Kamera Kaydı Sızdı ya da Kayıt Cihazı Ele Geçirildi: KVKK İhlal Bildirimi, 72 Saat Kuralı ve İlk 24 Saat

Kamera görüntüsü sızarsa hukuken ne olur?

Kamera görüntüsü kişinin yüzünü, aracını veya davranışını gösterdiği için kişisel veridir; bu verilerin başkalarınca izinsiz ele geçirilmesi KVKK anlamında bir veri ihlalidir. Kayıt cihazının (NVR/DVR) hacklenmesi, bulut hesabına girilmesi, görüntülerin internette canlı yayınlanması veya cihazın fiziksel olarak çalınması bu kapsama girer.

Kanunun dayanağı 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesidir. Birinci fıkra veri sorumlusuna hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri alma yükümlülüğü verir; beşinci fıkra ise tedbirlere rağmen veri ele geçirilmişse ne yapılacağını söyler. Tedbir almamak ayrıca 18. maddedeki idari para cezası kapsamındadır; Kurul kararlarına karşı idare mahkemesinde dava açılabilir.

Veri sorumlusu, kamerayı hangi amaçla ve nasıl işleteceğine karar veren kişidir: işyeri sahibi, site yönetimi, okul, otel veya kurum. Yalnızca kendi konutunda, aile fertleriyle ilgili amaçla kamera kullanan ve görüntüyü üçüncü kişilere vermeyen gerçek kişi, Kanun'un 28. maddesi uyarınca KVKK kapsamı dışında kalabilir; ancak bu kişi de suç duyurusu hakkına sahiptir. Genel çerçeve için işyerinde güvenlik kamerası ve KVKK rehberine bakabilirsiniz.

KVKK m.12/5 ve Kurul'un 72 saat kuralı

Kanun'un 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildireceğini söyler. Kurul gerekirse ihlali kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir.

"En kısa sürede" ifadesinin sayısal karşılığını Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararı belirlemiştir. Karara göre veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapar. Haklı bir sebeple 72 saat aşılırsa bildirimle birlikte gecikmenin nedenleri de açıklanır.

Bildirim sırasında bütün bilgilerin hazır olması şart değildir: ihlal bildirim formundaki bilgiler aynı anda sağlanamıyorsa gecikmeye yol açmadan aşamalı olarak verilir. Bu nedenle "önce neyin sızdığını tam anlayayım" diye beklemek yerine eldeki bilgiyle bildirim açıp sonradan güncellemek doğru yaklaşımdır.

Süre, olayın gerçekleştiği andan değil öğrenildiği andan işler. Öğrenme anını (örneğin bir müşterinin ya da tanıdığının görüntüyü fark ettiği saat) not etmek ve yazılı olarak kayda geçirmek, ileride Kurul'a süreyi açıklarken işinize yarar.

Kurul'a bildirim nasıl yapılır, forma ne yazılır?

Kurul'a bildirim, Kurum'un yayımladığı Kişisel Veri İhlal Bildirim Formu ile yapılır; çevrimiçi form ihlalbildirim.kvkk.gov.tr adresinde, Word biçimindeki form ve doldurma kılavuzu ise Kurum'un ihlal bildirimi sayfasındadır. Formu yalnızca veri sorumlusu doldurur; şikâyet ve ihbar başvuruları ayrı bir kanaldan yapılır ve ihlal bildirimi yerine geçmez.

Form genel olarak ihlalin ne zaman ve nasıl gerçekleştiğini, ne zaman öğrenildiğini, hangi kişi gruplarının ve kaç kişinin etkilendiğini, hangi veri kategorilerinin (görüntü, plaka, ses vb.) kapsandığını, olası sonuçları ve alınan ya da alınacak tedbirleri sorar. Alanların güncel listesi için Kurum'un kılavuzuna bakın.

Kurum, veri sorumlularından ihlale ilişkin bilgileri, etkilerini ve alınan önlemleri kayıt altına almasını ve Kurul incelemesine hazır tutmasını bekler. Ayrıca bir veri ihlali müdahale planı hazırlanmasını, planda kime raporlama yapılacağının, bildirimlerin ve sorumluluğun kimde olduğunun yer almasını ve planın belirli aralıklarla gözden geçirilmesini öngörür.

• Olay özeti: ihlal nasıl oldu (açık port, zayıf şifre, çalıntı cihaz, ele geçirilen hesap vb.), ne zaman başladı, ne zaman öğrenildi.
• Etkilenenler: çalışan, müşteri, ziyaretçi, site sakini gibi kişi grupları ve tahmini sayı.
• Veri türleri: görüntü, ses, plaka, giriş-çıkış kaydı gibi etkilenen kayıtlar ve kayıt aralığı.
• Olası sonuçlar: ifşa, mahremiyet ihlali, takip, dolandırıcılık gibi risklerin değerlendirmesi.
• Alınan tedbirler: erişimin kesilmesi, şifre değişimi, yayının kaldırılması, suç duyurusu ve sonraki adımlar.
• İrtibat noktası: Kurul'un sizi ulaşabileceği sorumlu kişi.

