(AİHS. m. 8, 17) (2709 S. K. m. 12, 13, 20, 42) (657 S. K. m. 99) (6698 S. K. m. 1, 2, 3, 4, 6, 28) (5.DD. 27.09.2013 T. 2013/5728 E. 2013/6189 K.) (12.DD. 30.11.2010 T. 2008/3431 E. 2010/5970 K.)
İSTEMİN ÖZETİ: İstanbul 10. İdare Mahkemesi’nce verilen 06.07.2017 günlü, E:2017/42, K:2017/1500 sayılı kararın istinaf yoluyla incelenerek kaldırılması, davacı tarafından istenilmektedir.
SAVUNMANIN ÖZETİ: Belediyede uygulanacak yeni personel takip sistemi ile güvenlik, kontrol ve hizmetin devamlılığı esas alınmış olup, çağın gereksinimi ağ (network) üzerinden davaya konu uygulamanın gerçekleştirildiği, belediye binası ile birlikte 23 ayrı hizmet binasında çalışan 2165 personelin ve hizmet binalarının güvenliğinin sağlanması, personelin eşitliği ve kurumsal aidiyetinin sağlanarak giriş çıkış saatlerinin kontrol edilmesi, böylelikle çalışma saatlerinde yaşanan zafiyetlerin önüne geçmek, kamu maliyetlerinin azaltılması ile kamu hizmetinin kesintisiz ve eksiksiz yerine getirilmesinin sağlanmasının amaçlandığı, ülkemizde OHAL ilan edilen bir dönemde kamu kurumlarında güvenlik tedbirlerinin de artırıldığı, güvenlik riski bulunan ve binlerce çalışanı olan belediyede giriş çıkış takip sistemi kurulmasının gerekli bir uygulama olduğu, özel hayatın gizliliğinin ortadan kaldırılmasının söz konusu olmadığı, Web tabanlı personel takip sisteminde kullanılan cihazlar ile biyometrik veri olan parmak izinin alınmadığı, cihazın parmağın fotoğrafını bile kaydetmediği, belediye çalışanlarının açık rızaları ile sisteme dahil oldukları, sistemin güvenilirliği konusunda taahhütname hazırlanarak imza altına alındığı ve isteği halinde personele dağıtıldığı, çalışanların kişisel verilerinin alınmasının söz konusu olmadığı, sistemden alınan tek veri olan personelin giriş çıkış zaman hareketlerinin yetkisiz kişi ve kurumlarca paylaşılmayacağı, davaya konu uygulama ile 0 ve 1 den oluşan rakamsal bir algoritma oluşturularak, bu rakamlarla kişinin parmağının (azami üç parmak) belli noktalarının ölçülerek, taranıp rakamsal olarak cihaz hafızasında tutulduğu, oluşturulan bu rakamsal verilerin kurum yazılımında saklanması nedeniyle başka bir cihaza da aktarılamadığı, cihaza parmağın dokunması ile tanımlamanın sayısal olarak gerçekleştiği ve bu sayı, yazılımdaki unique numara ile eşleştiğinde cihaz üzerindeki parmak görselini sildiği, yani uygulamanın parmak yapısını sayısallaştırarak cihaz üzerinde benzersiz bir numaraya dönüştürme ve personelin kurum sicil numarası ile eşleştirme yaptığı, dava konusu uygulama ile kişisel verilerin alınması ve işlenmesinin söz konusu olmadığından bahisle istinaf başvurusunun reddi gerektiği savunulmaktadır.
TÜRK MİLLETİ ADINA
Hüküm veren İstanbul Bölge İdare Mahkemesi Üçüncü İdare Dava Dairesi'nce, İstanbul Bölge İdare Mahkemesi Başkanlar Kurulu’nun 8.1.2018 günlü ve E:2018/6, K:2018/6 sayılı kararı ile Dairemize gönderilen dosya incelendikten sonra işin gereği görüşüldü:
Dava, Beşiktaş Belediyesinde parmak üstü resmi ile personel takip ve kontrol sistemine geçilmesine ilişkin 08.12.2016 tarih ve 10468996/742 sayılı işlemin iptali istemiyle açılmıştır.
