Cumhuriyet Savcısı (“Parket”), Yüksek Mahkeme'ye, bir bankanın kimlik doğrulama sürecinin, kimlik doğrulamasının bir yazılım tarafından değil bir çalışan tarafından gerçekleştirilmesi nedeniyle “özel bir teknik işlemden kaynaklanmadığı” için biyometrik veri işleme olarak kabul edilmemesi gerektiğini bildirmiştir.

İlgili kişi, 2008 yılında bir kredi kartı başvurusunda bulunmuş ve kart kendisine verilmiştir.

Temmuz 2020'de banka (veri sorumlusu), ilgili kişiden kimliklerinin bir kopyasını ve dijital bir selfie'sini sağlayarak çevrimiçi olarak kimliklerini doğrulamalarını istemiştir. Bir banka çalışanı daha sonra iki görüntüyü karşılaştıracak ve onaylayacaktı. İlgili kişiye, bunun Dördüncü Kara Para Aklamayı Önleme Direktifi (AMLD) hükümlerine uymak için gerekli olduğu ve bunun yapılmaması durumunda kartlarının iptal edileceği bildirilmiştir.

Temmuz sonu ve Ağustos ayı başında, veri sorumlusu ilgili kişiyle tekrar iletişime geçerek, çevrimiçi portal aracılığıyla kimliklerini doğrulamalarını istemiştir. 17 Ağustos 2020'de ilgili kişiye, bu tarihe kadar kimliklerini doğrulamadığı takdirde kredi kartı sözleşmelerinin Kasım 2020'de iptal edileceği bildirilmiştir.

Eylül 2020'de ilgili kişi, Amsterdam Bölge Mahkemesi'nde veri sorumlusuna dava açmıştır. Mahkeme bazı iddialarını kabul edilemez bulmuş ve diğerlerini reddetmiştir.

Ağustos 2021'de ilgili kişi, Amsterdam Temyiz Mahkemesi'ne başvurmuştur. İlgili kişi, diğer şeylerin yanı sıra, kredi kartlarının iadesini, tazminat ödenmesini ve bankanın önerdiği kimlik doğrulama yönteminin yasal olmadığının tespit edilmesini talep etmiştir.

Mart 2024'te Amsterdam Temyiz Mahkemesi, alt mahkemenin kararını onamıştır.

İlgili kişi daha sonra Yüksek Mahkeme'ye başvurmuştur. İlgili kişi, kimlik doğrulama prosedüründe biyometrik verilerin işlenmesinin GDPR'nin 9(1) Maddesi uyarınca yasal olmadığını ve temyiz mahkemesinin, doğrulama yapıldıktan sonra veri sorumlusunun kimliklerinin kopyalarını saklayabileceğine karar vermesinin hatalı olduğunu savunmuştur.

Cumhuriyet Savcısı (Parket), bu yöntemle ilgili kişinin kimliğinin doğrulanmasının, GDPR'nin 9. Maddesi kapsamına giren biyometrik veri işleme teşkil etmediği görüşünü savunmuştur. Parket, bu süreçteki bireyin kimlik doğrulamasının bir yazılım tarafından değil, veri sorumlusunun bir çalışanı tarafından gerçekleştirildiğini savunmuştur. Bu nedenle, işleme faaliyeti, biyometrik veri tanımında gerekli olan "teknik araçlarla" gerçekleştirilmemişti. Mahkeme, bunun, Adalet Divanı'na herhangi bir soru yöneltilmesini gerektirmeyecek kadar açık olduğunu belirtmiştir.

Bankanın kimliği saklamasının meşruiyeti sorusuna ilişkin olarak, Parket bu uygulamanın yasal olduğuna karar vermiştir. Parket, Kara Para Aklamayı Önleme Direktifi (“AMLD”) uyarınca müşteri durum tespiti yapma ve bu hükme uymak için kullanılan belgeleri ve verileri "erişilebilir bir şekilde" saklama yükümlülüğüne atıfta bulunmuştur. Bu nedenle Parket, bu hükmün direktife uygun bir şekilde yorumlanmasının, kurumların doğrulama için kullanılan kimliklerin kopyalarını saklamak zorunda olduğu anlamına geldiğine karar vermiştir.

Buna göre Parket, Yüksek Mahkeme'nin başvuru sahibinin temyizini reddetmesini önermiştir.

İlgili karara buradan ulaşabilirsiniz.

İlgili kişiye ilişkin dijital fotoğrafın gerçek kişi tarafından karşılaştırılması suretiyle işlenmesi faaliyeti teknik bir işlemden kaynaklanmadığı gerekçesiyle biyometrik veri olarak değerlendirilmedi.