Kamera Kayıtlarını Kimler İzleyebilir? KVKK'da Yetki Matrisi, Erişim Kaydı (Log) ve Gizlilik Taahhütnamesi

Kamera kayıtlarını kimler izleyebilir?

Kamera kayıtlarına ve canlı izleme ekranına yalnızca veri sorumlusunun açıkça yetkilendirdiği ve görevi gereği ihtiyaç duyan kişiler erişebilir. Kamera görüntüsü, kişinin görüntüsünü içerdiği için kişisel veridir; kaydı tutan işyeri sahibi, site yönetimi ya da okul veri sorumlusu olur ve kayda kimin bakacağını belirlemek de onun sorumluluğundadır.

Bu nedenle ‘yönetici olduğum için bakarım’, ‘kamerayı ben taktırdım’ ya da ‘şifreyi biliyorum’ yaklaşımı hukuken yetki sayılmaz. Yetki, kişinin unvanından değil, yazılı olarak tanımlanmış görevinden doğmalıdır. Aşağıda yetkinin nasıl kurgulanacağı, hangi kayıtların tutulacağı ve uzaktan izlemenin sınırı anlatılıyor.

• Canlı izleme ile kayıt izleme farklı yetkilerdir; ikisini ayrı düşünün.
• Kayıt dışa aktarma (USB, e-posta, bulut) en kısıtlı yetkidir.
• Cihaz ayarlarını değiştirme (yönetici hesabı) görüntü izleme yetkisinden bağımsız verilir.
• Yetkisi olmayan kişinin ekranda görüntüyü görebilmesi de bir erişimdir.

Hukuki dayanak: KVKK m.12, Veri Güvenliği Rehberi ve ‘ölçülü erişim’

Dayanak 6698 sayılı Kanun'un 12. maddesidir: veri sorumlusu, kişisel verilere hukuka aykırı erişilmesini önlemek ve verinin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edecek her türlü teknik ve idari tedbiri almak zorundadır. Aynı maddenin dördüncü fıkrasına göre veri sorumluları ve veri işleyenler öğrendikleri kişisel verileri Kanuna aykırı biçimde başkasına açıklayamaz; bu yükümlülük görevden ayrıldıktan sonra da sürer. Hukuka aykırı erişim ve açıklamada Kanun'un 17. maddesi uyarınca Türk Ceza Kanunu'nun 135 ila 140. maddeleri de gündeme gelebilir.

KVKK'nın Nisan 2025 tarihli Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) bu yükümlülüğü somutlaştırır. Rehber, çalışanlara yaptıkları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanınmasını, erişimin kullanıcı adı ve şifreyle sağlanmasını ve veri sorumlularının erişim yetki ve kontrol matrisi oluşturmasını önerir. Teknik tedbirler arasında yetki matrisi, erişim logları ve kullanıcı hesap yönetimi; idari tedbirler arasında gizlilik taahhütnameleri ve periyodik denetimler sayılır.

KVKK'nın iş yerlerinde güvenlik kamerası kullanımına ilişkin kamuoyu duyurusu da kayıtlara yalnızca yetkili kişilerin erişebilmesini, yetkisiz erişimin yetki matrisi gibi önlemlerle engellenmesini ve kayıtların güvenliği ile gizliliği için yazılı prosedür hazırlanmasını ister. Aynı duyuru, erişim logu ya da izleme ekranı için ayrı bir kural koymaz; bu iki konu Rehber'deki genel tedbirlerden ve m.12'nin ‘uygun güvenlik düzeyi’ ölçütünden türetilir.

Ölçülü erişim pratikte iki ilkenin birleşimidir. Birincisi, Kanun m.4'teki ‘işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma’ ilkesidir. İkincisi, Rehber'deki ‘gerekli olduğu ölçüde erişim’ yaklaşımıdır. Kurul karar özetlerinde ‘ölçülü erişim’ adıyla ayrı bir başlık bulunmaz; ölçülülük değerlendirmesi kameranın konumu, kayıt süresi ve ses kaydı gibi konularda yapılır. Örneğin 2024/1361 sayılı karar özetinde kurum, kayıtlara yalnızca yetkili şube müdürünün eriştiğini, kayıtların 7 gün sonra silindiğini savunmuştur; bu bilgi kurumun beyanıdır, Kurul ayrıca doğrulamamıştır.

