Kişisel Verileri Koruma Kurumu, biyometrik imza verisinin kullanılmasına ilişkin tarafına yapılan başvuru sonucunda 27.08.2020 tarih ve 2020/649 sayılı kararı ile biyometrik imzanın biyometrik veri niteliği taşıdığı ve bu niteliklikteki bir verinin işlenebilmesi belli şartlar altında mümkün olabileceği açıklamıştır.
Bu kararda özetle, 6098 sayılı Türk Borçlar Kanunu’nun sözleşme şekillerini belirttiği maddelerde imzaların yalnızca el ile atılması zorunluluğu da düzenlenmiş olduğundan biyometrik imzaların 6698 sayılı Kanun uyarınca özel nitelikli kişisel veri ve açık rıza kapsamında değerlendirilip değerlendirilemeyeceği tartışılmıştır. Biyometrik veriler herhangi bir müdahaleye gerek olmaksızın ömür boyu değişmeden kalan veri kapsamında olduğundan Kurum bu veriyi özel nitelikli kişisel veri olarak değerlendirmiştir. Ki, bu çerçeve de kişilere ait iris, retina, parmak izi, yüz, avuç içi, damarlar gibi veriler fizyolojik nitelikte biyometrik verileri oluşturmaktadır. Zaten birey bu fizyolojik özellikleri bizzat kendisi taşıdığından bu verilerin değiştirilmesi veyahut unutulması mümkün değildir.
Ancak, bilindiği üzere biyometrik veri her ne kadar özel nitelikli kişisel veri kapsamında değerlendirilse de bir biyometrik veri açık rıza bulunmayan hallerde ancak kanunlarda öngörüldüğü takdirde işlenebilmektedir. Bunun sonucunda biyometrik veri işlemenin kanunlarda öngörülmesi durumunda söz konusu hükmün şüpheye yer verilmeyecek kadar açık olması gerektiği değerlendirilmelidir. Borçlar Kanunumuzda yer alan imza düzenlemesinin kapsamı hem el ile atılan imza hem de elektronik imzadır. Kanun koyucu bu iki tür imzayı ayrı ayrı düzenlemiş olup bu kapsamda Borçlar Kanununda yer alan düzenlemeyi biyometrik imzayı kapsayacak şekilde yorumlamanın hem 6698 sayılı Kanunun 6. Maddesinde düzenlenen “Özel Nitelikli Kişisel Verilerin İşlenme Şartı” başlıklı hükmünün geniş yorumlanmasına yol açacağı hem de ölçülülük ilkesine aykırı olacağı değerlendirilmiştir.
Bu kapsamda Kurul’un yapmış olduğu değerlendirmeler sonucunda, biyometrik imzanın biyometrik veri niteliğine haiz olduğu ve ilgili bireylerin verilerinin işlenebilmesi için açık rıza alınmış olması, gerekli aydınlatmanın yapılmış olması ve veri sorumluları tarafından alınması gereken önlemlerin dikkate alınması gerektiği kararlaştırılmıştır.