Olay
Bir bankanın hem bireysel hem kurumsal müşterisi olan ilgili kişi, 19 Kasım 2022'de mobil bankacılık uygulamasında kurumsal hesabının unuttuğu şifresini yenilemek istedi. Kurumsal müşteriler için dijital parola yalnızca T.C. kimlik kartı seçeneğiyle üretilebiliyordu; bu seçenekte yüz verilerinin işlenmesine onay ekranı çıkıyor, onay verilmeyince sistem başa dönüyordu. İlgili kişi, verilerinin zorla işlendiğini ileri sürerek Kurula şikâyette bulundu. Banka savunmasında, rıza vermeyen müşterilerin işlemi şube veya telefon bankacılığı üzerinden yapabildiğini, 2 Aralık 2022'den itibaren kurumsal müşterilere de yüz verisi işlenmeden kredi veya banka kartıyla parola oluşturma imkânı tanıdığını belirtti. Banka ayrıca iki bileşenli kimlik doğrulamayı zorunlu kılan bankacılık mevzuatına dayandı.
Hukuki soru
Yüz izi, 6698 sayılı Kanun'un 6. maddesinde sayılan biyometrik veridir; maddenin karar tarihindeki metnine göre bu tür veriler, kanunlarda öngörülen hâller dışında ilgili kişinin açık rızası olmadan işlenemiyordu. Kurulun önündeki soru, açık rıza vermeyen müşterinin mobil kanalda işlemi tamamlayamamasının hizmeti rıza şartına bağlamak anlamına gelip gelmediğiydi. Bunun yanında, bankanın alternatif kanalları yalnızca internet sitesinin başka bir bölümünde duyurması ve rızayı reddeden kullanıcıyı ekranda hiçbir açıklama yapmadan başa döndürmesi, aydınlatma ve şeffaflık bakımından yeterli sayılabilir miydi? Kurul, Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'in iki bileşenli kimlik doğrulamayı düzenleyen 34. maddesini de değerlendirmeye aldı.
Karar
Kurul 3 Ağustos 2023 tarihli ve 2023/1310 sayılı kararında, dijital parola işleminde işlenen yüz verilerinin biyometrik ve dolayısıyla özel nitelikli kişisel veri olduğunu, işlenmeleri için müşteriden açık rıza alınmasının zorunlu bulunduğunu belirtti. Şikâyet tarihinde işlem şube ve telefon bankacılığı kanallarından da yapılabildiği ve bu husus bankanın internet sitesinde yer aldığı için hizmetin rıza şartına bağlandığı iddiasını yerinde bulmadı ve banka hakkında yapılacak işlem olmadığına karar verdi. Bununla birlikte bankanın, rıza vermeyen müşteriler için işlemi hiçbir bilgilendirme yapmadan sonlandırdığını tespit etti. Banka, süreçlerini gözden geçirmesi ve müşterilerini kolay anlaşılır ve ulaşılır biçimde bilgilendirmesi için uyarıldı.
Neden önemli
Kurul, uzaktan kimlik doğrulamada yüz biyometrisinin açık rızayla kullanılmasını, rıza vermeyen müşteri işlemi başka bir kanaldan yapabildiği için hizmetin rızaya bağlanması olarak görmedi. Alternatif kanalın var olmasını yeterli saydı; ancak rızayı reddeden müşterinin hiçbir açıklama yapılmadan başa döndürülmesini ve alternatifin yalnızca internet sitesinin başka bir bölümünde duyurulmasını eksik buldu. Bankadan, müşterileri yanlış anlaşılmaya yol açabilecek süreçler hakkında kolay anlaşılır ve ulaşılır biçimde bilgilendirmesi istendi. İdari para cezası verilmedi, Kurul uyarıyla yetindi. Karar özeti Kurumun internet sitesinde 27 Aralık 2023'te yayımlandı.
İlgili aşamalar
Kurul işyerinde yüz tanıma ile giriş-çıkış takibini 2022/797 sayılı kararda, mesai takibinde biyometrik veri işlenmesini 2026/921 sayılı ilke kararında ayrıca ele aldı. Karar özeti bankanın adını vermiyor. Kanun'un 6. maddesi, kararın tarihinden sonra 12 Mart 2024'te Resmî Gazete'de yayımlanan 7499 sayılı Kanunla değiştirildi; özel nitelikli veriler artık sayılan bazı hâllerde açık rıza aranmadan da işlenebiliyor.