KVKK Kamera Uygulamasında İşletmelerin Sık Yaptığı Hatalar: Levha, Saklama Süresi, Erişim ve Paylaşım

Kamera uygulamasında KVKK hataları neden bu kadar yaygın?

Kamera görüntüsü, kişiyi belirlenebilir kıldığı için 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veridir ve kamerayı kuran işletme veri sorumlusu sayılır. Hataların çoğu, kameranın takılmasıyla işin bittiği varsayımından doğar; oysa kamera kurulumu bir teknik iş olduğu kadar amaç, süre ve yetki belirleme işidir.

Kişisel Verileri Koruma Kurumu, 8 Haziran 2026 tarihli kamuoyu duyurusunda iş yerlerinde kamera sistemlerinin hukuka aykırı ya da amacı dışında kullanıldığına dair çok sayıda şikâyet ve ihbar ulaştığını belirtmiştir. Duyuru, Kanun'un 4, 5, 10, 12 ve 18. maddelerine; Türk Borçlar Kanunu'nun 417. maddesine ve İş Sağlığı ve Güvenliği Kanunu'nun 4. maddesine dayanır.

Kanun'un 18. maddesi, aydınlatma yükümlülüğünü (m.10), veri güvenliği yükümlülüklerini (m.12) ve Veri Sorumluları Siciline kayıt yükümlülüğünü (m.16) yerine getirmeyenler için idari para cezası öngörür. Ceza tutarları yeniden değerleme ile güncellenebildiği için bu yazıda rakam verilmemiştir; güncel tutarlar Kurum'un duyurularından izlenmelidir.

Hata 1: Uyarı levhası ve aydınlatma metni eksik ya da görünmez

Aydınlatma, Kanun'un 10. maddesine göre kişisel veri elde edilirken yapılması gereken bir bilgilendirmedir; yalnızca kapıya asılan bir kamera simgesi bu yükümlülüğün tamamını karşılamaz. Aydınlatmada veri sorumlusunun kimliği, verinin işlenme amacı, kimlere ve hangi amaçla aktarılabileceği, toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin 11. maddedeki hakları yer almalıdır.

Uygulamada görülen tipik sorunlar, levhanın kameranın girişinden sonra bir kez asılması, tek bir noktada ve okunamayacak boyutta durması, yalnızca 'kamera ile izlenmektedir' yazması ve ayrıntılı metne ulaşım yolunun verilmemesidir. İşletme girişinde kısa levha, resepsiyon ya da internet sitesinde ayrıntılı metin bulunması bu hatayı önleyen düzendir.

• Levha: kameraların kapsadığı alana girmeden önce görülebilecek yükseklikte ve okunaklı olmalı.
• Ayrıntılı metin: amaç, saklama süresi, aktarım ve başvuru yolu yazılı ve talep edildiğinde verilebilir olmalı.
• Çalışanlar: işe başlarken yazılı olarak ayrıca bilgilendirilmeli.

Hata 2 ve 3: Yanlış kamera açısı ve gereksiz ses kaydı

Kurum duyurusuna göre tuvalet, soyunma odası, mescit ve dinlenme alanı gibi özel alanlara kamera yerleştirilmemelidir. Giriş çıkış alanları, depo ya da kasa gibi güvenlik riski bulunan bölgelerde kullanım orantılı olabilir; ancak tüm alanı kapsayan geniş açılı ya da yüz odaklı kayıt yapılmamalıdır. Komşu mülke, bitişik dükkâna ya da kamuya açık kaldırıma bakan açılar da aynı orantılılık ilkesi çerçevesinde dikkatle değerlendirilmelidir.

Ses kaydı, mahremiyete çok müdahaleli olduğu için hukuka uygun gerekçesi ve gerekliliği açıkça ortaya konulmadan kullanılmamalıdır. Birçok kamera varsayılan olarak mikrofonu açık gönderir; kurulum sırasında ses kaydının gerçekten gerekli olup olmadığı sorulmalı, gerekmiyorsa mikrofon donanımsal ya da yazılımsal olarak kapatılmalıdır.

Duyuruya göre kameralarla çalışanların devam durumunu ya da performansını izlemek, verimliliği ölçmek, disiplini artırmak veya genel kontrol yapmak meşru amaç sayılmaz. Bu nedenle amaç, kamera takılmadan önce güvenlik ya da iş sağlığı ve güvenliği gibi somut bir gerekçeyle yazılmalıdır.

