Annonce de la KVKK sur le suivi des horaires : les données d'empreintes digitales et de paume sont considérées comme des données biométriques

L'Autorité de protection des données personnelles (KVKK) a publié un communiqué public concernant la décision de principe émise sur le traitement des données biométriques aux fins de suivi des horaires des employés. Le communiqué indique que des responsables de traitement issus de différents secteurs ont formulé des demandes d'avis concernant la décision publiée au Journal officiel le 2 juin.

La KVKK a rappelé que, selon la loi n° 6698 sur la protection des données personnelles, les données biométriques figurent parmi les données personnelles à caractère sensible. L'Autorité a également précisé que la loi n° 5490 sur les services de population définit les données spécifiques à une personne obtenues à partir des empreintes digitales, des empreintes veineuses et de la paume de la main comme des données biométriques collectées à des fins d'identification et de vérification.

Le communiqué répond également aux évaluations suggérant que les données obtenues par des méthodes telles que le scan de la paume ou les empreintes digitales ne devraient pas être considérées comme des données biométriques. La KVKK a souligné que les données rendues aptes à identifier ou à vérifier une personne de manière unique par des méthodes techniques spécifiques possèdent la nature de données biométriques.

L'Autorité a déclaré que la conversion de ces types de données en un code mathématique pour les stocker dans une base de données ne supprime pas leur nature de données biométriques. Ainsi, il a été précisé que les systèmes d'empreintes digitales, de paume ou similaires utilisés pour le suivi des horaires doivent être évalués dans le cadre de la décision de principe.

La KVKK a souligné que certains établissements et zones d'activité pourraient être distingués de l'évaluation générale en raison des risques de sécurité et des conséquences potentielles de violations de données. Cependant, il a été noté que les activités de traitement de données biométriques menées dans ces zones doivent également être limitées aux zones critiques et aux personnes nécessaires, être proportionnées et conformes à l'objectif visé.

Le communiqué souligne que la décision de principe concerne uniquement les activités de traitement de données biométriques effectuées à des fins de suivi de la présence des employés, c'est-à-dire le suivi des horaires. Pour les processus de traitement de données biométriques autres que le suivi des horaires, il a été indiqué que l'évaluation de la conformité légale sera effectuée par les responsables de traitement en tenant compte de l'objectif du traitement, de la nature du travail et des caractéristiques du cas concret.

La KVKK a annoncé que le Conseil de protection des données personnelles évaluera séparément chaque cas concret lors des signalements ou plaintes qui lui seront adressés.