İstanbul 10. İdare Mahkemesi’nce verilen 06.07.2017 günlü, E:2017/42, K:2017/1500 sayılı kararıyla; olayda, davalı idarece, son dönemde artan terör saldırıları, personel kimlik kartlarının kayıp edilmesi sonucu ortaya çıkan güvenlik zafiyetlerinin önüne geçilmesi ve personel arasında mesai saatlerine uyulması hususundaki eşitliği sağlamak amacıyla “Personel Kontrol Sistemi” kurulduğu ve bu şekilde başta kurum çalışanlarının ve işlerinin takibi için kuruma gelen vatandaşların emniyetinin sağlandığı, personelin işe devam durumunun elektronik ortamda denetlendiği, davalı idarece kurulan “Personel Kontrol Sistemi” incelendiğinde, bu sistemde personelin parmak izinin kriminal anlamda alınan parmak izinden farklı olduğu ve cihazla alınan parmak izinin harf sayı ve değişik işaretlerden oluşan bir koda dönüştürüldüğü, söz konusu kod kullanılarak parmak izine ulaşmanın ise mümkün olmadığı, bu bağlamda kişilerin parmak izinden üretilen işaretlerin bireyin fiziksel olarak belirlenmesini sağlamadan uzak olduğu ve bu anlamda kişisel veri olarak değerlendirilemeyeceği, kaldı ki hiçbir verinin kayıt altına alınmadığı, nitekim “Personel Kontrol Sistemi”nin personel disiplinini sağlayarak verimliliği artırma, kamu hizmetlerinin kesintisiz olarak yerine getirilmesi, kamu güvenliği gibi amaçlara hizmet ettiğinin anlaşıldığı, bu durumda, ülkemizde ve coğrafyamızda giderek artan terör saldırıları karşısında ortaya çıkan güvenlik zafiyetlerinin önlenmesi, kamu kurumunda çalışan personellerin ve kuruma gelen vatandaşların can ve mal güvenliğinin önceliği, davalı idare tarafından kurulan cihazın kişisel verileri kayıt altına almadığı dikkate alındığında, Belediye personelinin parmak izi okutma sistemi ile iş yerine giriş ve çıkışlarının yapılmasına ilişkin 08.12.2016 tarih ve 91117803-622.03-1046896/742 sayılı davalı idare kararında hukuka aykırılık bulunmadığı sonucuna ulaşıldığı, benzer uygulamalara ilişkin olarak açılan iptal davalarında, işlemin hukuka uygun olduğuna dair verilen Danıştay 5.Dairesi'nin 27.09.2013 tarih ve E:2013/5728, K:2013/6189 sayılı, 03.10.2013 tarih ve E:2013/1712, K:2013/6404 sayılı kararı ile Danıştay 12.Dairesi'nin 30.11.2010 tarih ve E:2008/3431, K:2010/5970 sayılı kararının da bu yönde olduğu gerekçesiyle davanın reddine karar verilmiştir.
Davacı sendika; parmak izi tanıma sisteminin kullanılmasının Anayasaya ve tarafı olduğumuz uluslararası sözleşmelere aykırı olduğunu, özel hayatın gizliliğinin tamamen ortadan kaldırıldığını, kişisel verilerin yetkisiz kişi ve kurumlar tarafından kullanıma açıldığını, ilgili kamu kurumunca bir güvenlik zaafiyeti olduğu düşünülüyorsa bunu kişinin temel hak ve özgürlükleriyle bağdaşan bir yöntem aracılığıyla düzeltmesi gerektiğini, aksi halde güvenliğin her zaman kişilerin haklarına bir müdahalenin gerekçesi olacağını ve bu durumun kabul edilemeyeceğini öne sürmekte ve kararın istinaf yoluyla incelenerek kaldırılmasını istemektedir.
