İşyerinde Güvenlik Kamerası ve KVKK: Aydınlatma, Uyarı Levhası, Kayıt Saklama ve Çalışan İzleme Sınırları

Güvenlik kamerası görüntüleri neden kişisel veridir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli veya belirlenebilir bir gerçek kişiye ait her bilgiyi kişisel veri sayar. Bir kameranın kaydettiği yüz, siluet, araç plakası ya da kıyafetle tanınabilen kişi görüntüsü bu tanıma girer. Bu nedenle çalışanların, müşterilerin ve ziyaretçilerin göründüğü her kamera kaydı, işyeri sahibi için kişisel veri işleme faaliyetidir ve işyeri sahibi veri sorumlusu olur.

Kanun, kişisel verilerin işlenmesinde genel ilkelere uyulmasını ister: hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaçlarla işleme, amaçla bağlantılı, sınırlı ve ölçülü olma, gerekli süre kadar muhafaza etme. Güvenlik kamerası için meşru amaç genellikle hırsızlık, vandalizm ve yetkisiz giriş gibi risklere karşı mal ve can güvenliğinin sağlanmasıdır.

Yalnızca canlı izleme yapan, kayıt almayan sistemler de konunun dışında kalmaz; görüntünün izlenmesi de veri işlemedir.

• Amaç: yalnızca güvenlik (örneğin hırsızlık, zarar verme, yetkisiz giriş) ile sınırlı tutulmalı.
• Ölçülülük: amaca ulaşmak için gereken kadar kamera, açı ve kayıt süresi kullanılmalı.

Aydınlatma yükümlülüğü ve uyarı levhası nasıl yerine getirilir?

KVKK'nın 10. maddesi, veri sorumlusunun kişisel veriler elde edilirken ilgili kişileri bilgilendirmesini zorunlu kılar. Kamera için bu, izlenen alana girmeden önce kişinin 'bu alanda kamera ile izleme yapılıyor' bilgisini görebilmesi demektir. Kurum'un aydınlatma yükümlülüğüne ilişkin açıklamaları, bilgilendirmenin açık, anlaşılır ve sade olmasını, ayrıca veri sorumlusunun kimliğini, işleme amacını, verilerin kimlere aktarılabileceğini, toplama yöntemini, hukuki sebebi ve ilgili kişinin haklarını kapsamasını ister.

Uygulamada bu bilgi iki katmanda verilir. Birinci katman, giriş kapısında ve kameraların bulunduğu alanlara girişte görünen, kısa bir uyarı levhasıdır: kamera simgesi, 'kamera ile izleme yapılmaktadır' ifadesi, izleme amacı ve veri sorumlusunun adı. İkinci katman ise ayrıntıları içeren aydınlatma metnidir; resepsiyonda, kasada veya işyerinin internet sitesinde kolayca ulaşılabilir olmalıdır. Levhanın kamera lensinin tam önünde değil, kişi izlenmeye başlamadan önce okunabilecek bir noktada olması gerekir.

Çalışanlar için ayrıca yazılı bilgilendirme yapılması önerilir: hangi alanların izlendiği, görüntüleri kimlerin görebildiği, kayıtların ne kadar süre tutulduğu ve hangi amaçlarla kullanılabileceği iş sözleşmesine ek bir metinde veya iç yönergede belirtilebilir. Kamera kaydı için çoğunlukla açık rıza değil; hukuki yükümlülük ya da veri sorumlusunun meşru menfaati gibi işleme şartları esas alınır, çünkü işveren-çalışan ilişkisinde rızanın özgür iradeyle verildiğini göstermek güçtür.

• Levhada olması gerekenler: kamera simgesi, izleme yapıldığı bilgisi, amaç, veri sorumlusunun adı.
• Aydınlatma metninde olması gerekenler: veri sorumlusunun kimliği, amaç, aktarım, toplama yöntemi ve hukuki sebep, başvuru hakları.

