Bulut Kamera Görüntüleri Yurt Dışına Aktarılıyor mu? KVKK m.9, Standart Sözleşme ve Kontrol Listesi

Bulut kameranın görüntüsü yurt dışına gidiyor mu?

Bulut, P2P ve mobil uygulama hizmetlerinde görüntünün ya da hesap verisinin yurt dışına gidip gitmediği, hizmeti veren üreticinin altyapısına bağlıdır ve tek bir cevabı yoktur. Bazı hizmetlerde kayıt üreticinin bulut sunucusunda tutulur; bazılarında kayıt cihazda kalır ama bağlantıyı kuran eşleştirme, bildirim ve aktarma sunucuları yurt dışında olabilir.

Bu yüzden iki ayrı veri grubuna bakmak gerekir: birincisi görüntü ve ses kaydının kendisi, ikincisi hesap bilgileri, cihaz seri numarası, IP adresi, bildirim kayıtları ve kullanım verisi gibi yan veriler. Kamera görüntüsünde kişinin yüzü ve görünüşü yer aldığı için görüntü, KVKK bakımından kişisel veridir; yan veriler de bir kişiye bağlanabiliyorsa kişisel veri sayılır.

Belirli bir markanın sunucularının nerede olduğu hakkında burada kesin bir bilgi verilmez; çünkü sunucu konumu bölgeye, hesabın kayıt ülkesine, hizmet planına ve zamanla değişebilen altyapı kararlarına göre farklılaşır. Doğru yöntem, üreticinin gizlilik politikasını okumak ve sunucu konumunu üreticiden yazılı olarak doğrulamaktır.

KVKK m.9 ve 2024 değişikliği: hangi tarihte ne değişti?

6698 sayılı Kanun'un 9. maddesi, 12 Mart 2024'te Resmi Gazete'de yayımlanan 7499 sayılı Kanun ile yeniden yazılmış ve ilgili hükümler 1 Haziran 2024'te yürürlüğe girmiştir. Eski düzende yurt dışına aktarımın ana yolu ilgili kişinin açık rızasıydı; yeni düzen ise kademeli bir yapı kurar.

7499 sayılı Kanun'un geçici maddesine göre eski 9. maddenin birinci fıkrası, 1 Eylül 2024'e kadar yeni metinle birlikte uygulanabiliyordu. Bu geçiş süresi dolduğundan bugün geçerli olan çerçeve yeni metindir. Ayrıca Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmi Gazete'de yayımlanmıştır.

Yeni düzenin ortak şartı şudur: aktarımın dayanağı olan işleme, Kanun'un 5. ya da 6. maddesindeki şartlardan birine uymalıdır; bunun üstüne m.9'daki aktarım yollarından biri eklenir.

• Yayım: 7499 sayılı Kanun, Resmi Gazete, 12 Mart 2024.
• Yeni m.9'un yürürlüğü: 1 Haziran 2024.
• Eski m.9/1 ile paralel uygulama süresi: 1 Eylül 2024'e kadar.
• Uygulama yönetmeliği: Resmi Gazete, 10 Temmuz 2024, sayı 32598.

Yurt dışına aktarımın üç basamağı: yeterlilik, güvence, istisna

KVKK m.9 yurt dışına aktarım için sırayla üç yol tanımlar ve bir üst basamak yoksa bir alttakine geçilir. Önce Kurul'un yeterlilik kararı aranır; bu karar ülke, ülke içindeki bir sektör ya da uluslararası kuruluş için verilebilir ve en az dört yılda bir gözden geçirilir. Güncel yeterlilik kararı listesini aktarım yapmadan önce Kurum'un sitesinden kontrol etmek gerekir; Kurum'un yurt dışına aktarım sayfasında inceleme sırasında ilan edilmiş bir ülke listesi görülmemiştir.

Yeterlilik kararı yoksa ikinci basamak olan uygun güvencelerden biri sağlanır. Üçüncü basamak, yalnızca ne yeterlilik kararı ne de uygun güvence varken kullanılabilen, arızi olması beklenen istisnalardır.