Anayasanın "Temel Hak ve Hürriyetlerin Niteliği" başlıklı 12. maddesinde; "Herkes, kişiliğine bağlı, dokunulmaz, devredilmez, vazgeçilmez temel hak ve hürriyetlere sahiptir. Temel hak ve hürriyetler, kişinin topluma, ailesine ve diğer kişilere karşı ödev ve sorumluluklarını da ihtiva eder." hükmüne, "Temel Hak ve Hürriyetlerin Sınırlanması" başlıklı değişik 13. maddesinde, "Temel hak ve hürriyetler, özlerine dokunulmaksızın yalnızca Anayasanın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Bu sınırlamalar, Anayasanın sözüne ve ruhuna, demokratik toplum düzeninin ve laik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamaz." hükmüne, "Özel Hayatın Gizliliği" başlıklı değişik 20. maddesinde ise, "Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir, özel hayatın ve aile hayatının gizliliğine dokunulamaz. Milli güvenlik, kamu düzeni, suç işlenmesinin önlenmesi, genel sağlık ve genel ahlakın korunması veya başkalarının hak ve özgürlüklerinin korunması sebeplerinden biri veya birkaçına bağlı olarak, usulüne göre verilmiş hakim kararı olmadıkça; yine bu sebeplere bağlı olarak gecikmesinde sakınca bulunan hallerde de kanunla yetkili kılınmış merciin yazılı emri bulunmadıkça; kimsenin üstü, özel kağıtları ve eşyası aranamaz ve bunlara el konulamaz. Yetkili merciin kararı yirmidört saat içinde görevli hakimin onayına sunulur. Hakim, kararını el koymadan itibaren kırksekiz saat içinde açıklar; aksi halde, el koyma kendiliğinden kalkar. Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." hükmüne yer verilmiştir.
Avrupa İnsan Hakları Sözleşmesinin "Özel Hayatın ve Aile Hayatının Korunması" başlıklı 8. maddesinde, herkesin özel ve aile yaşamına, konutuna ve haberleşmesine saygı gösterilmesi hakkına sahip olduğu, Birleşmiş Milletler Medeni ve Siyasi Haklar Sözleşmesinin "Mahremiyet Hakkı" başlıklı 17. maddesinde de, hiç kimsenin özel ve aile yaşamına, konutuna veya haberleşmesine keyfi veya hukuka aykırı olarak müdahale edilemeyeceği; onuru veya itibarının hukuka aykırı saldırılara maruz bırakılamayacağına, herkesin bu tür saldırılara veya müdahalelere karşı hukuk tarafından korunma hakkına sahip olduğu belirtilmiştir.
Öte yandan, 07.04.2016 tarih ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun'un 1. maddesinde; bu Kanunun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla çıkarıldığı, 2. maddesinde; bu Kanun hükümlerinin, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanacağı hükme bağlandıktan sonra, "Tanımlar" başlıklı 3. maddesinde; açık rızanın; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı, kişisel verinin; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, kişisel verilerin işlenmesinin; kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi, veri sorumlusunun; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade edeceği düzenlenmiştir.
Kanunun ‘Genel İlkeler’ başlıklı 4. maddesinde, “(1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
a) Hukuka ve dürüstlük kurallarına uygun olma.
b) Doğru ve gerektiğinde güncel olma.
c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.” hükmüne;
‘Kişisel verilerin işlenme şartları’ başlıklı 5. maddesinde, “(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
(2) Aşağıdaki şartlardan birinin varlığı halinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” hükmüne;
‘Özel nitelikli kişisel verilerin işlenme şartları’ başlıklı 6. maddesinde, “(1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
(3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmüne;
‘İstisnalar’ başlıklı 28. maddesinde ise, “(1) Bu Kanun hükümleri aşağıdaki hallerde uygulanmaz:
a) Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
b) Kişisel verilerin resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
c) Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
ç) Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
d) Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.
