Parmak İzi Sistemden Ne Zaman Silinir? Kültürler, Toplumlar ve Dijital Mahremiyet Üzerine
Parmak İzi Sistemden Ne Zaman Silinir? Asıl Soru Belki de “Kimde ve Neden Tutuluyor?”
Bir gün bir kuruma giriş yaparken parmağınızı bir cihaza okuttunuz, sonra da aklınıza şu soru takıldıysa yalnız değilsiniz: “Benim parmak izim şimdi sistemde ne kadar kalacak?” İlk bakışta basit bir teknik soru gibi geliyor. Sonuçta parmak izi fiziksel olarak elimizde duruyor ve her gün kullandığımız bir biyolojik özellik. Fakat dijital sisteme kaydedilen şey, parmağınızın kendisi değil; kimliğinizle ilişkilendirilebilen biyometrik bir veridir.
İşin ilginç tarafı da burada başlıyor. Çünkü “parmak izi ne zaman silinir?” sorusunun dünyanın her yerinde geçerli tek bir cevabı yok. Parmak izinin hangi amaçla alındığı, veriyi hangi kurumun tuttuğu, ülkenin hukuk sistemi, kişinin adli sicili, göçmenlik statüsü, iş ilişkisi ve hatta toplumun güvenlik ile mahremiyet arasında kurduğu denge bu süreyi değiştirebiliyor.
Ben bu konuyu araştırırken özellikle şu ayrımın önemli olduğunu düşünüyorum: Parmak izinin sistemde bulunması ile parmak izinin herhangi bir yerde yeniden kullanılabilir olması aynı şey değil. Bir veritabanındaki kayıt silinse bile başka bir kurumun veya farklı bir hukuki sürecin ayrı bir kaydı olabilir. Bu yüzden “sistemden silindi” ifadesini duyduğumuzda hangi sistemden söz edildiğini sormak gerekiyor.
Parmak İzi Neden Bu Kadar Hassas Bir Veri?
Parmak izleri insanın biyometrik kimliğinin önemli unsurlarından biri. NIST tarafından yapılan uzun dönemli bir araştırmada parmak izi tanımanın temelinde iki özellik, yani farklı parmak izlerinin birbirinden ayırt edilebilir olması ve desenlerin zaman içinde büyük ölçüde kalıcı olması ele alınıyor. Araştırmada 15.597 kişinin en az beş yıllık zaman aralığına yayılan parmak izi kayıtları incelenmişti.
Bu kalıcılık, parmak izini şifrelerden farklı kılıyor. Şifrenizi unutursanız değiştirebilirsiniz. E-posta hesabınız ele geçirilirse parolanızı yenileyebilirsiniz. Ancak biyometrik özelliğinizi aynı kolaylıkla “değiştiremezsiniz”.
Bu nedenle parmak izi verisinin saklanma süresi yalnızca teknik bir depolama meselesi değildir. Aynı zamanda mahremiyet, güvenlik ve kişinin kendi verisi üzerindeki kontrolüyle ilgilidir.
Türkiye’de Parmak İzi Ne Zaman Silinir?
Türkiye açısından konuya bakıldığında tek bir “3 yıl”, “5 yıl” veya “10 yıl” şeklinde genel bir süre söylemek doğru olmaz. Süre, verinin hangi amaçla işlendiğine ve hangi hukuki sebebe dayanıldığına göre değişebilir.
6698 sayılı KVKK çerçevesinde kişisel verilerin işlenmesini gerektiren şartların tamamen ortadan kalkması halinde verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir. Kişisel Verileri Koruma Kurumu'nun açıklamalarına göre bu yükümlülüğün doğması için kişinin mutlaka başvuru yapması da gerekmiyor.
Burada önemli bir ayrıntı var: “Silme” ile “yok etme” aynı şey olarak görülmüyor. KVKK düzenlemesine göre silme, verinin ilgili kullanıcılar açısından erişilemez ve tekrar kullanılamaz hâle getirilmesini; yok etme ise verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesini ifade ediyor.
