğini bulmaya çalışır. Bu teknik işleme KVKK m. 6 kapsamında değerlendirilir. Ham görüntünün hemen silinmesi, eşleştirmede kullanılan şablon saklandığı sürece biyometrik veri işlendiği gerçeğini değiştirmez. Şablonun yalnız kapı ünitesinde tutulması dışarıya aktarım ihtimalini azaltabilir. Kayıt alma ve eşleştirme işlemleri yine hukuki dayanak ve güvenlik tedbirleri gerektirir.
Cihazın satış broşüründe “akıllı kamera” yazması yeterli bilgi vermez. Yönetim, cihazın yalnız hareket algılayıp algılamadığını, kayıtlı bir sakini doğrulayıp doğrulamadığını ve kayıtlı olmayan ziyaretçiler üzerinde de eşleştirme denemesi yapıp yapmadığını teknik belgelerden belirlemelidir. Üç işlem farklı müdahale düzeyleri yaratır. Özellikle bina girişindeki her kişinin taranması, sisteme kendi isteğiyle kayıt yaptıran sakinlere ilişkin değerlendirmeyi aşar.
Yönetim kararı, açık rıza ve ölçülülük
Güncel KVKK m. 6, özel nitelikli verilerin hangi şartlarla işlenebileceğini sayar. Açık rıza bunlardan biridir. Kanunda açıkça öngörülme ve bir hakkın tesisi, kullanılması veya korunması için zorunlu olma gibi şartlar da somut olayın koşullarına göre incelenebilir. Genel bir güvenlik gerekçesi veya yönetim kurulu kararı, kendiliğinden bu şartlardan birini oluşturmaz. Yönetimin ayrıca m. 4 uyarınca kullanılan yöntemin belirlenen amaçla bağlantılı, sınırlı ve ölçülü olduğunu gösterebilmesi gerekir.
Anahtarı iptal edilen ve evine ulaşmak için yüzünü kaydettirmesi istenen sakinin imzaladığı form, özgür irade bakımından ciddi sorun taşır. Giriş kartı sunuluyorsa kartın uygulamada nasıl çalıştığına bakılır. Kartla aynı kapıdan her saatte geçilebiliyor mu? Kartı almak için biyometrik kayıt sırasına girmek veya her girişte güvenlik görevlisini beklemek gerekiyor mu? Kiracılar ve evde sürekli yaşayan diğer kişiler de aynı imkândan yararlanabiliyor mu? Kâğıt üzerindeki seçenek ile günlük kullanım arasındaki fark, rızanın değerlendirilmesinde önemlidir.
Kurulun 2019/81 ve 2019/165 sayılı spor salonu kararları, alternatif giriş yöntemi varken biyometrik veri toplanmasının ölçülülük sorununu gösterir. Kararlar spor salonlarına ve o tarihteki mevzuata ilişkindir. Apartman girişinde de mevcut risk ile kart, anahtar veya interkom gibi seçeneklerin ne ölçüde işe yaradığını karşılaştırmak gerekir. Bir alternatifin bulunması, biyometrik seçeneğin kendiliğinden hukuka uygun olduğu sonucunu doğurmaz.
Yönetimden hangi bilgileri isteyebilirsiniz?
Başvuruyu, işleme amaç ve araçlarını fiilen belirleyen veri sorumlusuna yöneltin. Yönetim ile cihaz tedarikçisi arasındaki görev dağılımını öğrenin. Kurulum firmasının yönetim adına bakım yapması ile kendi hizmetini geliştirmek için şablonları kullanması farklı rollerdir. Bakım sırasında uzaktan erişim, buluta yedekleme ve varsa yurt dışına aktarım ayrı ayrı açıklanmalıdır. Cihaz arızalandığında eski ünitenin kime teslim edildiği ve içinde kayıt kalıp kalmadığı da güvenlik bakımından önem taşır.