(2) Bu Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncı maddeleri aşağıdaki hallerde uygulanmaz:
a) Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
b) İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
ç) Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.” hükmüne yer verilmiştir.
Davaya konu işlemle, Beşiktaş Belediyesinde parmak üstü resmi ile personel takip ve kontrol sistemine geçilmesi kararlaştırılmış olup, uyuşmazlığın, başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerinin korunması ve kişisel verilerin işlenmesi çerçevesinde değerlendirilmesi gerektiğinde kuşku bulunmamaktadır.
657 sayılı Devlet Memurları Kanununun 99 ve devam eden maddelerinde, Devlet memurlarının çalışma saatleri ile günlük çalışma saatlerinin başlama ve bitme saatlerinin tespitine yönelik düzenlemelere yer verilmiş olmakla birlikte, kamu görevlilerinin mesaiye devam durumlarının kontrolü konusunda ayrıntılı bir yasal düzenleme mevzuatımızda bulunmamakta ise de, idarelerce, gelişen teknolojinin kamu hizmetlerinin etkin ve verimli yürütülmesini kolaylaştırıcı etki sağlaması amacıyla, kamu kesiminde kullanılmaya başlamasını doğal karşılamak gerekmekte, buna karşılık, teknolojik imkanlar kullanılarak kişisel verilerin kayıt altına alınması ve işlenmesi uygulamasının yukarıda belirtilen düzenlemelere uygun olması zorunlu bulunmaktadır.
Yukarıda aktarılan düzenlemeler birlikte incelendiğinde, Anayasa’nın 20. maddesi ile, kişisel verilerin, ancak “kanunda öngörülen hallerde” veya “kişinin açık rızasıyla” işlenebileceğinin öngörüldüğü, konuyla ilgili olarak yürürlüğe konulan 6698 sayılı Kanunda, kişisel verinin, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, kişisel verilerin işlenmesinin ise, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade ettiğinin belirtildiği görülmekte, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği hükme bağlanarak, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesini mümkün kılan şartların da düzenlendiği, kişilerin biyometrik verilerinin ise özel nitelikli kişisel veri olarak kabul edilerek, bu verilerin işlenmesinin kişilerin açık rızasına bağlandığı anlaşılmaktadır.
Diğer taraftan, “Biyometrik” kavramı, kullanıcının fiziksel veya davranışsal özelliklerini tanıyarak kimlik saptamak üzere geliştirilmiş bilgisayar kontrollü, otomatik sistemler için kullanılan genel bir terim şeklinde tanımlanmakta, “biyometrik yöntemler” ise, ölçülebilir fizyolojik ve bireysel özellikleri aracılığıyla gerçekleştirilen ve otomatik şekilde doğrulanabilen kimlik denetleme tekniklerini ifade etmekte olup, biyometrik yöntemlerin uygulanması suretiyle elde edilen verilerin kişisel veri olduğunda kuşku bulunmamaktadır.