Örneğin bir şirket çalışanlarının giriş-çıkışını parmak iziyle takip ediyorsa, çalışan işten ayrıldığında “sistem artık kullanılmıyor” demek tek başına yeterli olmayabilir. Verinin hangi amaçla ve hangi hukuki gerekçeyle tutulduğu yeniden değerlendirilmelidir.
KVKK'nın farklı kararlarında da biyometrik verilerin ölçülülük ilkesi bakımından özellikle dikkatle ele alındığını görüyoruz. Örneğin bir üniversitenin öğrencilerin yoklamasını parmak iziyle takip etmesine ilişkin 2024 tarihli kararda, parmak izi verilerinin işlenmesinin hukuka uygun olmadığı değerlendirilmiş ve mevcut biyometrik verilerin imha edilmesi yönünde talimat verilmiştir.
Benzer şekilde çalışanların işe giriş-çıkış takibinde parmak izi kullanımına ilişkin bir başka KVKK kararında da biyometrik yöntemin ölçülü olmadığı değerlendirilmiş ve mevcut verilerin imha edilmesi istenmiştir.
Dolayısıyla Türkiye'de “parmak izi sisteme girdikten sonra otomatik olarak şu kadar yıl kalır” şeklinde genel bir kural aramak yerine verinin amacı, hukuki dayanağı ve saklama politikasına bakmak daha doğru.
Avrupa’da Yaklaşım: Daha Fazla Veri, Daha Uzun Süre Demek Değil
Avrupa Birliği'nde GDPR yaklaşımı da dikkat çekici. Genel prensiplerden biri, kişisel verilerin kimliği belirlemeye izin verecek biçimde gerekli olandan daha uzun süre tutulmaması. Bu ilke “storage limitation”, yani saklama süresinin sınırlandırılması olarak düzenleniyor.
Bu yaklaşımın arkasında bana göre çok önemli bir düşünce var: Bir kurumun teknik olarak bir veriyi yıllarca saklayabiliyor olması, o veriyi yıllarca saklamasının otomatik olarak meşru olduğu anlamına gelmez.
Burada kültürel fark da ortaya çıkıyor. Bazı toplumlarda güvenlik ihtiyacı daha baskınken bazı toplumlarda devletin veya şirketlerin bireysel veriye erişimi daha fazla sorgulanabiliyor.
İngiltere Örneği: Aynı Parmak İzi, Farklı Hukuki Sonuçlar
Birleşik Krallık bu konuyu anlamak için güzel bir örnek. İngiltere ve Galler'deki polis uygulamalarında parmak izi ve DNA verilerinin saklanması kişinin tutuklanması, suçlama, mahkûmiyet ve suçun niteliği gibi faktörlere göre değişebiliyor.
Örneğin belirli nitelikte ciddi bir suç nedeniyle gözaltına alınmış fakat hakkında suçlama yapılmamış bir kişinin parmak izi normalde silinebiliyor. Ancak bazı koşullarda polis, biyometrik verinin belirli bir süre daha tutulması için başvuru yapabiliyor. Başvuru kabul edilirse süre üç yıla kadar çıkabiliyor.
Buna karşılık bazı mahkûmiyet durumlarında biyometrik kayıtların çok daha uzun süre tutulması, hatta mevcut mevzuat çerçevesinde süresiz saklanması mümkün olabiliyor.
Göçmenlik sistemi ise ayrıca farklı bir tablo ortaya çıkarıyor. Birleşik Krallık'ın 2026 tarihli resmi rehberinde, sınırlı süreli göçmenlik statüsü kapsamında alınan parmak izlerinin normal olarak 15 yıla kadar tutulabildiği belirtiliyor. Yerleşim statüsü veya yüksek zarar riski gibi bazı durumlarda daha uzun saklama söz konusu olabiliyor.
Bu örnek aslında sorunun özünü gösteriyor: “Parmak izim ne zaman silinir?” sorusunun cevabı, “Nerede ve hangi amaçla verdiniz?” sorusundan bağımsız düşünülemez.
