Kurulumcunun Müşteri Kamerasına Uzaktan Erişiminde KVKK: Veri İşleyen mi, Veri Sorumlusu mu?

Kurulumcu müşterinin kamerasına uzaktan bağlanabilir mi ve KVKK'daki rolü nedir?

Kurulumcu, müşterinin açık yetkisi ve belirli bir amaç (arıza, bakım, ayar) bulunduğunda kamera sistemine uzaktan bağlanabilir; bu durumda KVKK açısından çoğunlukla veri işleyen konumundadır. Güvenlik kamerası görüntüsü, kimliği belirli ya da belirlenebilir kişileri gösterdiği için kişisel veridir. Kanunun 3. maddesine göre verilerin elde edilmesi, kaydedilmesi, saklanması, kullanılması ve elde edilebilir hâle getirilmesi de "işleme" sayılır; bu yüzden canlı görüntüye bakmak ya da kayıt cihazına girip kaydı oynatmak da işleme faaliyetidir.

Teknik yöntemleri (bulut portalı, VPN, port yönlendirme, firmware güncellemesi) güvenlik sistemlerinde uzaktan destek ve VPN ile uzaktan erişim yazılarında bulabilirsiniz. Bu yazı ise işin hukuki ve süreç tarafına odaklanır: kim neden sorumlu, sözleşmede ne yazmalı, parolalar kimde durmalı, ayrılan çalışanın erişimi nasıl kapanmalı?

Bu içerik genel bilgilendirme amaçlıdır. Somut bir işletme, site ya da proje için rol tespiti ve sözleşme metni, KVKK konusunda deneyimli bir hukukçuyla belirlenmelidir.

Veri sorumlusu ile veri işleyen arasındaki fark: kararı kim veriyor?

Ayrımın ölçütü, kişisel verinin neden ve nasıl işleneceğine kimin karar verdiğidir. KVKK madde 3'e göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Kamera sisteminde kayıt cihazını, kamera açılarını, saklama süresini ve izleyecek kişileri belirleyen işletme, site yönetimi veya kurum veri sorumlusudur. Kurulumcu bu kararları vermez; müşterinin talimatıyla cihazı ayarlar, arızayı giderir, güncelleme yapar. Bu nedenle uzaktan destek hizmetinde kurulumcunun konumu tipik olarak veri işleyendir.

Rol, sözleşmenin başlığına değil fiili duruma bakılarak belirlenir. Sözleşmede "veri işleyen" yazması, kurulumcu kendi amacı için veri kullanıyorsa onu işleyen yapmaz; tersine, sözleşme sessiz olsa bile talimatla çalışan bir servis firması fiilen işleyen konumundadır.

• Müşteri (veri sorumlusu): Kameranın neden kurulduğunu, nereye bakacağını, kaydın kaç gün tutulacağını ve kimlerin izleyeceğini belirler; aydınlatma yükümlülüğü ve güvenlik tedbirleri öncelikle ondadır.
• Kurulumcu (çoğunlukla veri işleyen): Müşterinin yazılı talimatı ve belirlenen kapsam içinde bakım, arıza giderme ve ayar yapar; verileri başka amaçla kullanmaz.
• Ortak sorumluluk: Kanunun 12. maddesinin ikinci fıkrasına göre veriler sorumlu adına başka biri tarafından işleniyorsa, güvenlik tedbirlerinin alınmasında sorumlu ve işleyen birlikte sorumludur.
• Ev kullanıcısı notu: Kanunun 28. maddesi, yalnızca kişinin kendisi veya birlikte yaşadığı aile fertleriyle ilgili faaliyetlerde, üçüncü kişilere verilmemek ve veri güvenliği yükümlülüklerine uyulmak kaydıyla Kanunun uygulanmamasını öngörür. İş yerleri, siteler ve ortak alanlar bu istisnanın dışında düşünülmelidir.

Kurulumcu hangi durumlarda veri sorumlusu sayılabilir?

Kurulumcu, müşteri adına değil kendi amacı için kişisel veri işlemeye başladığında veri sorumlusu gibi değerlendirilebilir. Bu durumda müşteriyle arasındaki "işleyen" ilişkisi aşılmış olur ve hem müşteri hem kurulumcu için ayrı yükümlülükler doğabilir.

Rol kaymasına yol açan tipik davranışlar şunlardır. Her biri sözleşmede açıkça yasaklanmalı ya da müşterinin ayrı ve bilgilendirilmiş talimatına bağlanmalıdır.