Yetki matrisi nasıl kurulur? Yönetici, güvenlik, kapıcı, işveren ve bilgi işlem

Yetki matrisi, hangi rolün hangi kamerada hangi işlemi yapabileceğini gösteren tek sayfalık yazılı tablodur. Adımların sırası her kurumda aynıdır.

• Adım 1, kamera listesi: Her kameranın yerini, amacını ve gördüğü alanı yazın. Girişi gören kamera ile depo içi kamerası aynı yetkiye bağlı olmak zorunda değildir.
• Adım 2, rol listesi: İşveren/yönetim, güvenlik görevlisi, kapıcı, bilgi işlem sorumlusu, insan kaynakları, dış servis gibi rolleri ayırın.
• Adım 3, işlem listesi: Canlı izleme, kayıt geri izleme, dışa aktarma, silme, cihaz ayarı ve kullanıcı yönetimi olarak beş ayrı işlem tanımlayın.
• Adım 4, kesişim: Her rol için her işlemde ‘var / yok / olay halinde onayla’ yazın. Varsayılan ‘yok’ olsun; Rehber de ‘izin verilmedikçe her şey yasaktır’ ilkesini önerir.
• Adım 5, onay ve tarih: Matrisi sorumlu kişi imzalasın, değişiklikte tarihli yeni sürüm yayınlayın ve düzenli aralıklarla gözden geçirin.
• Güvenlik görevlisi: Genellikle giriş ve çevre kameralarının canlı izlenmesi gerekir; kayıt geri izleme ve dışa aktarma yetkisi ise olay anında amirin bilgisiyle verilen istisna olmalıdır.
• Kapıcı: Görevi kameraların izlenmesi değilse canlı ekran yetkisi verilmemesi, verilecekse yalnızca giriş kamerasıyla sınırlı olması ölçülülüğe uygundur.
• İşveren / yönetici: Olay inceleme ve dışa aktarma kararını verir ama sürekli ve amaçsız izleme için gerekçe bulması zordur; çalışan performansını izlemek kamera amacı sayılmaz.
• Bilgi işlem: Cihazı, hesapları ve ağı yönetir; bu görev görüntüleri izleme yetkisi anlamına gelmez, yönetici hesabı yalnızca bakım gerektiğinde kullanılmalıdır.

Kullanıcı bazlı hesap, ortak şifre sakıncası, erişim logu ve gizlilik taahhütnamesi

Her yetkili kişinin kendi kullanıcı adı ve parolası olmalıdır; ortak şifre kimin neye baktığını belirsiz kılar. Rehber, sistemlere kullanıcı adı ve şifreyle erişimi, tüm kullanıcıların işlem hareketlerinin düzenli olarak kayıt altına alınmasını (log kayıtları gibi) ve yönetici hesabının yalnızca gerektiğinde açılmasını önerir. Ortak ‘admin’ şifresiyle yapılan bir izleme ya da dışa aktarma, sızıntı olduğunda sorumluyu bulmayı imkânsız hale getirir.

Rehber ayrıca parola deneme sayısının sınırlandırılmasını, parolaların belirli aralıklarla değiştirilmesini ve ilişiği kesilen çalışanın hesabının zaman kaybetmeden silinmesini ya da girişlerinin kapatılmasını önerir. Ortak şifre kullanıldığında bu son tedbir fiilen uygulanamaz, çünkü ayrılan kişi şifreyi bilmeye devam eder.