Kültürler Arasında Güvenlik ve Mahremiyet Dengesi
Farklı toplumlara baktığımızda ilginç bir ortaklık görüyoruz. Neredeyse her toplum güvenliğe ihtiyaç duyuyor. Fakat güvenliği sağlamak için bireyden ne kadar veri alınabileceği konusunda ciddi farklılıklar var.
Örneğin bazı Batı Avrupa toplumlarında veri minimizasyonu güçlü bir kamu politikası anlayışı olarak öne çıkarken, bazı ülkelerde güvenlik ve devletin kimlik doğrulama kapasitesi daha merkezi bir konumda bulunabiliyor. Asya'nın farklı bölgelerinde ise biyometrik teknolojilerin kamu hizmetleri, finans, sınır geçişleri ve günlük kimlik doğrulama süreçlerine daha yoğun biçimde entegre edildiği örnekler görülebiliyor.
Burada kültürleri “mahremiyete önem verenler” ve “güvenliğe önem verenler” şeklinde ikiye ayırmak ise bana fazla basit geliyor. Aynı toplum içinde bile insanların öncelikleri değişebiliyor.
Bir kişi havaalanında parmak izi okutulmasını büyük bir güvenlik kolaylığı olarak görebilirken aynı kişi özel bir şirketin çalışan takibinde parmak izi kullanılmasına itiraz edebilir.
Başka biri ise tam tersine, “Benim için fark etmez, yeter ki işlem hızlı olsun” diyebilir.
Asıl kültürel fark belki de burada: Toplumlar yalnızca parmak izinin tutulmasına değil, bu veriyi kimin kontrol ettiğine ve ne amaçla kullandığına farklı anlamlar yüklüyor.
Erkekler ve Kadınlar Bu Konuya Aynı Yerden mi Bakıyor?
Bu başlıkta genellemeler yapmak kolay ama tehlikeli. “Erkekler güvenliği önemser, kadınlar mahremiyeti önemser” gibi kesin hükümler hem bilimsel açıdan zayıf hem de bireysel farklılıkları görmezden geliyor.
Yine de toplumsal roller ve kültürel deneyimler üzerinden bazı eğilimlerin tartışılabileceğini düşünüyorum.
Parmak İzi Sistemden Ne Zaman Silinir? Asıl Soru Belki de “Kimde ve Neden Tutuluyor?”
Bir gün bir kuruma giriş yaparken parmağınızı bir cihaza okuttunuz, sonra da aklınıza şu soru takıldıysa yalnız değilsiniz: “Benim parmak izim şimdi sistemde ne kadar kalacak?” İlk bakışta basit bir teknik soru gibi geliyor. Sonuçta parmak izi fiziksel olarak elimizde duruyor ve her gün kullandığımız bir biyolojik özellik. Fakat dijital sisteme kaydedilen şey, parmağınızın kendisi değil; kimliğinizle ilişkilendirilebilen biyometrik bir veridir.
İşin ilginç tarafı da burada başlıyor. Çünkü “parmak izi ne zaman silinir?” sorusunun dünyanın her yerinde geçerli tek bir cevabı yok. Parmak izinin hangi amaçla alındığı, veriyi hangi kurumun tuttuğu, ülkenin hukuk sistemi, kişinin adli sicili, göçmenlik statüsü, iş ilişkisi ve hatta toplumun güvenlik ile mahremiyet arasında kurduğu denge bu süreyi değiştirebiliyor.
Ben bu konuyu araştırırken özellikle şu ayrımın önemli olduğunu düşünüyorum: Parmak izinin sistemde bulunması ile parmak izinin herhangi bir yerde yeniden kullanılabilir olması aynı şey değil. Bir veritabanındaki kayıt silinse bile başka bir kurumun veya farklı bir hukuki sürecin ayrı bir kaydı olabilir. Bu yüzden “sistemden silindi” ifadesini duyduğumuzda hangi sistemden söz edildiğini sormak gerekiyor.
Parmak İzi Neden Bu Kadar Hassas Bir Veri?