• Görüntüyü kendi cihazına almak: Arıza incelemesi için klibi kendi bilgisayarına, telefonuna veya bulut hesabına kopyalayıp silmemek.
• Kendi bulut hesabına bağlamak: Müşterinin kamerasını kurulumcunun kişisel veya firma bulut hesabına bağlı bırakmak.
• Tanıtım ve eğitim amaçlı kullanım: Müşteri görüntüsünü referans, sosyal medya, demo ya da çalışan eğitimi için kullanmak.
• Üçüncü kişiye aktarma: Görüntüyü üreticiye, tedarikçiye ya da başka bir firmaya müşterinin talimatı olmadan göndermek.
• Kapsamı aşan erişim: Arıza bildirimi dışında canlı görüntü izlemek, kayıt aramak ya da kişilerin hareketlerini incelemek.
• Kendi gözetim hizmeti vermek: Müşteri adına izleme hizmeti satıyorsa, bu hizmetin kapsamını ve rolleri ayrıca sözleşmeyle netleştirmek gerekir.

Veri işleme sözleşmesi ve gizlilik taahhüdünde neler bulunmalı?

Kişisel Verileri Koruma Kurumu'nun Kişisel Veri Güvenliği Rehberi, veri işleyenle imzalanan sözleşmenin yazılı olmasını ve işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda, sözleşmedeki amaç ve kapsama uygun hareket edeceğini içermesini önerir. Rehber ayrıca işleyenin işlediği verilere ilişkin süresiz sır saklama yükümlülüğüne tabi olacağının sözleşmede yer almasının önemine, veri ihlalinde işleyenin durumu derhal sorumluya bildirme yükümlülüğüne ve aktarılan veri kategorilerinin ayrı bir maddede belirtilmesine değinir.

Teslim aşamasındaki adımlar için teslim ve kullanıcı eğitimi yazısına bakabilirsiniz; uzaktan destek için aşağıdaki başlıkların ayrı bir ek ya da destek sözleşmesinde yer alması işleri netleştirir.

• Amaç ve kapsam: Hangi cihazlara, hangi amaçla (arıza, bakım, güncelleme) ve hangi işlemlerle erişileceği; canlı görüntü ve kayıt izlemenin hariç olup olmadığı.
• Talimata bağlılık: Kurulumcunun yalnızca müşterinin yazılı veya kayıtlı talimatıyla çalışması; amaç dışı kullanımın yasaklanması.
• Veri kategorileri: Erişilebilecek veriler (görüntü, ses, plaka, yüz tanıma verisi, kullanıcı hesapları) ayrı ayrı yazılmalı.
• Gizlilik taahhüdü: Kurulumcunun ve görevlendirdiği her çalışanın gizlilik taahhüdü imzalaması; sır saklama yükümlülüğünün sözleşme ve görev sona erdikten sonra da sürmesi (Kanun madde 12/4 bu yükümlülüğün görevden ayrıldıktan sonra da devam ettiğini söyler).
• Güvenlik tedbirleri: Kullanılacak bağlantı yöntemi, kişiye özel hesap, çok adımlı doğrulama, cihaz ve ağ güvenliği.
• Alt yüklenici: Başka bir firmayı ya da yurt dışındaki bir bulut hizmetini devreye sokmadan önce müşterinin onayı.
• İhlal bildirimi: Kurulumcunun fark ettiği ihlali gecikmeden, makul bir sürede (örneğin aynı gün) müşteriye bildirmesi ve iletişim kişisi.
• Denetim ve kayıt: Müşterinin erişim kayıtlarını talep edebilmesi ve gerektiğinde denetleyebilmesi.
• Sona erme: Sözleşme bitince erişim hesaplarının kapatılması, elde kalan her türlü kopyanın silinmesi ve bunun yazılı teyidi.

