İstanbul’daki özel bir eğitim kurumu olan Derya Öncü Koleji’nin, tüm çalışanlarının okula giriş ve çıkışlarını “yüz tanıma sistemi” ile kontrol etmesi, Kişisel Verileri Koruma Kurumu (KVKK) gündemine taşındı. Eski öğretmenlerin şikayeti üzerine harekete geçen Kurul, okula 700 bin TL idari para cezası uygulanmasına karar verdi.
İstanbul’da bulunan Derya Öncü Koleji, 2021 yılından itibaren okula giriş ve çıkışlarda yüz tanıma sistemi kullanmaya başladı. Bu durumdan rahatsızlık duyan bazı öğretmenler, avukatları aracılığıyla Kişisel Verileri Koruma Kurumu Başkanlığı’na (KVKK), “kişisel verilerin kaydedilmesi suçu” kapsamında şikayette bulundu.
Şikayet başvurusunda, “Özel nitelikli kişisel verilerin rıza olmaksızın zorla kaydedildiği” ifade edildi. Başvuruda, öğretmenlerin işlerini kaybetme ve işten çıkarılma korkusuyla uzun süre sessiz kaldığı belirtilerek, okulun her gün işe giriş ve çıkışlarda biyometrik veri olan yüzleri kaydettiği ve depoladığı aktarıldı.
Okulun “isteyen kart isteyen yüzünü okutur” gibi göstermelik beyanlarda bulunduğu öne sürülürken, müvekkillerin rızaları alınmadan, zorla sistemlere kaydedilip okutulduğu iddia edildi. Başvuruda, “Öncelik yüz okutmak” denilerek kayıt yapıldığı, hatta okutulan kartlarda da müvekkillerin yüzlerinin yer aldığı ve bu takibin düzenli olarak tutanaklara kaydedildiği belirtildi. Başvuruda ayrıca, kişisel verilerin sistematik biçimde kayıt altına alınabilmesi için verilerin korunmasına ilişkin esas ve usullerin yasayla düzenlenmesinin zorunlu olduğu ifade edildi.
Okul yönetimi, Kişisel Verileri Koruma Kurulu’na gönderdiği dilekçede, taraflarına yapılan bir başvuru olmadığı gerekçesiyle şikayetin usul yönünden reddedilmesini talep etti. Okul, kişisel verilerin işlenmesinde “ilgilinin açık rızası ve kanunlarda açıkça öngörülmesi” şartı uyarınca hareket edildiğini savundu. Dilekçede, okulun MEB’e bağlı köklü bir eğitim kurumu olduğu, yüz tanıma sisteminin 2021’de faaliyete geçtiği ve ihbarda bulunan, iş akitleri son bulmuş kişilerin o dönemde açık rızalarının alındığı belirtildi.
Tarafların beyanlarının incelenmesinin ardından Kurul, okulun eyleminin, 6698 sayılı Kanun’un 4’üncü maddesinde yer alan “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine ve 12’nci maddesinde yer alan “veri sorumlusu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gereki her türlü teknik ve idari tedbirleri almak zorundadır” hükmüne aykırılık teşkil ettiği sonucuna vardı.
Bu gerekçelerle Kişisel Verileri Koruma Kurulu, Derya Öncü Koleji’ne 700 bin TL idari para cezası uygulanmasına karar verdi.