Parmak izleri insanın biyometrik kimliğinin önemli unsurlarından biri. NIST tarafından yapılan uzun dönemli bir araştırmada parmak izi tanımanın temelinde iki özellik, yani farklı parmak izlerinin birbirinden ayırt edilebilir olması ve desenlerin zaman içinde büyük ölçüde kalıcı olması ele alınıyor. Araştırmada 15.597 kişinin en az beş yıllık zaman aralığına yayılan parmak izi kayıtları incelenmişti.
Bu kalıcılık, parmak izini şifrelerden farklı kılıyor. Şifrenizi unutursanız değiştirebilirsiniz. E-posta hesabınız ele geçirilirse parolanızı yenileyebilirsiniz. Ancak biyometrik özelliğinizi aynı kolaylıkla “değiştiremezsiniz”.
Bu nedenle parmak izi verisinin saklanma süresi yalnızca teknik bir depolama meselesi değildir. Aynı zamanda mahremiyet, güvenlik ve kişinin kendi verisi üzerindeki kontrolüyle ilgilidir.
Türkiye’de Parmak İzi Ne Zaman Silinir?
Türkiye açısından konuya bakıldığında tek bir “3 yıl”, “5 yıl” veya “10 yıl” şeklinde genel bir süre söylemek doğru olmaz. Süre, verinin hangi amaçla işlendiğine ve hangi hukuki sebebe dayanıldığına göre değişebilir.
6698 sayılı KVKK çerçevesinde kişisel verilerin işlenmesini gerektiren şartların tamamen ortadan kalkması halinde verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir. Kişisel Verileri Koruma Kurumu'nun açıklamalarına göre bu yükümlülüğün doğması için kişinin mutlaka başvuru yapması da gerekmiyor.
Burada önemli bir ayrıntı var: “Silme” ile “yok etme” aynı şey olarak görülmüyor. KVKK düzenlemesine göre silme, verinin ilgili kullanıcılar açısından erişilemez ve tekrar kullanılamaz hâle getirilmesini; yok etme ise verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesini ifade ediyor.
Örneğin bir şirket çalışanlarının giriş-çıkışını parmak iziyle takip ediyorsa, çalışan işten ayrıldığında “sistem artık kullanılmıyor” demek tek başına yeterli olmayabilir. Verinin hangi amaçla ve hangi hukuki gerekçeyle tutulduğu yeniden değerlendirilmelidir.
KVKK'nın farklı kararlarında da biyometrik verilerin ölçülülük ilkesi bakımından özellikle dikkatle ele alındığını görüyoruz. Örneğin bir üniversitenin öğrencilerin yoklamasını parmak iziyle takip etmesine ilişkin 2024 tarihli kararda, parmak izi verilerinin işlenmesinin hukuka uygun olmadığı değerlendirilmiş ve mevcut biyometrik verilerin imha edilmesi yönünde talimat verilmiştir.
Benzer şekilde çalışanların işe giriş-çıkış takibinde parmak izi kullanımına ilişkin bir başka KVKK kararında da biyometrik yöntemin ölçülü olmadığı değerlendirilmiş ve mevcut verilerin imha edilmesi istenmiştir.
Dolayısıyla Türkiye'de “parmak izi sisteme girdikten sonra otomatik olarak şu kadar yıl kalır” şeklinde genel bir kural aramak yerine verinin amacı, hukuki dayanağı ve saklama politikasına bakmak daha doğru.
Avrupa’da Yaklaşım: Daha Fazla Veri, Daha Uzun Süre Demek Değil
Avrupa Birliği'nde GDPR yaklaşımı da dikkat çekici. Genel prensiplerden biri, kişisel verilerin kimliği belirlemeye izin verecek biçimde gerekli olandan daha uzun süre tutulmaması. Bu ilke “storage limitation”, yani saklama süresinin sınırlandırılması olarak düzenleniyor.
Bu yaklaşımın arkasında bana göre çok önemli bir düşünce var: Bir kurumun teknik olarak bir veriyi yıllarca saklayabiliyor olması, o veriyi yıllarca saklamasının otomatik olarak meşru olduğu anlamına gelmez.