KVKK m. 10 kapsamındaki aydınlatmada veri sorumlusunun kimliği, amaç, toplama yöntemi ve hukuki sebep, alıcılar ve ilgili kişi hakları yer almalıdır. Kendi kaydınız yönünden m. 11 kapsamında veri işlenip işlenmediğini, işleme amacını ve aktarım yapılan tarafları sorabilirsiniz. İşleme sebepleri ortadan kalkmışsa m. 7 kapsamında silme veya yok etme ve gerekli hâllerde işlemin aktarım yapılan üçüncü kişilere bildirilmesini isteyebilirsiniz. Örneğin taşındıktan sonra giriş şablonunuzun cihazda, merkezi sunucuda veya yedekte kalıp kalmadığını ayrı ayrı sorun.
Deliller ve başvuru takvimi
Kayıt zorunluluğunu duyuran yönetim mesajını, varsa size verilen aydınlatma ve rıza metinlerini, erişebildiğiniz toplantı kararını ve kart talebinize verilen yanıtı tarihleriyle saklayın. Kartınız çalışmadığında hangi kapıda, hangi saatte ve kiminle görüştüğünüzü yazın. Girişe erişim konusunda sürmekte olan bir sorun varsa alternatif erişim talebini ilk yazılı bildirime ekleyin. Başvurunun alındığını gösteren teslim kaydını muhafaza edin. Başka sakinlerin yüz görüntülerini, giriş dökümlerini veya cihazın yönetim ekranını yaymadan kendi deneyiminizi ve belgelerinizi kayda geçirmek mümkündür.
Önce veri sorumlusuna başvurulur. Veri sorumlusunun cevap süresi en çok 30 gündür. Başvuru reddedilirse veya cevap yetersizse, cevabı öğrendiğiniz tarihten itibaren 30 gün içinde ve her durumda ilk başvurudan itibaren 60 gün içinde Kurula şikâyet edebilirsiniz. Cevap gelmezse ilk 30 günün dolmasından sonra, başvurudan itibaren 60 günlük süre içinde şikâyet edilebilir. Kurulun 2019/9 sayılı kararı uyarınca 30 günden sonra gelen cevabı beklemek ilk başvurudan başlayan süreyi uzatmaz. Başvuru ve cevabın tarihini kanıtlayan belgeleri şikâyete ekleyin.
Kurula şikâyet ile kat malikleri kurulu kararına karşı yargı yolu farklı işlemlerdir. Bir kurul kararına itiraz düşünülüyorsa 634 sayılı Kat Mülkiyeti Kanunu m. 33’teki süreler ve davayı kimin açabileceği ayrıca incelenir. Kendi veriniz hukuka aykırı işlendiği için zarar doğmuşsa KVKK m. 11 ve 14 kapsamındaki tazminat yolu da ayrı değerlendirilir. Örneğin eve girişin engellendiği iddiasında, kapıda yaşanan olayın belgeleri ile biyometrik kaydın hangi sebeple tutulduğuna ilişkin belgeleri ayrı dosyalamak her talebin dayanağını görünür kılar.
Sistemi kullanan yönetim hangi kayıtları kontrol etmeli?
Yönetim önce hangi kapıda hangi güvenlik sorununun yaşandığını belgelemeli ve daha az veriyle çalışan yöntemleri değerlendirmelidir. Sistem kullanılacaksa, kayıt açma ve silme yetkisi olan kişiler belirlenmeli, ortak yönetici şifreleri kaldırılmalı ve bakım işlemleri kayda alınmalıdır. KVKK m. 12’deki güvenlik yükümlülüğü uyarınca cihazın fiziksel güvenliği kadar yönetim arayüzüne uzaktan erişim de denetlenmelidir. Bir sakinin açık rızasını geri alması veya taşınması hâlinde şablonun nasıl kaldırılacağı ve kartın nasıl teslim edileceği önceden planlanmalıdır. Birden fazla blokta aynı cihaz kullanılıyorsa, yalnız bir bloğa giriş yetkisi gereken kişinin kaydının diğer bloklara dağıtılması ayrıca gerekçelendirilmelidir.
Kat malikleri kurulu kararının iptalinde toplantıya katılıp karşı oy kullanan malik için bir aylık süre karar tarihinden, toplantıya katılmayan malik için öğrenme tarihinden başlar. İkinci durumda karar tarihinden itibaren altı aylık üst sınır vardır. Yokluk veya mutlak butlan hâllerinde kanun süre koşulu aramaz. Bu istisnaların uygulanıp uygulanmayacağı kararın içeriğine ve alınış biçimine göre değerlendirilir.
Yorumlar