Çalışanları izlemenin sınırları nelerdir?

İşveren, işyerinin güvenliği için kamera kullanabilir; ancak bu hak sınırsız değildir. Anayasa'nın özel hayatın gizliliğini koruyan hükmü ve Türk Ceza Kanunu'ndaki özel hayatın gizliliğini ihlal ve kişisel verilerin hukuka aykırı kaydedilmesi suçları, ölçüsüz izlemenin hukuki ve cezai sonuç doğurabileceğini gösterir. Kamera, çalışanın performansını sürekli denetlemek için değil, güvenlik amacıyla konumlandırılmalıdır.

Tuvalet, soyunma odası, duş, emzirme ve dinlenme alanları gibi kişinin mahremiyet beklentisinin yüksek olduğu yerlere kamera yerleştirilmemelidir. Çalışma alanlarında da kameranın masa başındaki ekranları, kişisel eşyaları veya telefon görüşmelerini sürekli kaydedecek biçimde yönlendirilmesinden kaçınılmalıdır. Ses kaydı ise görüntüden daha ağır bir müdahale olduğundan, güvenlik gerekçesiyle ancak çok istisnai ve açıkça gerekçelendirilmiş durumlarda düşünülebilir.

Çalışanın haberi olmadan gizli kamerayla izleme, aydınlatma yükümlülüğüne aykırıdır. Güvenlik için alınmış bir kaydın başka bir amaçla (örneğin performans değerlendirmesi) kullanılması da ilk toplama amacıyla bağlantılı olmalı ve aydınlatma metninde yer almalıdır. Kuşkuda kalınan durumlarda işyerinin hukuk danışmanından görüş almak yerinde olur.

• Kameranın bakmaması gereken yerler: tuvalet, soyunma odası, duş, emzirme ve dinlenme alanları.
• Ses kaydından, yüz tanıma ve parmak izi gibi biyometrik uygulamalardan mümkün olduğunca kaçınılmalı; biyometrik veri özel nitelikli kişisel veridir.
• Kayıtlar yalnızca olay incelemesi gibi tanımlı amaçlarla ve yetkili kişilerce izlenmeli.

Kayıtlar ne kadar süre saklanır, kim erişir, nasıl imha edilir?

KVKK, kamera kayıtları için tek bir gün sayısı belirlemez; kayıtlar işleme amacının gerektirdiği süre kadar tutulmalıdır. Güvenlik amacı için çoğu işyerinde kısa ve gerekçelendirilmiş bir süre yeterli sayılır. Sektöre özgü düzenlemeler (örneğin bazı kamu veya özel güvenlik mevzuatı) ayrı süreler getirebilir; bu nedenle işyerinin faaliyet alanındaki mevzuata ayrıca bakılmalıdır. Seçilen süre, veri saklama ve imha politikasında yazılı olmalıdır.

Kayıt süresi aynı zamanda donanım kararıdır: kamera sayısı, çözünürlük, kare hızı, sıkıştırma türü ve disk kapasitesi saklanabilecek gün sayısını belirler. Disk dolunca eski kayıtların üzerine yazan döngüsel kayıt yapısı doğal bir imha mekanizması işlevi görür; yine de periyodik imha süresi için Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'in öngördüğü azami altı aylık aralık göz önünde bulundurulmalıdır.

KVKK'nın 12. maddesi veri sorumlusuna uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü verir. Kayıt cihazı kilitli ve erişimi sınırlı bir odada durmalı, cihaz ve kameralarda varsayılan parolalar değiştirilmeli, her yetkili için ayrı kullanıcı hesabı tanımlanmalı, uzaktan erişim güvenli bağlantıyla ve güncel yazılımla yapılmalıdır. Görüntülere erişen kişiler ve erişim tarihleri mümkünse kayıt altına alınmalıdır.

