Olay
Kmart Australia, Haziran 2020 ile Temmuz 2022 arasında iade dolandırıcılığını tespit etmek için 28 mağazasında yüz tanıma sistemi kullandı. Kameralar bu mağazalara giren ve iade bankosuna gelen herkesin yüzünü kaydetti. Görüntüler biyometrik şablonlara dönüştürülüp hileli iade yaptığından şüphelenilen kişilerin bulunduğu bir veri tabanıyla karşılaştırıldı; eşleşme olduğunda personel uyarılıyor ve iade kararından önce durumu elle inceliyordu. Müşteriler bilgilendirilmedi, rızaları da alınmadı. Kmart, yalnızca aranan kişilerle eşleşen görüntüleri sakladığını, diğerlerini sildiğini açıkladı. Şirket, OAIC'nin incelemeyi başlattığı Temmuz 2022'de sistemi kapattı.
Commissioner Initiated Investigation into Kmart Australia Limited (Privacy) kararında hukuki soru neydi?
Yüz görüntüleri ve bunlardan üretilen şablonlar, 1988 tarihli Gizlilik Kanunu (Privacy Act 1988) bakımından biyometrik ve dolayısıyla hassas bilgidir; bir istisna yoksa ancak rızayla toplanabilir (APP 3.3). Kmart rıza almadığını tartışmadı. Bunun yerine Kanun'un 16A maddesindeki "izin verilen genel durum" istisnasına dayandı: kurumun, şüpheli hukuka aykırı faaliyet veya ağır suiistimale karşı uygun önlem almak için gerekli olduğuna makul olarak inandığı toplama. Komiser ayrıca Kmart'ın toplama hakkında yeterli bildirim yapıp yapmadığını (APP 5) ve gizlilik politikasının topladığı bilgileri ve toplama yöntemini açıklayıp açıklamadığını (APP 1.3 ve 1.4) değerlendirdi.
Avustralya Bilgi Komiserliği (Office of the Australian Information Commissioner, OAIC) ne karar verdi?
Gizlilik Komiseri Carly Kind, iade dolandırıcılığının hukuka aykırı faaliyet olabileceğini ve Kmart'ın önlem gerektiğine gerçekten inandığını kabul etti. Ancak şirketin sistemin gerekli olduğuna makul olarak inanamayacağı sonucuna vardı. Satın alma belgesi istenmesi, mağaza düzeninin değiştirilmesi ve personel eğitimi gibi daha az müdahaleci yollar yeterince değerlendirilmemişti. Sistemin yararı sınırlıydı; tespit edilen dolandırıcılık da hiçbir şeyden şüphelenilmeyen on binlerce müşterinin gizliliğine yapılan müdahale karşısında küçük kalıyordu. Komiser APP 3.3, APP 5.1 ve APP 1.3 ihlallerini tespit etti. Kmart'ın uygulamayı tekrarlamamasına, 30 gün içinde özür ve ayrıntılı açıklama yayımlamasına, saklanan verileri de 12 ay bir gün sonra imha etmesine karar verdi.
Commissioner Initiated Investigation into Kmart Australia Limited (Privacy) kararı neden önemli?
Bu, OAIC'nin perakendede yüz tanımaya ilişkin Ekim 2024 tarihli Bunnings kararından sonraki ikinci kararıdır. Komiser iki dosyanın önemli ölçüde farklı olduğunu ve hiçbirinin teknolojiyi yasaklamadığını belirtti; güvenlik ve dolandırıcılığın önlenmesi meşru amaçlardır, ancak Gizlilik Kanunu'na uyma yükümlülüğünü ortadan kaldırmaz. Karara ilişkin hukuk yorumlarına göre Komiser, rıza istisnalarının eşiğinin yüksek olduğunu hatırlattı. Karar, önlenen dolandırıcılığın değerini ayrım gözetmeyen toplamanın ölçeğiyle tartan bir orantılılık değerlendirmesine dayanıyor. Basın haberlerine göre Kmart'ın başvurusu, Şubat 2026'da Bunnings'in kullanımını istisna kapsamında gören İdari İnceleme Tribunali önünde derdesttir.
İlgili aşamalar
Karar 26 Ağustos 2025 tarihlidir ve OAIC tarafından 18 Eylül 2025'te duyuruldu. Kmart karardan duyduğu hayal kırıklığını dile getirdi ve itiraz seçeneklerini değerlendirdiğini açıkladı. Ragtrader'ın 5 Şubat 2026 tarihli haberine göre Kmart İdari İnceleme Tribunali'ne (Administrative Review Tribunal) başvurmuştu ve başvuru henüz karara bağlanmamıştı. Bu çalışmada başvuruyu ya da bir Tribunal kararını gösteren resmî bir kayıt bulunamadı. Bunnings hakkındaki Ekim 2024 kararı ve Tribunal'in 4 Şubat 2026 tarihli kararı ayrı bir kayıtta ele alınmıştır.