Burada kültürel fark da ortaya çıkıyor. Bazı toplumlarda güvenlik ihtiyacı daha baskınken bazı toplumlarda devletin veya şirketlerin bireysel veriye erişimi daha fazla sorgulanabiliyor.
İngiltere Örneği: Aynı Parmak İzi, Farklı Hukuki Sonuçlar
Birleşik Krallık bu konuyu anlamak için güzel bir örnek. İngiltere ve Galler'deki polis uygulamalarında parmak izi ve DNA verilerinin saklanması kişinin tutuklanması, suçlama, mahkûmiyet ve suçun niteliği gibi faktörlere göre değişebiliyor.
Örneğin belirli nitelikte ciddi bir suç nedeniyle gözaltına alınmış fakat hakkında suçlama yapılmamış bir kişinin parmak izi normalde silinebiliyor. Ancak bazı koşullarda polis, biyometrik verinin belirli bir süre daha tutulması için başvuru yapabiliyor. Başvuru kabul edilirse süre üç yıla kadar çıkabiliyor.
Buna karşılık bazı mahkûmiyet durumlarında biyometrik kayıtların çok daha uzun süre tutulması, hatta mevcut mevzuat çerçevesinde süresiz saklanması mümkün olabiliyor.
Göçmenlik sistemi ise ayrıca farklı bir tablo ortaya çıkarıyor. Birleşik Krallık'ın 2026 tarihli resmi rehberinde, sınırlı süreli göçmenlik statüsü kapsamında alınan parmak izlerinin normal olarak 15 yıla kadar tutulabildiği belirtiliyor. Yerleşim statüsü veya yüksek zarar riski gibi bazı durumlarda daha uzun saklama söz konusu olabiliyor.
Bu örnek aslında sorunun özünü gösteriyor: “Parmak izim ne zaman silinir?” sorusunun cevabı, “Nerede ve hangi amaçla verdiniz?” sorusundan bağımsız düşünülemez.
Kültürler Arasında Güvenlik ve Mahremiyet Dengesi
Farklı toplumlara baktığımızda ilginç bir ortaklık görüyoruz. Neredeyse her toplum güvenliğe ihtiyaç duyuyor. Fakat güvenliği sağlamak için bireyden ne kadar veri alınabileceği konusunda ciddi farklılıklar var.
Örneğin bazı Batı Avrupa toplumlarında veri minimizasyonu güçlü bir kamu politikası anlayışı olarak öne çıkarken, bazı ülkelerde güvenlik ve devletin kimlik doğrulama kapasitesi daha merkezi bir konumda bulunabiliyor. Asya'nın farklı bölgelerinde ise biyometrik teknolojilerin kamu hizmetleri, finans, sınır geçişleri ve günlük kimlik doğrulama süreçlerine daha yoğun biçimde entegre edildiği örnekler görülebiliyor.
Burada kültürleri “mahremiyete önem verenler” ve “güvenliğe önem verenler” şeklinde ikiye ayırmak ise bana fazla basit geliyor. Aynı toplum içinde bile insanların öncelikleri değişebiliyor.
Bir kişi havaalanında parmak izi okutulmasını büyük bir güvenlik kolaylığı olarak görebilirken aynı kişi özel bir şirketin çalışan takibinde parmak izi kullanılmasına itiraz edebilir.
Başka biri ise tam tersine, “Benim için fark etmez, yeter ki işlem hızlı olsun” diyebilir.
Asıl kültürel fark belki de burada: Toplumlar yalnızca parmak izinin tutulmasına değil, bu veriyi kimin kontrol ettiğine ve ne amaçla kullandığına farklı anlamlar yüklüyor.
Erkekler ve Kadınlar Bu Konuya Aynı Yerden mi Bakıyor?
Bu başlıkta genellemeler yapmak kolay ama tehlikeli. “Erkekler güvenliği önemser, kadınlar mahremiyeti önemser” gibi kesin hükümler hem bilimsel açıdan zayıf hem de bireysel farklılıkları görmezden geliyor.
Yine de toplumsal roller ve kültürel deneyimler üzerinden bazı eğilimlerin tartışılabileceğini düşünüyorum.