Bölüm 2: Hukuki Garabet ve Rıza İllüzyonu

Bu görmezden gelişin hukuki düzlemdeki yansıması, bilhassa 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Genel Veri Koruma Tüzüğü (GDPR) prensipleriyle taban tabana zıt bir "hukuki garabet" tablosu ortaya çıkarmaktadır; zira veri koruma hukukunun en temel direği olan "ölçülülük" (proportionality) ilkesi, işlenen verinin amaçla bağlantılı, sınırlı ve ölçülü olmasını emrederken, bankaların basit bir para transferi işlemi —ki bu işlem on yıllardır şifre ile güvenle yapılabilmektedir— için bireyin en hassas nitelikli kişisel verisi sayılan (biyometrik veri, KVKK Md. 6 kapsamında özel nitelikli veridir) yüz veya parmak izini talep etmesi, kanunun ruhuna ve lafzına aykırı bir "veri oburluğu" (data gluttony) teşkil etmektedir, üstelik burada karşımıza çıkan en büyük etik ve hukuki sorun "açık rıza" (explicit consent) kavramının içinin boşaltılmasıdır, çünkü kanun koyucu rızanın "özgür iradeyle" açıklanmasını şart koşar, fakat bir banka müşterisine "Ya yüzünü taratırsın ya da IBAN transferi yapamazsın" şeklinde bir dayatmada bulunduğunda, burada özgür iradeden bahsetmek imkansız hale gelir ve bu durum rızayı "sakatlar", teknik tabiriyle "hizmetin ifasını açık rıza şartına bağlama" yasağının (bundle consent prohibition) fiilen delinmesi anlamına gelir ki vatandaşın finansal sisteme erişim gibi hayati bir ihtiyacını giderebilmesi için biyometrik mahremiyetinden feragat etmek zorunda bırakılması, modern hukuk devletinde kabul edilemez bir "dijital haraç" (digital extortion) mekanizmasıdır.

Dahası, bu verilerin işlenme süreçlerindeki şeffaflık eksikliği, anayasal bir hak olan "bilgi edinme hakkını" da zedelemektedir; bankaların "Aydınlatma Metinleri" genellikle hukukçuların bile zor anladığı, upuzun ve karmaşık paragraflar arasına gizlenmiş muğlak ifadelerle doludur ve kullanıcı o küçücük mobil ekranda "Okudum, Onaylıyorum" kutucuğunu işaretlerken aslında neyi onayladığını, yüz verisinin hangi algoritmalarla (örneğin CNN - Convolutional Neural Networks) işlendiğini, bu veriden elde edilen "hash" kodlarının başka hangi veritabanlarıyla eşleştirildiğini veya bu verilerin yapay zeka eğitim setlerinde (training data) kullanılıp kullanılmadığını asla bilemez, yani ortada "bilgilendirilmiş" bir rıza değil, "mecbur bırakılmış" bir teslimiyet vardır.

Buna ek olarak, biyometrik sistemlerin "False Positive" (Yanlış Eşleşme) ve "False Negative" (Eşleşmeme) oranlarındaki algoritmik önyargılar (algorithmic bias) da meselenin sosyolojik boyutunu derinleştirmektedir; zira literatürdeki pek çok çalışma, yüz tanıma algoritmalarının etnik köken, cinsiyet veya yaş gruplarına göre farklı hata payları verdiğini, özellikle azınlık gruplarda veya belirli yüz hatlarına sahip bireylerde sistemin daha sık hata verdiğini kanıtlamıştır, bu da bankacılık gibi evrensel erişim gerektiren bir hizmette, teknolojinin bizzat kendisinin bir "ayrımcılık aracı"na dönüşmesi riskini doğurur ki sırf o gün ışık yetersiz diye veya gözlük taktığı için, ya da yaşlı olduğu için elleri titrediğinden parmak izi okuyucusu çalışmayan bir bireyin kendi parasına erişememesi, teknolojinin insan hayatını kolaylaştırma vaadinin iflas ettiği noktadır. Ayrıca unutulmamalıdır ki, biyometrik verinin sızdırılması durumunda devreye girecek olan hukuki yaptırımların caydırıcılığı da tartışmalıdır; KVKK Kurul Kararları incelendiğinde, veri ihlali yapan kurumlara kesilen idari para cezalarının, bankaların yıllık kârları yanında "çerez parası" (de minimis) kaldığı ve bu cezaların kurumsal davranış değişikliği yaratmaktan ziyade "işletme maliyeti" olarak bilançoya yansıtıldığı görülmektedir, dolayısıyla bireyin ömür boyu taşıyacağı bir güvenlik riski (yüzünün çalınması) ile kurumun ödeyeceği cüzi miktar arasındaki bu asimetri, sistemin neden biyometrik veriye bu kadar iştahla saldırdığının ekonomik kanıtıdır...

Etiket: