Olay
Hırdavat ve yapı market zinciri Bunnings, Kasım 2018 ile Kasım 2021 arasında Victoria ve Yeni Güney Galler'deki mağazalarında güvenlik kamerası görüntüleri üzerinde yüz tanıma teknolojisi kullandı. Sistem mağazaya giren herkesin yüzünü kaydediyor ve şiddet, organize perakende suçları ya da diğer uygunsuz davranışlar nedeniyle yüksek riskli saydığı kişilerden oluşan bir veri tabanıyla karşılaştırıyordu. Gizlilik Komiseri (Privacy Commissioner) Ekim 2024'te verdiği kararla ([2024] AICmr 230) Bunnings'in rıza olmadan hassas veri topladığını, müşterileri bilgilendirmediğini ve yeterli politikalara sahip olmadığını tespit ederek Avustralya Gizlilik İlkelerinin (Australian Privacy Principles, APP) ihlal edildiğine karar verdi. Bunnings, kararın Avustralya İdari Denetim Mahkemesi (Administrative Review Tribunal) tarafından incelenmesini istedi.
Hukuki soru
Mahkemenin, hassas biyometrik veri niteliğindeki yüz görüntülerinin ve yüz vektörlerinin toplanmasının APP 3.3'ü ihlal edip etmediğini ya da 1988 tarihli Gizlilik Kanunu'nun (Privacy Act 1988) 16A maddesi kapsamındaki bir “izin verilen genel durum” (permitted general situation) nedeniyle hukuka uygun olup olmadığını belirlemesi gerekiyordu. Bu davada ileri sürülen durum, tekrarlayan suçlulara karşı perakende suçlarının önlenmesi amacına dayanıyordu. APP 1 ve APP 5 bakımından verilen ihlal kararlarının korunup korunmayacağı da incelendi.
Karar
Rehberlik ve İtiraz Dairesi, Bunnings'in APP 3.3'ü ihlal ettiğine ilişkin tespiti kaldırdı. Tekrarlanan şiddet, tehdit ve ciddi hırsızlık olaylarına ilişkin deliller karşısında Bunnings'in, perakende suçlarıyla mücadele etmek ve çalışanlarını ve müşterilerini şiddet, taciz ve yıldırmaya karşı korumak gibi sınırlı bir amaçla bu istisnaya dayanabileceğini kabul etti. Teknolojinin mahremiyete ciddi bir müdahale olduğunu belirtmekle birlikte kullanımı makul ve orantılı buldu. Buna karşılık Bunnings'in kişileri bilgilendirmediği ve biçimsel, belgelenmiş bir gizlilik risk değerlendirmesi yapmadığı gerekçesiyle APP 1 ve APP 5 ihlallerini onadı. Dijital araçlarla anlık olarak yapılan toplamanın da Kanun anlamında toplama sayıldığını teyit etti.
Neden önemli
Karar, bir perakendecinin tekrarlayan perakende suçlarına ilişkin gerçek bir sorunu belgeleyebildiği durumlarda 16A maddesindeki “izin verilen genel durum” istisnasının biyometrik gözetimi de kapsayabileceğini gösteriyor. Buna karşın şeffaflık ve yönetişim yükümlülükleri tam olarak uygulanmaya devam ediyor. Gizlilik Komiseri kararın yüksek bir eşik koyduğunu ve perakendecilere bu teknolojiyi kullanmak için genel bir izin vermediğini açıkladı. Karar, yüz tanıma kullanmayı düşünen işletmelerin somut risk değerlendirmesi yapmasının önemini ortaya koyuyor.
İlgili aşamalar
Gizlilik Komiseri 5 Mart 2026'da yaptığı açıklamada karara karşı itiraz yoluna başvurmadığını bildirdi. Avustralya Bilgi Komiserliği Ofisi'nin (OAIC) Bunnings hakkındaki ilk kararı 29 Ekim 2024 tarihlidir.