Müşteri parolaları kimde kalmalı? Varsayılan şifre, yönetici hesabı ve servis kullanıcısı

En güvenli yapıda yönetici (admin) parolası müşteride kalır, kurulumcu ise kendisine özel, yetkisi sınırlı ayrı bir kullanıcıyla çalışır. KVKK Rehberi erişim yetkisinin kişinin işi için gerekli ölçüde tanınmasını, parolaların tahmin edilmesi kolay dizilerden oluşmamasını, yönetici hesabının ve admin yetkisinin yalnızca ihtiyaç olduğunda açılmasını ve ilişiği kesilen çalışanların hesabının zaman kaybetmeden kapatılmasını önerir. Bu ilkeler kurulum pratiğine şöyle yansır:

Parolanın kurulumcu defterinde, ortak bir tabloda veya mesajlaşma grubunda durması, hem müşteri hem kurulumcu için gereksiz risktir. Müşteri sonradan bir ihlal yaşarsa, parolayı bilen herkes şüpheli grubuna girer. Yani parolayı elinde tutmamak, kurulumcunun kendini koruma yöntemidir.

• Varsayılan şifreyi bırakmamak: Cihazlar teslim edilmeden önce fabrika parolası değiştirilmeli; herkesçe bilinen varsayılan parolayla teslim edilen sistem, kurulumcunun sorumluluk tartışmasında zayıf noktasıdır.
• Yönetici hesabını devretmek: Teslimde admin hesabı müşteriye (yetkili kişisine) devredilir, parola müşterinin belirlediği yeni bir değerle değiştirilir.
• Servis için ayrı kullanıcı: Kurulumcu, mümkünse yalnızca bakım için gerekli yetkilere sahip, kişiye özel ve gerektiğinde müşteri tarafından kapatılabilen bir hesapla çalışır; ortak "servis" hesabı kişi bazında izlemeyi imkânsız kılar.
• Parola saklama: Müşteri parolaları zorunlu olarak tutulacaksa kilitli ve erişimi kayıtlı bir parola yöneticisinde, yalnızca ihtiyacı olan kişilere açık olarak saklanmalı; açık metin dosya, kâğıt not ve sohbet mesajı kullanılmamalı.
• Parola değişimi: Destek bittiğinde ya da bir teknisyen ayrıldığında geçici parolalar değiştirilmeli.
• Çok adımlı doğrulama: Bulut portalı ve uzaktan erişim hesaplarında destekleniyorsa açılmalı.

Erişimin kapsamı ve kaydı: görüntü kurulumcunun cihazında kalmamalı

Erişim, işin gerektirdiği kadar olmalı ve her oturum kayıt altına alınmalıdır. Rehber, tüm kullanıcıların işlem hareketlerinin kaydının (log) düzenli tutulmasını ve erişim kontrolü kayıtlarının düzenli denetlenmesini teknik tedbir olarak sayar. Hangi bağlantıların kim tarafından, ne zaman ve hangi gerekçeyle yapıldığı kayıtlıysa müşteri denetim yapabilir, kurulumcu da haksız şüpheye karşı kendini ispat edebilir.

Kurulumcu, destek sırasında karşılaştığı görüntüleri kendi telefonuna, bilgisayarına, e-postasına ve bulut depolamasına almamalıdır. Teknik doğrulama için ekran görüntüsü gerekirse yüzler ve plakalar karartılmalı ya da müşterinin onayıyla alınıp iş biter bitmez silinmelidir. Arıza kanıtı olarak üreticiye veri göndermek gerekiyorsa, bu aktarım müşterinin bilgisi ve talimatıyla yapılmalıdır. Görüntünün yurt dışına çıktığı bulut hizmetleri için ayrıca ureticinin bulutu kapanırsa yazısındaki yerel kontrol seçeneklerini ve KVKK'nın yurt dışına aktarma hükümlerini dikkate almak gerekir.

• Önceden bildirim: Planlı olmayan her bağlantı için müşteriden talep alınır ya da bilgi verilir.
• Destek defteri: Tarih, saat, teknisyen, cihaz, işlem, gerekçe ve müşteri onayı kaydedilir.
• Cihaz günlükleri: Kayıt cihazının giriş ve ayar değişikliği günlükleri açık tutulur ve saati doğru ayarlanır.
• Kopya yasağı: Görüntü, ekran görüntüsü ve dışa aktarılan klip kurulumcu cihazlarında bırakılmaz.
• Silme teyidi: Geçici olarak alınan her kopya iş bitince silinir ve müşteriye bildirilir.
• Saklama süresi: Erişim kayıtları da kişisel veri içerebileceği için sözleşmede belirlenen süre kadar tutulur.

Çalışan ayrılınca erişim nasıl iptal edilir?