• Açı kontrolü: kurulum bittikten sonra her kameranın canlı görüntüsü bir yetkiliyle birlikte gözden geçirilmeli, özel alanlar maskelenmeli ya da kamera yeniden konumlandırılmalı.
• Dijital yakınlaştırma: mümkünse yüz tanıma sağlayacak ayrıntıda kayıt yerine genel plan tercih edilmeli.
• Mikrofon: gerekçe yoksa kapalı bırakılmalı; kapalı olduğu cihaz ayarından doğrulanmalı.

Hata 4: Kayıt saklama süresi belirsiz ya da aşırı uzun

Kurum duyurusu kesin bir gün sayısı vermez; kayıtların mümkün olan en kısa süre tutulmasını, sistemde otomatik imha mekanizması bulunmasını ve bir olay olması halinde yalnızca ilgili kaydın hukuki süreç boyunca saklanmasını ister. Bu nedenle 'disk dolana kadar' ya da 'süresiz' gibi bir uygulama hatadır.

Doğru yöntem, saklama süresini amaca göre belirleyip kişisel veri saklama ve imha politikasına yazmak, kayıt cihazında bu süreye göre üzerine yazma ya da otomatik silme ayarı yapmak ve olay kayıtlarını ayrı, yetkisi kısıtlı bir klasörde tutmaktır. Cihazın diskine göre kayıt süresinin kendiliğinden belirlenmesi, yazılı sürenin pratikte tutulmadığı anlamına gelebilir; bu yüzden gerçek kayıt günü ile politika karşılaştırılmalıdır.

Hata 5 ve 6: Kayıtlara herkes erişebiliyor, erişim ve parola güvenliği zayıf

Kanun'un 12. maddesi veri sorumlusunu, kişisel verilere hukuka aykırı erişimi önlemek için gerekli her türlü teknik ve idari tedbiri almakla yükümlü kılar; Kurum duyurusu da bir yetki matrisi oluşturulmasını ve kayıtlara yalnızca yetkili kişilerin erişebilmesini ister. Tüm çalışanların aynı yönetici hesabıyla kayıt cihazına girmesi, bu yükümlülüğe aykırı en yaygın uygulamadır.

Duyuruda erişim kaydı (log) konusu ayrıca anılmaz; ancak kimin hangi kamerayı ne zaman izlediğini ya da dışa aktardığını gösteren kayıtlar, 12. maddedeki tedbirlerin uygulamada ispatlanabilir hale gelmesini sağlayan yöntemlerden biridir. Bu nedenle her kullanıcıya ayrı hesap açılması ve olay kaydı tutan cihazların tercih edilmesi iyi uygulamadır.

Parola ve uzaktan erişim tarafında en sık görülen hatalar fabrika parolasının değiştirilmemesi, parolanın ekran görüntüsüyle ya da mesajla paylaşılması, kayıt cihazının internete doğrudan açılması ve yazılımların güncellenmemesidir. Kurulumcu ya da servis firması kayıt cihazına uzaktan eriştiğinde ise veri işleyen sıfatıyla sorumlulukları ayrıca düzenlenmelidir.

• Kişiye özel hesap: ortak yönetici parolası yerine rol bazlı kullanıcılar.
• Güçlü parola ve ikinci doğrulama: cihaz ve mobil uygulama hesapları için ayrı, tahmin edilmesi zor parolalar.
• Uzaktan erişim: doğrudan port açmak yerine üreticinin güvenli bulut bağlantısı ya da VPN tercih edilmeli; güncellemeler düzenli yüklenmeli.
• Hizmet sağlayıcı: kurulumcu erişimi yazılı izin ve sözleşmeye bağlanmalı.

Hata 7 ve 8: Görüntülerin mesajlaşma uygulamalarında paylaşılması ve bulut kullanımında bilgilendirme eksikliği

Kurum duyurusu, kamera kayıtlarının izinsiz olarak yetkisiz kişilerle paylaşılmaması gerektiğini söyler. Bir olayın ekran görüntüsünü veya videosunu sınırsız üyeli bir WhatsApp grubuna atmak, görüntüdeki kişilerin verisinin kontrolsüz yayılmasına yol açar; kayıt, ancak hukuki bir gereklilik varsa ve yetkili kişi ya da makamlara verilmelidir.

