Plaka Verisi ve Otopark Kamerası KVKK Rehberi: Kişisel Veri Niteliği, Aydınlatma, Saklama Süresi, Erişim ve Paylaşım

Plaka kişisel veri midir?

Plaka, bir gerçek kişiye ilişkilendirilebildiği ölçüde kişisel veridir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesi kişisel veriyi 'kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi' olarak tanımlar. Kişisel Verileri Koruma Kurumu'nun Örneklerle Kişisel Verilerin Korunmasına İlişkin Rehber'i, bu tanım kapsamında 'gerçek bir kişinin motorlu taşıt plakası'nı kişisel veri olarak tanımlanabilecek bilgiler arasında sayar.

Bunun pratik sonucu şudur: plakayı okuyup kaydeden bir sistem, plakanın yanında giriş-çıkış saati, kamera görüntüsü ve araç fotoğrafı da tutuyorsa, tek tek bilgiler birleştiğinde bir kişinin alışkanlıklarını ortaya koyan bir kayıt oluşur. Aynı plaka kaydı kamu kurumuna, site yönetimine ya da otopark işletmecisine ait olabilir; verinin kişisel veri sayılması işleten kişinin kim olduğuna bağlı değildir.

Plaka tanıma, yüz tanımadan farklı bir kategoridir. Plaka sıradan kişisel veridir; yüz verisi ise kişiyi tanımak için işlenirse Kanun'un 6. maddesi uyarınca biyometrik veri olarak özel nitelikli kişisel veri sayılır ve çok daha sıkı şartlara bağlıdır. Plaka tanıma kamerasına ek olarak yüz tanıma özelliği açmak, hukuki durumu tamamen değiştirir.

• Kişisel veri tanımı: Kanun md. 3 — kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Plaka: Kurum rehberinde, gerçek bir kişinin motorlu taşıt plakası kişisel veri örnekleri arasında geçer.
• Birleşen bilgi: plaka + tarih-saat + araç fotoğrafı + giriş noktası birlikte tutulduğunda kişi hakkında daha güçlü bir profil oluşur.
• Veri sorumlusu: kayıt cihazını işleten ve amacı belirleyen otopark işletmecisi, site yönetimi veya işyeri.

Plaka tanıma hangi hukuki şarta dayanır?

Kanun'un 5. maddesi kural olarak açık rıza ister, ancak ikinci fıkradaki şartlardan biri varsa rıza aranmadan işleme yapılabilir. Plaka tanımada en sık gündeme gelen şartlar sözleşmenin ifası (md. 5/2-c), bir hakkın tesisi, kullanılması veya korunması (md. 5/2-e) ve veri sorumlusunun meşru menfaatidir (md. 5/2-f). Aylık abonelik gibi sözleşmeli kullanımda abonenin plakasının tanınması sözleşmenin ifasıyla ilişkilendirilebilir; ziyaretçi ve geçici kullanıcıda ise çoğunlukla meşru menfaat ya da hak tesisi gündeme gelir.

Meşru menfaat şartı otomatik bir kapı değildir. Kurul, 25/03/2019 tarihli ve 2019/78 sayılı karar özetinde bir plaka verisi kullanımını değerlendirirken bir denge testi uygular: menfaatin mevcut, belirli ve açık olması, verinin işlenmesinin menfaate ulaşmak için zorunlu olması, ilgili kişinin hak ve özgürlüklerine zarar vermemesi, öngörülebilir olması ve gerekli teknik-idari tedbirlerin alınması aranır. Aynı karar, mevcut kayıtların başka bir sisteme entegre edilmesini ayrı bir veri işleme faaliyeti olarak değerlendirir.

Bu nedenle 'her şeyi bir seferde kaydedelim' yaklaşımı yerine amaç yazılı olarak belirlenmelidir. Giriş yetkisi kontrolü, otopark ücret hesabı ve güvenlik gibi her amaç ayrı ayrı tanımlanmalı, plaka kaydı da bu amaçlarla bağlantılı ve ölçülü olmalıdır.