Ayrılan teknisyenin müşteri sistemlerine erişimi, ayrılma günü kapanmalıdır. Rehberin ifadesiyle veri sorumlusuyla ilişiği kesilen çalışanlar için hesap zaman kaybetmeden silinmeli ya da girişleri kapatılmalıdır. Kurulumcu firma, kendi çalışanlarının hangi müşteri sistemlerinde hesabı olduğunu bilmiyorsa bu iptali yapamaz; bu yüzden kişi-hesap-müşteri eşleşmesinin güncel bir listesi tutulmalıdır.

Kanunun 12. maddesinin dördüncü fıkrası, öğrenilen kişisel verilerin hukuka aykırı biçimde açıklanamayacağını ve işleme amacı dışında kullanılamayacağını, bu yükümlülüğün görevden ayrıldıktan sonra da devam ettiğini belirtir. Gizlilik taahhüdü bu yüzden iş sözleşmesine ve ayrılış tutanağına da eklenmelidir.

• Hesap envanteri: Hangi çalışanın hangi müşteri cihazı, portalı ve VPN'inde hesabı olduğunu gösteren güncel liste.
• Ayrılış kontrol listesi: İşten çıkış günü bütün servis hesaplarının kapatılması, ortak kullanılan parolaların değiştirilmesi, cihaz ve telefon üzerindeki oturumların sonlandırılması.
• Cihaz iadesi: Müşteri verisi içerebilecek dizüstü bilgisayar, telefon ve harici disklerin teslimi ve temizlenmesi.
• Müşteriye bilgi: Ayrılan kişinin sözleşmede adı geçen yetkili teknisyen olması hâlinde müşteriye bildirim.
• Hatırlatma: Çıkış görüşmesinde sır saklama yükümlülüğünün sürdüğünün yazılı olarak teyit edilmesi.

Veri ihlali olursa kurulumcunun ve müşterinin yükümlülükleri

İhlal durumunda kurulumcunun ilk görevi, durumu gecikmeden müşteriye bildirmek; müşterinin görevi ise Kurula ve ilgili kişilere bildirimi yapmaktır. Kanunun 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca ele geçirilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı "en kısa süre"yi, ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlar; veri işleyenin ihlali gecikmeksizin veri sorumlusuna bildirmesini, veri sorumlusunun da ihlalin sonuçlarını ve alınan önlemleri kayıt altına almasını bekler.

Pratikte sürenin büyük kısmı kurulumcunun bildirim hızına bağlıdır: 72 saatlik süre sorumlunun öğrenmesiyle başlar, ancak işleyen bildirimi geciktirirse sorumlunun kullanabileceği süre fiilen kısalır. Bu yüzden sözleşmede "derhal" yerine somut bir süre ve iletişim kanalı yazmak yararlıdır.

Yaptırım tarafında, Kanunun 18. maddesi 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenler hakkında idari para cezası öngörür; aynı maddenin ikinci fıkrasına göre bu ceza veri sorumlusuna uygulanır. Bu, kurulumcunun sorumluluktan kurtulduğu anlamına gelmez: madde 12/2 ortak sorumluluğu düzenler, madde 17 kişisel verilere ilişkin suçlar için Türk Ceza Kanunu'nun 135 ila 140. maddelerini uygular ve sorumluluk dağılımı sözleşmedeki hükümlere göre ayrıca tartışılabilir.

• Durdur: Şüpheli erişimde ilgili hesabı ve oturumu kapat, parolaları değiştir, bağlantıyı geçici olarak kes.
• Bildir: Müşteriye hemen yazılı olarak haber ver; ne zaman fark edildiğini kaydet.
• Kaydet: Erişim kayıtlarını, cihaz günlüklerini ve alınan önlemleri sakla.
• Destek ol: Müşterinin Kurula ve ilgili kişilere yapacağı bildirim için bilgi ve kayıt sağla; bildirim sorumluluğunun müşteride olduğunu unutma.
• Düzelt: Nedenini gider (zayıf parola, açık port, ayrılan çalışanın hesabı) ve tekrarını önleyecek adımı yazıya dök.

Bayifi'de kurulumcu ve toptancı için yeri

Bayifi'de bu konuda doğrudan bir hukuki hizmet yoktur; ancak kurulumcu bulmak isteyen müşteriler bayi listesinden ve bayi haritasından firmaların hizmet ve marka bilgilerine bakabilir, destek ve sözleşme koşullarını görüşmeden önce sorabilir. Kurulumcular ve toptancılar firma profilini kaydol sayfasından oluşturabilir, ürün ve stok ihtiyacı için pazar bölümünü kullanabilir.