İnceleme, veri sorumlusu sıfatıyla hareket eden Valencia Uluslararası Üniversitesi (Universidad Internacional Valenciana – VIU) hakkında yürütülmüştür. 20 Mart 2023 tarihinde bir ilgili kişi tarafından Veri Koruma Otoritesi'ne şikâyette bulunulmuştur. Şikâyette, veri sorumlusunun tüm öğrencilerin çevrimiçi sınavlara katılabilmeleri için yüz tanıma teknolojisine dayalı bir uzaktan gözetim sistemini kullanmalarını zorunlu tuttuğu ve biyometrik veri işlenmesini gerektirmeyen herhangi bir alternatif yöntem sunmadığı ileri sürülmüştür. Veri sorumlusunun kullandığı sistem; sürekli biyometrik yüz doğrulaması gerçekleştirmekte, öğrencileri kamera aracılığıyla izlemekte ve öğrencilerin bilgisayarlarında gerçekleştirilen ekran görüntüsü alma, metin kopyalama veya çevresel aygıtların kullanımı gibi faaliyetleri kaydetmektedir.

Veri sorumlusu, 2017 yılından beri çevrimiçi sınavların denetiminde yüz tanıma teknolojisi kullandığını ve öğrencilerin sınavlara katılabilmeleri için bu sistemi kullanmalarının zorunlu olduğunu belirtmiştir. Veri işleme faaliyetinin hukuki dayanağı olarak GDPR'ın 6(1)(a), 6(1)(b) ve 6(1)(f) maddelerine dayanılmıştır. Ayrıca, kullanılan yazılımın yalnızca bire bir doğrulama yaptığı ve biyometrik şablonları saklamadığı gerekçesiyle, işlenen verilerin özel nitelikli kişisel veri olarak değerlendirilmemesi gerektiği savunulmuştur.

Veri sorumlusu, çevrimiçi eğitim alanında dolandırıcılık vakalarının arttığını ve akademik dürüstlüğün sağlanabilmesi amacıyla uzaktan gözetim sistemlerinin kullanılmasının gerekli olduğunu ileri sürmüştür. Ayrıca, Ulusal Kalite Değerlendirme ve Akreditasyon Ajansı'nın (Agencia Nacional de Evaluación de la Calidad y Acreditación – ANECA) çevrimiçi eğitim programlarında sıkı kimlik doğrulama kontrolleri yapılmasını zorunlu kıldığını savunmuştur.

Veri sorumlusu ayrıca, Veri Koruma Otoritesi'nin 2023 tarihli Biyometrik Sistemler Kılavuzu ile biyometrik verilere ilişkin yorumunu değiştirdiğini ve bu nedenle kendisine idari yaptırım uygulanmasının hukuki güvenlik, geriye yürümezlik ve kusur ilkelerini ihlal edeceğini ileri sürmüştür. Bunun yanı sıra, Veri Koruma Otoritesi'nin GDPR'ın 9. maddesi ile 5(1)(c) maddesinin ihlali nedeniyle ayrı ayrı idari para cezaları uygulayamayacağını, zira bunun non bis in idem (aynı şey için iki kez yargılama veya cezalandırma olmaz) ilkesine aykırılık teşkil edeceğini savunmuştur.

Veri Koruma Otoritesi, veri sorumlusunun hem GDPR'ın 9. maddesini (biyometrik verilerin işlenmesi) hem de 5(1)(c) maddesinde düzenlenen veri minimizasyonu ilkesini ihlal ettiğine karar vermiştir. Otorite, yüz tanıma sisteminin bireyleri benzersiz şekilde tanımlamak amacıyla biyometrik verileri işlediğini ve bu nedenle işlenen verilerin özel nitelikli kişisel veri niteliğinde olduğunu tespit etmiştir. Bu kapsamda, bir kişinin kimliğinin belirlenmesi amacıyla yüz görüntülerinin, bireye özgü biyolojik özelliklerin çıkarılmasını veya karşılaştırılmasını sağlayan teknik yöntemlerle işlenmesi halinde biyometrik veri teşkil ettiğini vurgulamıştır. Ayrıca, GDPR'ın 4(14) maddesinde yer alan biyometrik veri tanımının; biyometrik şablonların kalıcı olarak saklanıp saklanmadığına veya sistemin kimlik tespiti mi yoksa kimlik doğrulaması mı yaptığına değil, işleme faaliyetinin amacı ve kullanılan teknik yöntemlere odaklandığını belirtmiştir.

Veri Koruma Otoritesi, somut olayda kullanılan uzaktan gözetim aracının algoritmalar vasıtasıyla her öğrencinin yüz özelliklerini yakaladığını, analiz ettiğini ve karşılaştırdığını tespit etmiştir. Bu kapsamda sistemin, yüz görüntülerini canlı görüntünün önceden sağlanan referans görüntüyle eşleşip eşleşmediğinin doğrulanmasına imkân veren matematiksel bir temsile dönüştürdüğünü açıklamıştır. Veri sorumlusu, oluşturulan biyometrik şablonların kullanımdan kısa bir süre sonra imha edildiğini ileri sürmüş olsa da Otorite, yüz görüntülerinin bu şekilde biyometrik desenlere dönüştürülmesinin biyometrik veri işlenmesi sonucunu doğurmak için tek başına yeterli olduğunu değerlendirmiştir.