• Yeterlilik kararı: Kurul'un ülke, sektör veya uluslararası kuruluş için verdiği karar; varsa ek izin gerekmez.
• Uygun güvence 1: Kamu kurumları arasında, uluslararası sözleşme niteliğinde olmayan ve Kurul tarafından izin verilen anlaşma.
• Uygun güvence 2: Aynı şirketler grubu içinde Kurul onaylı bağlayıcı şirket kuralları.
• Uygun güvence 3: Kurul'un ilan ettiği standart sözleşme; imzadan sonra Kurum'a bildirilir.
• Uygun güvence 4: Yeterli korumayı içeren, Kurul izniyle geçerli olan yazılı taahhüt.
• İstisnalar: açık rıza, sözleşmenin ifası, üstün kamu yararı, hakkın tesisi veya korunması, hayati menfaat, kamuya açık sicilden aktarım; hepsi arızi nitelikte olmalıdır.

Standart sözleşme nasıl işler ve neyi kapsar?

Standart sözleşme, Kurul'un yayımladığı metnin değiştirilmeden imzalanması ve imzadan itibaren beş iş günü içinde Kurum'a bildirilmesiyle çalışan uygun güvence yoludur. Taraflar yalnızca metindeki seçimlik ve alternatif maddeleri doldurabilir; metne ekleme, çıkarma veya değişiklik yapılması Kurum duyurusunda doğru bulunmamıştır.

Bildirim fiziken, KEP adresiyle ya da Kurum'un Standart Sözleşme Bildirim Modülü üzerinden yapılabilir. Kurum, sürenin kontrolü için her iki tarafın imza tarihinin metinde yer almasını ister. Yabancı dildeki sözleşmelerde imzaların Türkçe metin üzerinde bulunması ve tüm belgelerin noter onaylı Türkçe çevirisinin eklenmesi gerekir.

Bildirim yükümlülüğünün yerine getirilmemesi idari para cezası gerektirebilir. Yönetmeliğe göre taraflar bildirimi kimin yapacağını kendileri belirler; belirlemezlerse bildirim veri aktaran tarafından yapılır.

Küçük bir işyeri ya da apartman yönetimi için pratik sonuç şudur: üreticinin kendi hizmet sözleşmesi, Kurul'un standart sözleşmesinin yerini kendiliğinden tutmaz. Üreticinin hangi aktarım yoluna dayandığını sormak ve cevabı yazılı almak gerekir.

Açık rıza kamera kaydında neden zayıf bir dayanaktır?

Yeni düzende açık rıza, yalnızca arızi ve tekrarlanmayan aktarımlar için bir istisnadır; kesintisiz ve sürekli çalışan bir bulut kamera kaydı bu tanıma pek uymaz. Kamera her gün, her saat veri ürettiği için aktarım da düzenlidir, arızi sayılması zordur.

İkinci sorun, rızanın gerçekten verilebilir olmamasıdır. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır; üstelik yurt dışı istisnasında kişinin olası risklerden önce haberdar edilmesi gerekir. İş yerinde çalışanlar, sitede ziyaretçiler, kapıdan geçen kuryeler ve komşular kameraya yakalandığında tek tek rıza almak mümkün değildir; çalışan ile işveren arasında rızanın özgür olup olmadığı da ayrıca tartışmalıdır.

Bu nedenle kamera görüntüleri için hukuka uygunluk dayanağı genellikle rıza değil, meşru menfaat gibi başka bir şart olarak kurgulanır. Yurt dışı aktarımda ise rıza yerine yeterlilik kararı ya da standart sözleşme gibi uygun güvence aranır. Hangi dayanağın sizin için uygun olduğu hukuki değerlendirme gerektirir.

Roller: kim veri sorumlusu, kim veri işleyen?

Kamerayı kendi amacıyla kuran işyeri, site yönetimi ya da kurum veri sorumlusudur; kaydı kendi adına işleyen bulut hizmeti ise çoğu durumda veri işleyendir. Ancak üretici, hesap ve kullanım verisini kendi amaçları için de işliyorsa bu veriler bakımından kendisi de veri sorumlusu olabilir; rolü belirleyen şey, sözleşmedeki başlık değil, verinin hangi amaçla işlendiğidir.

Veri sorumlusu, işleyenin yaptığı işlemden de sorumludur: işleyenin yeterli teknik ve idari tedbirleri alması sağlanmalıdır. Yönetmelik de işleyenin, sorumlunun talimatı ve belirlediği amaç çerçevesinde hareket etmesini ve aktarımın Kanun'a uygun yürütülmesini şart koşar.

Kurulumcunun kamerayı kendi hesabına bağlaması, cihazı uzaktan yönetmesi ya da kendi bulut hesabından müşterisinin görüntüsünü izlemesi başka bir rol sorusudur; bu konu için kameraya uzaktan erişim ve VPN rehberine bakılabilir.

