Olay
Worldcoin projesinde “Orb” adlı cihaz kişinin irisini fotoğraflıyor ve bundan bir iris kodu üretiliyordu. Worldcoin Vakfı veri sorumlusu, Tools for Humanity (TFH) ise işlemeyi yürüten şirketti. 6 Eylül 2024 itibarıyla Kore'de uygulamayı indiren 93.463 kişiden 29.991'i iris doğrulamasını tamamlamıştı. Toplanan veriler Almanya başta olmak üzere yurt dışına aktarıldı. Kişisel Bilgileri Koruma Komisyonu (PIPC), iris verisinin hassas bilgi niteliğinde olduğunu göz önünde tutarak toplama, bilgilendirme, rıza, yurt dışı aktarım ve silme süreçlerini inceledi. İnceleme, TFH'nin işlettiği World uygulamasına üyelik sırasında yaş doğrulamasının nasıl yapıldığını da kapsadı.
Hukuki soru
Temel soru, iris gibi biyometrik bir tanımlayıcının Kişisel Bilgilerin Korunması Kanunu'nda (PIPA) hassas bilgiler için öngörülen ayrı rıza ve bilgilendirme şartlarına uygun biçimde toplanıp toplanmadığıydı. Komisyon ayrıca verilerin aktarıldığı ülke ve alıcı hakkında ilgili kişilere bilgi verilip verilmediğini, kullanıcıların iris kodunun silinmesini veya işlenmesinin durdurulmasını isteyebilecekleri bir yolun bulunup bulunmadığını ve 14 yaşından küçüklerin hizmete katılımını önleyecek bir yaş doğrulama sürecinin işletilip işletilmediğini değerlendirdi. Bu sorular, biyometrik kimlik doğrulama hizmetlerinin Kore hukukundaki sınırlarını doğrudan ilgilendiriyordu.
Karar
Komisyon 25 Eylül 2024 tarihli genel kurul toplantısında Worldcoin Vakfı'nın iris verisinin toplanma ve kullanılma amacını ve saklama süresini ilgili kişilere gereği gibi bildirmediğine, hassas bilgi için ayrı rıza da almadığına karar verdi. Verilerin Almanya ve diğer ülkelere, alıcı ülke ile alıcının adı ve iletişim bilgileri bildirilmeden aktarıldığını ve iris kodunun silinmesini isteme imkânı tanınmadığını tespit etti. TFH'nin 14 yaşından küçükler için yaş doğrulama sürecinin yetersiz olduğu belirlendi. Vakfa 725 milyon won, TFH'ye 379 milyon won, toplam 1,104 milyar won idari yaptırım uygulandı. Komisyon, hassas bilgi işlenirken yeterli bilgilendirme yapılıp rıza alınmasını, silme işlevinin sağlanmasını ve verilerin ilk toplama amacı dışında kullanılmamasını da emretti.
Neden önemli
Karar, iris gibi biyometrik tanımlayıcılara dayanan kimlik doğrulama hizmetlerinin Kore'de hassas bilgi rejimine tabi olduğunu, bu nedenle ayrı rıza, açık bilgilendirme ve fiilen işleyen bir silme hakkı gerektirdiğini gösterdi. Yurt dışına aktarımda alıcı ülkenin ve alıcının bildirilmesi gerektiği de somut olarak vurgulandı. Aynı proje başka ülkelerde de veri koruma otoritelerinin incelemesine konu olmuştu; Kore kararı bu incelemeler arasında parasal yaptırımla sonuçlananlardan biridir.