Türkiye Cumhuriyeti kimlik kartındaki elektronik doğrulama altyapısı, bankacılıktan sağlık hizmetine kadar geniş bir alanda kişinin kim olduğunun teyidinde kullanılır. Bu rehber, doğrulama sırasında işlenen verilerin hukuki sınırlarını ve bir uyuşmazlık çıktığında ispat sorununu ele alır.
Doğrulamada Hangi Veriler Devreye Giriyor
Elektronik kimlik doğrulaması, karttaki sertifika ve kişinin biyometrik unsurları üzerinden yapılabilen bir teyit işlemidir. Burada işlenen veri sıradan bir iletişim bilgisi değildir; biyometrik veri, 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından özel nitelikli kişisel veri kategorisindedir. Bu kategori, işlenmesi için daha dar koşullar ve daha yüksek güvenlik tedbirleri gerektirir.
Rızanın Gerçekten Alınıp Alınmadığı
Uygulamada sık görülen tablo, doğrulama işleminin hizmetin ön koşulu hâline getirilmesidir. Oysa rızanın geçerli olabilmesi için özgür iradeye dayanması gerekir; hizmetten yararlanmanın tek yolu olarak dayatılan bir onay, tartışmalı hâle gelir. Ayrıca aydınlatma yükümlülüğü rızadan ayrı ve önce gelen bir yükümlülüktür. Kişiye verinin hangi amaçla işlendiği, kime aktarıldığı ve ne kadar süreyle saklandığı açıklanmalıdır.
Delil Eksikliği Riski: İşlem Kaydı Olmadan Tartışma
Kimlik doğrulamasıyla ilgili uyuşmazlıkların çoğu, "o işlemi ben yapmadım" iddiası etrafında döner. Burada belirleyici olan, doğrulama anına ilişkin sistem kayıtlarıdır: işlem zamanı, doğrulamayı yapan kurum, kullanılan yöntem ve sonucu. Bu kayıtlar kişide değil, veri sorumlusu kuruluşta bulunur. Kişi, kendisiyle ilgili işlenen veriler ve bunların aktarıldığı taraflar hakkında bilgi talep etme hakkını kullanarak bu kayıtları isteyebilir; talebe verilen cevap ya da cevapsızlık başlı başına bir delildir.
Başvuru Sırasının Doğru Kurulması
- Önce veri sorumlusuna yazılı başvuru yapılır; başvurunun tarihi ve gönderim biçimi kanıtlanabilir olmalıdır.
- Cevap verilmez ya da yetersiz kalırsa Kişisel Verileri Koruma Kurulu'na şikâyet yoluna gidilebilir.
- Kimlik bilgilerinin başkası tarafından kullanıldığına dair emare varsa ayrıca cezai şikâyet gündeme gelir.
- Maddi zarar doğmuşsa genel hükümlere göre tazminat talebi bu süreçlerden bağımsız yürütülebilir.
Kurumlar İçin Uyum Kontrolü
- Doğrulama verisinin işlem tamamlandıktan sonra saklanıp saklanmadığı, saklanıyorsa hukuki dayanağı.
- Erişim yetkilerinin kişi bazında sınırlandırılması ve log kayıtlarının bütünlüğünün korunması.
- Yurt dışına aktarım varsa dayanağın ayrıca belirlenmesi.
- İhlal hâlinde bildirim akışının önceden yazılı bir prosedüre bağlanmış olması.
Bu metin bilgilendirme amacı taşır. Kimlik verisiyle ilgili uyuşmazlıklar teknik kayıtlara sıkı biçimde bağlı olduğundan, adım atmadan önce mevcut belgelerin bir hukukçuyla birlikte gözden geçirilmesi yerinde olur.