İlgili kişilere bildirim: kime, nasıl, ne zaman?

İhlalden etkilenen kişilere bildirim, etkilenenler belirlendikten sonra makul olan en kısa sürede yapılır. İletişim bilgisine ulaşılabiliyorsa doğrudan bildirim yapılır; ulaşılamıyorsa veri sorumlusunun internet sitesinde yayımlanması gibi uygun bir yöntem kullanılır.

Uygulamada bildirimin kısa, sade ve tarafsız olması beklenir: ne olduğu, hangi dönemin görüntülerinin etkilenmiş olabileceği, kişinin alabileceği önlemler, sizin aldığınız tedbirler ve iletişim kanalı. Suçlayıcı, abartılı veya geçiştirici bir dil kullanmak yerine yalnızca doğrulanmış bilgiyi paylaşın.

Görüntüler internete düştüyse ilgili kişilere haber vermek, onların da içeriğin kaldırılması için kendi başvurularını yapabilmesine imkân tanır.

İlk 24 saatte yapılacak teknik adımlar

İlk 24 saatin amacı sızıntıyı durdurmak ve delili bozmadan korumaktır. Sertleştirmenin ayrıntıları (parola politikası, ağ ayrımı, güncelleme) IP kamera siber güvenliği rehberinde anlatılır; burada yalnızca olay anındaki sıra verilir.

Cihazı hemen fabrika ayarlarına döndürmek ya da silmek cazip görünür, fakat erişim kayıtlarını ve izleri yok edebilir. Önce kaydı alın, sonra müdahale edin.

• Saati ve gözlemi yazın: olayı kim, ne zaman, nasıl fark etti; ilgili bağlantı, ekran görüntüsü ve tarihler kayda geçsin.
• Dışarıdan erişimi kesin: modemdeki port yönlendirmelerini ve UPnP'yi kapatın, gerekirse cihazın internet bağlantısını koparın; kayıt cihazının yerel kaydı çalışmaya devam edebilir.
• Delili koruyun: cihazın erişim ve oturum günlüklerini, modem/güvenlik duvarı kayıtlarını ve bulut hesabı giriş geçmişini dışa aktarın; mümkünse disk kopyasını alın.
• Parolaları değiştirin: kayıt cihazı, kameralar, bulut hesabı ve e-posta için yeni, benzersiz parolalar belirleyin; tanımadığınız kullanıcıları silin, iki adımlı doğrulamayı açın.
• Yazılımı güncelleyin: üreticinin yayımladığı güncel yazılımı yalnızca üreticinin resmî kanalından edinin; delil alındıktan sonra uygulayın.
• Yayını kaldırtın: görüntü bir sitede veya sosyal ağda yer alıyorsa bağlantıyı kaydedin, platformun şikâyet formuyla kaldırma talep edin; gerekirse avukat aracılığıyla mahkeme yoluna gidin.
• Kapsamı belirleyin: hangi kameraların ve hangi tarih aralığının etkilendiğini, kayıtların başka yere kopyalanıp kopyalanmadığını mümkün olduğunca netleştirin.

Kayıt cihazı çalındıysa: fiziksel ihlal

NVR veya DVR'ın çalınması da verilerin kanuni olmayan yollarla elde edilmesi olabilir; diskler üzerinde şifreleme yoksa görüntülere erişilebileceği varsayılmalıdır. Bu nedenle cihaz hırsızlığı yalnızca bir mal kaybı değil, 72 saat kuralını işleten potansiyel bir veri ihlalidir.

Önce hırsızlığı kolluğa bildirin ve tutanak alın; aynı başvuruda cihazda kayıtlı görüntülerin de çalındığını belirtin. Ardından cihazın modeli, seri numarası, disk kapasitesi, kaydedilen gün sayısı ve diskin şifreli olup olmadığını not edin; bu bilgiler Kurul formundaki risk değerlendirmesinin temelidir.

Uzaktan erişim açıksa çalınan cihazın bulut hesabı, mobil uygulama ve parola bağlantılarını hemen iptal edin. Önleyici tarafta, kayıt cihazının kilitli dolapta tutulması, mümkünse ikinci bir kayıt noktası (bulut veya ayrı yerel kopya) ve disk şifrelemesi gibi tedbirler hem ihlal riskini hem de görüntü kaybını azaltır.

Suç duyurusu: hangi suçlar gündeme gelir?

Görüntülerin ele geçirilmesi ve yayılması birden fazla suç oluşturabilir ve suç duyurusu Cumhuriyet başsavcılığına veya kolluğa yapılır. Duyuruyu yaparken olayın zaman çizelgesini, aldığınız günlük kayıtlarını ve ekran görüntülerini eklemek soruşturmayı hızlandırır.

Türk Ceza Kanunu'nda bilişim suçları 243-246. maddelerde, kişisel verilere ilişkin suçlar 135-140. maddelerde düzenlenir ve KVKK m.17 kişisel verilere ilişkin suçlar için TCK 135-140'a gönderme yapar. Aşağıdaki liste yalnızca ilgili hükümleri tanıtır; somut olayda nitelendirmeyi savcılık ve mahkeme yapar.