• Sözleşme (md. 5/2-c): abonelik veya kiralık park yeri gibi taraflar arasında kurulmuş bir ilişki varsa ilgili plakaların tanınması.
• Hakkın korunması (md. 5/2-e): park süresi ve ücret uyuşmazlığında kanıt gerektiren durumlar.
• Meşru menfaat (md. 5/2-f): denge testi yapılmış, belgelenmiş ve ilgili kişinin hak ve özgürlüklerini aşmayan güvenlik amacı.
• Amaç dışı kullanım: toplanan plakanın pazarlama veya üçüncü tarafla eşleştirme gibi başka bir işte kullanılması yeni bir işleme sayılır ve kendi hukuki dayanağını gerektirir.

Otopark ve site girişinde aydınlatma nasıl yapılır?

Plaka alenî görünse de aydınlatma yükümlülüğü ortadan kalkmaz. Kurul, 01/06/2023 tarihli ve 2023/924 sayılı kararında, otopark işletmecisinin 'plaka alenîdir, bu yüzden aydınlatma yapmak zorunda değiliz' savunmasını kabul etmemiş; Kanun'un 10. maddesi uyarınca aydınlatma yapılması gerektiğini, bunun ispat yükünün de veri sorumlusunda olduğunu belirtmiş, işletmeciye idari para cezası uygulamış ve otopark kullanıcılarına yönelik bir aydınlatma metni hazırlanmasını istemiştir.

Kanun'un 10. maddesi aydınlatmada beş konuyu sayar. Plaka tanıma için bunların karşılığı şöyledir: veri sorumlusunun kimliği (otopark işletmecisi veya site yönetimi), işleme amacı (giriş yetkisi, güvenlik, ücretlendirme), kimlere hangi amaçla aktarılabileceği (yetkili kamu kurumları, hizmet sağlayıcılar), toplama yöntemi ve hukuki sebep (kamera ile otomatik okuma, ilgili şart) ve ilgili kişinin hakları.

Uygulamada iki katman kullanılır. Birincisi, aracın kamera önüne gelmeden önce okunabilen kısa bir uyarı levhasıdır; ikincisi ise ayrıntıların bulunduğu aydınlatma metnidir ve girişteki panoda, abonelik formunda, mobil uygulamada ya da sitede ulaşılabilir olmalıdır. Levha ve metin hazırlama ilkeleri için KVKK kamera uyarı levhası ve aydınlatma metni rehberine bakabilirsiniz.

• Levha: plaka tanıma ve kamera ile kayıt yapıldığı, amaç ve veri sorumlusu adı; giriş bariyerinden önce görünür yerde.
• Aydınlatma metni: kimlik, amaç, aktarım, toplama yöntemi, hukuki sebep ve haklar; abonelik kaydında yazılı ya da dijital olarak sunulur.
• Ziyaretçi: kayıt yapılmadan önce görülebilecek şekilde bilgilendirme; metne QR kod ile erişim sağlanabilir.
• Kanıt: aydınlatmanın yapıldığını gösteren fotoğraf, form ve sürüm kaydı saklanmalı.

Plaka ve otopark kamera kaydı ne kadar saklanır?

Kanun plaka kayıtları için sabit bir gün sayısı vermez; kayıtlar ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanır. Bu ilke Kanun'un 4. maddesinin ikinci fıkrasının (d) bendinde yer alır. 7. madde ise işlemeyi gerektiren sebepler ortadan kalkınca verilerin resen ya da ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hâle getirilmesini zorunlu kılar.

Kurum rehberi bu ilkeyi plaka verisiyle örnekler: bir benzin istasyonunun kampanyaya katılım için topladığı isim ve araç plaka bilgilerini, başka bir işleme şartı yoksa kampanya bitiminde silmesi gerekir. Yani 'ileride lazım olur' düşüncesiyle saklamak tek başına bir gerekçe değildir. Otopark ve site girişinde de süre, olayları fark etme ve inceleme için gereken makul zamana göre belirlenmeli, yazılı bir saklama ve imha politikasına bağlanmalı ve cihaz bu sürenin sonunda otomatik silme yapacak şekilde ayarlanmalıdır.

Kamera görüntüsü ile plaka listesinin süreleri aynı olmak zorunda değildir. Abonelik plakaları üyelik sürdükçe tutulur, üyelik bitince silinir; geçiş kayıtları ve görüntüler daha kısa süreli, olay kaydı ise yalnızca hukuki süreç boyunca ayrıca saklanır. Disk kapasitesi sürenin sonucudur, nedeni değildir; hesap için güvenlik kamerası hard disk seçimi yazısındaki yöntem kullanılabilir.

