Konut sitelerinde ziyaretçilerden kimlik belgesinin danışmaya bırakılması veya kimlik bilgilerinin deftere kaydedilmesi sık karşılaşılan bir uygulamadır. Ancak site yönetiminin “kimlikleri alın” yönündeki talimatı, tek başına kişisel verilerin işlenmesi için hukuki dayanak oluşturmaz.
Güvenlik Amacı Sınırsız Yetki Vermez
Siteye yetkisiz kişilerin girişini önlemek meşru bir amaçtır. Bu amaçla ziyaretçinin adı-soyadı sorulabilir, geldiği bağımsız bölüm aranarak ziyaret teyit edilebilir. Gerektiğinde kimlik belgesi, ziyaretçinin elinde kalmak üzere yalnızca ad-soyad ve fotoğraf doğrulaması amacıyla görülebilir.
Buna karşılık kimliğin danışmaya bırakılması, fotokopisinin veya fotoğrafının çekilmesi; T.C. kimlik numarası, seri numarası, doğum bilgileri ve MRZ/karekod verilerinin kaydedilmesi çoğu durumda güvenlik amacı için gerekli değildir.
KVKK Bakımından Ölçülülük
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4. maddesine göre kişisel veriler, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.
Ölçülülük incelemesi üç aşamada yapılır:
Ziyaret edilen dairenin aranması ve kimliğin yalnızca görülmesi yeterliyken kimlik fotokopisinin alınması gerekli değildir. Ayrıca kimlik bilgilerinin sızması hâlinde oluşabilecek zarar, bu uygulamanın sağlayacağı sınırlı güvenlik faydasından çok daha ağırdır.
Kimlik Fotoğrafı Özel Nitelikli Veri midir?
Kimlik kartındaki normal fotoğraf kişisel veridir; ancak tek başına özel nitelikli kişisel veri sayılmaz. Fotoğraf, yüz tanıma sistemiyle analiz edilerek kişiye özgü bir yüz şablonuna dönüştürülürse biyometrik veri hâline gelir ve KVKK’nın 6. maddesi kapsamında özel nitelikli kişisel veri olarak korunur.
T.C. kimlik numarası, seri numarası ve doğum tarihi de özel nitelikli veri değildir. Bununla birlikte kimlik hırsızlığına elverişli olmaları nedeniyle yüksek risk taşıyan bu verilerin işlenmesi ayrıca ve güçlü biçimde gerekçelendirilmelidir.
Aydınlatma ve Saklama Süresi Zorunluluğu
Ziyaretçi kaydı tutulacaksa site yönetimi;
ziyaretçiye bildirmelidir.
Kayıtların herkesin görebildiği açık bir defterde tutulması veya belirsiz süreyle saklanması da KVKK’ya aykırılık doğurabilir. Güvenlik amacı sona erdiğinde veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
Hukuka Aykırılığın Sonuçları
Her KVKK ihlali otomatik olarak suç oluşturmaz. Bununla birlikte kişisel verilerin hukuka aykırı şekilde kaydedilmesi TCK m.135; başkasına verilmesi, yayılması veya ele geçirilmesi ise TCK m.136 kapsamında cezai sorumluluk doğurabilir. Somut olayın özelliklerine göre kişilik hakkının korunması ve manevi tazminat talepleri de gündeme gelebilir.
Sonuç
Site güvenliği amacıyla ziyaretçinin adı-soyadı sorulabilir, daire sakininden teyit alınabilir ve gerektiğinde kimlik yalnızca görülerek doğrulanabilir. Ancak kimlik belgesinin teslim alınması veya üzerindeki bütün bilgilerin kaydedilmesi, daha hafif bir yöntemle aynı amaca ulaşılabiliyorsa ölçülü değildir.
Site yönetiminin talimatı sınırsız veri işleme yetkisi vermez; güvenlik tedbiri, ziyaretçinin kişisel verilerine en az müdahale edecek şekilde uygulanmalıdır.