• TCK m.243 (bilişim sistemine girme): sisteme hukuka aykırı giren veya orada kalmaya devam eden kişi için hapis veya adli para cezası; içerdiği veriler yok olur ya da değişirse ceza ağırlaşır.
• TCK m.244 (sistemi engelleme, bozma, verileri yok etme veya değiştirme): sistemin işleyişini engelleyen ya da verileri bozan, yok eden, erişilmez kılan veya başka yere gönderen kişi için hapis cezası.
• TCK m.136 (verileri hukuka aykırı olarak verme, yayma veya ele geçirme): kişisel verileri hukuka aykırı biçimde başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis.
• TCK m.135 (kişisel verilerin kaydedilmesi) ve m.134 (özel hayatın gizliliğini ihlal): görüntüler özel yaşamı ilgilendiriyorsa gündeme gelebilir.
• TCK m.246: bu bölümdeki suçlardan haksız yarar sağlanan tüzel kişiler hakkında güvenlik tedbirleri uygulanabileceğini düzenler.
• Hırsızlık: kayıt cihazı fiziksel olarak çalındıysa ayrıca hırsızlık suçu için de başvuru yapılır.

Kurulumcunun ve cihaz üreticisinin rolü

Kurulumcu, cihazı kuran ve bakımını yapan taraf olarak ağ ayarlarını, uzaktan erişimi ve parolaları bilir; bu yüzden olayın ilk bilgi kaynağı genellikle odur. Kurulumcu müşterinin adına kişisel veri işliyorsa (uzaktan bakım, izleme, bulut hesabı yönetimi) veri işleyen sayılabilir; veri işleyen, ihlali öğrendiğinde gecikmeksizin veri sorumlusuna bildirmekle yükümlüdür ve Kanun'un 12. maddesinin ikinci fıkrası uyarınca veri sorumlusu bu kişilerle tedbirlerden müştereken sorumludur.

Kurulumcunun görevi, bildirim ve inceleme sürecinde müşteriyi yazılı bilgilendirmek, günlük kayıtlarının dışa aktarılmasına yardım etmek, açığı kapatmak ve yapılan değişiklikleri raporlamaktır. Hukuki sorumluluğun kimde olduğu; sözleşme, bırakılan varsayılan parola ya da açık bırakılan port gibi olguların ve kusur durumunun değerlendirilmesiyle belirlenir. Bu yüzden sözleşmedeki sorumluluk maddeleri önemlidir; ayrıntı için kurulumcunun uzaktan erişimi ve veri işleyen sorumluluğu yazısına bakın.

Cihaz üreticisi ise açık bir yazılım zafiyeti söz konusuysa güvenlik güncellemesini yayımlayabilir ve zafiyet bildirimini alır. Hikvision, Dahua ve Uniview gibi üreticilerin ürünlerinde güvenlik bildirimlerini resmî sitelerinden takip etmek önemlidir. Cihazın bulut hizmeti kullanılıyorsa hizmeti sağlayan tarafın veri işleyen konumunda olup olmadığı kullanım koşullarından ve aydınlatma metinlerinden anlaşılır.

Müşteriye nasıl bilgi verilir? Kurulumcu için kontrol listesi

Müşteriye verilecek bilgi, olay öğrenildiği anda başlayan 72 saatlik sürede işe yarayacak kadar hızlı ve doğrulanabilir olmalıdır. Kurulumcu veri sorumlusu değilse ihlal bildirimini müşteri yapar; kurulumcunun işi ona eksiksiz ve tarihli bilgi vermektir.

Teknik kısım çözüldüğünde olay kapanmış sayılmaz. Hukuki ve teknik kayıtların birlikte saklanması, tekrarı önlemek için alınan tedbirlerin yazılı hâle getirilmesi gerekir.

• Anında bilgi: ne fark edildi, hangi cihazlar etkilendi, şu an erişim kesilmiş mi.
• Yazılı rapor: erişim günlükleri, saat bilgisi, tespit edilen zafiyet ve yapılan değişiklikler.
• Müşterinin yükümlülüğü: 72 saat kuralı ve Kurul'a bildirim formunun veri sorumlusu tarafından doldurulacağı.
• Önerilen tedbirler: parola ve erişim yetkilerinin yenilenmesi, gereksiz uzaktan erişimin kapatılması, güncelleme ve izleme planı.
• Kayıt altına alma: olay, alınan karar ve tedbirlerin ihlal kaydına işlenmesi.

Bayifi bu süreçte nerede devreye girer?

Bayifi bir hukuk veya bildirim hizmeti sunmaz; olayın hukuki değerlendirmesi için avukat ve resmî kanallara başvurulmalıdır. Güvenlik açığını kapatacak, cihazı yenileyecek ya da sistemi yeniden kuracak bir kurulumcu arıyorsanız bayi listesinden il il firma profillerine bakabilirsiniz.

Kurulumcular ve toptancılar yenilenecek cihaz ve diskler için toptan ürün ve stok sayfasını inceleyebilir, firmasını Bayifi'ye kaydedebilir.