• Süre tayini: önce amaç ve süre yazılır, sonra depolama kapasitesi buna göre hesaplanır.
• Disk için formül: gerekli kapasite = kamera sayısı × günlük kayıt boyutu × saklama günü sayısı; plaka listesi ve olay kayıtları ayrıca eklenir.
• Otomatik imha: NVR veya yazılımda döngüsel kayıt ve süre sonunda silme açık olmalı.
• Olay istisnası: bir uyuşmazlık veya suç şüphesi varsa yalnızca ilgili kayıt ayrılıp süreç boyunca saklanır, tüm arşiv değil.
• Abonelik sonu: üyeliği biten kişinin plakası listeden silinir; sistemde pasif kayıt olarak bırakılmaz.

Plaka kayıtlarına kim erişebilir, kimlere verilebilir?

Plaka kayıtlarına yalnızca görevi gereği ihtiyacı olan kişiler erişmeli; paylaşım ise hukuki dayanakla yapılmalıdır. Kanun'un 12. maddesi veri sorumlusuna, verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir; aynı maddenin dördüncü fıkrası, veri sorumlusu ve veri işleyenlerin öğrendikleri kişisel verileri hukuka aykırı biçimde başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını söyler.

Kurul, 2023/924 sayılı kararında yalnızca plaka girilerek borç bilgisine ulaşılabilen bir sorgu sistemini yetersiz bulmuş; uzaktan erişimde ikinci bir doğrulama adımının gerekli olduğunu, bu adımda kişiye özel şifre veya kişiye iletilen SMS ya da e-posta kodu kullanılması gerektiğini belirtmiştir. Plaka bilmek, o plakaya ait bilgiye ulaşmak için yeterli sayılmaz.

Üçüncü kişilere aktarım Kanun'un 8. maddesine tabidir: açık rıza ya da 5. maddedeki şartlardan biri gerekir. Site sakinleri arasında ortak mesajlaşma gruplarında plaka listesi, araç fotoğrafı veya giriş-çıkış kaydı paylaşmak, sorumluluk doğurabilecek bir uygulamadır. Kolluk ve yargı makamlarının talebi ise kanunun verdiği yetkiye dayanır; bu durumda talebin yazılı, makamın ve kapsamın belli olması gerekir.

• Rol bazlı yetki: yönetici, güvenlik görevlisi ve teknik servis için ayrı hesap; ortak şifre kullanılmaz.
• Kayıt tutma: kim hangi kayda ne zaman baktı ve dışa aktardı, erişim günlüğünde izlenir.
• Ağ güvenliği: cihazlar internete doğrudan açılmaz, varsayılan şifre değiştirilir; ayrıntılar için IP kamera siber güvenliği rehberine bakın.
• Yazılı talep: kayıt vermeden önce talep eden makam, kapsam ve dayanak dosyalanır.
• Tedarikçi: bulut plaka yazılımı veya bakım firması kayıtlara erişiyorsa veri işleyen sıfatıyla yazılı sözleşme ve gizlilik düzenlemesi yapılır.

Sitelerde ve apartmanlarda yönetimin durumu

Site ve apartman girişleri, Kat Mülkiyeti Kanunu'nda ortak yer sayılan alanlardır ve bu alanlara güvenlik kamerası kurulabilir; ancak kurulum KVKK'ya uygun olmalıdır. Kurum, 8 Haziran 2026 tarihli apartmanlarda güvenlik kamerası kamuoyu duyurusunda; aydınlatmanın yapılmasını, kayıtların makul süre tutulup işleme sebebi ortadan kalkınca imha edilmesini, kayda yalnızca yetkili kişilerin erişmesini, kayıtların yetkisiz kişilerle paylaşılmamasını ve m.12/1 uyarınca teknik-idari tedbirlerin alınmasını belirtir. Duyuru, kurallara aykırılıkta m.18 kapsamında idari para cezası dahil işlem yapılabileceğini de hatırlatır.

Bu duyuruda plaka tanımaya özgü ayrı bir hüküm yer almaz; ilkeler ise kamera sistemlerinin tamamına uygulanır. Aynı çerçeve plaka kayıtları için de rehberdir: giriş kapısına bakan açı yalnızca gereken alanı görmeli, gereksiz alanlar maskelenmeli, sakinlerin daire girişleri izlenmemelidir.

