KVKK (Kanun)’da kapsamlı olarak tanımlanmayan biyometrik veri Avrupa Birliği Genel Veri Koruma Tüzüğünün (GVKT) 4 üncü maddesinde “yüz görüntüleri veya daktiloskopi veriler gibi bir gerçek kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olarak spesifik teknik işlemeden kaynaklanan kişisel verilerdir.” biçiminde tanımlanır.
Fizyolojik nitelikli biyometrik veri kişinin parmak izi, retinası, avuç içi, irisi gibi verileri iken; kişinin yürüyüş biçimi, klavyeye basış biçimi, araba sürüş biçimi gibi verileriyse davranışsal nitelikli biyometrik veri olarak tanımlanır.
Örneğin; biyometrik fotoğraf kişisel veridir ancak biyometrik veri değildir.
Biyometrik veriler kişiye özgü, benzersiz ve tektir. Bu nedenle bireylerin birbirleriyle karıştırılma ihtimalleri büyük oranda ortadan kalkar.
Biyometrik verilerin işlenmesinde her zaman KVKK(Kanun)’nın 4 üncü maddesinde düzenlenen genel ilkelere uyulması gerektiği hüküm altına alınmıştır.
• Temel hak ve özgürlüklerin özüne dokunmaması
• Başvurulan yöntemin işleme amacına ulaşılabilmesi bakımından elverişli olması, veri işleme faaliyetinin ulaşılmak istenen amaç için uygun olması
• Biyometrik veri işleme yönteminin ulaşılmak istenen amaç bakımından gerekli olması
Veri sorumlusu, Kanun ile özel nitelikli kişisel veriler arasında sayılan biyometrik veriler işlenirken verilerin güvenliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri almalıdır. Kurulun “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”e ilişkin kararında belirtilen tedbirlerin alınması ise zorunlu kılınmıştır