Veri Koruma Otoritesi ayrıca doğrulama faaliyetinin süreklilik arz eden niteliğini de değerlendirmiştir. Buna göre sistem, yalnızca sınavın başlangıcında tek seferlik bir kimlik doğrulaması gerçekleştirmemekte; sınav süresince öğrencinin yüzünü tekrar tekrar analiz etmektedir. Otorite, bu sürekli izleme faaliyetinin sistem tarafından sürekli olarak yeni biyometrik veri unsurlarının işlenmesi sonucunu doğurduğunu belirtmiştir. Bu durumun veri işleme faaliyetini daha müdahaleci hale getirdiği ve işlenen verilerin özel nitelikli kişisel veri niteliğinde olduğu yönündeki değerlendirmeyi güçlendirdiği ifade edilmiştir.

Sonuç olarak Veri Koruma Otoritesi, veri sorumlusunun biyometrik veri işleme faaliyetini hukuka uygun hale getirebilmesi için GDPR'ın 9(2) maddesinde düzenlenen istisnalardan birine dayanması gerektiğini, ancak somut olayda bu istisnalardan hiçbirinin mevcut olmadığını tespit etmiştir. Otorite, öğrencilerin önünde gerçek ve özgür bir tercih bulunmadığından veri sorumlusunun açık rızaya dayanamayacağını değerlendirmiştir. Bu kapsamda, öğrenciler için biyometrik veri işlenmesini gerektirmeyen alternatif bir sınav yönteminin bulunmaması ve başka bir üniversiteye kayıt yaptırma imkânının GDPR kapsamında aranan özgür iradeye dayalı rıza şartını karşılamaması dikkate alınmıştır. Ayrıca Veri Koruma Otoritesi, akademik dürüstlüğün korunmasına ilişkin gerekçelerin, GDPR'ın 9(2) maddesi kapsamında biyometrik veri işlenmesini haklı gösterecek nitelikte önemli bir kamu yararı oluşturmadığı sonucuna ulaşmıştır.

Veri Koruma Otoritesi ayrıca, sınav güvenliğinin ve bütünlüğünün sağlanabilmesi için sürekli biyometrik izlemenin gerekli olmadığı gerekçesiyle veri sorumlusunun GDPR'ın 5(1)(c) maddesinde düzenlenen veri minimizasyonu ilkesini ihlal ettiğini değerlendirmiştir. Otorite, veri sorumlusunun daha az müdahaleci tedbirlerin yetersiz kalacağını ortaya koyamadığını tespit etmiştir. Bu kapsamda, biyometrik veri işlenmesini içermeyen uzaktan gözetim yöntemlerinin veya yüz yüze sınav seçeneklerinin, aynı amaca daha düşük gizlilik riskleriyle ulaşılmasına imkân sağlayabileceğini belirtmiştir. Ayrıca, veri koruma etki değerlendirmelerinde (DPIA), alternatif yöntemlerin ve ilgili risklerin dengeli ve yeterli bir şekilde değerlendirildiğinin ortaya konulamadığı ifade edilmiştir.

Veri Koruma Otoritesi, veri sorumlusunun GDPR'ın 9. maddesi kapsamında geçerli bir hukuki dayanak bulunmaksızın, önemli ölçüde müdahaleci nitelikteki bir teknolojiyi uzun yıllar boyunca kullanması nedeniyle kusurlu hareket ettiğini tespit etmiştir. Otorite, hukuki güvenlik ve geriye yürümezlik ilkelerine ilişkin savunmaları reddetmiş; veri sorumlusunun GDPR hükümlerine ilişkin hatalı yorumuna dayanarak sorumluluktan kaçınamayacağını belirtmiştir.

Ayrıca, GDPR'ın 9. maddesi ile 5(1)(c) maddesinin farklı hukuki menfaatleri koruduğunu değerlendirerek, non bis in idem ilkesinin ihlal edildiği yönündeki iddiayı da reddetmiştir.

Sonuç olarak Veri Koruma Otoritesi, GDPR'ın 9. maddesinin ihlali nedeniyle 300.000 Avro, GDPR'ın 5(1)(c) maddesinin ihlali nedeniyle ise 350.000 Avro olmak üzere toplam 650.000 Avro tutarında idari para cezası uygulamıştır.

İlgili karara buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi, hukuki sebebi olmaksızın GDPR’ın 9. maddesini ihlal ederek öğrencilere çevrimiçi sınavlarda zorunlu yüz tanıma kullanımı şartı koyduğu gerekçesiyle bir üniversiteye 650.000 € para cezası verdi.