Neden ayrı bir konu
Kimlik doğrulama, kişisel veri mevzuatının en hassas alanına girer: biyometrik veri hem KVKK m.6 hem GDPR Md. 9 kapsamında özel nitelikli kişisel veridir.
Bunun pratik sonucu şudur: parola sızarsa değiştirilir, kimlik numarası sızarsa zarar sınırlanabilir. Biyometrik şablon sızdığında yenisi verilemez. Mevzuatın bu veriyi ayrı bir rejime tabi tutmasının sebebi budur.
Rol ayrımı: sorumlu ve işleyen
Uyumun en çok karıştırılan tarafı budur. İki rol vardır ve yükümlülükler net biçimde bölünür:
- Veri sorumlusu — siz. İşlemenin hukuki sebebini belirlersiniz, aydınlatmayı yaparsınız, gereken hâllerde açık rızayı alırsınız, saklama süresini ve silme politikasını yazarsınız.
- Veri işleyen — sağlayıcı. Veriyi yalnızca sizin belgelenmiş talimatınız doğrultusunda ve hizmetin gerektirdiği ölçüde işler.
Bu ayrım sözleşmeyle yazılı hâle getirilmediğinde denetimde ispat yükü belirsiz kalır. Veri İşleme Sözleşmesi tam olarak bu belirsizliği kapatmak içindir.
Veri minimizasyonu pratikte ne demek
Mevzuatın "gerekli olandan fazlasını işleme" ilkesi, doğrulama akışında üç somut karara dönüşür:
- Ham görüntü mü, şablon mu? Biyometrik şablon işlemek, ham görüntü saklamaktan daha düşük risk taşır.
- Ne kadar süre? Saklama süresini siz belirlersiniz; mevzuat gereği zorunlu olmayan hiçbir kaydı süresiz tutmayın.
- Kim erişebilir? Erişim, görev tanımı gereği ihtiyaç duyan personelle sınırlı olmalı ve her erişim kayıt altına alınmalıdır.
Denetimde ne gösterirsiniz
Uyum, yalnızca doğru davranmak değil, doğru davrandığınızı ispat edebilmektir. Her doğrulama adımının, uygulanan kontrollerin ve sonuçlarının zaman damgalı kaydı, denetim talebine dosya toplamadan yanıt vermenizi sağlar.
Bu kayıt Sıfır Veri Saklama modunda da korunur. Silinen şey ham görüntüler ve biyometrik şablonlardır; sonucun kendisi ve denetim izi kalır — veri yükünüzü düşürürken kanıtınızı kaybetmezsiniz.
Yurt dışına aktarım
Aktarım gerektiğinde KVKK m.9 ve GDPR Bölüm V kapsamındaki güvenceler uygulanır: yeterlilik kararı ya da standart sözleşme hükümleri. Aktarımın gerekçesini sözleşme aşamasında kayda geçirin; denetimde sorulacak ilk sorulardan biri budur.