• Erişim günlüğü (log): Kim, ne zaman, hangi cihazdan giriş yaptı, hangi kamerayı canlı izledi, hangi tarih aralığını geri oynattı.
• Dışa aktarma günlüğü: Hangi kayıt, kim tarafından, hangi amaçla ve kime teslim edilmek üzere alındı; USB ya da e-posta ile giden her kopya için ayrı satır tutun. Kurumsal defter ya da form cihaz günlüğünü tamamlar.
• Cihaz günlüğünün sınırı: Kayıt cihazlarının günlük menüsünde hangi olayların tutulduğu ve ne kadar süre saklandığı model ve yazılıma göre değişir; kurulumda test ederek öğrenin ve yetmiyorsa elle tutulan deftere başvurun.
• Gizlilik taahhütnamesi: Rehber, gizlilik taahhütnamelerini idari tedbirler arasında sayar. Metin görev tanımını, görüntüleri kimseyle paylaşmama (WhatsApp, sosyal medya dahil) yükümlülüğünü ve görevden ayrıldıktan sonra da sürdüğünü içermelidir; imzalatma tarihini kayda geçirin.
• Eğitim ve denetim: Yetkilileri kısaca bilgilendirin; günlükleri düzenli aralıklarla gözden geçirin ve olağandışı erişimi araştırın.

Monitör yerleşimi ve evden ya da telefondan izleme sınırı

Canlı izleme ekranı, yetkisiz bir kişinin görebileceği yere konmamalıdır. Kanun m.12 hukuka aykırı erişimi önlemeyi şart koşar; ziyaretçilerin, müşterilerin veya yetkisiz çalışanların ekranı görmesi fiilen yetkisiz erişimdir. KVKK'nın kamuoyu duyurusunda monitörün yeri için ayrı bir kural yer almaz, bu nedenle burada anlatılanlar m.12'nin uygulanmasıdır.

Kayıt cihazının ve sunucunun kendisi de fiziksel güvenlik gerektirir. Rehber; sunucu ve yedekleme cihazlarının ek güvenlik önlemli ayrı bir odada tutulmasını, kullanılmadığında kilit altında bulundurulmasını ve giriş çıkış kayıtlarının tutulmasını örnek tedbir olarak sayar.

• Ekranı ziyaretçi, müşteri ve yetkisiz personelin göremeyeceği bir açıya yerleştirin ya da yalnızca yetkili odasında tutun.
• Ekranı terk ederken oturumu kilitleyin; sürekli açık duran izleme sayfası log tutmanın değerini düşürür.
• Telefondan izleme: Uygulama kişiye özel hesapla ve güçlü parolayla kullanılmalı; mümkünse iki aşamalı doğrulama açılmalıdır. Rehber, uzaktan erişimde iki kademeli kimlik doğrulamayı önerir.
• Telefonla izleme yetkisi de matrise yazılmalıdır; güvenlik amacıyla bile olsa sürekli ve amaçsız izleme ölçülü sayılmaz.
• Kişisel telefonlar için ayrıca risk vardır: Rehber, çalışanların şahsi cihazlarının ağa erişmesinin riski artırdığını belirtir. Cihaz kaybında oturumu uzaktan kapatma yolu bulunmalıdır.
• Uzaktan erişim için VPN gibi güvenli bir yolu tercih edin; ayrıntı için kamera sistemine VPN ile güvenli uzaktan erişim yazısına bakın.

Kurulumcunun ve servis teknisyeninin erişimi

Kurulumcu ve servis teknisyeni, görüntüleri değil cihazı kurmak ve onarmak için erişmelidir; bu erişim veri işleme sözleşmesi ve gizlilik taahhüdüyle çerçevelenmelidir. Kanun m.12/2 uyarınca veri sorumlusu, kişisel verilerin kendi adına başka biri tarafından işlenmesi halinde bu kişilerle birlikte müştereken sorumludur. Rehber de veri işleyenle yazılı sözleşme yapılmasını, sözleşmede süresiz sır saklama yükümlülüğünün ve ihlalde derhal bildirim şartının yer almasını önerir.