Somut olayda, davalı idarece her ne kadar, Web tabanlı personel takip sisteminde kullanılan cihazlar ile biyometrik veri olan parmak izinin alınmadığı, cihazın parmağın fotoğrafını bile kaydetmediği, belediye çalışanlarının açık rızaları ile sisteme dahil oldukları, sistemin güvenilirliği konusunda taahhütname hazırlanarak imza altına alındığı ve isteği halinde personele dağıtıldığı, çalışanların kişisel verilerinin alınmasının söz konusu olmadığı, sistemden alınan tek veri olan personelin giriş çıkış zaman hareketlerinin yetkisiz kişi ve kurumlarca paylaşılmayacağı, davaya konu uygulama ile 0 ve 1 den oluşan rakamsal bir algoritma oluşturularak, bu rakamlarla kişinin parmağının (azami üç parmak) belli noktalarının ölçülerek, taranıp rakamsal olarak cihaz hafızasında tutulduğu, oluşturulan bu rakamsal verilerin kurum yazılımında saklanması nedeniyle başka bir cihaza da aktarılamadığı, cihaza parmağın dokunması ile tanımlamanın sayısal olarak gerçekleştiği ve bu sayı, yazılımdaki unique numara ile eşleştiğinde cihaz üzerindeki parmak görselini sildiği, yani uygulamanın parmak yapısını sayısallaştırarak cihaz üzerinde benzersiz bir numaraya dönüştürme ve personelin kurum sicil numarası ile eşleştirme yaptığı, dava konusu uygulama ile kişisel verilerin alınması ve işlenmesinin söz konusu olmadığı ileri sürülmekte ise de; 0 ve 1 den oluşan rakamsal bir algoritma oluşturularak, bu rakamlarla kişinin parmağının (azami üç parmak) belli noktalarının ölçülerek, taranıp rakamsal olarak kaydedilmesinin biyometrik yöntemlerden olduğu, biyometrik yöntemle elde edilen verilerin de kişisel veri olduğunda kuşku bulunmadığı, biyometrik yöntemlerin kullanılması şeklinde bir uygulamanın ise, kamusal alanda da olsa bireyin temel haklarından olup, anayasada ve uluslararası sözleşmelerle güvence altına alınan “özel hayatın gizliliği” ilkesi kapsamında olduğu, nitekim, Avrupa İnsan Hakları Mahkemesince de, kişisel verilerin Avrupa İnsan Hakları Sözleşmesinin ‘Özel ve aile hayatına saygı hakkı’ başlıklı 8. maddesi kapsamında olduğunun kabul edildiği, kaldı ki, kişilerin biyometrik verilerinin 6698 sayılı Kanun gereği özel nitelikli kişisel veri olup, kanunla, özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesinin yasaklandığının anlaşılması karşısında, davalı idarenin anılan iddialarına itibar edilememiştir.
Bu durumda, biyometrik yöntemle elde edilen kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda tanımlanan özel nitelikli kişisel veri niteliğinde bulunduğu, ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu açık olup, kanunda sayılan ve ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesini mümkün kılan şartların somut olayda mevcut olmadığı da dikkate alındığında, personelden kişisel veri alınması kapsamında olan "parmak üstü resmi" ile mesai takibi ve kontrolü uygulamasının, kamusal alanda da olsa "özel hayatın gizliliği" ilkesi kapsamında olması, 6698 sayılı Kanunda öngörülen hallerden olmaması nedeniyle kişinin açık rızası ile işlenebilmesinin mümkün bulunması, dava konusu parmak üstü resmi ile personel takip ve kontrol sistemine davacının açık rızası olmadan geçildiğinin anlaşılması karşısında, yukarıda belirtilen temel haklar, Anayasal ilkeler, uluslararası sözleşme kuralları ve 6698 sayılı Kanun hükümleri ile bağdaşmayan dava konusu işlemde hukuka uyarlık bulunmadığı sonucuna varılmıştır.
Açıklanan nedenlerle, davacının istinaf başvurusunun kabulüyle, İstanbul 10. İdare Mahkemesi’nce verilen 06.07.2017 günlü, E:2017/42, K:2017/1500 sayılı kararın kaldırılmasına, dava konusu işlemin iptaline, aşağıda dökümü yapılan 299,30.-TL yargılama ve istinaf gideri ile kararın verildiği tarihte yürürlükte bulunan Avukatlık Asgari Ücret Tarifesi uyarınca belirlenen 1.090,00.-TL avukatlık ücretinin davalı idareden alınarak davacıya verilmesine, dava ve istinaf gideri için tahsil edilen paranın kullanılmayan kısmının ilgilisine iade edilmesine, kararın taraflara tebliği için dosyanın ait olduğu mahkemeye gönderilmesine, 14.02.2018 tarihinde oybirliği ile kesin olarak karar verildi. (¤¤)