Bulut tabanlı kayıt ya da mobil uygulama kullanıldığında görüntü, üreticinin ya da hizmet sağlayıcının sunucularına gidebilir. Sunucu yurt dışındaysa Kanun'un 9. maddesi uygulanır: 2024 değişikliği sonrası yurt dışına aktarım için yeterlilik kararı ya da uygun güvencelerden birinin sağlanması gerekir. Hata, bu durumu hiç sorgulamamak ve aydınlatma metninde aktarımı belirtmemektir.

İşletmenin bulut hizmetini kullanmadan önce sunucunun bulunduğu ülkeyi, sözleşme hükümlerini ve aktarım dayanağını öğrenmesi, bilgilendirme metnine yazması gerekir.

Hata 9 ve 10: VERBİS yükümlülüğünün gözden kaçması ve çalışanlara bilgi verilmemesi

Kanun'un 16. maddesi veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmayı esas alır; Kurul ise işlenen verinin niteliği, sayısı gibi objektif ölçütlerle muafiyet getirebilir. Muafiyet ölçütleri çalışan sayısı ve yıllık mali bilanço toplamı gibi unsurlara dayanır ve Kurul kararlarıyla değişir; 4 Eylül 2025 tarihli ve 2025/1572 sayılı karar 1 Ekim 2025 tarihli Resmî Gazete'de yayımlanarak özel nitelikli veri işlemeyi ana faaliyet olarak yürütenler için düzenleme getirmiştir. İşletmenizin güncel durumunu VERBİS sayfasındaki ölçütlerle kontrol edin.

Muaf olmak aydınlatma ve güvenlik yükümlülüklerini ortadan kaldırmaz. Çalışanlar açısından ise hata, kameranın varlığını ve amacını onlara yazılı olarak duyurmamaktır; Kurum duyurusu çalışanların bilgilendirilmesini ve kamera konumu seçilirken makul mahremiyet beklentilerinin gözetilmesini ister.

Kamera KVKK hata kontrol listesi

Aşağıdaki liste her hatayı tek satırda özetler; ayrıntılı anlatım için ilgili rehbere gidebilirsiniz.

• Genel çerçeve: kamera kaydı kişisel veridir, işletme veri sorumlusudur; ayrıntılar iş yerinde güvenlik kamerası ve KVKK rehberinde.
• Levha ve aydınlatma: kısa levha girişte, ayrıntılı metin erişilebilir; uyarı levhası ve aydınlatma metni yazısına bakın.
• Saklama süresi: amaca göre yazılı, cihazda otomatik silme açık; saklama süresi rehberinde.
• Paylaşım: görüntü gruplara atılmaz; WhatsApp grubunda paylaşım yazısında anlatılıyor.
• Bulut ve yurt dışı: sunucu konumu ve aktarım dayanağı bilinmeli; bulut kaydı ve yurt dışı aktarım rehberine bakın.
• Sızıntı ve ihlal: kayıt ele geçirilirse Kurum'a ve ilgili kişilere en kısa sürede bildirim gerekir; ihlal bildirimi yazısında süreç açıklanıyor.
• Şikâyet: şikâyet gelirse sürecin ve savunmanın nasıl işlediği CİMER şikâyeti ve inceleme rehberindedir.
• Açı, ses, erişim, VERBİS ve çalışanlar: bu yazıdaki ilgili bölümlerdeki kontrolleri kurulum teslimi sırasında bir kez daha işaretleyin.

Bayifi bu konuda nerede işe yarar?

Kamera kurulumunda açı, kayıt süresi ve yetki ayarlarını baştan doğru yapabilecek bir firma ararken Bayifi'nin bayi dizininden il il kurulumcuların hizmet ve marka bilgilerine bakabilirsiniz. Toptancıların stoklu ürünleri için pazar bölümünü, firmanızı dizine eklemek için kayıt sayfasını kullanabilirsiniz. Bu yazı genel bilgi içindir, hukuki danışmanlık değildir; işletmenize özel durumlar için hukuk uzmanına ve Kurum duyurularına başvurun.