VERBİS ve aydınlatma yükümlülüğü üzerindeki etkisi

Yurt dışı aktarım, hem aydınlatma metnini hem de VERBİS kaydını ilgilendirir. İlgili kişilere verilen aydınlatma metninde verinin kimlere ve hangi amaçla aktarılabileceği belirtilmelidir; kamera uyarı levhasında ve ikinci katman metinde bulut ya da yurt dışı saklama varsa bu da yansıtılmalıdır.

VERBİS'e kayıt yükümlüsü olan veri sorumluları sicil bildiriminde aktarım bilgilerini güncel tutmalıdır; kayıt yükümlüsü olmayan işyerleri ise kişisel veri işleme envanteri ve saklama ve imha politikasında yurt dışı aktarımı kayıt altında tutmalıdır. Kayıt yükümlülüğünün kimlerde doğduğu ve muafiyet ölçütleri için VERBİS ve kamera kaydı rehberi ayrıca incelenmelidir; burada tekrar edilmez.

Yurt dışına aktarım tercihi değişirse (örneğin kayıt yerel diskten buluta taşınırsa) envanter, aydınlatma metni ve gerekiyorsa sicil kaydı da aynı anda güncellenmelidir.

Veri sorumluları için pratik kontrol listesi

Bulut kamera kullanmadan önce yapılacak ilk iş, verinin nerede tutulduğunu ve nereden geçtiğini üreticiden yazılı olarak öğrenmektir. Aşağıdaki liste işyeri, site yönetimi ve kurumlar için pratik bir sıra önerir; hukuki görüş yerine geçmez.

Bulut mimarisinin ayrıntıları için bulut tabanlı video gözetim (VSaaS) rehberine, yerel kayıt seçenekleri için SD kartlı kamera ve bulut kayıt rehberine bakılabilir.

• Sunucu konumunu sorun: görüntü, hesap verisi, bildirim ve yedek kopyaların hangi ülke ve bölgelerde tutulduğunu üreticiden yazılı doğrulayın; web sitesindeki genel ifade yeterli sayılmamalıdır.
• Gizlilik politikasını ve hizmet sözleşmesini okuyun: üçüncü taraf altyapı sağlayıcıları, alt işleyenler ve verinin yurt dışına aktarılması hakkında ne yazdığına bakın.
• Rolü netleştirin: üreticiyle ilişkinin veri işleyen mi yoksa ayrı veri sorumlusu mu olduğunu belirleyin ve bir veri işleme sözleşmesi isteyin.
• Aktarım yolunu sorun: yeterlilik kararı, standart sözleşme veya başka bir uygun güvence var mı; standart sözleşme imzalandıysa Kurum'a bildirildi mi.
• Yerel kayıt alternatifini değerlendirin: kaydı kayıt cihazında ya da yerel NVR'de tutmak yurt dışı aktarım riskini büyük ölçüde azaltır; yedekleme için RAID ve yedekli depolama gibi yerel yedekleme çözümleri bir başlangıçtır.
• Bulutu yalnızca uzaktan izlemede kullanın: kayıt yerelde kalsın, bulut hizmeti yalnızca canlı görüntü ve bildirim için açık olsun; mümkünse kayıt akışını buluta hiç yüklemeyin.
• Erişimi sınırlayın: iki aşamalı doğrulama açın, varsayılan şifreleri değiştirin, paylaşım yetkilerini kişi bazında verin ve ayrılan çalışanların erişimini kapatın.
• Belgeleri güncelleyin: aydınlatma metni, envanter, saklama ve imha politikası ile gerekiyorsa VERBİS kaydını değişikliğe göre düzenleyin.
• Çıkış planı yapın: üreticinin bulutu kapanırsa ya da hizmet değişirse verinin nasıl dışa aktarılacağını önceden öğrenin; bu risk için üreticinin bulutu kapanırsa ne olur rehberine bakın.

Bayifi bu konuda nerede devreye girer?

Bayifi, güvenlik sistemi kurulumcuları ile toptancıları buluşturan bir pazar yeri ve il il firma dizinidir; hukuki danışmanlık vermez. Bulut ya da yerel kayıt kararını projeye göre birlikte değerlendirebileceğiniz bir kurulumcu aramak için /bayiler sayfasındaki il rehberlerine, kayıt cihazı ve kamera ürünlerini toptancıların güncel stoklarında görmek için /pazar sayfasına bakabilirsiniz. Kurulumcu veya toptancıysanız firmanızı /kaydol adresinden kaydedebilirsiniz.