Geçtiğimiz günlerde Kişisel Verileri Koruma Kurumu (KVKK), mesai takibinde biyometrik veri kullanımına ilişkin ilke kararını duyurdu. Buna istinaden biyometrik sistemlerin personel devam kontrolünde kullanımı yerine kart, PIN ve benzeri alternatif yöntemlerin tercih edilmesi gerektiği ifade edildi. Ancak bu yöntemler, özellikle yetkisiz kullanım ve güvenlik açıkları açısından yeni riskler de barındırıyor. biOnay’ın Elektronik Kimlik Doğrulama çözümü ise personel devam kontrolünden erişim yönetimine kadar birçok alanda, biyometrik veri saklamayan ve KVKK uyumlu bir doğrulama modeli sunuyor.

KVKK'nın çalışanların mesai takibinde biyometrik verilerin işlenmesine ilişkin yayımladığı ilke kararı, kurumların kullandıkları personel takip sistemlerini yeniden gündeme taşıdı. Kararda, parmak izi ve yüz tanıma gibi biyometrik verilerin yalnızca açık rızaya dayanılarak işlenmesinin yeterli hukuki zemine sahip olmadığına dikkat çekilirken, alternatif yöntemlerin kullanılması önerildi.

biOnay’ın Elektronik Kimlik Doğrulama çözümü, verilerin merkezi bir yerde tutulmadığı ve biyometrik verilerin kaydedilmediği KVKK uyumlu bir model sunuyor. Bu sistem, tapu müdürlüklerinde yaklaşık dört yıldır kullanılırken; noterlikler, bankalar ve kimlik doğrulamanın kritik önem taşıdığı birçok alanda da mevzuata uyumlu şekilde uygulanıyor.

Kartı başkası kullanabilir, kimliği kullanamaz

KVKK'nın önerdiği kart, PIN veya NFC tabanlı sistemler kişisel veri işleme risklerini azaltırken, çalışanın gerçekten ilgili kişi olup olmadığının doğrulanması konusunda bazı zafiyetler oluşturabiliyor. Kartların veya erişim bilgilerinin başka kişiler tarafından kullanılabilmesi, personel devam kontrolünde güvenlik risklerine yol açabiliyor.

biOnay'ın çözümünde ise doğrulama, kişinin yanında bulunan çipli kimlik kartı ile parmak izinin eş zamanlı kontrol edilmesiyle gerçekleştiriliyor. Böylece hem kartın hem de kart sahibinin aynı kişi olduğu doğrulanabiliyor.

“Biyometrik veri depolamadan doğrulama yapılabiliyor”

Konuya ilişkin değerlendirmelerde bulunan biOnay Genel Müdürü Ümit Yaşar Usta, KVKK'nın kararının veri minimizasyonu yaklaşımını güçlendirdiğini belirterek şunları söyledi: “KVKK'nın ilke kararı, kurumların güvenlik ihtiyaçları ile kişisel verilerin korunması arasında doğru dengeyi kurmasının önemini ortaya koyuyor. Bizim sunduğumuz KEC çözümünde parmak izi herhangi bir sunucuya iletilmiyor, kaydedilmiyor veya saklanmıyor. Doğrulama işlemi, kişinin yanında taşıdığı çipli kimlik kartı üzerinden anlık olarak gerçekleştiriliyor.”

Usta sözlerini şöyle sürdürdü: “Tek başına kart kullanımı yeterli güvenlik sağlamayabiliyor, çünkü kart başka bir kişiye verilebiliyor. Tek başına biyometrik sistemler ise KVKK açısından çeşitli riskler taşıyor. KEC modelinde çipli kimlik kartı ve parmak izi birlikte doğrulanıyor. Bu sayede iki faktörlü güvenlik sağlanırken biyometrik veri merkezi sistemlerde tutulmuyor. Kurumlar hem güvenli personel takibi yapabiliyor hem de KVKK'nın veri minimizasyonu yaklaşımına uygun hareket edebiliyor.”