Kayıtlar üçüncü kişilerle keyfi paylaşılmamalıdır. Kolluk veya mahkeme talebi gibi yasal dayanaklı istekler dışında aktarım yapılmadan önce dayanak kontrol edilmelidir. Görüntüsü kayıtlarda yer alan kişi başvuruda bulunursa veri sorumlusu başvuruyu en geç otuz gün içinde yanıtlamak zorundadır; kayıtta başka kişiler de görünüyorsa onların mahremiyetini koruyacak biçimde (örneğin maskeleyerek) paylaşım yapılmalıdır.

• Saklama süresi amaca göre yazılı olarak belirlenmeli ve politikada yer almalı.
• Erişim yetkili kişilerle sınırlı, hesap bazlı ve izlenebilir olmalı.

Kurulum sırasında KVKK uyumu için hangi teknik tercihler yapılır?

Uyum, kamera takılmadan önce başlar. Keşif aşamasında hangi alanın neden izleneceği belirlenmeli ve kameralar yalnızca bu alanı görecek açıyla konumlandırılmalıdır. Komşu mülkü, kamusal yolu veya ortak alanda başkalarının dairelerinin girişini görmesi istenmeyen bir kamera hem uyum hem de uyuşmazlık riski doğurur. Apartman ve sitelerde ortak alana kamera kurulumu için kat malikleri ve yönetim planı açısından ayrıca karar alınması gerekir.

Teknik özellikler uyumu kolaylaştırır. Birçok kamera ve kayıt cihazı modelinde bölgesel maskeleme (özel alan maskesi), kullanıcı bazlı yetkilendirme, işlem günlüğü ve şifreli iletişim seçenekleri bulunur; bunlar modele ve yazılım sürümüne göre değiştiği için kurulumcudan teknik şartnamede doğrulamasını isteyin. Dış mekânda toz ve suya karşı koruma için IP66 gibi IP sınıfları, kırıcı darbelere karşı IK sınıfları (örneğin IK10) yalnızca dayanıklılık değil, kameranın ve içindeki verinin sökülüp çalınmasına karşı da önem taşır.

Alarm sistemi de kullanılıyorsa panel kullanıcı kodları ve olay kayıtları kişisel veri içerebilir; EN 50131 serisi standartlar alarm sistemlerini güvenlik derecelerine ayırır, ancak bu standartlar KVKK uyumunu kendiliğinden sağlamaz. Kamera ürünü seçerken ayrıntılar için güvenlik kamerası seçerken dikkat edilecekler ve IP kamera mı analog kamera mı rehberlerine bakabilirsiniz. Hikvision ve Dahua gibi markaların sayfalarında ürün gruplarını görebilirsiniz; hangi özelliğin hangi modelde bulunduğu için güncel ürün belgesine bakmak gerekir.

• Kamera açısı: yalnızca izlenmesi gereken alan; komşu mülk ve yol dışarıda kalmalı.
• Maskeleme, kullanıcı yetkilendirme ve işlem günlüğü gibi özelliklerin istenen modelde bulunup bulunmadığı yazılı doğrulanmalı.

KVKK'ya duyarlı kurulumcu nasıl seçilir, Bayifi'de firma nasıl bulunur?

Kurulumcu seçerken yalnızca cihaz listesine değil, sürece bakın: yerinde keşif yapıyor mu, kamera yerlerini gösteren bir proje çizimi sunuyor mu, kayıt süresi ve disk kapasitesini birlikte hesaplıyor mu, parola ve erişim ayarlarını size teslim ediyor mu, garanti ve servis koşullarını yazılı veriyor mu? Benzer işyerlerinden referans istemek de yararlıdır.

Bayifi'de il bazında firma dizinine bayiler sayfasından ulaşabilir, firmaların profil, hizmet ve marka bilgilerini inceleyebilirsiniz; bu bilgiler görüşme yapmadan önce fikir verir. Firma olarak yer almak isterseniz kaydol sayfasından başvurabilirsiniz.