Site yönetimi plaka listesini toplarken hangi araçların hangi daireye bağlı olduğunu da kaydeder. Bu eşleştirme, plakayı doğrudan kişiye bağlar; liste yalnızca giriş izni vermek için kullanılmalı, yönetim kurulu dışına dağıtılmamalı ve taşınan ya da aracını satan sakinin kaydı silinmelidir.

Kurul kararlarından ne öğreniyoruz?

Plaka tanıma kamerasını doğrudan konu alan bir ilke kararı bu yazı hazırlanırken Kurum'un sitesinde bulunamadı; ancak plaka verisini ele alan iki karar özeti uygulamaya yol gösterir. Güncel ve bağlayıcı yorum için kararların tam metni Kurum'un sitesinden kontrol edilmeli, somut olay için hukuk danışmanından görüş alınmalıdır.

Bu içerik hukuki danışmanlık değildir; her otopark ve site farklı bir sözleşme, bina ve kullanıcı yapısına sahiptir.

• 2023/924 (01/06/2023): otopark işletmecisi; plakanın alenî olması aydınlatmayı kaldırmaz, ispat yükü veri sorumlusundadır, plaka ile tek adımlı sorgu yetersizdir, aydınlatma metni hazırlanması istenmiştir.
• 2019/78 (25/03/2019): plaka ve ürün tipi verisinin meşru menfaat kapsamında kullanılabilmesi için denge testi, görünür aydınlatma ve amaç dışı kullanmama şartları aranmıştır.
• Rehber: gerçek kişinin plakası kişisel veri örnekleri arasında sayılır ve amaç bitince silinmesi gerekir.
• Apartman duyurusu (8 Haziran 2026): aydınlatma, makul saklama, yetkili erişim, paylaşım yasağı ve teknik-idari tedbir ilkeleri.

KVKK'ya uygun plaka tanıma kurulumunda adımlar

Aşağıdaki sıra, projeye başlamadan önce yapılacak işleri kronolojik olarak toplar. Her adım, bir önceki yazılı kararın üzerine kurulur.

• 1. Amacı yazın: giriş yetkisi, ücretlendirme, güvenlik gibi amaçları ayrı ayrı belirleyin.
• 2. Hukuki dayanağı seçin: abonelik için sözleşme, ziyaretçi için meşru menfaat gibi; meşru menfaatte denge testini belgeleyin.
• 3. Veri envanterini çıkarın: plaka, tarih-saat, araç fotoğrafı, daire eşleşmesi; hangisi gerçekten gerekli?
• 4. Kamerayı konumlandırın: yalnızca şerit ve plaka alanını görecek açı; çevredeki yaya ve konutlar maskelensin.
• 5. Aydınlatma levhası ve metni hazırlayın: girişte levha, abonelik formunda metin.
• 6. Saklama süresini ve imha yöntemini yazın: sistemde otomatik silmeyi açın.
• 7. Erişimi sınırlayın: kişiye özel hesap, günlük kaydı, ağ güvenliği.
• 8. Başvuru yolunu açık tutun: ilgili kişi hakları (md. 11) için başvuru adresi veya e-posta belirleyin.
• 9. Sicil yükümlülüğünü kontrol edin: Veri Sorumluları Siciline kayıt (md. 16) yükümlülüğünün sizin için geçerli olup olmadığını Kurum'dan doğrulayın.

Bayifi bu konuda nerede devreye giriyor?

Hukuki uyum kararlarını sizin yerinize Bayifi vermez; ancak projeyi hayata geçirecek kurulumcuyu bulmak ve ürün tedarik etmek için kullanılabilir. Şehrinizdeki kurulumcular için bayi listesi ve bayi haritası kullanılabilir; İstanbul, İzmir ve Ankara sayfaları il bazında firmaları gösterir.

Kamera, kayıt cihazı ve bariyer gibi ürünleri toptancıların anlık stoklarından karşılaştırmak için pazar sayfasına bakabilir, kurulumcu ya da toptancıysanız kaydol sayfasından firmanızı ekleyebilirsiniz. Bina yönetimi için hazırlanan güvenlik kontrol listesi de proje öncesi hazırlığa yardımcı olur.