Ayrıntı için kurulumcunun uzaktan erişiminde KVKK ve veri işleyen sorumluluğu yazısına bakın. Pratikte şunlara dikkat edin:

• Kurulum bittiğinde fabrika yönetici şifresini değiştirin ve yeni şifreyi müşteriye teslim edin; kurulumcuda yedek kopya kalmasın.
• Servis için ayrı, süreli bir kullanıcı açın ve iş bitince kapatın; kurulumcuya sürekli yönetici hesabı bırakmayın.
• Uzaktan bağlantı müşterinin bilgisi ve onayıyla, mümkünse oturum başına yapılsın; bağlantı zamanı kayda geçsin.
• Görüntü kopyasının kurulumcunun bilgisayarında, telefonunda ya da buluttaki hesabında kalmaması gerekir.
• Teknisyen değiştiğinde yeni kişinin gizlilik taahhüdü alınmalı, eski kişinin erişimi kapatılmalıdır.

İşyeri, apartman ve okul için örnek yetki tabloları

Aşağıdaki liste kanuni bir zorunluluk değil, ölçülülük ilkesine göre hazırlanmış örnek çıkış noktasıdır; her kurum kendi risk değerlendirmesine göre uyarlamalıdır. ‘Canlı’ canlı izlemeyi, ‘geri izleme’ kayıt incelemeyi, ‘dışa aktarma’ kaydı kopyalamayı gösterir.

• İşyeri, işveren / yetkili müdür: canlı evet (amaçla sınırlı), geri izleme olay halinde, dışa aktarma yazılı kararla.
• İşyeri, güvenlik görevlisi: giriş ve depo kamerasında canlı evet, geri izleme yalnızca olay anında amir onayıyla, dışa aktarma yok.
• İşyeri, bilgi işlem: canlı yok, geri izleme yok, cihaz ayarı ve kullanıcı yönetimi evet; arıza çözümünde görüntüye bakma gerekirse yetkili eşliğinde.
• İşyeri, diğer çalışanlar ve ziyaretçi: erişim yok; kendi görüntüsünü talep eden için ilgili kişi başvuru süreci işler.
• Apartman/site, yönetici: olay inceleme için geri izleme, dışa aktarma yazılı kayıtla; sürekli canlı izleme için gerekçe aranmalıdır.
• Apartman/site, güvenlik görevlisi ve kapıcı: güvenlik görevlisi için giriş ve otopark kameralarında canlı; kapıcı için çoğunlukla canlı ekran gerekmez; ikisinde geri izleme ve dışa aktarma yok.
• Apartman/site, denetçi ve diğer kat malikleri: doğrudan erişim yok; kayıt isteği yöneticiye yazılı yapılır, görüntü üçüncü kişilerle ve gruplarla paylaşılmaz. Ayrıntı: kamera görüntüsünü WhatsApp grubunda paylaşmak.
• Okul, müdür veya yetkilendirdiği müdür yardımcısı: geri izleme olay halinde, dışa aktarma yazılı kayıtla. 2024/1361 sayılı karar özetinde bir eğitim kurumu kayıtlara yalnızca şube müdürünün eriştiğini beyan etmiştir.
• Okul, nöbetçi / güvenlik: giriş ve bahçede canlı; öğretmen ve veliler için doğrudan erişim yok, veli taleplerinde müdürlük sürecini ve diğer öğrencilerin mahremiyetini gözetin.
• Üç tür için ortak: dış servis firması yalnızca bakımda, süreli hesapla, yetkili eşliğinde erişir.

Bayifi'de bu konunun yeri

Yetki matrisi ve log gibi tedbirler büyük ölçüde kayıt cihazının kullanıcı yönetimi özelliklerine dayanır. Kurulum sırasında kullanıcı bazlı hesap açabilen, şifre politikasını destekleyen cihazların seçilmesi ve ayarların yapılması kurulumcunun işidir. Bayifi'de bu işi yapan firmaları bayiler dizininden il il bulabilir, toptan kayıt cihazı ve kamera stoklarını pazar sayfasında inceleyebilirsiniz.

Kurulumcu veya toptancıysanız firmanızı kaydol sayfasından ekleyebilirsiniz. Olası bir sızıntıda yapılacaklar için kamera kaydı sızdı veya kayıt cihazı ele geçirildi yazısı, işyerindeki genel çerçeve için işyerinde güvenlik kamerası ve KVKK yazısı yardımcı olur. Somut olay için hukuk danışmanından görüş alın.